Sebastien Gioria

#OWASP France Leader/Expert Judiciaire #Application #Security/Life tweets. DevSecOPS Officer @LectraOfficial. Every tweet is personal, not company

[Sebastien Gioria @SPoint]

La semaine dernière (https://t.co/fdjfG3VEDv ):

🛡️ Kubescape , 📋 Kyverno en 2026 , ☸️ OWASP Top 10 Kubernetes en 2026 : état des risques et nouvelles mitigations

#DevSecOps #OWASP #CloudSecurityAlliance

[Sebastien Gioria @SPoint]

Tellement vrai....je plussoie totalement et reste dans le meme mood que toi @Brain0verride

[Christophe Casalegno @Brain0verride]

J’ai quitté le monde de la cybersécurité

-> ce post, je l’ai écrit le 30 mai 2025.

Et depuis, je constate dans les messages privés que je reçois que beaucoup n’ont pas compris ce que je voulais dire.

Certains s’étonnent de me voir encore parler de vulnérabilités, de Linux, de hardening, d’architecture, de surveillance, de mitigation, d’exploitation, de compromission, de modèles de menace ou de sécurité serveur.

Mais je n’ai jamais écrit que j’arrêtais la sécurité. J’ai écrit que je quittais le monde de la cybersécurité et la nuance est importante.

Je n’ai pas quitté la discipline, la pratique, sa réalité technique ni l'instinct qui consiste à observer des signaux faibles et à se demander : "où est-ce que ça casse ?"

Ce que j’ai quitté, c’est l’écosystème qui s’est construit autour qui n'était plus pour moi : le théâtre, le bruit, les badges, les postures, les labels, les PowerPoint, les audits devenus des cérémonies, les certifications et les normes devenues l'objectif au lieu des outils qu'elles étaient censées être, les référentiels transformés en dogmes ou plus génralement les gens qui confondent conformité, sécurité et compétence opérationnelle.

J'ai quitté un monde devenu absurde dans lequel un système serait sécurisé parce qu’il coche les bonnes cases.

Donc non je n'ai pas changé d'avis : un système est sécurisé parce qu’il résiste, parce qu'il limite l'impact d'un incident, parce qu'il détecte vite, parce qu'il compartimente correctement, parce qu'il laisse des traces exploitables, parce qu'il ne fait confiance à personne, parce qu'il permet de comprendre ce qui s'est passé, parce qu'il peut être corrigé et parce que les gens qui l'opèrent savent ce qu'ils font.

La sécurité, ce n’est pas un PDF, une grille Excel pas plus qu'une mention dans un dossier d'appel d'offres ou une certification affichée comme une médaille.

La sécurité, c’est du réel et le réel ne respecte pas les procédures pour faire plaisir aux auditeurs. Il s’en fout.

- Une faille dans un module kernel n’attend pas qu’un comité valide une matrice de risque.
- Un attaquant ne s’arrête pas parce qu’un prestataire est certifié.
- Une fuite de données ne devient pas moins grave parce qu’une organisation peut produire un rapport de conformité.
- Une compromission ne disparaît pas parce qu’elle est correctement documentée après coup.

Les normes, les référentiels, les audits et les processus sont utiles : tant qu'ils sont utilisé comme des outils au service de l'objectif. Mais ils deviennent dangereux lorsqu'ils deviennent l'objectif et remplacent le jugement, l'ingénierie, la compétence, et qu'ils ne sont plus que des alibis qui produisent une sécurité administrative plutôt qu'effective.

C’est exactement ce qui m'a poussé à quitté cet univers. Une partie du secteur s’est mise à confondre la carte et le territoire. A remplacer la recherche d’efficacité par la recherche de conformité, la compréhension profonde par la validation externe, l’expérimentation par le respect des procédures et l’intelligence technique par la peur de sortir du cadre.

Alors oui, je continue à faire de la sécurité. Tous les jours.

