La fenêtre de recrutement en sécurité vient de s'ouvrir : coupes à la CISA + fermeture de Huntr

Deux sources de revenus pour les profils de la sécurité offensive se sont taries le même mois. Côté administration, la CISA a perdu environ 1 000 personnes en 2025, soit près de 29 % de ses effectifs, et ses opérations de red team ont été démantelées. Côté missions indépendantes, Huntr a cessé d’accepter de nouvelles soumissions sur son bug bounty open source le 30 juin 2026, fermant la porte d’entrée que des milliers de chercheurs indépendants utilisaient pour se constituer un portfolio et gagner un revenu d’appoint. Dans le même temps, la demande pour ces compétences précises augmente. Si vous cherchez un chercheur en sécurité, un red teamer ou un chercheur de vulnérabilités, ces profils sont disponibles dès maintenant, et les startups qui les décrocheront seront celles dotées du processus de recrutement le plus rapide et le plus structuré, pas de la plus grande marque ni du plus gros budget.

Deux sources de revenus pour les experts en sécurité se sont taries le même mois

Ce qui rend ce moment inhabituel, c’est que deux sources d’approvisionnement indépendantes se sont contractées en même temps. Aucun de ces deux chocs n’est spéculatif. Les deux sont documentés et, ensemble, ils privent des professionnels chevronnés de la sécurité offensive de deux sources de revenus à quelques semaines d’intervalle.

Côté administration : la CISA a perdu environ 1 000 personnes (et ce que « 2 800 » signifie vraiment)

La CISA a abordé l’exercice 2025 avec environ 3 400 employés. Au cours de 2025, elle en a perdu près de 1 000, soit environ 29 % de ses effectifs, retombant autour de 2 200, via un mélange de départs volontaires indemnisés, de retraites anticipées, de licenciements et de coupes menées par le DOGE. Ses opérations de red team ont été démantelées au passage. Cette attrition est corroborée par Cybersecurity Dive, CyberScoop et Axios, qui a décrit cette réduction comme amputant les effectifs totaux de l’agence de près d’un tiers.

Vous avez peut-être vu le chiffre de « 2 800 » associé à ces coupes. Il vaut la peine de bien le comprendre, car il est facile de mal l’interpréter. Selon une audition au Congrès du 3 juin 2026, 2 800 est un objectif d’effectifs proposé, inférieur à la capacité autorisée d’environ 3 400. Ce n’est pas le nombre de personnes supprimées. En plus des réductions déjà réalisées, le projet de budget 2027 de l’administration prévoit d’amputer la CISA de plus de 700 millions de dollars, selon Daily Security Review. La formulation exacte est donc la suivante : environ 1 000 départs déjà effectués, soit près de 29 % des effectifs, avec plus de 700 millions de dollars de coupes supplémentaires proposées. Il s’agit d’une contraction réelle. Nul besoin de la gonfler en « 2 800 licenciés » — et il ne faut pas le faire.

Côté missions indépendantes : Huntr a fermé son bug bounty open source pour se tourner vers le red teaming IA

Huntr était l’une des portes d’entrée les plus courantes pour les chercheurs juniors et indépendants : trouver de vraies vulnérabilités open source, être rémunéré et se bâtir une réputation publique. Le 8 juin 2026, l’entreprise a annoncé sa transition vers « Huntr 2.0 », recentrée sur les défis de sécurité liés à l’IA. Le calendrier est court et sans appel :

• 30 juin 2026 : arrêt de l’acceptation des nouvelles soumissions pour le programme de vulnérabilités open source.
• 31 juillet 2026 : toutes les soumissions open source verrouillées ; les rapports pas encore traités sont abandonnés.
• 30 août 2026 : les données historiques de vulnérabilités restent accessibles jusqu’à cette date, sans garantie d’accès après octobre 2026.

Huntr se positionne désormais comme une plateforme de compétition par défis, destinée à tester les limites des systèmes d’IA, selon la FAQ Huntr 2.0 et huntr.com. La porte d’entrée traditionnelle du bug bounty open source se ferme.

Le visage humain de ce basculement est facile à trouver. Comme le documente LoSec Research, un chercheur a choisi NLTK comme cible le 22 juin, y a découvert trois vulnérabilités le lendemain, les a fait valider toutes les trois avant le 4 juillet et a gagné 1 625 $ au total, en soumettant juste avant la date limite. Multipliez cela par les nombreux chercheurs qui utilisaient Huntr comme revenu d’appoint, et vous obtenez une population de personnes qualifiées qui viennent de perdre à la fois une source de revenus et un moyen de se constituer un portfolio.

Pendant ce temps, la demande pour ces mêmes compétences augmente

L’histoire du côté de l’offre ne compte que parce que la demande, elle, évolue en sens inverse. Les postes en sécurité offensive figurent parmi les tendances de recrutement identifiées pour 2026, et des offres sont ouvertes en ce moment même pour ce profil précis.

