Un développeur d'exploits est un spécialiste de la sécurité offensive qui transforme les vulnérabilités en exploits fiables et fonctionnels ainsi qu'en code de preuve de concept. Là où un chercheur en vulnérabilités peut identifier l'existence d'une faille, le développeur d'exploits établit si et comment cette faille peut être amenée à produire un résultat utile et reproductible. Ce métier se situe à l'extrémité la plus exigeante du spectre de la sécurité offensive et se définit moins par l'étendue de l'outillage que par la profondeur de la compréhension du comportement réel des logiciels et du matériel, sous les abstractions avec lesquelles travaillent la plupart des ingénieurs.
Le travail quotidien allie une analyse rigoureuse à une ingénierie disciplinée. Il consiste en grande partie à étudier les mécanismes internes d'une cible, à raisonner sur la corruption de mémoire et d'autres catégories de défauts, et à comprendre les protections contre l'exploitation sur lesquelles reposent les systèmes modernes, ainsi que les conditions dans lesquelles elles tiennent ou cèdent. Le développeur écrit et affine ensuite du code qui doit se comporter de façon cohérente d'une version, d'une configuration et d'un environnement à l'autre, ce qui accorde une grande importance à la fiabilité plutôt qu'à une réussite ponctuelle. La documentation, la reproductibilité et des comptes rendus clairs comptent énormément, car le résultat alimente généralement le travail d'une autre équipe plutôt que de s'arrêter au développeur.
Ce métier exige des bases solides en informatique bas niveau : mécanismes internes des systèmes d'exploitation, gestion de la mémoire, compilateurs et assembleur, et souvent les particularités d'une architecture de processeur donnée. L'aisance avec les débogueurs, la rétro-ingénierie et la lecture du code écrit par d'autres est indispensable, tout comme la patience, car la progression est souvent incrémentale et beaucoup de pistes prometteuses n'aboutissent à rien. De nombreux praticiens arrivent avec un parcours en programmation système, en rétro-ingénierie ou en recherche de vulnérabilités, et affûtent leurs compétences par les compétitions capture-the-flag, l'étude autonome et une pratique soutenue sur le terrain. La progression suit généralement la profondeur, les praticiens devenant avec le temps des références sur des plateformes, des sous-systèmes ou des technologies de protection particuliers.
Les développeurs d'exploits travaillent généralement en appui d'efforts plus vastes plutôt que de façon isolée. Ils peuvent fournir des capacités aux red teams qui ont besoin d'un moyen fiable de démontrer un impact au cours d'une mission, contribuer à des programmes de développement de capacités, ou travailler pour des éditeurs d'outils de sécurité qui conçoivent et valident des produits de détection et de test. Ce travail est étroitement encadré par l'autorisation légale et des considérations éthiques, et les praticiens sérieux opèrent strictement dans des contextes autorisés, contractualisés ou de recherche.
Ce métier est étroitement lié à plusieurs fonctions voisines de la sécurité offensive. Les chercheurs en vulnérabilités trouvent et trient les failles que les développeurs d'exploits transforment ensuite en preuve de concept exploitable, et ces deux fonctions sont souvent réunies au sein d'une même personne ou équipe. Les spécialistes de la rétro-ingénierie apportent la compréhension des systèmes fermés dont dépend l'exploitation, tandis que les pentesteurs et les opérateurs de red team sont fréquemment les consommateurs de la capacité finie. Comprendre ces proximités aide un futur développeur d'exploits à voir où se situe le métier et comment une carrière peut évoluer entre la recherche, l'ingénierie et le travail offensif opérationnel.