Agents IA et bug bounty : YesWeHack met Codex, Claude Code et Gemini CLI à l'épreuve
YesWeHack a confronté Codex, Claude Code et Gemini CLI à des failles cachées dans des labs PortSwigger, avec Burp Suite comme outil. Voici le dispositif du test.
Par Yannis Catounaud
La plateforme de bug bounty YesWeHack a soumis trois agents d'intelligence artificielle en ligne de commande, Codex, Claude Code et Gemini CLI, à un test à l'aveugle sur des failles de sécurité dissimulées. Selon sa description du test, relayée par Clubic, chacun se montre performant sur un maillon précis de la chasse aux failles, mais aucun ne maîtrise la chaîne complète.
Des agents qui agissent dans le terminal
Ces outils ne ressemblent pas à un chatbot classique. Installés dans le terminal du chasseur de failles, ils fonctionnent en quasi-autonomie : ils lancent eux-mêmes des commandes et pilotent les outils à la place de l'utilisateur. Parmi eux figure Gemini CLI, l'agent de Google présenté en juillet 2025, ainsi que Codex d'OpenAI, dont l'arrivée sur Mac a été détaillée en février 2026.
Le protocole : un examen surprise
Chaque agent devait résoudre deux « labs » PortSwigger, des exercices de piratage encadrés. Les règles étaient strictes :
- la nature de la faille n'était pas révélée à l'agent ;
- il n'avait pas le droit de décoder l'indice dissimulé dans la page ;
- il travaillait avec Burp Suite, outil de référence des chasseurs de failles, qui capture et analyse tout le trafic échangé avec le site.
Le seul point commun aux trois épreuves était une faille XSS (cross-site scripting), une technique qui consiste à injecter du code malveillant côté navigateur.
Ce que l'on sait des résultats
La source dont nous disposons ne détaille pas les performances de chaque agent. Elle indique seulement que le comportement diffère d'un outil à l'autre, d'après le titre de l'article de Clubic : Codex fonce, Claude Code hésite et Gemini CLI refuse. Ce dernier point renvoie au cadre des usages offensifs, sur lequel les éditeurs placent des garde-fous. L'usage de ces agents dans le développement progresse par ailleurs : Linus Torvalds aurait confié des patchs du noyau Linux à Claude Code, selon un article du 13 octobre 2026.
Foire aux questions
Quels agents IA YesWeHack a-t-il comparés ?
Le test porte sur trois agents en ligne de commande : Codex, Claude Code et Gemini CLI.
Quel type de faille les agents devaient-ils trouver ?
Chaque épreuve reposait sur un lab PortSwigger dont la faille n'était pas annoncée. Le point commun aux trois épreuves était une faille XSS.
Quel outil les agents utilisaient-ils ?
Ils s'appuyaient sur Burp Suite, qui capture et analyse le trafic échangé avec le site visé.
