00:01Tech & Co Business, Startup Booster.
00:06Allez, notre deuxième invité depuis l'AI Pulse, l'événement à Station F.
00:10On parle évidemment d'intelligence artificielle, mais on parle aussi de cyber.
00:13Avec notre invité Yanis Grigy, bonjour.
00:15Bonjour.
00:15Yanis, merci d'être avec nous.
00:16Vous êtes CEO co-fondateur de Fleuret AI.
00:19Alors Fleuret, évidemment, puisque c'est de la cyber offensive.
00:22Exactement.
00:22Et c'est votre co-fondateur, Augustin Ponsin, qui avait eu l'idée de ce nom Fleuret.
00:27Voilà, exactement.
00:28Qui évoque beaucoup de choses.
00:29En plus, en France, on est plutôt fort dans ce domaine.
00:31Levé de 4 millions d'euros, on va y revenir dessus.
00:35Avant, je voulais revenir un peu sur l'actualité.
00:36On a parlé de ces frigos dans les supermarchés qui ont été piratés.
00:40Quelle est votre analyse de ce genre d'attaque ?
00:42Au-delà, on n'en a pas regardé en détail.
00:44Peut-être qu'il y a des mots de passe qui ne sont pas correctement configurés.
00:46Mais quand même, des frigos dans un supermarché,
00:48ce n'est pas la première cyberattaque à laquelle on pense.
00:51Oui, complètement.
00:52En fait, la chose qui nous vient quand on voit ce type d'attaque,
00:54c'est qu'aujourd'hui, tout secteur est touché.
00:56Et c'est le gros enjeu avec l'IA,
00:57c'est que c'est possible de déployer des attaques
01:00à très, très grande échelle et de manière très horizontale
01:02sur énormément de types d'entreprises.
01:04Et donc, on a même ce type de secteurs qui sont touchés aujourd'hui,
01:06qui ne seraient pas les secteurs les plus évidents à se faire cyberattaquer.
01:09Et en plus, on le dit souvent sur ce plateau,
01:12avec l'IA, ce n'est plus la peine non plus d'être un génie de l'informatique
01:15ou d'être appuyé par des grosses structures étatiques ou mafieuses.
01:19Avec un peu de jugeote, on peut réussir à arriver.
01:22On verra ce que dira l'enquête,
01:24mais c'est peut-être ce qui est arrivé aux supermarchands en question.
01:27Oui, ça, c'est aussi un très gros enjeu.
01:29C'est qu'aujourd'hui, il y a des harnais qui sont en open source,
01:31donc déployables sur Internet par n'importe qui.
01:33Et donc aujourd'hui, n'importe qui qui est bon techniquement
01:35peut devenir un hacker éthique demain,
01:38ce qui en fait est un gros problème
01:39parce que ça permet à énormément de gens malveillants
01:40de devenir malveillants demain,
01:42ce qui était très compliqué avant.
01:44Alors expliquez-nous ce que fait Florea.
01:45Il voulait transformer le Pentest.
01:47Nous dire en deux mots ce que c'est le Pentest
01:48et comment vous voulez le transformer.
01:50Je disais que c'est de la cybersécurité offensive.
01:52Racontez-nous ça.
01:53Voilà, donc exactement.
01:54En cybersécurité, il y a deux équipes,
01:56l'équipe offensive et l'équipe défensive.
01:57Donc nous, on fait partie de l'équipe offensive.
01:59On attaque comme des hackers éthiques les entreprises
02:02pour leur montrer quels sont leurs potentielles vulnérabilités
02:05et après les aider à corriger
02:06avant qu'un vrai hacker malveillant puisse le faire.
02:09Typiquement, ce qui aurait pu se passer,
02:11vous auriez pu faire ce type d'attaque.
02:12Et donc, c'est Pentest, c'est ça,
02:14c'est mener ces attaques ?
02:16Voilà, exactement.
02:17Et donc ça, c'est un marché qui existe depuis très longtemps,
02:19qui est fait par des consultants,
02:20donc des Pentesteurs, ça s'appelle,
02:22qui sont dans des grands groupes informatiques.
