Prouver qu’une porte peut être forcée sans la défoncer. C’est le pari de Picus Security dans un billet publié ce 14 juillet 2026 : une vulnérabilité n’a pas besoin qu’on lui balance un exploit en conditions réelles pour être jugée dangereuse. Quand le test actif est trop risqué (aucun code d’attaque public, ou cible bien trop critique pour jouer les apprentis sorciers), l’éditeur propose de découper l’attaque en techniques élémentaires puis de vérifier chacune d’elles face aux protections déjà en place.
L’approche, baptisée TTP chaining, répond à une question autrement plus utile que le sacro-saint score de sévérité : cette chaîne d’attaque peut-elle vraiment aboutir dans cet environnement précis ? Picus la présente comme une alternative aux validations par exploit vivant sur les systèmes sensibles, les réseaux isolés et les failles fraîchement divulguées.
Points clés
- Picus Security découpe un exploit en techniques élémentaires (TTP chaining) pour juger de l’exploitabilité sans lancer de code d’attaque réel
- La méthode vise les systèmes critiques, réseaux isolés et CVE sans exploit sûr disponible
- Le verdict s’appuie sur les protections réellement déployées, pas sur le seul score CVSS
- Le 7 juillet 2026, Picus a dévoilé une plateforme d’autonomous exposure validation combinant simulation, pentest et validation continue
Découper l’exploit en techniques testables
Dans le langage de Picus, un exploit n’est pas un bloc magique. C’est une suite d’actions à réussir dans l’ordre : obtenir de l’exécution, contourner une protection, élever ses privilèges, atteindre la cible. L’éditeur dit pouvoir transformer une CVE (l’identifiant public d’une vulnérabilité) en chaîne de techniques, puis tester ces étapes une à une contre les défenses déployées chez le client.
La méthode s’inscrit dans la continuité des travaux autour de la validation d’exposition, un sous-ensemble du continuous threat exposure management (CTEM). Le principe rappelle les référentiels d’attaque type MITRE ATT&CK : une attaque se compose de techniques observables, pas d’un score abstrait. Si un maillon casse sur une machine donnée, Picus estime que l’exploit ne peut pas réussir dans ce contexte.
« Un exploit n’est pas de la magie. C’est une chaîne de techniques précises, les tactiques, techniques et procédures (TTP) qu’un attaquant doit exécuter en séquence », explique Picus Security dans son billet.
La promesse est aussi opérationnelle. Il s’agit d’aider les équipes sécurité à trancher sans exposer des actifs critiques à un test destructif. Quand l’exploitation réelle est jugée trop dangereuse, l’outil ne lance pas le code d’attaque : il vérifie plutôt si les briques nécessaires passeraient malgré les protections en place. Une idée que Picus résume dans un billet relayé par BleepingComputer.
Pensé pour les systèmes critiques et les CVE sans exploit
Picus vise en priorité les cas où le test classique montre vite ses limites : environnements sensibles, systèmes incapables d’encaisser un essai en production, failles pour lesquelles aucun exploit sûr n’existe. L’éditeur promet, dès le jour de publication d’une CVE, un verdict exploitable ou non, preuves à l’appui.
La validation passe par plusieurs couches : ingestion de la vulnérabilité, cartographie des actifs concernés, prise en compte des protections présentes, vérification de la chaîne d’attaque. Si chaque technique requise franchit les garde-fous, l’exposition est jugée réellement exploitable. Sinon, elle est classée comme bloquée dans cet environnement.
Cette brique se rattache à la plateforme d’exposure validation de Picus, distincte de son automatisation de pentest sur les cibles atteignables. Sur les actifs accessibles, l’entreprise exécute des chaînes d’exploitation réelles. Sur les systèmes restreints ou quand aucun exploit ne peut être lancé sans risque, elle bascule sur le TTP chaining.
Le message tape sur un vieux point de friction : un score CVSS élevé ne dit pas, à lui seul, si une attaque passera dans un périmètre donné. Picus propose de remplacer le test direct quand il est imprudent, tout en gardant un verdict appuyé sur des techniques observables et sur les contrôles réellement en place.
La validation d’exposition monte en gamme
L’annonce s’inscrit dans un mouvement plus large chez l’éditeur. Le 7 juillet 2026, Picus a présenté une plateforme d’« autonomous exposure validation » qui combine breach and attack simulation, pentest automatisé et exposure validation dans une même boucle, avec des agents spécialisés pour la découverte, l’exploitation, la validation, la mobilisation et le reporting.
Le vocabulaire change, la cible reste la même : faire passer une vulnérabilité du statut d’alerte théorique à celui de risque confirmé (ou écarté) sur des faits vérifiables. Une manière élégante de ne pas jouer à la roulette russe avec un serveur de production pour savoir s’il tiendra le choc.
