Je dois avouer que le titre m’a fait peur un instant. On vend des audits depuis plus de 8 ans 😅 Mais en lisant le texte complet, le vrai point m’a frappé plus fort : les clients n’haïssent pas les audits, ils haïssent payer pour une liste de problèmes avant de connaître le coût de leur correction. Et honnêtement, la sécurité web3 souffre du même problème. Les fondateurs repoussent les audits à la dernière semaine avant le mainnet parce qu’ils les voient comme un simple PDF et une facture. Ensuite, le rapport arrive, les développeurs corrigent les anomalies, et l’équipe n’apprend presque rien. Nous l’avons constaté en direct avec QuillShield. Il a découvert indépendamment un autre chemin d’attaque pour une faille qu’un audit mené par 12 agents avait classée comme réfutée après qu’un mécanisme de protection avait bloqué le chemin testé. QuillShield a écrit un test d’exploitation qui a réussi, et un auditeur humain l’a vérifié sur un fork de mainnet. Quatre relecteurs ont convenu que la faille était réelle. Ce qui fonctionne vraiment, dans les agences d’IA comme en sécurité : Enseignez à l’équipe pendant que vous examinez son travail. Les meilleures découvertes viennent de personnes qui vous montrent leurs flux de travail réels. Laissez-les mieux que vous ne les avez trouvés, pas seulement avec un rapport. « L’audit a toujours lieu. Il ne doit simplement pas être la chose pour laquelle vous leur demandez de payer à l’avance. » Vous construisez quelque chose et vous venez à Devcon ? Parlons de la manière dont votre équipe reste sécurisée bien après l’audit. Mes DM sont ouverts 🤝 Bon article @lukepierceops 👇