02:24Et nous, on déploie des solutions entièrement automatisées par IA,
02:27ce qui est aujourd'hui possible pour faire ce métier.
02:30Donc ce sont vos agents, notamment,
02:31qui s'appellent Émile et Champollion.
02:33Et alors, comment ces agents,
02:35enfin, comment vous trouvez la bonne fréquence
02:37auxquelles ces agents doivent essayer de frapper un peu ces entreprises
02:42pour éviter de noyer des équipes de sécurité
02:44sous tout un tas de données ?
02:45Enfin voilà, pour que le test soit vraiment concluant.
02:48Oui, complètement.
02:49Donc ça, c'est aussi un gros enjeu,
02:50donc en fonction de à quel point l'entreprise veut le faire souvent
02:53et à quel point nous, on est capable de le faire.
02:55Globalement, c'est très important de le faire de plus en plus souvent.
02:58Aujourd'hui, il y a des normes européennes
02:59qui imposent des tests de manière plus récurrente
03:02à beaucoup, beaucoup plus d'entreprises.
03:03Ça a fait fois 10 en Europe avec NIS2 notamment.
03:07Et donc nous, on accompagne ces entreprises
03:08dans le fait de faire vraiment de la sécurité continue.
03:11Donc c'est-à-dire, je suis une entreprise,
03:13je fais appel à Fleuret,
03:14c'est vraiment pour tester.
03:15Voilà, je vais lui dire, j'ai des sites physiques,
03:18j'ai un site en ligne.
03:18Et vous allez mener tout un tas de tests,
03:22de pen tests justement pour voir
03:23où est-ce que sont mes fragilités.
03:25Voilà, exactement.
03:26Donc on fait des pen tests à des points réguliers dans l'année
03:28qu'on définit avec le client
03:29qui seront lancés automatiquement.
03:31Et par-dessus, on a plusieurs autres produits
03:33qui sont déployés sur la plateforme
03:34en parallèle du pen test
03:36pour apporter vraiment de la valeur en continu
03:38et construire un cerveau de l'informatique
03:41de nos clients en particulier.
03:41D'accord, oui, c'est ça votre valeur ajoutée.
03:44C'est vraiment cette partie-là.
03:46C'est cette transition du ponctuel au continu.
03:48Et juste, les pen tests, ça se mène comment ?
03:50C'est quoi ?
03:50On essaie d'attaquer via les programmes
03:52pour ceux qui sont un peu moins familiers
03:54avec ce genre d'outils ?
03:56Oui, alors en pratique, c'est le client lui-même
03:58qui renseigne sur la plateforme
03:59ses sites internet, ses API, ce genre de choses.
04:01Et ensuite, il va choisir à la main
04:03qu'est-ce qu'il va avoir envie de tester
04:04et où est-ce que nos agents vont devoir être déployés
04:06pour toujours rester dans le cadre
04:08qu'on donne sur le test en particulier
04:10pour ne pas sortir.
04:11D'accord.
04:12Et alors, une fois que vous avez fait ce test,
04:15alors qu'est-ce qui se passe ?
04:15On va revenir sur cette partie,
04:17la couche du dessus, là où vous intervenez.
04:19Est-ce que vous proposez à l'entreprise
04:20une fois que vous avez repéré un peu ces failles ?
04:22En fait, ce qui est très important à comprendre
04:25dans la différence entre le pen test humain
04:26et le pen test IA,
04:27c'est que le pen test, c'est un métier niche très cher
04:30parce que des pen testeurs, c'est très rare.
04:31Et on leur demande de faire beaucoup de choses
04:33qui sont très lentes et qui coûtent beaucoup de temps.
04:36Mais les agents IA,
04:37ils sont capables de déployer un temps presque infini
04:39sur un test donné.
04:40Et donc, ça leur permet, par exemple,
04:41de générer du code en Python,
04:44donc de comment utiliser la vulnérabilité vraiment,
04:47ce qu'un pen testeur n'aurait pas fait normalement.