Des offres ouvertes, et pourquoi elles avancent lentement

Deux exemples concrets montrent où la demande se concentre :

• ManTech recrute des chercheurs de vulnérabilités CNO (Computer Network Operations) à Herndon (Virginie) et Fort Meade (Maryland), ainsi que des développeurs CNO travaillant en C/C++, Python, assembleur et rétro-ingénierie.
• Apple a ouvert un poste de chercheur de vulnérabilités au sein de SEAR (Security Engineering and Architecture), publié sur jobs.apple.com.

Ce sont de solides employeurs à la marque reconnue. Ils sont aussi lents. Les grands groupes de défense et les géants de la tech font tourner des processus longs, en plusieurs étapes, souvent conditionnés à une habilitation, qui s’étalent sur des semaines, voire des mois. C’est précisément la brèche qu’exploite une startup. Vous ne pouvez pas rivaliser de notoriété avec ManTech ni surpasser un sous-traitant fédéral sur les habilitations, mais vous pouvez répondre en 48 heures pendant que leur offre en est encore à la deuxième étape.

Le contexte de marché plus large

Au-delà de ces offres précises, la toile de fond du marché est cohérente. On dénombre plus de 470 000 offres d’emploi en sécurité, avec une croissance annuelle d’environ 12 %, face à une pénurie mondiale de talents persistante, souvent estimée à près de 4,8 millions de personnes. Les postes en sécurité offensive et en test d’intrusion offrent les meilleures rémunérations du secteur, fréquemment plus de 200 000 $, bien au-dessus de la moyenne générale d’un « chercheur en sécurité », autour de 90 800 $. Considérez ces chiffres comme une tendance de marché plutôt que comme des données précises, mais la direction est sans ambiguïté : demande en hausse, une partie de l’offre sous contrainte.

La pression existe aussi du côté défensif. Microsoft publie plus de 130 CVE lors d’un Patch Tuesday typique, mois après mois, ce qui maintient sous tension les effectifs des SOC et du triage de correctifs chez les MSP. Ce volume constant alimente la pression générale sur le recrutement en sécurité, discrètement et en continu.

Pourquoi la rapidité est votre atout dans un choc d’offre

C’est là que réside le paradoxe. Dans un choc d’offre de talents, la contrainte déterminante pour attraper les personnes fraîchement disponibles n’est ni le budget ni la marque. C’est la latence du processus : le temps qui s’écoule entre le moment où un candidat se manifeste et celui où vous prenez une décision.

Pensez à vos concurrents. Les grands groupes de défense et les entreprises qui absorbent ces profils font tourner des processus qui prennent des semaines. Un chercheur qui se retrouve sans source de revenus ce trimestre n’a pas envie d’attendre six semaines une réponse. L’organisation qui envoie une première réponse structurée et respectueuse en 48 heures, puis tranche en moins de deux semaines, décroche cette personne, même face à un nom plus prestigieux qui paie davantage. La rapidité est la seule dimension où une startup de 20 personnes peut battre à plate couture un sous-traitant de 20 000 personnes.

Le piège, c’est que « rapide » rime généralement avec « bâclé », et le travail bâclé fait perdre les bons candidats d’une autre manière : évaluations incohérentes, décisions à l’instinct et relances oubliées. L’objectif est d’être rapide et structuré. Cette combinaison est rare — et c’est précisément pour cela qu’elle l’emporte.

Comment recruter vite des experts en sécurité offensive (sans rien bâcler)

Pour recruter vite des experts en sécurité offensive, faites quatre choses : codifiez le poste sous forme de pipeline réutilisable, évaluez avec une grille d’évaluation structurée pour qu’une petite équipe avance vite, répondez sous 48 heures et décidez sous deux semaines, et puisez dans votre vivier de talents existant dès que la fenêtre s’ouvre. Chaque étape supprime une source précise de latence.

Étape 1 : codifiez le poste sous forme de pipeline réutilisable

Ne réinventez pas votre processus de recrutement pour chaque candidat. Définissez les étapes une fois — par exemple : présélection par le recruteur, puis un exercice pratique ou de type CTF, puis un entretien technique structuré, puis une décision — et réutilisez ce pipeline à chaque fois. C’est l’antidote au processus improvisé, monté au cas par cas et étalé sur des semaines, qui fait fuir les profils qui bougent vite.

C’est précisément ce que font les modèles de processus de Kit. Vous codifiez les étapes d’un poste sous forme de pipeline versionné et réutilisable, et vous publiez une offre d’emploi qui s’appuie dessus en quelques minutes. Quand la fenêtre s’ouvre, le processus est déjà prêt. (Pour savoir quoi évaluer concrètement lors de ces entretiens, associez cette lecture à notre guide sur la performance en CTF comme signal de recrutement.)

