BEGIN:VCALENDAR
VERSION:2.0
PRODID:-//pretalx//cfp.hackfest.ca//hf2026//talk//KPWBYK
BEGIN:VTIMEZONE
TZID:EST
BEGIN:STANDARD
DTSTART:20001029T030000
RRULE:FREQ=YEARLY;BYDAY=-1SU;BYMONTH=10;UNTIL=20061029T070000Z
TZNAME:EST
TZOFFSETFROM:-0400
TZOFFSETTO:-0500
END:STANDARD
BEGIN:STANDARD
DTSTART:20071104T030000
RRULE:FREQ=YEARLY;BYDAY=1SU;BYMONTH=11
TZNAME:EST
TZOFFSETFROM:-0400
TZOFFSETTO:-0500
END:STANDARD
BEGIN:DAYLIGHT
DTSTART:20000402T030000
RRULE:FREQ=YEARLY;BYDAY=1SU;BYMONTH=4;UNTIL=20060402T080000Z
TZNAME:EDT
TZOFFSETFROM:-0500
TZOFFSETTO:-0400
END:DAYLIGHT
BEGIN:DAYLIGHT
DTSTART:20070311T030000
RRULE:FREQ=YEARLY;BYDAY=2SU;BYMONTH=3
TZNAME:EDT
TZOFFSETFROM:-0500
TZOFFSETTO:-0400
END:DAYLIGHT
END:VTIMEZONE
BEGIN:VEVENT
UID:pretalx-hf2026-KPWBYK@cfp.hackfest.ca
DTSTART;TZID=EST:20261030T153000
DTEND;TZID=EST:20261030T162000
DESCRIPTION:[Entreprise IA] : *"Ce nouveau modèle a trouvé 5000 CVE !"*\n
 [Communauté infosec] : *Proof ?*\n[Entreprise IA] : *¯\\_(ツ)_/¯*\n\nP
 endant des années\, on nous a présenté des "N vulnérabilités trouvée
 s par l’IA"\, mais avec peu ou pas de détails sur la manière dont elle
 s ont été découvertes\, au point où cela ressemble davantage à des co
 ups marketing qu’autre chose.\n\nCette présentation décrit en détail 
 un design concret de système end-to-end utilisant des agents IA pour déc
 ouvrir de manière entièrement autonome des vulnérabilités dans du code
  open source\, ayant mené à des vrais CVE.\n\nL’objectif n’est pas s
 eulement de présenter le design lui-même\, mais aussi comment chaque com
 posant réduit les problèmes fréquents\, notamment :\n\n- Les boucles in
 finies d’agents qui oublient ce qu’ils ont déjà testé\n- Les halluc
 inations de vulnérabilités\n- Les impacts surrestimés\n- Les agents qui
  trichent en introduisant volontairement des bugs dans le code source\n- L
 e manque de profondeur et de créativité dans les vulnérabilités trouv
 ées\n\nLa présentation couvrira les décisions de desing\, notamment :\n
 \n- Des processus conçus pour permettre la créativité et l’exploratio
 n tout en éliminant les faux positifs\n- Un schéma de base de données s
 tructuré qui impose et encadre ces processus\n- Des agents opinionnés av
 ec des rôles\, objectifs\, outils et accès à la base de données explic
 itement définis\n- Une exploitation end-to-end imposée dans des environn
 ements isolés\n\nLe résultat : un pipeline capable de fonctionner de man
 ière entièrement autonome pendant 12h+ et de produire des vulnérabilit
 és reproductibles à impact élevé\, incluant des CVE publiées.\n\nFina
 lement\, on dirait bien que l’IA peut trouver de vrais bugs\, il faut ju
 ste moins de prompt et plus d’engineering.
DTSTAMP:20261014T084535Z
LOCATION:Track 1 (306B)
SUMMARY:Moins de "prompt" et plus d'"engineering": 10 mois à "farmer" les 
 CVEs automatiquement avec l'IA - Marc-André Beaulieu
URL:https://cfp.hackfest.ca/hf2026/talk/KPWBYK/
END:VEVENT
END:VCALENDAR