We Cut Security Reviews From 2-3 Days to 10 Minutes With AI | Farzan Karimi | S3 | E2

Valeur des informations & solidité de l’argumentation

La valeur des informations est très élevée : Farzan Karimi apporte des exemples concrets issus de son expérience en entreprise (Moderna) et de ses recherches personnelles (RRE, Firebase). Il propose des métriques opérationnelles (temps de revue, économies d’ETP, nombre de revues) et des méthodes de priorisation basées sur l’exploitabilité et les chaînes d’attaque. Son argumentation est solide : il critique le snake oil en IA en exigeant de rattacher les outils à des problèmes métier précis, et il démontre par l’exemple que l’IA peut déplacer le goulot d’étranglement de l’ingénierie vers la remédiation, créant ainsi plus de valeur. Toutefois, certains points reposent sur des données non vérifiées (comme les 687 revues) et pourraient bénéficier de références publiées. La discussion reste pragmatique et orientée vers l’action.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est correcte : l’invité est un expert reconnu, et il fait référence à des travaux publiés (articles sur son blog, conférences DEF CON, nominations PortSwigger). Les sources mentionnées (CyberScoop, LWN, PortSwigger) sont des médias spécialisés et des documents officiels, ce qui renforce la crédibilité. Cependant, la vidéo est une interview informelle et certaines affirmations chiffrées ne sont pas étayées par des publications indépendantes. L’adéquation titre/contenu est bonne : le titre annonce bien la réduction du temps de revue grâce à l’IA, et l’épisode le détaille clairement. Aucun commentaire n’est fourni pour analyser les tendances du public.

Le titre reflète bien le contenu : l'épisode détaille comment l'IA a réduit le temps des revues de sécurité (threat modeling) de 2-3 jours à 10 minutes, comme le prouve l'exemple de Moderna.

8/10

Les informations proviennent d'un expert reconnu en sécurité offensive (ancien red teamer chez Google, Microsoft, EA) et sont illustrées par des exemples concrets et chiffrés (687 revues de threat modeling en un mois, gain de 2-3 jours par revue, 6,7 ETP économisés). Toutefois, ces données sont des affirmations personnelles non publiées dans des sources tierces vérifiables, ce qui limite la fiabilité absolue.

• 00:00Intro
• 02:51How to Know if a Security Problem Is Right for AI
• 06:16Remediation Is the New Black
• 08:49How to Spot AI Snake Oil
• 11:00Measuring Whether AI Is Adding Value
• 13:23Proven Exploitability vs. Severity Scores
• 16:12What to Do With a Huge Vulnerability Backlog
• 19:29Count Attack Chains, Not Findings
• 22:29Recursive Request Exploits Explained
• 26:38A Legal Call and a Dead Screen at DEF CON
• 30:00Silos: The Real Zero-Day in Your Company
• 35:00Firebase, Vibe Coding, and What's on Your Internet
• 38:31One Thing to Do This Week

• How I Accessed 1,800 Company Livestreams and Uncovered a New Web Exploit Class: RRE — Article de blog de Farzan Karimi décrivant sa découverte des Recursive Request Exploits et l'accès aux livestreams privés.
• I scanned 1 million domains for Firebase misconfigurations — Article de blog sur le scan de domaines et la découverte de bases Firebase non sécurisées.
• PortSwigger Top 10 Web Hacking Techniques of 2025, nominations open — Page officielle de PortSwigger pour les nominations aux Top 10 techniques de hacking web 2025, où RRE a été nominé.
• Collaboration for battling security incidents, LWN.net report — Article LWN.net mentionnant la présentation de Farzan Karimi à SunSecCon 2026.
• Inside the race to adapt to an AI-powered security world — Article CyberScoop sur la transition vers la cybersécurité pilotée par l'IA, en lien avec XBOW et les tests d'intrusion agentiques.
• XBOW's Moderna customer story — Étude de cas vendeur décrivant l'utilisation des outils XBOW chez Moderna.
• GitHub de Farzan Karimi — Répertoire personnel contenant les outils et scripts de recherche de Farzan Karimi, dont l'extension RRE pour Burp Suite.
• Extension RRE pour Burp Suite — Extension Burp Suite permettant de tester les Recursive Request Exploits.
• Blog de Farzan Karimi — Blog personnel où il publie ses recherches en sécurité.
• Profil LinkedIn de Farzan Karimi — Profil LinkedIn de l'invité pour les contacts professionnels.
• Demonstration 20 secondes Firebase (LinkedIn) — Publication LinkedIn avec une démonstration de l'exploitation Firebase.
• Chaîne YouTube Eva Benn — Site officiel de la présentatrice Eva Benn, pour plus de ressources en cybersécurité.

• Inside the race to adapt to an AI-powered security world — Article corroborant que l'IA agentique est utilisée pour les tests d'intrusion et peut améliorer l'efficacité, en phase avec les propos de Karimi.
• I scanned 1 million domains for Firebase misconfigurations — Recherche empirique sur l'exposition de bases Firebase, illustrant le problème des composants mal configurés que Karimi évoque.
• PortSwigger Top 10 Web Hacking Techniques of 2025 — La nomination de RRE dans ce classement confirme la reconnaissance par la communauté de la nouvelle classe d'exploit.