Nico Waisman résume son parcours avec une phrase qui surprend par sa simplicité : il n’aurait pas choisi une carrière en cybersécurité, ce domaine l’aurait choisi. Autodidacte, il a appris à disséquer, tester et comprendre les failles bien avant qu’un cadre professionnel structuré n’existe autour de lui. Puis, au fil des étapes, il a fait évoluer son expertise vers la sécurité offensive IA—au point de contribuer à des produits capables de réaliser des tests d’intrusion à grande échelle.
Dans cet article, nous retraçons son chemin : les débuts marqués par l’expérimentation, la montée en responsabilité, le virage vers la défense, puis la combinaison de l’IA et des capacités offensives à travers la société XBOW.
Un hacker autodidacte, porté par le défi
Né et vivant encore en Argentine, Nico Waisman évoque une jeunesse où l’envie de bousculer les règles rencontrait la fascination pour la technologie. Ce qui l’attirait, ce n’était pas de “gagner de l’argent” ou de nuire, mais l’idée de détourner ce que la technologie était censée faire pour obtenir un résultat inattendu.
À l’époque, il n’existait pas d’écosystème local autour de la cybersécurité ni même de documentation comparable à celle qu’on trouve aujourd’hui. Il s’est donc formé seul : programmation, recherche de bugs, exploitation de vulnérabilités et approche du reverse engineering. Son approche repose sur le même mécanisme, encore aujourd’hui : consacrer des jours à un problème pour comprendre son fonctionnement, puis chercher comment le “casser”.
Construire une carrière dans l’offensive, quand elle n’a pas de nom
Dans son contexte, la “sécurité offensive” n’était pas vraiment une trajectoire professionnelle identifiée. Waisman a tenté d’autres voies. Il a d’abord envisagé l’ingénierie, avec des interruptions de parcours. Puis il s’est tourné vers la communication et a consacré plusieurs années à des études de journalisme—sans aller jusqu’au diplôme.
Pour autant, ces détours ne l’ont pas éloigné de sa motivation initiale. Au contraire, ils lui ont permis de développer des compétences de communication utiles plus tard, lorsqu’il faudra expliquer, présenter et défendre des choix techniques devant des équipes et des organisations.
Le tournant arrive : malgré l’absence de formation formelle en cybersécurité, il obtient un poste dans le secteur. En 2003, il rejoint Immunity en tant que chercheur sécurité senior.
Immunity : recherche, exploitation et leadership progressif
Son passage chez Immunity marque le début de sa carrière “professionnelle”. Pendant environ 17 ans, il gravit les échelons, jusqu’à un rôle de VP pour la région. Une partie importante du travail consiste à développer et à utiliser des capacités permettant de mener des tests d’intrusion de manière structurée, notamment via un cadre d’exploitation qui a influencé l’évolution des premières pratiques de pentesting et de red teaming.
Sur la durée, Waisman raconte une combinaison de facteurs : son expertise technique issue de ses expériences de jeune hacker, sa capacité à s’exprimer et à intervenir lors de conférences, et l’apprentissage progressif de la gestion d’équipe.
Il insiste aussi sur un aspect souvent sous-estimé : la manière dont on devient leader peut être plus “naturelle” que planifiée. En embauchant des chercheurs ou des hackers qu’il connaît et avec lesquels il souhaite travailler, il se retrouve inévitablement à coordonner, puis à diriger. Le passage vers la direction ne correspond donc pas à un objectif posé au départ, mais à une évolution dictée par le contexte et l’âge.
Du rôle offensif au regard de la défense
Après Immunity, Waisman rejoint Semmle, puis, rapidement, l’environnement change à nouveau : Semmle est acquis et il rejoint ensuite GitHub Security Lab. Cette étape renforce son intérêt pour la sécurité à travers le prisme du logiciel libre et des risques liés à la chaîne d’approvisionnement logicielle.
Ce virage est essentiel pour comprendre comment la sécurité offensive IA s’inscrit, chez lui, dans un parcours plus large : l’attaque et la défense ne sont pas des mondes séparés. Elles se répondent, surtout lorsqu’on s’intéresse à la manière dont le code circule, comment il est évalué, et comment les vulnérabilités se matérialisent dans les pipelines de développement.
En 2020, il quitte ce cadre pour un rôle plus directement “défensif” : head of security and privacy chez Lyft. En quelques années, il atteint le poste de CISO.
Être CISO : protéger l’organisation sans freiner l’équipe
L’un des enseignements les plus immédiats de Waisman dans la défense concerne la vitesse. Dans un environnement qui sert des milliers de trajets chaque jour, la sécurité ne peut pas être un frein permanent : elle doit apprendre à évoluer au même rythme que les ingénieurs.
Selon lui, la bonne approche consiste à combiner défense et enablement. Il donne une image simple : comme au football, une défense solide sert à permettre l’action des attaquants—et non à “balayer” le ballon hors du stade à chaque opportunité.