Étape 2 : évaluez les candidats avec une grille d’évaluation structurée

Une grille d’évaluation structurée, c’est ce qui permet à une équipe de deux ou trois personnes d’évaluer un red teamer ou un chercheur de vulnérabilités de façon cohérente, sans parcours du combattant de six semaines ni biais d’instinct. Chacun note les mêmes compétences sur la même échelle, si bien que les décisions sont comparables et défendables.

Le flux de revue de Kit rend cela possible : évaluation cohérente étape par étape, files d’attente de décisions en attente et revues comparables d’un évaluateur à l’autre. Si vous voulez la méthode approfondie qui explique pourquoi cela fonctionne, consultez les grilles d’évaluation d’entretien structurées et la validité prédictive et notre point de vue sur le recrutement par compétences avec des grilles d’évaluation structurées.

Étape 3 : répondez en 48 heures, décidez en deux semaines

L’élan est un atout que le candidat ressent. Un chercheur qui hésite entre plusieurs offres remarque quelle entreprise fait avancer les choses. Visez une première réponse sous 48 heures et une décision finale sous deux semaines. Une communication réactive, un passage rapide d’une étape à l’autre et des prochaines étapes claires : voilà ce qui vous distingue du sous-traitant dont l’offre est encore en cours d’examen.

Faire avancer les candidats est un problème de flux de travail, et c’est justement celui que Kit est conçu pour résoudre : résumés de candidature, passage à l’étape suivante en un clic et messagerie intégrée, pour que personne ne stagne dans une file d’attente pendant qu’un concurrent conclut.

Étape 4 : puisez dans votre vivier de talents dès que la fenêtre s’ouvre

La recherche de candidats la plus rapide est celle que vous avez déjà faite. Les anciens candidats, les personnes approchées en direct et celles que vous avez écartées pour une question de calendrier forment un vivier chaud que vous pouvez réactiver instantanément, au lieu de repartir de zéro. Quand le marché bouge, fouillez ce vivier en premier. Les outils de vivier de talents de Kit vous permettent de recontacter d’anciens candidats le jour même où la fenêtre s’ouvre, et non trois semaines après le début d’une nouvelle recherche.

Recruter des talents déplacés, avec honnêteté

C’est le moment d’être précis et humain, pas opportuniste. Ce sont des personnes qui perdent des sources de revenus, pas une liquidation à prix cassés. Traitez quelques points de front, et un processus structuré les fera remonter tôt plutôt que tard.

• Les habilitations ne se transfèrent pas au travail dans le privé, et vous n’en avez pas besoin. Les anciens chercheurs du secteur public apportent une expertise profonde, ancrée dans la réalité des adversaires. La sécurité produit dans le privé n’exige pas leur habilitation : ne considérez donc pas son absence comme une lacune.
• Certains postes de sous-traitance sont assortis de clauses restrictives. Les clauses de non-concurrence et autres dispositions similaires varient. Définissez clairement le périmètre du poste et interrogez le candidat sur ses contraintes dès le départ ; une présélection structurée en fait une question normale posée tôt, pas une mauvaise surprise tardive.
• L’adéquation avec la mission compte vraiment. Quelqu’un qui passe d’un travail public porté par une mission à la cadence produit d’une startup opère un ajustement. Nommez-le en entretien. L’argument, c’est un travail utile qui avance vite, pas du « talent au rabais ».

Le fil conducteur : un processus structuré vous offre un cadre net et précoce pour aborder chacun de ces points, ce qui est meilleur pour vous et plus respectueux envers le candidat.

Concrètement, dans Kit

Quand le marché vous ouvre une fenêtre de recrutement, c’est le processus structuré le plus rapide qui l’emporte. C’est toute la thèse, et c’est ce pour quoi le module Recrutement de Kit est conçu. Définissez une fois votre pipeline de sécurité offensive sous forme de modèle réutilisable, évaluez chaque candidat sur une grille d’évaluation cohérente pour qu’une petite équipe puisse trancher sans biais ni délai, faites avancer les candidats grâce à une communication réactive et au passage à l’étape suivante en un clic, et réactivez votre vivier de talents dès que la fenêtre s’ouvre.

Kit ne placera pas les candidats à votre place, ne vérifiera pas les habilitations et ne prendra pas la décision d’embauche pour vous. Ce qu’il supprime, c’est la latence du processus — la seule chose qui vous sépare du chercheur senior qui se retrouve sans source de revenus ce trimestre. La contraction de la CISA et la fermeture de Huntr ont créé l’offre. La demande croissante en sécurité offensive, c’est la concurrence. Votre rapidité, c’est l’atout décisif.

Définissez le pipeline une fois, évaluez les candidats de façon cohérente et décidez en quelques jours. Démarrez votre essai gratuit et soyez, ce trimestre, le processus le plus rapide et le plus respectueux dans la boîte de réception d’un excellent chercheur.