Je fais de la veille, je durcis des serveurs, j'analyse des vulnérabilités, j'écris des exploits pour mettre mes systèmes à l'épreuve et je conçois des mitigations avant que les correctifs officiels soient disponibles. Je réfléchis à l'isolation, au zero-trust, et je continue de privilégier à chaque fois que c'est possible la simplicité, la traçabilité, la séparation des privilèges, la réduction de surface d’attaque et la capacité de réaction.

Dans *mon* univers, c'est ça la cybersécurité, mais ce n’est pas forcément "le monde de la cybersécurité". Et c’est précisément ça que beaucoup n'ont pas compris dans le message que j'ai écrit l'année dernière.

On peut pratiquer une discipline sans appartenir à son industrie. On peut défendre une approche de sécurité sans adhérer à sa bureaucratie. On peut rester techniquement actif sans participer au cirque. On peut rester proche de la réalité opérationnelle en dehors du système et sans avoir à respecter ses codes sociaux.

Aujourd’hui, trop souvent, on documente avant de comprendre. On certifie avant de maîtriser. On normalise avant d’éprouver. On achète une solution avant de savoir quel problème elle résout.

Ce n’est pas ma voie.

Je ne dis pas que c'est mauvais ou que tous les acteurs sont des incompétents. Il y a plein de gens brillants, des équipes solides, des chercheurs exceptionnels et des ingénieurs qui font un travail remarquable. C'est simplement que l’écosystème dominant, lui, a changé de nature.

Et c’est ce monde-là que j’ai quitté.

Donc non je n'ai pas arrêté de faire de *la sécurité*. C'est une discipline présente dans tous ce que je fais, une grille de lecture du réel que j'applique à tout. Quand on a passé une assez longue partie de sa vie à chercher où les systèmes cassent, on ne cesse jamais vraiment de le faire. Mais la différence, c'est que je le fais à ma manière.

Bon week-end à tous, et prenez-soin de vos systèmes d'informations ;)

[Gilles Babinet @babgi]

Quels sont les contributions des nations en terme de publications Scientifiques sur l'IA ? l'Europe disparaît (5.4%) face a la Chine (43,7%) et les USA (31%)
Courtesy @dlopushanskyy

[Sebastien Gioria @SPoint]

Auditer un prompt IA : comment détecter injections, jailbreaks et exfiltrations avant qu'ils atteignent votre modèle.

👉 https://t.co/aRjallsKK7

#CyberSécurité #LLMSecurity #PromptInjection #GenAI #DevSecOps

[Sebastien Gioria @SPoint]

Si vous utilisez Notepad++, vous êtes potentiellement à risque. L'infrastructure de mise à jour a été détournée pendant 6 mois (Juin-Déc 2025).

⤵️ https://t.co/EPtYOeCxqg

#CyberSec #Infosec #NotepadPlusPlus #Hacking

[Sebastien Gioria @SPoint]

Kubernetes est le cœur de l'infrastructure cloud-native, mais sa complexité est aussi son plus grand défi sécuritaire. 🛡️

C'est partie pour la nouvelle série d'articles dédiée à la Sécurité Kubernetes.
https://t.co/gy4L88LnoA

#CloudNative #CyberSecurity #DevSecOps #K8s

[Sebastien Gioria @SPoint]

Des chercheurs ont hijacké des identifiants GitHub juste parce que la validation ACTOR_ID oubliait les ancres de début et de fin (^ et $). Résultat ? Un bot avec l'ID 123456789 passait pour l'admin 12345.

https://t.co/u3PEqcFfPk

#InfoSec #DevOps #AWS #Regex #CyberSecurity

[Sebastien Gioria @SPoint]

Les slides de la conférence au #snowcamp #2026 sont en lignes :https://t.co/HBiN0RIoWi

Merci a l'équipe d'organisation, j'ai pris 3Kg avec le repas chez Marius :)

#DevSecOPS #OWASP #SBOM #

[Sebastien Gioria @SPoint]

Shai-Hulud - Cette attaque de Supply Chain critique qui utilise des scripts preinstall pour contourner les scans et transformer vos runners GitHub en portes dérobées.
https://t.co/9D7U590XNA
#DevSecOps

[Sebastien Gioria @SPoint]