04:49D'accord.
04:49Et avec ce genre d'informations,
04:50on est capable, après,
04:51de délivrer beaucoup de valeur au client
04:52pour l'aider à corriger la vulnérabilité, par exemple,
04:55ou retester si elle est toujours ici ou pas.
04:58Ça évite les contre-audits,
04:59ce qui était un problème des cabinets avant.
05:01Alors, chez Fleury AI,
05:04l'humain est toujours là.
05:05Vous assumez, je crois que vous dites,
05:06c'est 90% d'IA et 10% d'humains.
05:08Donc, il y a toujours humain.
05:10Je ne sais pas si c'est humain in the loop
05:11ou humain over the loop.
05:12En tout cas, il est...
05:13Oui, complètement.
05:14Aujourd'hui, ça bouge très, très vite.
05:15En pratique,
05:16on avait plus de humain in the loop
05:17avant qu'on en a maintenant,
05:18mais peut-être qu'on en aura un peu plus plus tard.
05:20Le but, c'est de faire la meilleure performance possible
05:22et un coût le plus abordable possible pour nos clients.
05:24Oui, alors, un coût, justement, je regardais.
05:28Alors, on est de l'ordre...
05:29Alors, pour expliquer aux entreprises,
05:30c'est 4 000 euros sur des tests,
05:32sur les paint tests pendant 2 jours, 3 jours.
05:35C'est 10 à 15 000 euros si c'est sur le mois.
05:37Là, vous venez en concurrence de gros cabinets.
05:40Qu'est-ce qui va faire qu'on va plutôt choisir Fleury
05:42en dehors du coût,
05:43mais qu'on va plutôt choisir Fleury
05:46plutôt qu'un cabinet qui a pignon sur rue
05:48ou des éditeurs spécialisés dans le domaine ?
05:51Oui, le 10 à 15 000 euros, c'est justement le prix référence
05:54des cabinets classiques, en pratique,
05:56qui, eux, en fait, déploient plusieurs paint testers
05:58sur des missions pendant des fois 2-3 semaines.
06:01Et ensuite, on a un gros rapport de 60 pages
06:03qui n'est pas forcément exploitable pour les entreprises.
06:06Donc, nous, on est capable de donner les premiers résultats
06:08en 8 heures, tous les résultats en 48 à 72 heures.
06:11Donc, c'est le fameux 3 jours pour 4 000 euros.
06:13Et donc, ça permet, par exemple, on a des exemples de clients
06:15qui étaient capables de tester toute leur infrastructure
06:17tous les 3 à 5 ans.
06:18Et nous, on leur permet maintenant de tester plusieurs fois par an
06:20avec le même prix.
06:21Oui, et on sent qu'aujourd'hui, c'est la demande.
06:24On ne peut pas attendre comme ça 3 à 5 ans.
06:26Est-ce que tout ce qui va être autour de Nice 2,
06:28voilà, bon, ça tarde un peu à se mettre en place,
06:31mais ça arrive, le Cyber Resilient Act,
06:34ça va...
06:34Alors, je ne crois pas qu'il y ait des obligations
06:36de faire des tests dans ces...
06:37Si.
06:38Si, il y en a, oui.
06:39Donc, il y a plusieurs types d'entreprises.
06:41Donc, NIS 1 imposait à un certain type d'entreprises
06:44de faire des tests tous les ans.
06:45Maintenant, NIS 2 élargit ce scope d'entreprises.
06:48Oui, et donc là, il y a un marché pour vous.
06:51Aujourd'hui, c'est 150 000 entreprises européennes
06:53qui vont devoir faire des tests de manière récurrente.
06:55J'imagine que Fleur et AI, donc français,
06:58il y a aussi cet aspect souveraineté.
07:00On en parlait tout à l'heure avec Damien Lucas,
07:02le DG de Scaleway.
07:03C'est un élément important aussi de s'adresser à un français,
07:06des hackers actiques français.
07:08Ça, c'est quelque chose que vous ressentez aussi sur le marché ?
