DEF CON 34 : Jonathan Brossard présente ses travaux sur la découverte automatisée de vulnérabilités

MOABI 12 août 2026

DEF CON occupe une place particulière dans le monde de la cybersécurité. Depuis plus de trente ans, la conférence rassemble à Las Vegas chercheurs en sécurité, hackers, ingénieurs et spécialistes de la sécurité offensive venus présenter leurs découvertes, leurs outils et leurs travaux devant une communauté internationale particulièrement exigeante. Être sélectionné pour y présenter ses recherches constitue donc une reconnaissance importante. Cette année, Jonathan « endrazine » Brossard, CTO de MOABI, était de nouveau speaker à DEF CON avec une conférence consacrée à ses derniers travaux : Witchcraft Solver: Automated 0day Discovery in Stripped Binaries. Partir d’un binaire et rechercher automatiquement des vulnérabilités Le problème auquel s’attaque Witchcraft Solver est simple à formuler, mais considérablement plus difficile à résoudre. Prenons un logiciel compilé dont nous ne possédons pas le code source. Les symboles ont été supprimés et aucun environnement spécifique n’a été préparé pour faciliter son analyse. Comment rechercher automatiquement des vulnérabilités dans ce logiciel et progresser jusqu’à l’obtention d’une preuve de concept ? C’est précisément l’objectif des travaux présentés par Jonathan à DEF CON. Witchcraft Solver propose une chaîne automatisée combinant plusieurs techniques avancées de recherche en cybersécurité. Le binaire est d’abord transformé afin de permettre son analyse sous une représentation intermédiaire LLVM. Une première analyse permet ensuite de réduire le nombre de cibles pertinentes avant de faire intervenir en parallèle plusieurs moteurs de vérification formelle. Les résultats obtenus alimentent ensuite des techniques de fuzzing dirigé et d’exécution concolique afin de confronter les vulnérabilités potentielles au comportement réel du programme et de progresser vers des preuves de concept concrètes. L’enjeu n’est donc pas simplement de détecter une anomalie. Il s’agit de réduire progressivement la distance entre un binaire inconnu et la démonstration qu’un comportement vulnérable existe réellement. Confronter la recherche aux logiciels réels Un autre aspect important des travaux présentés concerne leur application à des environnements représentatifs de la réalité industrielle. Selon les résultats présentés par Jonathan, l’approche multi-architecture étudiée a été confrontée à un corpus de 39 364 binaires ELF de production et permet de prendre en charge différentes architectures, notamment ARM64, ARMv7, RISC-V et s390x. La chaîne a également été testée sur une vulnérabilité connue de libjpeg-turbo, CVE-2023-2804. Dans l’expérimentation présentée, l’utilisation de SymQEMU permet d’obtenir un premier crash en 25 minutes à partir d’un binaire stripped, sans disposer du code source. Ces travaux explorent ainsi une question particulièrement importante pour la recherche en sécurité : jusqu’où pouvons-nous automatiser des tâches historiquement réservées à des experts disposant de compétences avancées en reverse engineering et en analyse de vulnérabilités ? Un enjeu qui dépasse largement la recherche académique Cette problématique possède également une dimension industrielle évidente. Les produits numériques modernes sont constitués de nombreux composants. Logiciels propriétaires, bibliothèques open source, firmwares, composants tiers et développements fournisseurs coexistent au sein de systèmes dont la complexité ne cesse d’augmenter. Et l’entreprise qui utilise ou intègre ces composants ne possède pas nécessairement leur code source. Pourtant, elle doit pouvoir évaluer leur sécurité. Cette problématique devient particulièrement importante dans les environnements industriels, embarqués ou critiques, où certains équipements peuvent rester en production pendant de nombreuses années et intégrer des composants provenant de multiples fournisseurs. L’analyse du logiciel tel qu’il est réellement livré devient alors essentielle. C’est aussi ce qui rend la recherche en analyse binaire particulièrement intéressante : elle permet de travailler directement sur l’artefact final, sans dépendre nécessairement de l’environnement de développement qui l’a produit. Un retour à DEF CON qui compte particulièrement Cette intervention s’inscrit dans une histoire déjà longue entre Jonathan Brossard et DEF CON. Jonathan y avait précédemment présenté ses recherches autour de BitLocker et TrueCrypt en 2008, Rakshasa en 2012, puis ses travaux autour de la Witchcraft Compiler Collection en 2016. Son retour en 2026 avec Witchcraft Solver poursuit donc près de vingt ans de contributions et de travaux autour de la sécurité offensive, du reverse engineering et de la recherche de vulnérabilités. Son parcours l’a également conduit à présenter ses recherches dans plusieurs conférences internationales majeures du monde industriel et académique, parmi lesquelles Black Hat, CCC, HITB, IEEE, USENIX et ACM. Il finalise aujourd’hui un doctorat consacré au reverse engineering au CNAM, où il a également enseigné pendant plusieurs années. Pour MOABI, voir notre CTO revenir présenter ses recherches à DEF CON constitue naturellement une grande fierté. Mais au-delà de la reconnaissance individuelle, cette intervention illustre surtout une conviction : développer des technologies avancées de cybersécurité nécessite de maintenir un lien étroit entre recherche, expérimentation et problèmes industriels réels. Comprendre profondément les logiciels, explorer de nouvelles méthodes d’analyse, automatiser ce qui semblait difficilement automatisable et confronter les résultats à la communauté internationale font partie de cette démarche. La recherche ne doit pas rester confinée aux laboratoires ou aux conférences. Elle prend tout son sens lorsqu’elle permet progressivement de répondre à des problématiques concrètes de sécurité. Après 2008, 2012 et 2016, Jonathan Brossard était donc de retour à DEF CON en 2026. Avec, cette fois, une question particulièrement ambitieuse : jusqu’où peut-on automatiser la recherche de vulnérabilités lorsque tout ce dont on dispose est le binaire ?

