Sécurisation des applications utilisant l’IA générative

À la fin de la formation, le participant sera capable de :

• maîtriser le vocabulaire de base de l’intelligence artificielle moderne et distinguer un assistant conversationnel d’un agent autonome ;
• situer Hermes parmi les principales plateformes d’orchestration d’agents disponibles (OpenClaw, NemoClaw, Claude Code et autres) et choisir une plateforme en fonction du contexte opérationnel ;
• installer Hermes et l’utiliser sans lui accorder plus de droits que nécessaire ;
• automatiser les vérifications de sécurité courantes sur les serveurs Linux et Windows en s’appuyant sur des référentiels reconnus ;
• mettre en place une surveillance régulière du réseau et des applications à l’aide de tâches planifiées ;
• reconnaître les risques propres à l’utilisation d’un agent autonome et appliquer les mesures de protection correspondantes ;
• intégrer cet usage à une démarche de gouvernance conforme aux normes canadiennes et internationales en vigueur.

Module 1 — Comprendre l’intelligence artificielle aujourd’hui et le paysage des agents autonomes (4 h)

• Vocabulaire essentiel de l’intelligence artificielle moderne : modèle de langage, requête (prompt), hallucination, appel d’outils, mémoire, compétence, agent ;
• État de la technologie au début de 2026 : passage rapide, en quelques années, de l’assistant qui répond à des questions à l’agent qui exécute des tâches complètes sans supervision pas à pas ;
• Présentation des grandes étapes de cette évolution (IA prédictive, IA générative, IA de raisonnement, IA autonome)  et conséquences pratiques pour les équipes de sécurité ;
• Distinction entre un assistant conversationnel et un agent autonome, et risques propres à l’autonomie : décisions prises sans validation humaine, actions irréversibles, propagation d’erreurs entre étapes successives ;
• Tour d’horizon des principales plateformes d’orchestration d’agents disponibles : OpenClaw, projet libre devenu en quelques mois la référence du courant local-first, avec une architecture fondée sur une passerelle qui relie l’agent aux messageries d’équipe usuelles;
• NVIDIA NemoClaw, version durcie d’OpenClaw conçue pour un déploiement interne avec isolation réseau renforcée et utilisation de modèles ouverts exécutés sur place; Hermes, l’objet de la formation, d’architecture comparable mais davantage orienté vers la création autonome de compétences et la mémoire partagée entre les sessions; Claude Code, l’agent en ligne de commande d’Anthropic, orienté vers le travail de développement et l’administration de systèmes plutôt que vers les messageries,et des plateformes verticales comme Ironclad (gestion de contrats juridiques) ou Salesforce Agentforce (relation client), citées pour illustrer la diffusion rapide du modèle agentique à des domaines très différents ;
• Survol des principaux cadres techniques permettant de construire ses propres agents (LangGraph, CrewAI, AutoGen) utiles à connaître pour comprendre ce qui se passe sous le capot d’un produit fini. Critères de choix pour une équipe de sécurité : exécution locale ou infonuagique, nature du code source, modèles pris en charge, journalisation des actions, mécanismes d’approbation, maturité de la communauté et rythme des mises à jour.

Module 2 — Fonctionnement détaillé de Hermes et premières utilisations (4 h)

• Présentation du fonctionnement interne de Hermes : comment il choisit ses actions, comment il apprend de son expérience, comment il conserve d’une fois à l’autre les informations utiles ;
• Vue d’ensemble des environnements dans lesquels l’agent peut être lancé (poste local, conteneur isolé, serveur distant) et de leurs implications en matière de sécurité ;
• Modes d’utilisation possibles : ligne de commande, messagerie d’équipe, tâches planifiées ;
• Notion d’extensions externes et précautions à prendre lorsqu’on connecte l’agent à des sources tierces ;
• Présentation des principales références internationales qui encadrent l’usage des agents autonomes en sécurité ;
• Principes de base à respecter : limiter les droits accordés à l’agent, valider les actions sensibles, conserver la trace de ce qui a été fait.

