Claudecode transforme l’audit cyber d’un PC en diagnostic actionnable

Les audits de postes de travail prennent du temps, surtout quand l’équipe est déjà sous l’eau. Dans les faits, claudecode permet d’obtenir un audit cyber d’un PC en mode guidé, avec une structure exploitable en entreprise.

L’idée n’est pas un « bouton magique » : c’est un prompt prêt à l’emploi, à lancer dans Claude Code, pour produire un diagnostic lisible et priorisé, puis accélérer la remédiation.

Ce que claudecode fait vraiment sur un poste, et ce qu’il ne remplacera pas

Claude Code est un environnement où l’on peut demander à un modèle de raisonner sur un système et de proposer des vérifications, des commandes et un plan de correction. Anthropic met en avant l’automatisation des revues de sécurité via Claude Code, notamment pour industrialiser des contrôles et réduire le coût de revue au fil de l’eau ( présentation Anthropic ).

Dans un audit PC, claudecode est bon pour cadrer la démarche, dresser l’inventaire de l’exposition (comptes, services, ports, mises à jour), et transformer des constats en actions. En pratique, le « prompt-driven audit » (audit piloté par prompt) sert de chef d’orchestre : vous imposez un plan, un format de restitution et une règle stricte de non-modification.

Toutefois, il ne remplace pas un test d’intrusion (pentest), c’est-à-dire une démarche de preuve d’exploitation. Il ne « voit » que ce que vos droits et vos outils lui permettent d’observer, et il peut se tromper. Enfin, il ne doit pas exécuter de changements sans validation explicite, même si la correction paraît évidente.

Pré-requis et cadre d’usage pour éviter l’audit gadget

Avant de lancer le prompt, clarifiez le terrain. Un audit utile dépend surtout du contexte d’entreprise, pas d’un modèle plus « intelligent ».

Vérifiez le type de machine (Windows/macOS/Linux), et si c’est un poste personnel ou géré par l’entreprise. Précisez le niveau de droits (administrateur/racine), la présence d’un outil de gestion de parc, et les contraintes internes (logiciels imposés, VPN, chiffrement disque). Dans ce contexte, prévoyez une sauvegarde et une fenêtre de maintenance, surtout si vous testez des scripts de durcissement.

Règle d’or : lecture seule par défaut. Aucune modification (registre, pare-feu, politiques, suppression de comptes, désinstallation) sans validation explicite, et idéalement sans ticket de changement.

Pour les équipes, l’objectif n’est pas de produire 40 pages. C’est de sortir une liste courte, priorisée, avec des preuves et des commandes de vérification.

Le prompt « audit complet » prêt à copier-coller (version générique)

Ce prompt est conçu pour obtenir une restitution exploitable : un tableau des constats, une justification de sévérité, et un plan de remédiation. Il s’inspire des approches décrites autour de Claude Code et de la revue de sécurité automatisée, ainsi que des bonnes pratiques de formulation de prompts en contexte sensible ( guide Claude Code, bonnes pratiques Anthropic, risques de prompt en sécurité ).

À coller dans Claude Code : ouvrez votre terminal Claude Code sur la machine ou le projet, puis lancez une session et collez le prompt ci-dessous. Ensuite, itérez par sections : « refais la partie Réseau & pare-feu en approfondissant » ou « détaille la remédiation du top 3 avec commandes de vérification ».

Prompt :

Tu es un·e ingénieur·e cybersécurité offensif et défensif, très expérimenté·e.

Mission : réaliser un audit cybersécurité complet de ce PC, orienté entreprise, pour identifier les faiblesses exploitables et proposer un plan de correction pragmatique.

Cadre et sécurité :
- Mode lecture seule par défaut.
- Ne jamais modifier la machine sans une confirmation explicite.
- Si une action risque d’altérer des preuves ou de provoquer une indisponibilité, tu t’arrêtes et tu demandes validation.

Opération (tu adaptes en fonction de ce que tu découvres) :
1) Reconnaissance initiale : système d’exploitation, versions, architecture, logiciels installés, surface réseau (ports/services), protections actives.
2) Analyse Comptes & privilèges : comptes locaux, droits administrateur, mots de passe, politiques, sessions actives.
3) Analyse Services & processus : services exposés, démarrages automatiques, processus privilégiés.
4) Analyse Réseau & pare-feu : règles, ports, accès distants, segmentation, DNS.
5) Patch & vulnérabilités paquets : mises à jour, logiciels obsolètes, dépendances à risque.
6) Persistance : tâches planifiées, éléments de démarrage, clés d’autorun, profils shell.
7) Journaux & détection : logs, alertes, capacités de traçabilité.
8) Chiffrement & secrets : chiffrement disque, clés, certificats, secrets en clair.

Attentes sur la restitution :
- Un tableau de constats priorisés (Critique/Élevée/Moyenne/Faible), triés par exploitabilité réelle.
- Pour chaque constat : quoi, pourquoi c’est risqué, scénario d’exploitation plausible, impact, remédiation, commandes de vérification.
- Un plan de remédiation en 3 horizons : 24h, 30 jours, 90 jours.
- Un script de durcissement commenté avec un mode simulation (dry-run), sans exécution automatique.
- Un score final de posture (A à F) avec un résumé exécutable par une DSI.

Commence par la reconnaissance, propose ton plan d’audit, puis déroule méthodiquement.