VivaTech 2026 : l’innovation ne peut plus avancer sans cybersécurité

MOABI 16 juin 2026

L’édition 2026 de VivaTech s’ouvre dans un contexte particulier pour l’écosystème numérique européen. Jamais les entreprises n’ont autant dépendu du logiciel. Intelligence artificielle, cloud, objets connectés, systèmes embarqués, industrie 4.0, mobilité intelligente : l’innovation repose désormais sur des milliers de composants logiciels interconnectés, souvent développés par des tiers et intégrés à grande vitesse. Cette accélération est une formidable opportunité. Mais elle s’accompagne également d’un défi majeur : la maîtrise du risque. Les derniers mois ont rappelé que les cyberattaques ne ciblent plus uniquement les organisations elles-mêmes. Elles visent désormais leurs fournisseurs, leurs dépendances logicielles et parfois même les outils censés améliorer leur sécurité. Les attaques récentes contre des composants largement utilisés démontrent qu’une compromission peut se propager à grande échelle et impacter des milliers d’organisations simultanément. Dans le même temps, les réglementations européennes continuent de renforcer les exigences imposées aux entreprises. Le Cyber Resilience Act, NIS2 ou encore DORA traduisent une évolution profonde : la cybersécurité n’est plus considérée comme une option ou un sujet réservé aux experts. Elle devient une exigence de gouvernance, de conformité et de résilience. Cette évolution soulève de nombreuses questions. Comment conserver une visibilité sur des logiciels de plus en plus complexes ? Comment maîtriser les risques liés aux composants tiers ? Comment gérer efficacement les vulnérabilités qui apparaissent chaque jour ? Comment concilier innovation rapide et sécurité durable ? Ces questions seront au cœur de nombreux échanges durant VivaTech 2026. Cette année encore, Orange, partenaire historique du salon, mettra en avant sa vision d’un numérique de confiance, en réunissant startups, industriels et acteurs de l’innovation autour des enjeux qui façonneront les technologies de demain. Plus de soixante startups issues notamment de l’écosystème Orange Fab seront présentes pour présenter leurs innovations dans les domaines de l’intelligence artificielle, de la cybersécurité, du numérique responsable et des infrastructures de confiance. Dans un monde où les dépendances logicielles se multiplient et où les exigences réglementaires se renforcent, une conviction s’impose progressivement : il ne suffit plus de faire confiance, il faut être capable de vérifier. La prochaine décennie de l’innovation sera probablement celle de la confiance numérique. Et cette confiance se construira autant par la performance des technologies que par leur capacité à être comprises, maîtrisées et sécurisées.

