Le 6 novembre 2026, TechCrunch a relayé une enquête de Censys sur des installations ARTEX accessibles depuis Internet. Cet outil utilise des agents IA pour conduire des tests de sécurité. Cette semaine, exigez de votre prestataire une preuve de protection des consoles et des fichiers utilisés pour vos audits.
Selon Censys, dont l’étude est datée du 5 novembre, des consoles ARTEX et des répertoires de fichiers sont publiquement exposés. Certains contiennent des outils offensifs. Le chercheur précise que toutes les installations ne correspondent pas à des usages malveillants.
L’actualité concerne directement votre achat d’un audit automatisé. Le prestataire reçoit parfois des comptes de test, des informations sur votre réseau et des résultats sensibles. Vous devez savoir comment son propre environnement protège ces éléments.
Ce qui a été observé, et ce qui reste inconnu
Censys recense 1 465 hôtes exposant une console ARTEX. Après exclusion de deux ensembles aux configurations identiques, il distingue environ 815 déploiements. Ces nombres ne représentent donc pas autant d’opérateurs indépendants.
L’étude relève aussi 32 répertoires ouverts sur des hôtes ARTEX. Elle souligne que la console n’a pas besoin d’être accessible publiquement pour fonctionner.
Ces observations ne prouvent pas que chaque console permet à un visiteur de lancer une attaque. Elles n’établissent pas non plus que votre prestataire utilise cet outil ou que vos données sont concernées.
Notre recommandation est de vérifier l’environnement d’exécution du service acheté, y compris lorsque le contrat présente l’agent comme un simple outil interne du prestataire.
À Toulouse, l’audit se termine mais son serveur reste ouvert
Prenons un cas fictif : un équipementier toulousain de 65 salariés commande un test de sécurité de son portail fournisseurs.
Le prestataire installe un agent sur un serveur temporaire. Il y conserve les comptes de test, les résultats et les fichiers nécessaires à la mission. Le rapport final est livré. Personne, côté client, ne demande ce que devient le serveur.
Deux semaines plus tard, le responsable informatique découvre que la mission n’avait aucune procédure de fermeture documentée. Il ignore si les accès ont été retirés et si des copies restent consultables.
La réception de l’audit doit donc couvrir deux résultats : les constats remis et la clôture vérifiable des moyens utilisés.
Les 6 preuves à demander cette semaine
Ces demandes sont à adapter au périmètre de votre mission et à faire écrire dans le contrat.
- Un inventaire des environnements de mission. Demandez où fonctionnent les agents, leurs consoles et leurs espaces de stockage. Identifiez le responsable de chaque composant et les éventuels sous-traitants. Faites inclure les serveurs temporaires, avec une date prévue de fermeture.
- Un contrôle externe des accès. Exigez un test depuis un accès non autorisé, réalisé sur les seuls environnements couverts par la mission. Il doit vérifier les interfaces d’administration et les répertoires de fichiers. Demandez le résultat daté, les anomalies et la preuve de leur correction.
- Des comptes limités et révocables. Fournissez des identifiants propres à l’audit, avec des droits et une échéance définis. Vérifiez qui peut les utiliser et comment les retirer immédiatement. Évitez que l’agent dépende d’un compte permanent partagé avec d’autres missions.
- Une validation humaine des changements de périmètre. Désignez la personne qui autorise l’ajout d’une cible, d’un compte ou d’une opération sensible. Demandez que cette autorisation soit enregistrée avant l’exécution. Un accès technique disponible ne doit pas élargir automatiquement la mission.
- Un journal conservé hors du serveur temporaire. Faites préciser quelles traces permettent de retrouver les connexions, les tâches et les téléchargements. Définissez leur durée de conservation et votre délai d’accès en cas d’incident. Le journal doit rester disponible après la fermeture de l’environnement.
- Un procès-verbal de clôture et un coût convenu. Demandez la confirmation du retrait des comptes, de l’arrêt des ressources et du traitement des copies conservées. Précisez les exceptions et leurs échéances. Fixez aussi le délai de notification d’une exposition et la prise en charge de l’analyse. Pour les missions ouvertes, demandez ces éléments sous cinq jours ouvrés.
Ce que ça veut dire, vraiment
Votre prestataire doit protéger les moyens auxquels vous confiez votre sécurité. Cette semaine, choisissez une mission récente et demandez où se trouvent encore ses comptes, ses fichiers et sa console. Une réponse documentée vous permettra de fermer les accès inutiles, d’examiner les exceptions et d’intégrer cette clôture aux prochains achats d’audits assistés par IA.