Le déroulé attendu : imposer une méthode, pas une checklist aveugle

Un bon audit piloté par IA suit une séquence logique, et accepte de s’arrêter pour demander une validation. L’intérêt est de gagner du temps sur l’inventaire et la mise en forme, tout en gardant le contrôle.

1) Reconnaissance : identifier l’environnement, les versions, les logiciels sensibles, et la surface exposée. 2) Comptes & privilèges : vérifier qui peut faire quoi, et repérer les élévations de droits. 3) Services & processus : réduire l’exposition, comprendre les démarrages automatiques.

4) Réseau & pare-feu : confirmer les ports ouverts, les règles, et les accès distants. 5) Patch & vulnérabilités paquets : chercher l’obsolescence et les correctifs manquants. 6) Persistance : repérer les mécanismes de maintien d’accès, souvent oubliés.

7) Journaux & détection : déterminer si l’on saurait investiguer après incident. 8) Chiffrement & secrets : limiter l’impact d’un vol de machine ou d’identifiants. 9) Score final et priorisation : décider quoi faire, dans quel ordre, et pourquoi.

Mini-exemple de « bon constat » (format attendu) :
Constat : service d’accès distant exposé sur le réseau sans restriction d’adresse.
Pourquoi : cela augmente le risque d’attaque par force brute et d’exploitation de failles connues.
Exploitation : un attaquant scanne le port, teste des identifiants, puis tente une élévation de privilèges.
Remédiation : restreindre l’accès par pare-feu, imposer l’authentification forte, désactiver si non nécessaire.
Commandes de vérification : commandes adaptées au système pour lister le port, confirmer la règle, et vérifier la configuration.

Trois variantes de prompt selon le terrain

Une même entreprise peut avoir trois besoins très différents. Adapter le prompt, c’est éviter de produire un rapport hors-sol.

PME sans équipe sécu : demande une version « hygiène » orientée gains rapides.
Ajoute : « Priorise les 10 actions les plus rentables en temps, et explique-les simplement. Ne propose pas d’outils complexes à déployer. »

DSI ou responsable sécurité des systèmes d’information (RSSI) : demande une version « gouvernance ».
Ajoute : « Associe chaque constat à des preuves (commandes, captures de configuration) et une traçabilité. Propose un registre de risques prêt à intégrer dans un suivi. » Pour l’alignement réglementaire, vous pouvez demander une cartographie vers la directive NIS2 (NIS2), utile pour structurer la preuve et les priorités ( point de contexte NIS2 ).

Poste potentiellement compromis : demande une version « réponse à incident légère ».
Ajoute : « Recherche des indicateurs de compromission (IOCs) : persistance, connexions sortantes anormales, nouveaux comptes, tâches planifiées, journaux. Préserve les preuves et évite toute action destructrice. »

Les pièges à éviter, et comment fiabiliser les résultats

Le premier risque, c’est la fausse confiance. Un modèle peut produire un audit très convaincant, mais incomplet ou à côté du contexte métier.

Faux positifs et faux négatifs existent, surtout sur des configurations atypiques ou des risques liés à la logique métier. Autre angle mort : la confusion entre conformité et sécurité réelle. Être « conforme » peut coexister avec une exposition opérationnelle.

Il faut aussi compter avec la prompt injection (injection dans le prompt), c’est-à-dire des contenus qui manipulent l’outil via les artefacts analysés. Concrètement, un fichier ou un commentaire peut tenter de pousser l’IA à ignorer des signaux ou à exécuter une action dangereuse. Pour comprendre l’enjeu, les approches « défense en profondeur » appliquées à l’IA insistent sur la segmentation des contrôles et la validation humaine ( défense en profondeur ).

Points de vigilance (méthode simple qui marche) :

• Faites une double passe : d’abord un résumé exécutable, puis un rapport technique détaillé.
• Validez humainement tout ce qui est Critique/Élevée avant correction.
• Testez les scripts de durcissement en environnement isolé quand c’est possible.
• Exigez des commandes de vérification et journalisez tout ce qui est proposé.
• Refusez les « correctifs automatiques » sans revue, même si c’est tentant.

Gouvernance et confidentialité : où vont les informations, et que décider

Un audit de poste collecte vite des informations sensibles : noms de machines, utilisateurs, logiciels, parfois chemins de fichiers et journaux. Dès que cela part vers un service tiers, la question n’est plus technique : elle devient contractuelle et de gouvernance.

Claude Code s’appuie sur une infrastructure gérée par l’éditeur, avec une logique d’isolement et de contrôles décrite dans sa documentation web ( documentation Claude Code ). Mais pour l’entreprise, la bonne question reste : « Quelles données acceptons-nous de partager, et lesquelles sont interdites ? »

Grille de décision simple : acceptable sur un poste non sensible, encadré si des données personnelles ou du secret industriel peuvent apparaître, et à proscrire pour des environnements très réglementés ou classifiés. En pratique, minimisez : retirez les secrets, caviardez les journaux, et évitez d’envoyer des répertoires entiers si un échantillon suffit.

Conclusion : un prompt bien conçu n’élimine ni la méthode ni le contrôle humain. En revanche, il peut industrialiser 60 à 80% d’un pré-audit, accélérer la priorisation, et rendre l’audit PC enfin répétable en PME. C’est très faisable si le périmètre est clair et si le mode lecture seule est non négociable, mais risqué si on s’en sert comme substitut à un audit expert.