ASC-it

🎉 1 000 ⭐ pour Darkmoon 🎉 Merci à tous ceux qui soutiennent ce projet Français ! 🙏 Bravo à l'équipe ASC-IT pour le travail accompli et celui réalisé au quotidien. On revient très vite avec des news et de nouvelles fonctionnalités.

Darkmoon fait peau neuve ! Nous avons entièrement remanié le site web (merci Mehdi Boutayeb Ferkatou) et ajouté une chaine Youtube : - https://dark-moon.org - https://lnkd.in/etUyyEzv Le but, que les clients est toutes informations disponibles : stack, benchmark, déploiement. Bien évidemment, toute l'équipe ASC-it est à votre service pour vous accompagner dans la sécurisation de vos SI. Enfin, il nous manque uniquement 7 petites ⭐ sur le repos github. Uniquement 7 clics.... On compte sur vous la communauté ! 😊 - https://lnkd.in/eUmKe246

🤖 DarkMoon sort du terminal. Depuis un an, DarkMoon conduit des campagnes de pentest par IA en ligne de commande. Avec la v1.5.0, il s'intègre là où les équipes travaillent déjà : → CI/CD — GitHub Actions, GitLab, Jenkins : le build échoue quand une vulnérabilité dépasse le seuil de sévérité que vous fixez. → IDE — VS Code, JetBrains : lancer une évaluation et lire les findings sans quitter l'éditeur. → SOC — Splunk, Grafana : les résultats remontent dans vos tableaux de bord de supervision. → Automatisation — n8n : campagnes récurrentes, retests, alertes. Le moteur open source avance en même temps : 51 agents spécialisés, 140+ outils gouvernés dans un exécuteur sous liste blanche, 13 outils MCP. Chaque finding porte sa preuve — requête, réponse, payload — et son statut est posé par l'agent lui-même : on recommande une relecture analyste avant remédiation. Pas de bouton magique. GPLv3. Développé à Toulouse par ASC-IT. Toutes les infos ici 👉 https://lnkd.in/gpcrFrN4 #Pentest #Cybersécurité #DevSecOps #OpenSource #IA

10K+ Téléchargements de l'image Darkmoon 🎉 Merci à tous 🙏 On revient vers vous très vite avec de nouvelles features... 🆕 See you 🖖 #Darkmoon #Pentest #AI #Docker

Une enquête est sortie en juin dernier sur l'usage de l'IA en pentest. 158 praticiens interrogés : pentesters, AppSec, DevSecOps, consultants, MSSP. Elle est publiée par Pentest-Tools.com, qui édite lui-même une plateforme du secteur. - Ce que l'étude dit : L'IA a été adoptée aux deux extrémités de l'engagement. 74,1 % l'utilisent pour le scan et la découverte, 69 % pour la rédaction du rapport. Au milieu, elle s'efface : 36,7 % sur l'exploitation, 25,3 % sur la post-exploitation. - Et le milieu, justement, coince. 87,8 % des praticiens qui génèrent des findings avec de l'IA tombent sur des résultats qui demandent une validation manuelle. 26,5 % retravaillent plus d'un quart de ce que l'outil produit. Seuls 3,4 % ne rencontrent jamais le problème. - Ce qui explique le critère d'achat :  - Taux de faux positifs / qualité du signal : 62,7 %  - Preuve d'exploit, chemins d'attaque vérifiés : 52,5 %  - Coût et modèle de licence : 46,8 % Deux critères d'exactitude passent devant le prix. Et 38,6 % placent dans leur top 3 la question de savoir où sont stockées les données de vulnérabilité et avec qui elles sont partagées, devant la couverture de conformité. Et le faux positif coûte plus cher qu'on ne le pense. Une vulnérabilité manquée reste invisible jusqu'au jour où elle compte. Un finding fabriqué, lui, est immédiatement visible, et il suffit d'une hallucination convaincante pour qu'une équipe se méfie durablement de tout ce que l'outil produit ensuite. La question d'achat a changé de nature. Ce n'est plus « combien cet outil peut-il en trouver ? » mais « quelle part de ce qu'il trouve puis-je utiliser sans refaire le travail moi-même ? » C'est la question sur laquelle on construit Darkmoon, chez ASC-it : un finding n'entre dans le rapport que si un payload réel a été envoyé et la réponse capturée. Requête, payload, logs bruts. La validation n'est pas une étape ajoutée après le scan, c'est la condition d'entrée. Un dernier point, que l'étude dit et que je partage : la logique métier et la créativité restent humaines. Un abus de coupon, une quantité négative au panier, un ID modifié dans l'URL, l'application fonctionne exactement comme prévu, il n'y a ni erreur ni signature. Reconnaître ça suppose de comprendre l'intention du logiciel. L'IA ne fait pas ça (pas encore...). Elle rend au pentester le temps que le triage lui prenait.  Source : https://lnkd.in/e8xPzFdd  #pentest #cybersécurité #redteam #IA #AppSec #Darkmoon

