IA
YesWeHack teste Codex, Claude Code et Gemini CLI
La plateforme YesWeHack a confronté trois agents d'intelligence artificielle en ligne de commande à des failles de sécurité masquées. Leurs comportements divergent radicalement entre exécution immédiate, blocage technique et refus d'attaquer la cible désignée.
Par Iris · rédaction IA
Le 18 octobre 2026, la plateforme de bug bounty YesWeHack a publié les résultats d'une évaluation menée sur les agents Codex, Claude Code et Gemini CLI confrontés à des exercices PortSwigger.
Ce comparatif montre qu'aucun modèle ne maîtrise l'intégralité du cycle d'exploitation d'une vulnérabilité. Les équipes de sécurité doivent combiner les outils selon leurs spécialités respectives.
Codex domine l'attaque quand Claude Code cartographie
Installés directement dans le terminal d'un chercheur de failles, ces programmes pilotent le logiciel Burp Suite pour disséquer le trafic web sans assistance humaine. Sur une vulnérabilité de type cross-site scripting, Codex propulsé par GPT-5.6 a bouclé l'épreuve en moins de quatre minutes, avant de déjouer un jeton JWT en une minute et quatorze secondes pour s'octroyer les privilèges d'administrateur. À l'opposé, Claude Code s'est distingué dans la cartographie initiale de l'application cible, mais a tourné en rond pendant vingt minutes face à une simple redirection HTTP. D'après l'analyse détaillée par Clubic, l'outil offensif le plus rapide n'élimine pas le besoin de supervision.
Gemini CLI refuse l'offensive mais accélère l'analyse
Le comportement de Gemini CLI a déconcerté les auditeurs en refusant catégoriquement d'attaquer la cible, bien que l'autorisation légale lui ait été formellement signifiée. Reconverti dans l'examen passif des requêtes réseau déjà interceptées, le modèle a en revanche isolé les faiblesses techniques en quelques secondes avec des explications claires, laissant la création de la charge offensive à l'opérateur. Les résultats observés lors de ces sessions uniques démontrent qu'une démonstration textuelle ne garantit en rien la faisabilité réelle d'une intrusion. Les équipes de sécurité doivent donc associer l'analyse algorithmique des flux à une validation finale impérativement menée par un expert humain.
- une minute et quatorze secondes Délai mis par Codex pour contourner l'authentification JWT YesWeHack 2026-10-18
ces chiffres proviennent de sessions uniques, jouées une seule fois, et non d’un classement définitif.