07:10Oui, complètement.
07:10Aujourd'hui, on voit beaucoup d'acteurs qui passent par nous
07:12justement parce qu'on est souverains.
07:14Parce que la donnée qu'on crée,
07:16c'est quand même la donnée de comment hacker
07:18X ou Y type d'entreprises,
07:20qui est une donnée qu'on ne veut naturellement pas sortir,
07:22notamment aux Etats-Unis.
07:23Donc, oui, complètement.
07:24C'est un gros enjeu.
07:25Aujourd'hui, parmi vos clients,
07:26c'est plutôt des entreprises du digital
07:28ou vous commencez à avoir des groupes industriels,
07:32des gens plus établis,
07:33des marques que l'on connaît un peu plus ?
07:35Alors, en effet, nos premiers clients
07:36sont des entreprises très digitalisées.
07:38Mais aujourd'hui, on est dans des discussions
07:39avec des gros groupes industriels.
07:41Donc, oui, complètement.
07:42Il y a de plus en plus d'enjeux.
07:44On en parlait juste avant avec Intermarché.
07:45Et c'est à ça que vont servir les 4 millions d'euros ?
07:49Oui, c'est ça.
07:49Je rappelle, le V de 4 millions d'euros en précis.
07:51Il y a Race Venture, il y a Origa,
07:53Origa Cyber Venture,
07:54Win, BTR,
07:55enfin, il y a BPI France aussi.
07:57Vous avez plusieurs business angels.
07:59Justement, c'est 4 millions d'euros.
08:00Vous êtes combien de personnes aujourd'hui ?
08:02Aujourd'hui, on est une petite dizaine.
08:04D'accord.
08:04Donc, c'est du recrutement,
08:05c'est de l'expansion.
08:06Exactement.
08:06C'est de l'expansion,
08:08aider le plus d'entreprises possibles,
08:09le plus de grands groupes possibles
08:10à se sécuriser de manière récurrente.
08:12En fait, c'est le gros enjeu de ce tour.
08:14Aujourd'hui, on a réussi à prouver
08:15qu'on est capable de délivrer
08:16des pen tests de très haute qualité.
08:17Et donc, on veut être capable
08:18de les délivrer
08:19chez des toujours plus grands groupes
08:20et à toujours plus grande échelle.
08:22Vous pourriez être travaillé,
08:23pas forcément en marque blanche,
08:25mais travailler avec un tiers
08:26comme un assureur
08:27qui pourrait faire appel à vous
08:28pour justement offrir
08:29ce type de service à ses clients ?
08:31Oui, complètement.
08:32C'est déjà le cas.
08:32C'est déjà le cas.
08:33On a des premiers clients
08:34qui sont des distributeurs
08:35qui font du service
08:36par-dessus notre plateforme.
08:38C'est quelque chose
08:38qui se fait aussi très bien
08:39dans les entreprises
08:40où il y a déjà
08:40des pen testeurs à implémenter.
08:42Bon, on est très content
08:43de vous avoir eu sur ce plateau.
08:45Yannis Grigy,
08:46CEO, cofondateur de Fleur et Aïe.
08:47Merci d'être venu nous parler
08:48de votre entreprise,
08:49de ce métier du pain test
08:52et puis de cette cybersécurité offensive.
08:54Mais vraiment,
08:55et on le voit encore
08:55avec l'actualité,
08:56on parle pour nous
08:57avec ces frigos
08:58et ces milliers,
09:00ces centaines de milliers d'euros
09:01de marchandises perdues
09:02par des supermarchés
09:03parce qu'ils se sont fait pirater
09:04leurs congélateurs.
09:06C'est des attaques.
09:07On n'aurait jamais pensé à ça.
09:08On pense toujours
09:09aux centrales électriques,
09:10aux transports et tout ça.
09:11On ne pense pas à ces congélateurs.
09:12Et pourtant, on voit que là aussi,
09:14il y a un gros besoin
09:14de continuer à sécuriser
09:17tous ces réseaux.
09:18Merci d'avoir été avec nous.