Marre de la sécu "barrière" ? Jouez ! 🃏
​Nouveau post sur la gamification (EoP, Cornucopia) pour un DevSecOps efficace et ludique.
🎁 Bonus : Bientôt un jeu sur les risques IA !
​Lien : https://t.co/cGD6KZJd2A
​#Infosec #DevSecOps #AI #Gamification

[Sebastien Gioria @SPoint]

Le boss de fin. L'agent qui sort des clous, poursuit des objectifs non alignés ou refuse de s'arrêter.Ce n'est pas de la SF, c'est un problème de boucle de contrôle et de garde-fous.

https://t.co/h9Ju2J3Dwr

#AI #OWASP

[Sebastien Gioria @SPoint]

"C'est l'IA qui l'a dit, donc c'est vrai." Spoiler : Non.

Les attaquants exploitent notre confiance aveugle envers les agents pour faire du phishing de haute volée ou de la manipulation. Ne soyez pas ce clic.

🔗 Décryptage : https://t.co/MkFVemCMSN #OWASP #AI #Trust

[Sebastien Gioria @SPoint]

Un agent se plante, et c'est tout le système qui tombe comme des dominos. Ou comme le sapin quand le chat saute dedans.
Comment empêcher qu'une erreur isolée ne devienne une panne systémique géante ?

🔗 La réponse : https://t.co/IpdCnlf4rj #Resilience #SystemDesign #AI #OWASP

[Sebastien Gioria @SPoint]

Faire discuter des agents entre eux, c'est puissant. Mais sans chiffrement ni auth, c'est comme raconter vos secrets de famille avec un mégaphone.
🔗 Les détails : https://t.co/moNjMcqCka #InterAgent #ZeroTrust #CyberSecurity #OWASP

[Sebastien Gioria @SPoint]

Lendemain de fête difficile ? Votre IA aussi peut avoir des trous de mémoire... ou pire, de faux souvenirs implantés par un attaquant. 😵💫 Si le contexte est corrompu, le raisonnement de l'agent l'est aussi.
https://t.co/kVlnO9fHLR #OWASP #AgenticIA #Appsec #DevSecOPS

[Sebastien Gioria @SPoint]

💥 ASI05 :
Le Père Noël qui descend par la cheminée, c'est oui. 🎅 Du code arbitraire exécuté par votre agent sans prévenir, c'est NON. Quand l'agent génère et exécute son propre code, la sandbox n'est pas une option, c'est une survie. 🔗 https://t.co/z3hKWWoVD8 #RCE #AgenticAI

[Sebastien Gioria @SPoint]

📦 ASI04 : Agentic Supply Chain Vulnerabilities

Savoir d'où vient votre modèle IA, c'est aussi important que de savoir si les huîtres sont fraîches. 🦪

Plugins vérolés, datasets empoisonnés...

🔗 L'analyse complète : https://t.co/a5OYN7Prjf #SupplyChain #AI #CyberSec

[Sebastien Gioria @SPoint]

🎁 C'est la semaine de Noël, mais les failles ne prennent pas de vacances.

On lance la suite de l'OWASP Agentic Top 10 AI 2026 ! On a vu l'intro, maintenant on attaque le dur : les 7 éléments cruciaux pour vos Agents IA: https://t.co/zjeKG5laXK #AppSec #AIsecurity #OWASP

[Sebastien Gioria @SPoint]

Votre terminal a un nouveau "pote" : l'IA. Mais êtes-vous sûr qu'elle ne travaille pas pour l'ennemi ? 🤖💥
De l'affaire SolarWinds aux injections de prompts dans les agents IA locaux.
👉 https://t.co/cPkpHqWWLD

#AI #OWASP #AppSEC #DEVSECOPS #SCA

[Sebastien Gioria @SPoint]

Devinez qui est le contributeur #1 sur https://t.co/MZwnpZS5Q9 aujourd'hui ?
Ce n'est pas Linus Torvalds. C'est GitHub Copilot.
J'étais à l'Azure Tech Winter 2025 .... la suite....
(https://t.co/WKzOuxt0Ye )
#AzureTechWinter #Microsoft #AgenticAI #DevOps #CyberSecurity