01 / Ce que fait cette démonstration
Les missions, systèmes ACME et constats sont des exemples simulés. Aucun agent de sécurité ni moteur d’analyse distant n’est connecté. Le film présente une catastrophe fictive ; ses images et sa voix sont générées par IA.
Les champs de la console servent à explorer le parcours. Les rapports sont construits dans votre navigateur et téléchargés à votre demande. Ils ne constituent ni un audit de votre système ni une attestation de conformité.
02 / Une autorisation avant toute action
Un test de sécurité exige l’accord de la personne ou de l’organisation habilitée à autoriser l’accès aux systèmes concernés. Cet accord doit préciser les actifs, les techniques permises, la période, les exclusions, les contacts et les conditions d’arrêt.
Un programme de bug bounty n’autorise que les actions prévues par ses règles. Une adresse accessible sur Internet ne vaut pas consentement. La démonstration ne donne aucune autorisation de tester les infrastructures de NOXALIS LAB, de l’hébergeur ou d’un tiers.
03 / Isoler, puis maîtriser les écarts
Environnement séparé
Une réplique de laboratoire permet de préparer les tests sans viser la production. Les flux sortants, secrets et accès doivent être contrôlés.
Limites explicites
Exact, substitué, impossible ou non vérifié : chaque écart influence l’interprétation du résultat. Une simulation ne prouve pas le comportement d’une production.
Ces principes décrivent l’architecture visée. Les écrans de la démo illustrent les contrôles ; ils ne démontrent pas leur mise en œuvre sur un service opérationnel.
04 / Garder un humain dans la décision
Les agents peuvent produire des hypothèses erronées, des faux positifs ou manquer une faille. Un constat doit conserver sa source, son contexte, sa méthode de validation et les limites du test. Une conclusion importante exige une revue humaine.
L’absence de vulnérabilité détectée n’est pas une garantie d’absence de risque. Le film illustre des impacts possibles ; il ne prouve pas qu’Hécadium permet de les prévenir.
Agent résident : une autonomie autorisée
Hécadium prévoit un agent de protection sur les serveurs Linux et Windows dès la première version. L’objectif est de surveiller l’activité, d’analyser les signaux suspects et de pouvoir bloquer une source ou interrompre une connexion dans un cadre préalablement accordé par le client.
Les droits des utilisateurs dans la console, la politique signée du client et les privilèges du service sur le serveur sont trois contrôles distincts. Une recommandation de l’IA ne doit jamais suffire à étendre ces droits. Les actions non couvertes doivent être refusées ou soumises à une personne habilitée.
La conception prévoit des limites d’intervention, des accès essentiels protégés, un arrêt d’urgence et un journal des décisions. Les capacités réelles, la compatibilité et les mécanismes de retrait doivent encore être validés sur chaque système. Cette démonstration n’installe aucun agent et n’exerce aucune surveillance de vos appareils.
05 / Protéger les données dès le périmètre
Utilisez des données fictives ou minimisées. N’introduisez dans la démo ni identifiant de production, clé d’API, secret, dossier patient ni donnée bancaire réelle.
Avant tout service traitant des données de clients, le contrat devra définir les rôles RGPD, les finalités, les lieux de traitement, les sous-traitants, les durées, les accès et la restitution ou suppression. Un accord de sous-traitance sera nécessaire lorsque NOXALIS LAB agit pour le compte du client.
Aucun hébergement exclusivement européen, niveau de disponibilité, certification ISO 27001, qualification SecNumCloud ou conformité réglementaire du produit n’est revendiqué ici. Consulter les traitements de la démonstration →
06 / Signaler un problème
Un comportement anormal ou une exposition involontaire ? Écrivez à contact@noxalis-lab.io avec l’URL, l’heure, le contexte et des étapes de reproduction non destructives. Évitez d’envoyer des secrets ou des données de tiers ; demandez un canal adapté si nécessaire.
Ce contact n’est pas un programme de bug bounty et ne promet ni récompense ni délai contractuel de réponse. Pour un incident en cours sur votre infrastructure, utilisez votre procédure de réponse à incident.