Agentic AI Attack & Defense Junior - 2 jours - 2500€ HT

Jour 1

Fondamentaux : ce qu’est réellement un LLM (prédiction du token suivant, pas du raisonnement), risques d’hallucination et de confabulation en opération offensive (identifiants fabriqués, faux findings, lockout), déterminisme, la famille de modèles Claude (Opus superviseur, Sonnet chef d’équipe, Haiku opérateur), mécanique de la fenêtre de contexte (appels stateless, dégradation de l’attention, débordement silencieux). La stack : trois couches qui défaillent indépendamment (modèle, harness, MCP), harness OpenCode (AGENTS.md, hooks, journal d’audit, routing de modèle, suivi des coûts), fondamentaux du MCP (stdio vs HTTP/SSE, découverte d’outils, function calling, sortie structurée), inférence locale et air-gapped. Sécurité du MCP : les trois modes de défaillance dominants (injection de commandes, allowlist absente, timeout absent), exploitation pratique (injection de commandes à distance type CVE-2025-54136, injection via description d’outil, empoisonnement de sortie), le pattern sûr (allowlist CIDR, allowlist de flags par profil, JSON structuré, timeout par appel). Architecture de prompt : AGENTS.md comme contrat d’engagement, hooks (capture d’identifiants, anti-boucle, limiteur de débit OPSEC, résumeur d’état), conception du fichier d’état, écriture de skills (invocation explicite, blocs de vérification, few-shot, limites de retry), techniques AD au niveau protocole (Kerberoast, AS-REP roasting, Pass-the-Hash, DCSync), modes de défaillance de l’agent et correctifs. Killchain et lecture de traces : le paradoxe EDR, matrice de scénarios (blackbox / assumed breach / whitebox), déroulé de la killchain (recon LDAP jusqu’au DCSync, pivot SOCKS, C2 via Sliver), règles OPSEC dans le code. Live lab - premiers chemins : les deux premiers chemins d’attaque avec un agent solo mono-tier, exercice individuel de lecture de traces avec mapping de détection.

Jour 2

Architecture multi-agent : pourquoi les agents uniques échouent à l’échelle (arithmétique du contexte, dégradation de l’attention, the lost middle), conception à trois tiers (Superviseur/Opus décisions uniquement, Chef d’équipe/Sonnet planification de phase, Opérateur/Haiku appel unique puis détruit), isolation du contexte, module de triage (vérification du périmètre, déduplication, validation MITRE). Systèmes de mémoire : quatre types de mémoire et leurs implémentations (épisodique state.json, sémantique long-contexte vs RAG, procédurale skills sur disque avec édition à chaud), patterns de framework (ReAct, machine à états en graphe, superviseur/swarm, code-as-action) et quand chacun échoue. Live lab - chemins restants et capstone : les deux derniers chemins d’attaque avec l’architecture à trois tiers, capstone autonome (killchain complète sans supervision, surveillance du journal d’audit), débrief sur le timing et les choix sous-optimaux. Agent blue team : connexion à Elasticsearch via MCP (découverte d’index, ESQuery, reconstruction de timeline), threat hunt automatisé (énumération de SPN, accès LSASS, Kerberos RC4, latéralisation WinRM), mapping des MCP offensifs vers leurs équivalents défensifs. Sigma et couverture de détection : fondamentaux de Sigma, règles générées par l’agent depuis findings.md (une par technique MITRE, avec notes de tuning), tuning des faux positifs en pratique, conversion SIEM (Splunk SPL, Elastic KQL, Sentinel via mcp-sigma), boucle de validation red/blue, scoring de couverture (~40% par défaut, 80-85% avec Sysmon/audit LDAP/EDR), le problème non résolu de la détection d’intention. Automatisation, reporting et irréductibles humains : business case (fréquence plutôt que précision), forme du pipeline et logique de gate (arrêt hors périmètre, journal d’audit immuable, teardown automatique), optimisation des coûts (routing de modèle 60-80% d’économies, prompt caching), format des findings et QA du rapport, workflow hybride en quatre phases, irréductibles humains et débrief final d’efficacité.