Avec la montée en responsabilité, il doit aussi gérer l’impossible équilibre : protéger l’entreprise, encadrer les risques, tout en conservant la capacité d’exécution. Et si quelque chose tourne mal, la responsabilité remonte vers le CISO.
Il souligne enfin un sujet crucial : le burnout. La pression touche les équipes, mais le CISO doit aussi servir de filtre pour éviter que trop de stress n’atteigne chaque membre. L’objectif n’est pas uniquement de “réagir” en cas d’incident, mais de maintenir un niveau de soutenabilité humaine.
Le style de leadership : mentorat et questions
Waisman attribue une grande importance à la façon d’enseigner et d’encadrer. Il se souvient d’un principe transmis par Dave Aitel : en sécurité, certains sujets importent vraiment, tandis que d’autres relèvent du “théâtre”. Autrement dit, il faut concentrer l’attention sur les leviers qui changent réellement le résultat.
Plutôt que de dicter une marche à suivre, il préfère un leadership de mentorat : une démarche socratique, basée sur des questions pour amener les personnes à construire leurs réponses. Il compare cette approche à la maïeutique : l’idée n’arrive pas “toute faite” du haut vers le bas, elle émerge en accompagnant le raisonnement de l’équipe.
Ce calme apparent n’exclut pas les préoccupations. Pour Waisman, la crainte centrale est l’IA—non pas comme concept, mais comme capacité potentiellement coûteuse aujourd’hui et appelée à devenir plus accessible avec le temps.
Pourquoi l’IA change l’équation offensive
Dans ses analyses, l’IA progresse et influence déjà les actions des attaquants et des défenseurs. Le décalage actuel, selon lui, est surtout économique et opérationnel : pour mener des campagnes à grande échelle, l’usage de l’IA reste trop cher pour que l’on observe encore une généralisation au niveau attendu.
Mais le scénario qu’il redoute n’est pas lointain : une baisse des coûts pourrait rendre rentable l’attaque d’un grand nombre d’IP via des malwares capables de s’adapter de manière autonome. Il estime que la sécurité n’est pas encore pleinement prête pour cette transition, ce qui laisse entrevoir une période de déséquilibre—et donc “un peu de chaos”.
XBOW : la sécurité offensive IA mise à l’échelle
La dernière étape de son parcours combine les apprentissages précédents : offensive, leadership, défense, logiciels open source, et désormais l’IA appliquée à l’exécution offensive.
Avec un partenaire de longue date, Oege de Moor (fondateur de Semmle et figure clé liée à des projets autour de Copilot), il discute d’une idée centrée sur l’association de l’IA et des techniques offensives. De ces échanges naît une société, XBOW.
L’ambition décrite est forte : créer un produit autonome d’IA capable de réaliser des tests d’intrusion, en s’inspirant de compétences humaines, et surtout de le faire à une échelle adaptée aux besoins actuels. Dans cette configuration, le rôle de Waisman se situe à la fois dans la stratégie et dans la responsabilité du cadre de sécurité : il est CISO dès le début de l’aventure.
Ce projet clôt, d’une certaine manière, un cercle commencé dans sa jeunesse. Il avait découvert l’offensive par fascination. Il a ensuite acquis des compétences en direction, en défense et en compréhension des risques du logiciel. Puis il a rassemblé ces briques autour de la sécurité offensive IA, là où l’automatisation et la capacité de passage à l’échelle deviennent décisives.
Une trajectoire sans plan rigide
Ce qui ressort le plus, c’est l’absence de trajectoire “programmée”. Waisman n’a pas de récit de carrière construit comme un plan minutieux. Au contraire, son chemin semble guidé par sa volonté d’apprendre, son envie de travailler avec des personnes qu’il connaît et comprend, et sa capacité à saisir les opportunités lorsque la vie les met sur sa route.
Bien sûr, tout n’a pas été simple : la fonction de CISO implique une pression réelle, et il faut en absorber une partie tout en protégeant ses équipes. Mais cette compréhension du facteur humain, combinée à une culture technique solide, explique peut-être pourquoi il relie aujourd’hui l’offensive à la défense—et l’IA à la sécurité de manière pragmatique.
Conclusion
Le parcours de Nico Waisman montre comment la cybersécurité peut naître d’un goût du défi, évoluer grâce au mentorat et au leadership, puis prendre une forme nouvelle avec l’IA. Sa vision de la sécurité offensive IA n’est pas seulement technologique : elle intègre le rythme des équipes, les contraintes humaines et la nécessité de se préparer à l’équation offensive qui change avec le coût et la disponibilité des outils.
Au final, c’est bien la phrase de départ qui résume le mieux son histoire : il n’a pas “choisi” la cybersécurité. Elle s’est imposée, étape après étape—jusqu’à devenir, aujourd’hui, l’architecture même de son travail.
