Épisode 0x299 - L'IA a cassé le recrutement en cybersécurité

Synopsis

Karolynn Boulet est de retour pour parler de ce que l’intelligence artificielle est en train de faire au marché de l’emploi en cybersécurité. Des prompt injections cachées dans les CV pour tromper les ATS — une étude portant sur 200 000 CV réels en a trouvé dans 2 % d’entre eux. Des deepfakes en entrevue. Et surtout, des candidats qui lisent leurs réponses sur un deuxième écran pendant l’appel : elle raconte le « L3 SOC senior » qui lui a demandé ce qu’était un SIEM, et l’« expert Active Directory » à qui il a fallu expliquer ce qu’est une GPO. D’un bord des CV écrits par l’IA, de l’autre des filtres d’IA, et au milieu plus personne pour juger. Patrick rappelle qu’un téléprompteur et quelqu’un hors caméra suffisent pour que ça devienne indétectable.

Le débat dérape rapidement, comme d’habitude. Francis veut ramener les entrevues en présentiel, Karolynn explique pourquoi ce n’est pas toujours possible et pourquoi la décision en 90 secondes dont Patrick est si fier porte un nom : un biais cognitif. On parle du stress en entrevue, des processus à cinq étapes, de l’impossibilité de faire entrer un junior en sécurité parce que personne ne veut mentorer, et des certificats universitaires en cyber qui vendent de la gouvernance en faisant croire à de la technique. Puis la vieille chicane refait surface : est-ce qu’un CISO doit être technique ? Francis pose ses bases — actif, menace, vulnérabilité, et le risque qui n’est qu’une résultante — et explique pourquoi un policier retraité n’est pas automatiquement un bon directeur de la sécurité : en sécurité, on court après le sac d’argent, pas après le bandit.

Jacques nous ramène en Espagne avec une histoire qui ressemble à un film d’espionnage. Un groupe d’hacktivistes algériens en conflit avec le Maroc affirme détenir 2,7 Go de conversations extraites du téléphone de Pedro Sánchez, infecté par Pegasus, qui prouveraient son inaction lors de l’entrée massive de Marocains à Ceuta. L’ultimatum est simple : 62 heures pour démissionner, sinon tout sort. De l’extorsion politique en direct, à suivre.

On termine sur les caméras, et ça brasse. Le reportage de Ben Jordan sur Flock aux États-Unis : accès quasi ouvert à l’application, journalisation déficiente, caméras installées dans des gyms d’enfants et des parcs. La caméra dont on a parlé à Montréal est une Genetec, pas une Flock, contrairement à ce qu’ont rapporté plusieurs médias. Francis décortique le modèle d’affaires d’Axon — des tasers à 7 000 $, des caméras corporelles données, puis la facturation qui commence dès que tu enregistres — pendant qu’il existe des fabricants canadiens et québécois qui streament en temps réel plutôt que de stocker sur l’appareil. Patrick s’échauffe sur le registre public des caméras privées glissé dans le plan de la Ville, sur les lecteurs de plaques, et sur les métriques de Flock : des millions de caméras déployées en trois ans, et 0 % de baisse de criminalité. Richer ferme le débat en soulignant le vrai problème : il n’y a personne d’autre que nous pour en discuter publiquement.

Crew

Patrick Mathieu — Cofondateur de Hackfest.ca et fondateur de Hexius
Francis Coats — Expert, vulgarisateur et conférencier en sécurité et en technologie
Jacques Sauvé — PDG, Trilogiam
Richer Dinelle — Expert en sécurité informatique & Gestion de systèmes
Karolynn Boulet — Propriétaire et spécialiste en recrutement TI & Cybersécurité Talenty