Le red teaming IA, en 2026, n'est plus un POC qu'on fait une fois et qu'on oublie. C'est un programme avec deux modalités : continu (intégré au pipeline) et ponctuel (campagnes profondes), avec un reporting qui remonte à la direction. Voilà comment je structure ça en mission.
Les deux modalités
Continu — automatisé, en CI
Suite de tests adversariaux qui tourne à chaque release :
- 50 à 300 prompts injection variés.
- 20 à 100 jailbreaks connus (DAN, roleplay, encoding, langue exotique).
- Tests de tool abuse si agents.
- Tests d'isolation tenant si multi-tenant.
- Tests memorization si fine-tune ou RAG sensible.
- Tests cost runaway.
Outillage : PyRIT, Promptfoo, DeepTeam (voir stack outils sécurité IA). Run intégré au pipeline CI/CD, bloquant si régression.
Objectif : détecter la régression. Pas trouver les nouvelles attaques — la suite ne sait que ce qu'on lui a appris.
Ponctuel — campagnes profondes, humain
Périodicité : 2-4 fois par an, ou à chaque évolution majeure (nouveau modèle, nouveau cas d'usage, nouvelle architecture).
Durée typique : 3 à 15 jours selon profondeur.
Contenu :
- Recon (cartographie de la surface, identification des composants).
- Attack staging (préparation d'attaques sur mesure pour ce système).
- Exécution (tests manuels, payloads originaux, scénarios multi-turn).
- Documentation findings (preuve, reproductibilité, mitigation).
- Restitution et roadmap remédiation.
Objectif : trouver les nouvelles vulnérabilités que la suite continue n'aurait pas trouvées.
Outillage : humain + scripts custom + PyRIT pour les briques. Pas de plateforme magique qui remplace l'expérience du red teamer.
Comment je structure le programme
Année 1 — Mise en place
| Trimestre | Objectif | |---|---| | Q1 | Audit baseline + threat modeling, identification top 10 menaces | | Q2 | Mise en place suite continue (PyRIT + Promptfoo en CI) | | Q3 | Première campagne ponctuelle profonde (10 jours) | | Q4 | Itération sur la suite continue + réajustement scope |
Année 2+ — Routine
- Suite continue qui tourne à chaque release.
- 2 campagnes ponctuelles par an (printemps + automne).
- 1 campagne sur évolution majeure si applicable.
- Reporting trimestriel direction.
Le reporting stratégique
Pour que ça serve à autre chose qu'à remplir des étagères, le reporting doit toucher trois audiences avec trois formats.
Pour le CTO / Lead Eng (mensuel)
- Tests continus qui tournent + nombre.
- Régressions détectées + statut résolution.
- Top 5 catégories de findings de la campagne ponctuelle en cours.
- Roadmap remédiation par sprint.
Format : dashboard + 1 page de note.
Pour le CISO / RSSI (trimestriel)
- État de la couverture menace (vs OWASP LLM, ATLAS).
- Évolution du nombre de findings critical/high/medium par release.
- Métriques de remédiation (MTTR par criticité).
- Risque résiduel par cas d'usage.
Format : rapport 5-10 pages avec annexes.
Pour le COMEX / Board (semestriel)
- Posture sécurité IA en 1 page (vert / orange / rouge).
- Évolution vs semestre précédent.
- Incidents survenus + lessons learned.
- Budget vs objectif.
- Décisions à prendre.
Format : 1-2 slides + voix.
Voir reporting sécurité IA direction pour le format détaillé.
Le scope qui revient
Pour un programme sérieux, le red teaming doit couvrir :
- Modèle lui-même (jailbreak, memorization).
- Prompt system (extraction, manipulation).
- RAG (injection indirecte, isolation tenant).
- Tools / MCP (abuse, paramètres malicieux).
- Agent comportement (tool abuse, escalade, cost runaway).
- Logging et audit (peut-on déclencher une action sans trace ?).
Scope partiel = couverture partielle = faux sentiment de sécurité.
Les pièges classiques
Faire une seule campagne et arrêter là
Une campagne unique trouve N vulnérabilités. Sans suite continue, vous les corrigez et vous régressez à la prochaine release. Le ratio coût/résultat est mauvais.
Croire qu'une plateforme commerciale remplace le red teaming humain
Les plateformes sont bonnes pour le continu (régression). Le ponctuel humain trouve les choses originales. Les deux se complètent, ne se remplacent pas.
Pas de reporting comex
Sans reporting board, le budget n'est jamais débloqué pour la remédiation. C'est le maillon qui transforme les findings en actions.
Externaliser sans intégrer
Si le red teaming est 100% externe et que personne en interne ne sait reproduire ou maintenir la suite, vous achetez une dépendance. Idéalement : suite continue maintenue interne + campagnes ponctuelles externes (regard frais).
Pas de suivi MTTR
Trouver une vulnérabilité critical et la corriger en 6 mois = pas de programme. Indicateur MTTR par criticité, avec SLA défendable face au comex.
Mon avis en 1 ligne
Un programme AI red teaming sérieux combine continu (PyRIT/Promptfoo en CI) + ponctuel (2 campagnes humaines/an) + reporting tri-audience (CTO mensuel, CISO trimestriel, comex semestriel). Compter 3-6 mois pour atteindre la routine, avec un budget annuel qui démarre vers 30-60 k€ et monte selon scope. Sans cette discipline, vous avez de la sécurité IA déclarative — qui ne tient pas le premier incident.