DeepTech Forum Sophia Antipolis #2 : retour sur une journée d’écosystème, d’échecs assumés et de futurs à inventer

MOABI 3 juin 2026

Nous étions invités le 3 juin à participer à la deuxième édition du DeepTech Forum Sophia Antipolis, organisé par les étudiants du Mastère Spécialisé Entrepreneuriat Deeptech et Innovation de Mines Paris-PSL. Une journée d’écosystème, d’échanges sincères et d’introspection collective sur l’avenir de l’innovation de rupture en région. Présents avec un stand sur le Campus Pierre Laffitte, nous avons profité de cette journée pour rencontrer la communauté deeptech azuréenne, partager notre approche de la cybersécurité produit et discuter avec celles et ceux qui font l’écosystème au quotidien : entrepreneurs, chercheurs, investisseurs, structures d’accompagnement, étudiants et acteurs publics. Sur le stand, Nicolas a enchaîné démos de la plateforme MOABI, échanges sur nos cas d’usage clients et conversations plus larges sur le métier d’entrepreneur deeptech. Une approche directe et exigeante de l’innovation de rupture Le ton de l’événement, donné dès l’ouverture par sa marraine Emilie Royère, directrice d’Eurobiomed, ne cherchait pas à embellir la réalité. Cette deuxième édition a fait le choix d’aborder l’innovation de rupture sans détour, à travers des séquences franches et parfois inconfortables. La table ronde la plus marquante de l’après-midi, intitulée Échouer en Deeptech : luxe, choix ou gâchis ?, illustrait bien cette posture. L’échec en deeptech reste souvent tabou alors qu’il fait partie intégrante du parcours. Pouvoir en parler publiquement, avec des entrepreneurs ayant traversé l’épreuve et des investisseurs prêts à témoigner sans langue de bois, est exactement le type de discussion que l’écosystème doit pouvoir tenir s’il veut mûrir. Plus tard, l’intervention partenaire d’Euronext et Enogia retraçait le chemin concret d’une deeptech, de la levée de fonds à l’introduction en bourse. Un parcours rare dans le paysage français de l’innovation profonde, et un cas d’étude précieux pour les fondateurs présents qui se projettent sur des horizons longs. Sophia Antipolis 2035 : sortir du déni L’après-midi s’est conclu par les ateliers de prospective territoriale, consacrés à l’avenir de Sophia Antipolis et de la Côte d’Azur à l’horizon 2035. Nous avons participé au premier atelier, dont le sujet ne laissait place à aucune complaisance : Sophia a raté le virage deeptech. Pourquoi, et comment corriger cela ? Une formulation directe, presque provocante, qui a eu le mérite d’ouvrir une discussion franche entre étudiants des Mines, entrepreneurs en activité et acteurs locaux de la technopole. Plusieurs lignes de force ont émergé des échanges : la difficulté historique à transformer l’excellence scientifique régionale en projets industriels, la rareté du capital patient nécessaire à la deeptech, la concurrence d’autres écosystèmes français et européens mieux structurés, et le besoin de tisser des passerelles plus solides entre laboratoires, formations spécialisées et industriels installés. L’exercice n’avait pas vocation à produire un plan d’action. Sa valeur tenait ailleurs : poser collectivement le constat, sans chercher à le contourner, est probablement la condition préalable à toute correction sérieuse de trajectoire. Ce que nous retenons de cette journée Au-delà des conférences et des ateliers, c’est la qualité des échanges informels qui nous a marqués. Sur le stand, autour d’un café ou lors du cocktail de clôture, des conversations longues avec des fondateurs partageant les mêmes interrogations que nous sur la croissance, le financement, le recrutement et la difficulté de l’entrepreneuriat technologique de long terme. Une vraie convergence de points de vue sur ce que signifie construire une deeptech en France aujourd’hui. Nous avons quitté le campus Pierre Laffitte avec des liens noués, des projets de suite identifiés et la conviction renforcée que ce type d’événement, à taille humaine et résolument orienté écosystème, est essentiel à la maturation des deeptechs régionales. Un grand merci aux étudiants du Mastère Spécialisé Entrepreneuriat Deeptech et Innovation de Mines Paris-PSL, qui ont conçu et porté cet événement avec un sens du collectif et un sérieux qu’on retrouve rarement à ce stade de formation. Merci également à Dynergie pour son soutien, à Emilie Royère pour avoir parrainé cette édition, et à l’ensemble des intervenants et participants qui ont fait la richesse de cette journée. À l’année prochaine, avec plaisir.

