Espilon Hunt
Casse de vrais produits. Patche-les. Fais-toi payer les deux.
Un bug hunt hardware à huis clos : deux jours sur place, jusqu'à 10 équipes sélectionnées, de vrais produits embarqués proposés par des fabricants partenaires (signatures en cours).
Trouver la faille. Puis la corriger.
Les objets connectés et les équipements industriels sont pleins de failles, et le Cyber Resilience Act impose déjà de signaler les failles activement exploitées et s'applique pleinement en décembre 2027. Plusieurs programmes de bug bounty sont en pause, débordés par des rapports invalides. Espilon Hunt propose autre chose : de vrais produits, cassés puis corrigés, dans une salle fermée où le fabricant garde la main.
Quatre étapes, une seule finale
Préinscription
Ton équipe de 2 à 4 remplit le formulaire. Ça ne t'engage à rien.
Sélection
Le bureau choisit jusqu'à 10 équipes sur dossier, selon des critères publiés. Chaque refus reçoit une raison en une ligne.
Finale à huis clos
Deux jours sur le vrai matériel. Ton premier PoC fonctionnel réserve la faille ; ton patch est à déposer avant la fin.
Publication
Chaque faille part au fabricant après triage. Rien n'est public avant son advisory ou, à défaut, 90 jours après la transmission, avec un report possible jusqu'au plafond fixé pour chaque cible. Ensuite ton write-up suit, avec ton nom dessus.
Pensé pour celles et ceux qui cassent du hardware
Le patch paie
Un patch validé rapporte autant que la découverte. Sans patch, une faille corrigeable compte pour moitié.
Le physique compte
Glitching, fault injection, dump de flash : quand le fabricant l'autorise, l'accès physique n'est jamais un motif de déclassement.
Un seul pool
Un pool unique, alimenté par au moins 70 % des forfaits des fabricants et par des dons, partagé au prorata des points, avec un plancher à encaisser avant l'ouverture des inscriptions, prévue en mars 2027. Aucun fléchage.
Un jury indépendant
Trois jurés, dont deux extérieurs à Espilon, nommés en février 2027.
Ton travail, ton nom
Crédit dans les advisories et les CVE. Ton tooling et tes PoC restent à toi.
Rien à vendre
Les failles ne sont ni vendues ni cédées. Elles vont au fabricant et, pour un composant tiers, à son éditeur.
Deux façons d'en être
Chercheurs et étudiants
Hardware, firmware, RF, fault injection : si tu aimes casser de vrais appareils, préinscris ton équipe. Sélection sur candidature. Tu acceptes le règlement, avec son engagement de confidentialité, et rien de plus. Participation gratuite ; déplacement à ta charge, déjeuners offerts (défraiement partiel possible pour les équipes hors Île-de-France).
Fabricants, projets open source, sponsors
Mettez un produit dans le scope : un test à huis clos, un rapport et des patchs proposés, publiés à votre date. Forfait fabricant dès 3 500 € HT, dont au moins 70 % est reversé aux chercheurs via le pool commun ; sponsoring dès 1 500 € HT, ou un don au pool des chercheurs. Remboursement intégral si le pilote est annulé ou si le plancher n'est pas atteint au 31/03/2027.
Espilon Hunt en une page
L'idée, le format, le calendrier et comment participer. Écrivez-nous pour recevoir le dossier de partenariat complet.
D'ici à mai 2027
- Nov. 2026 à févr. 2027Partenaires et cibles
- Février 2027Règlement définitif et jury publiés
- Mars 2027Candidatures confirmées
- Avril 2027Sélection des équipes
- Mai 2027La finale de deux jours
- Dès fin août 2027Publications, après l'advisory de chaque fabricant
Réponses courtes
Qui peut participer ?
Des équipes de 2 à 4 personnes, 18 ans minimum : chercheurs, pentesters, étudiants. La sélection se fait sur candidature.
Qu'est-ce que je gagne ?
Des points, convertis en argent depuis un pool unique alimenté par au moins 70 % des forfaits des fabricants et par des dons, partagé au prorata des points, avec un plancher à encaisser avant l'ouverture des inscriptions, prévue en mars 2027. Un patch validé rapporte autant que la découverte. Des lots en nature sont possibles, et tu es crédité dans les advisories et les CVE.
Qu'est-ce que je signe ?
Le règlement, qui contient un engagement de confidentialité : jusqu'à la publication, rien ne sort sur une faille, ni le nom des cibles, ni les résultats par cible, et les firmwares et dumps restent sur les machines du banc. Ton tooling et tes PoC restent à toi ; le fabricant reçoit une licence non exclusive sur le patch et le PoC. Ce que tu lis ici est un résumé provisoire ; le règlement définitif sort en février 2027.
Attaquer ces produits, c'est légal ?
Oui. Chaque fabricant signe une autorisation écrite qui fixe le scope, y compris les attaques physiques qu'il autorise. Les projets open source valident leur scope par écrit.
Quand et où ?
En mai 2027, en Île-de-France. Le week-end exact et le lieu seront annoncés sur notre Discord. La participation est gratuite ; le déplacement est à ta charge, les déjeuners sont offerts pendant les deux jours. Un défraiement partiel pourra être proposé aux équipes hors Île-de-France si le budget le permet (annoncé en avril), au réel sur justificatifs.
Qu'est-ce que je peux publier ensuite ?
Après l'advisory du fabricant, ton write-up est libre : tu peux nommer le produit comme le fait l'advisory, avec ton crédit dans la CVE. Publier un PoC, ou un patch sur du code propriétaire, demande l'accord écrit du fabricant.
Je débute, c'est pour moi ?
Oui, si ton équipe est motivée : des équipes étudiantes sont aussi retenues, et aucune CVE n'est exigée. Prépare-toi avec les cours hardware d'Espilon Learn. Même sans faille, tu repars avec le retour du jury et une attestation de participation. Ne rien trouver n'est pas un échec.
Tu en es ?
La préinscription n'engage à rien. Partenaires : un mail suffit pour commencer.