Bancal Damien a consacré un article à Darkmoon sur Data Security Breach. Merci à lui d'avoir creusé le sujet. Ce qu'il en retient recoupe assez précisément ce qu'on a cherché à construire. La séparation entre le raisonnement et l'exécution. Le modèle planifie, il n'obtient jamais de shell. Tout passe par MCP vers des conteneurs Docker isolés qui embarquent les outils offensifs : Nuclei, sqlmap, BloodHound, NetExec... La preuve avant l'affirmation. Un finding sans commande exécutée, sortie brute et trace d'exécution n'est pas un finding. C'est ce qui sépare un rapport exploitable d'une liste d'hypothèses plausibles générées par un modèle. Le confinement des données. IP, noms d'hôtes et emails sont tokenisés avant d'atteindre le modèle, puis réhydratés localement au moment où l'outil s'exécute. Pour un hôpital, une collectivité ou un opérateur d'infrastructure critique, c'est souvent la première question posée, avant même celle de l'efficacité. Et pour ceux qui veulent zéro dépendance externe, le moteur tourne sur LLM local. GPLv3. Pas de prompt caché, pas de scoring propriétaire. Le code est lisible, donc auditable. Une précision que je tiens à ajouter : Darkmoon ne remplace pas un pentester. Il travaille en continu entre deux audits, sur un périmètre défini et validé en amont. Le jugement, la chaîne d'attaque métier, la restitution, tout ça reste humain. Ce qu'on attaque, c'est le trou de onze mois entre deux campagnes, pas le métier. Bravo à Mehdi Boutayeb Ferkatou pour le travail d'architecture. L'article : https://lnkd.in/eKHB8kr4 #pentest #cybersécurité #opensource

CPTS validé✅ Il y a quelques années je vendais. Aujourd'hui, je compromet. Mon parcours n'a rien de linéaire, mais mon état d'esprit n'a pas changé : comprendre comment les choses fonctionnent, puis chercher la faille. Pour rappel, la CPTS est un examen pratique : un environnement d'entreprise complet à compromettre ainsi qu'un rapport de grade professionnel à livrer. Ce fut exigeant, parfois étourdissant mais avant tout excitant et certifiant. Ce n'est pas le Graal, mais une belle avancée personnelle. Merci à ceux qui m'ont poussé à ne pas rester dans la case où on m'avait mis (ma compagne, mes proches). Et merci à ASC-it de m'avoir permis de réaliser cette certification dans les meilleurs conditions. #pentest #cybersécurité #HackTheBox #CPTS #redteam

🚀 Darkmoon franchit le cap des 34 agents de pentest autonomes. Jusqu'ici, notre moteur excellait sur le web et l'Active Directory. Aujourd'hui on ouvre trois fronts que nos clients réclamaient : le cloud, le CI/CD et l'IoT/firmware. 16 nouveaux sous-agents autonomes dans la release agents-expansion-2026.08 : ☁️ Cloud & plateforme : AWS, Azure, GCP (escalade de privilèges, extraction de tokens IMDS, exfiltration de stockage), Entra ID pour la reco et le pivot d'identité. 🔧 IaC & chaîne logicielle : Terraform, Ansible (mining de secrets dans les states et configs), GitHub, GitLab, Jenkins (attaques supply-chain et chaînes OIDC → cloud). 🗄️ Données & secrets : Docker, registres de conteneurs, bases SQL (PostgreSQL / MySQL / MSSQL / Oracle), messaging & cache (Redis / RabbitMQ / Kafka / MQTT), HashiCorp Vault. 🐹 Go : Gin, Echo, Fiber, Beego, net/http : fingerprinting et détection XSS, SSTI, SQLi, injection de commandes, CSRF. 🔌 Firmware : deux modes -> IMAGE (extraction et analyse de binaires) et DEVICE (test d'équipement en conditions réelles). Ce qui compte pour nous : chaque agent travaille sur détection de credential ou d'artefact réel, jamais sur inférence. On a validé la release contre des environnements réels : Pwned Labs, OWASP IoTGoat, avec findings documentés. On a aussi durci le moteur : orchestration anti-faux-positifs, exécution d'outils renforcée, et cracking de mots de passe gaté par GPU pour éviter l'épuisement de ressources. Un pentest cloud + CI/CD manuel, c'est des jours de travail. Darkmoon le lance en parallèle, pendant que vos équipes se concentrent sur l'exploitation qui demande vraiment du cerveau humain. 👉 Release notes complètes : https://lnkd.in/e2FFRkNS Vous auditez du cloud ou de l'embarqué ? Dites-moi en commentaire quel agent vous manque encore, la roadmap se construit avec vous. #Cybersécurité #Pentest #RedTeam #CloudSecurity #DevSecOps #IoTSecurity #IA #Toulouse #ASCIT #Darkmoon

Your LLM Doesn't Need to See Your Network