Cyber On Board 2026 : trier 100 vulnérabilités par jour sous contrainte réglementaire, le défi qu’a posé Jonathan Brossard

MOABI 1 juin 2026

La troisième édition de Cyber On Board s’est achevée hier soir, après trois jours qui ont confirmé une évolution de fond : la cybersécurité embarquée n’est plus un sous-sujet technique réservé à quelques spécialistes. Elle devient le point de convergence entre conformité réglementaire, souveraineté technologique et résilience opérationnelle des industries critiques. Jonathan Brossard, fondateur et CTO de MOABI, est intervenu mercredi 27 mai dans la session Logiciel & Drone sur un sujet qui résume bien cette bascule : Practical Vulnerability Triage Under Regulatory Pressure for Modern PSIRTs. Voici ce qu’il faut en retenir, et les échanges qu’elle a déclenchés avec les industriels présents. Un déséquilibre devenu structurel Le constat de départ est aujourd’hui partagé par toute la communauté : NIST a publié plus de 40 000 CVE en 2024, soit plus de 100 nouvelles vulnérabilités à traiter chaque jour ouvré. Et en face, des fenêtres réglementaires qui se sont radicalement resserrées : 24 heures pour le Cyber Resilience Act et DORA, 72 heures pour NIS2, 4 jours ouvrés pour la SEC Cyber Rule américaine, 15 jours pour le catalogue KEV de la CISA. L’asymétrie est devenue intenable. C’est précisément cette tension entre volume et délais qui définit aujourd’hui le quotidien des équipes PSIRT et des responsables sécurité produit. Le piège des flux CVE éditeurs Première limite exposée par Jonathan : les approches de gouvernance pure ne suffisent plus. Filtrer les CVE par score CVSS de base (≥ 9,0) puis les rescorer avec les vecteurs environnementaux paraît raisonnable. En réalité, cette méthode élimine systématiquement les CVE d’élévation de privilèges noyau, toutes locales par définition, sur les systèmes non exposés à Internet, alors qu’elles font partie de la surface d’attaque réelle de l’actif. Le problème plus profond reste la qualité des données. La présentation s’appuyait sur un benchmark mené sur Ubuntu 24.04 LTS, en prenant les CVE Ubuntu Pro comme référence : Tool Detected CVE Precision Recall MOABI 1 329 100 % 100 % OpenSCAP 1 373 100 % 96,7 % Ubuntu Pro CVEs 2 084 63,7 % 99,9 % Sur 2 084 CVE remontées par la source de référence éditeur, 755 sont des faux positifs, soit 36,3 % d’imprécision. Concrètement, une équipe PSIRT qui s’appuie uniquement sur les flux éditeurs passe plus d’un tiers de son temps de triage sur des vulnérabilités qui n’affectent pas le système ciblé. La cause technique est précise : la correspondance par nom de paquet ne sait pas dire si le symbole vulnérable est effectivement présent dans le binaire déployé, ni si la distribution a rétroporté un correctif sans changer le numéro de version. Seule la vérification au niveau binaire permet de trancher. Le mur du fuzzing Deuxième limite : le fuzzing, parfois présenté comme la réponse technique au problème, ne passe pas à l’échelle. Sur CVE-2023-2804, un débordement de tas dans libjpeg-turbo, AFL++ trouve un premier crash en 66 secondes, AFLGo (fuzzing dirigé) en 336 secondes, SymQEMU (exécution concolique) produit 605 crashes après environ 25 minutes. Chaque approche demande un harness et un corpus de seeds dédiés. Et tout cela vaut pour une seule CVE. Les études empiriques de la