Module 3 — Vérification et durcissement des serveurs Linux (4 h)

• Connexion de l’agent aux serveurs Linux à auditer ;
• Vérification automatisée de la configuration par rapport aux bonnes pratiques publiées, notamment les guides du Center for Internet Security (CIS). Examen des paramètres critiques : accès distant, pare-feu local, contrôles d’accès aux fichiers, mises à jour de sécurité ;
• Repérage des correctifs manquants et des vulnérabilités connues. Création de procédures réutilisables que l’agent pourra appliquer à d’autres serveurs sans avoir à être reconfiguré ;
• Étude de cas : mise en place d’un audit hebdomadaire d’un parc de serveurs, avec envoi automatique du rapport par messagerie.

Module 4 — Vérification et durcissement des serveurs Windows et de l’Active Directory (4 h)

• Particularités de l’environnement Windows et options de connexion pour l’agent ;
• Utilisation des outils Microsoft de vérification de conformité ;
• Examen de l’Active Directory, ce service qui centralise les comptes et les droits dans la plupart des entreprises : recherche des configurations à risque, des comptes disposant de trop de privilèges, des faiblesses dans la gestion des mots de passe ;
• Vérification des stratégies de groupe et de l’application des correctifs ;
• Détection des erreurs courantes dans la gestion de l’authentification ; 
• Étude de cas : audit complet d’un Active Directory réalisé en parallèle par plusieurs instances de l’agent, puis consolidation des résultats.

Module 5 — Surveillance du réseau et du périmètre (4 h)

• Inventaire des équipements présents sur le réseau et cartographie des services accessibles ; 
• Examen des règles de pare-feu et de la configuration des équipements réseau (commutateurs, routeurs, pare-feu d’entreprise) ; 
• Analyse des alertes générées par les dispositifs de détection d’intrusion ;  
• Vérification du cloisonnement entre les différentes zones du réseau ;
• Recherche de vulnérabilités à l’aide de scanners spécialisés ;
• Intégration aux outils de surveillance centralisée déjà en place dans l’organisation ; 
• Étude de cas : surveillance continue d’un périmètre, avec escalade automatique vers une personne d’astreinte en cas d’anomalie.

Module 6 — Sécurité des applications, gouvernance et simulations d’attaque (4 h)

• Tests de sécurité sur les applications web internes ;
• Vérification des conteneurs applicatifs et de leur environnement d’exécution ;
• Gestion des secrets (mots de passe, clés d’accès) et recherche des fuites accidentelles dans le code source ;
• Conduite de simulations d’attaque contrôlées pour évaluer la résistance de l’infrastructure ;
• Risques spécifiques à l’utilisation d’un agent autonome : détournement par un message piégé, outils externes compromis, dérive progressive du comportement, fuite d’informations par la mémoire de l’agent. Importance de conserver une trace complète de ses actions ;
• Articulation de la démarche avec les normes en vigueur, gestion de la sécurité de l’information, gestion responsable de l’intelligence artificielle, cadre canadien de gestion des risques ;
• Limites de l’autonomie : quand et comment maintenir une supervision humaine.

• Présentations théoriques avec schémas explicatifs
• Démonstrations techniques d’outils cryptographiques
• Laboratoires pratiques avec la librairie OpenSSL
• Configuration d’un serveur web (Apache ou Nginx) en HTTPS
• Analyse de flux TLS avec les outils intégrés ou Wireshark

• Vous profitez d’un accès gratuit aux logiciels spécialisés requis pour 1 an (s'il y a lieu) ; 

• À la fin de la formation, une attestation de participation sera acheminée aux participants qui ont un taux de présence de 80% et plus ; 

• Dans la mesure où elles sont liées à l’exercice de vos fonctions professionnelles et qu’elles figurent dans les répertoires de formations reconnues, nos activités de formation peuvent être admissibles en vertu du Règlement sur la formation continue obligatoire.

  Nous vous invitons à vérifier auprès de votre ordre professionnel, de votre organisme réglementaire ou de votre corporation, ainsi qu’à consulter leurs répertoires de formations reconnues pour obtenir davantage d’information.