Red team : Équipe rouge
Sécurité
Red team : équipe rouge. « Des attaquants autorisés qui visent un objectif réel à travers toute l'organisation, pour mesurer si la défense les voit et les arrête », par analogie avec la manœuvre militaire où un camp joue l'ennemi sans prévenir l'autre de son heure ni de son chemin, ce que l'ennemi véritable fait aussi, par simple manque de savoir-vivre.
Objectif plutôt que périmètre : Là où un test d'intrusion examine un périmètre technique, la red team reçoit un but (atteindre les données de paie, prendre la main sur la chaîne de déploiement) et choisit elle-même son chemin : hameçonnage, accès physique, fournisseur, poste de travail, cloud.
Discrétion : Seule une poignée de personnes est dans la confidence, la cellule blanche qui arbitre l'exercice et peut l'arrêter. Les défenseurs, la blue team, travaillent comme un jour ordinaire : c'est leur détection et leur réaction qui sont mesurées, et non leur aptitude à paraître vigilants le jour de l'audit.
Durée et mesure : L'exercice dure souvent plusieurs semaines, à un rythme lent pour ressembler à un vrai attaquant. On en retient la chronologie : ce que la red team a fait, ce que la défense a vu, avec quel retard, et ce qui a été manqué.
Variantes : En purple team, attaquants et défenseurs travaillent côte à côte pour améliorer la détection technique par technique. Le TLPT est une red team encadrée par la réglementation et guidée par le renseignement sur la menace réelle.
Ce qui arrive si on s'en passe
Sans exercice de red team, une organisation connaît ses failles techniques mais ignore si sa défense fonctionne réellement : les alertes existent, mais personne ne sait si elles seraient lues à temps, escaladées au bon niveau et suivies d'un confinement. Un attaquant patient, qui s'appuie sur des identifiants valides et des outils d'administration légitimes, traverse alors des mois de journaux sans déclencher de réaction, et la première mesure réelle du temps de détection est celle d'une vraie intrusion, chronométrée par l'attaquant.
Explication de la marmotte
Une entreprise engage une équipe chargée de jouer les pirates pour de vrai, avec un but précis, par exemple atteindre un fichier sensible. Cette équipe peut passer par un faux courriel, par un fournisseur, voire entrer dans les bureaux. Les personnes chargées de surveiller la sécurité ne sont pas prévenues. Pendant plusieurs semaines, on note tout ce que l'équipe fait et ce que les surveillants remarquent. À la fin, on compare les deux pour savoir si l'entreprise aurait repéré et arrêté une vraie attaque, et en combien de temps.
Où ce terme est utilisé
- Test d'intrusion : commander, cadrer et exploiter un pentest (6 occurrences)
- AI Act : modèle d'IA à usage général présentant un risque systémique (articles 51, 52 et 55, annexe XIII) (5 occurrences)
- Comment red teamer un LLM local avant production (5 occurrences)
- Pourquoi l’IA responsable reste invérifiable (3 occurrences)
- Evals LLM comment mesurer qu'un assistant IA répond juste (2 occurrences)
- AI Act : documentation technique d'une IA à haut risque (article 11, annexe IV) (1 occurrence)
- AI Act : exactitude, robustesse et cybersécurité d'une IA à haut risque (article 15) (1 occurrence)
- AI Act : pratiques d'IA interdites par l'article 5 depuis février 2025 (1 occurrence)
- AI Act : système de gestion des risques d'une IA à haut risque (article 9) (1 occurrence)
- Empoisonnement des données d'affinage d'un LLM local et backdoor (1 occurrence)