RAND Corporation chiffrent à 6 à 37 jours le développement d’un exploit complet. À comparer aux quelques heures dont dispose une équipe PSIRT par alerte. Le fuzzing reste indispensable pour la recherche, mais il ne peut pas constituer la mécanique de triage quotidienne. L’asymétrie est structurelle. Une approche binaire validée à grande échelle L’apport de la présentation tenait dans la méthode mise en avant pour franchir ce mur. Plutôt que de raisonner sur les métadonnées, MOABI analyse les binaires, firmwares et conteneurs tels qu’ils sont déployés. Cela permet de générer des SBOM directement à partir du code exécuté, y compris pour les composants statiquement liés invisibles aux package managers (OpenSSL, zlib, libjpeg). D’enrichir et rescorer les CVE avec les données KEV, EPSS et SVCC. D’évaluer le durcissement réel des binaires (ASLR, RELRO, NX, FORTIFY, canaries de pile), un facteur que CVSS ne sait pas exprimer mais qui change radicalement la priorité d’une vulnérabilité. Et de produire des CBOM (Cryptographic Bills of Materials) pour préparer les migrations post-quantique sur des systèmes dont la durée de vie atteint 10 à 20 ans. Pour les CVE prioritaires, la plateforme s’intègre à la Witchcraft Compiler Collection (WCC), un framework open source que Jonathan développe depuis plusieurs années. Le principe : transformer un binaire exécutable ELF en bibliothèque chargeable via dlopen(), puis appeler directement n’importe quelle fonction avec des arguments arbitraires via un interpréteur Lua embarqué. Trois commandes suffisent à confirmer une CVE sur un binaire stripped, en moins d’une milliseconde, sans code source. L’outil a été validé sur 3 861 binaires de production couvrant 14 architectures processeur, et il est aujourd’hui distribué dans Debian, Ubuntu et Kali Linux. Une partie des travaux fait l’objet d’une thèse de doctorat soutenue au CNAM en 2026 et a déjà été présentée à DEF CON 24, Black Hat Europe 2016 et USENIX WOOT 2024. Des industriels qui se reconnaissent dans le problème Les échanges qui ont suivi la présentation ont confirmé ce que beaucoup d’observateurs pressentaient : la pression réglementaire n’est plus un sujet de gouvernance théorique. Elle est devenue une contrainte opérationnelle quotidienne pour les équipes sécurité produit, et l’automatisation des audits n’est plus une option. Un échange particulièrement riche s’est déroulé avec les équipes de la SNCF, dont l’engagement technique et la connaissance fine des contraintes du transport ferroviaire ont marqué la session. Le secteur des transports illustre bien la difficulté du moment : cycles de vie très longs, multiplicité des fournisseurs, composants embarqués critiques, et désormais des obligations NIS2 à honorer sur des parcs hétérogènes accumulés sur des décennies. Un message revenait dans les discussions : ce n’est pas tant la détection des vulnérabilités qui pose problème, c’est la capacité à distinguer rapidement ce qui est réellement urgent de ce qui relève du bruit. Dans un environnement où le volume ne fera qu’augmenter, le triage et la priorisation deviennent la valeur ajoutée principale du PSIRT moderne. Tout ce qui

Postes récents

Cyber On Board 2026 : trier 100 vulnérabilités par jour sous contrainte réglementaire, le défi qu’a posé Jonathan Brossard

MOABI 1 juin 2026

Actualités

Postes récents