Parce que… c’est l’épisode 0x34C! Shameless plug 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Le FCSC et ses enjeux Jérémy Jean est cryptologue à l’ANSSI, l’agence nationale de la cybersécurité en France, où il travaille depuis dix ans au laboratoire de cryptographie. Il coorganise le FCSC, le France Cybersecurity Challenge, un CTF en ligne organisé chaque année depuis 2019. Le concours se joue individuellement et dure dix jours, afin que chacun puisse concilier travail, études et jeu. Il poursuit un double objectif. Le premier est de faire monter en compétences l’écosystème français avec des épreuves techniques proches des métiers réels. Le second est de sélectionner l’équipe de France, dix jeunes de moins de vingt-cinq ans, qui représentera le pays à l’ECSC, le championnat d’Europe organisé chaque automne par l’ENISA dans un pays différent, en 2026 à Bochum, en Allemagne. Une interdiction difficile à faire respecter L’année 2025 marquait les débuts des LLM dans les CTF. Les modèles manquaient de performances et hallucinaient souvent, comme le montraient les flags soumis. En 2026, la situation a radicalement changé. Compte tenu de l’enjeu de sélection, les organisateurs du FCSC avaient pris le parti d’interdire l’usage des LLM dans les règles du concours. Ce choix s’est révélé difficile à assumer. Certains participants ont quand même utilisé ces outils malgré les règles, créant une compétition inéquitable. L’équipe d’organisation s’est lancée dans une chasse aux tricheurs pendant les dix jours de l’événement, tâche désagréable et sans garantie absolue de détection. La chasse aux tricheurs Concrètement, les organisateurs disposaient d’un système de tickets et de la communauté Discord pour contacter les participants suspects et leur demander d’expliquer leurs résolutions express. Certains ont admis avoir utilisé un LLM, parfois sans avoir lu les règles. D’autres savaient parfaitement qu’ils enfreignaient l’interdiction. Légèrement plus de la moitié sont restés dans le déni, cherchant à conserver leurs points. Ces échanges, habituellement agréables pour un organisateur qui aime discuter des approches de résolution, ont été pollués par cette confrontation. L’efficacité déroutante des LLM Jérémy Jean raconte avoir pris un abonnement personnel à ChatGPT quelques semaines avant l’événement. Une épreuve de reverse engineering qu’il avait mise plusieurs semaines à concevoir a été résolue en sept à dix minutes par le modèle. Si l’IA est autorisée, la compétition se réduit à qui possède le meilleur abonnement. Côté concepteurs, le constat est démoralisant. Il faut des heures pour avoir la bonne idée et des dizaines d’heures pour concevoir une épreuve difficile, que les modèles résolvent en quelques minutes. La dimension pédagogique des CTF s’en trouve balayée. Les joueurs qui délèguent aux LLM n’en retiennent rien, n’ayant parfois même pas lu l’énoncé, et copient-collent le flag sorti par le modèle. Le tri des comptes et la sélection Les participants détectés n’ont pas été bannis, mais leurs comptes ont été cachés, ce qu’ils ont généralement mal vécu. Les autres ont globalement apprécié ce travail laborieux, car le haut du classement final ressemble à nouveau à un scoreboard d’avant l’ère des LLM. Ce filtrage a aussi servi la sélection de l’équipe de France. Les candidats s’inscrivent en catégories junior, senior ou hors catégorie, l’ECSC demandant cinq juniors jusqu’à vingt ans et cinq seniors de vingt et un à vingt-cinq ans. Les vingt-cinq à trente meilleurs passent ensuite un entretien en visioconférence avant la sélection des dix membres et de quatre remplaçants. Ce tri évite de perdre du temps avec des candidats ayant tout résolu par IA. Les règles de l’ECSC Les règles de l’ECSC ne sont pas encore fixées fin août, la décision revenant à l’équipe allemande organisatrice. Une interdiction, au moins partielle, semble la piste la plus ...
Afficher plus
Afficher moins
1 h et 2 min