Teknik - GenAI en cybersécurité - cas concret d'utilisation et retour d'expérience (Cybereco) - Parce que... c'est l'épisode 0x303! — PolySécure Podcast

Teknik - GenAI en cybersécurité - cas concret d'utilisation et retour d'expérience (Cybereco) - Parce que... c'est l'épisode 0x303!

PolySécure Podcast · 02/06/2026 04:00 · 28 min
Informatique

Contenu de l'épisode

Parce que… c’est l’épisode 0x303! Shameless plug Description

Dans cet épisode spécial Cybereco, Cédric Thibault partage un retour d’expérience sur le développement d’une plateforme d’automatisation de workflows de cybersécurité utilisant réellement l’IA générative. Sa motivation : il existe beaucoup de discours sur l’IA, mais peu de retours concrets de bâtisseurs qui ont fait des choix, commis des erreurs et obtenu des succès.

Le problème : des analystes noyés

Le constat de départ est partagé par toutes les entreprises qu’il côtoie. Face à la montée réelle des attaques — ce n’est pas qu’un argument marketing — les moyens humains restent très limités. Paradoxalement, ajouter des outils, même justifié, produit souvent l’effet inverse : cela noie davantage les équipes et réduit la capacité humaine en bout de chaîne.

Son objectif est de redonner de la capacité aux clients et de remettre les analystes dans un véritable poste d’analyste. Un analyste devrait faire de l’analyse et exercer son esprit critique, pas exécuter des clics séquencés en suivant un playbook. Beaucoup de processus de sécurité existent d’ailleurs en dehors du SOC. L’exemple récurrent est le triage des courriels signalés comme hameçonnage par les utilisateurs : ces signalements s’accumulent dans une boîte cyber partagée, et les analystes valident les indicateurs, lisent les courriels et jugent leur caractère malicieux. Additionné, cet effort représente des heures, pour une tâche répétitive sans réelle valeur ajoutée — comparable à la roue d’un hamster, puisque le flux de courriels malicieux est infini.

L’approche : déterminisme d’abord, IA aux points clés

Cédric insiste sur le mot clé du déterminisme. Par nature, un agent IA ne sera jamais pleinement déterministe : on peut maximiser sa fiabilité sans jamais la garantir totalement. Face à la pression marketing qui promet de remplacer des équipes entières par un agent, son retour d’expérience est différent : il faut utiliser l’IA là où elle est réellement utile, et s’appuyer sur des bases solides et déterministes — du procode ou du low-code via des plateformes d’automatisation.

Ces plateformes existent depuis des années, et la cybersécurité connaît bien les SOAR, mais ceux-ci sont restés cantonnés à l’univers du SOC. L’avantage de l’IA est qu’en mêlant les deux technologies — automatisation robuste et agents IA très ponctuels à des endroits clés — on obtient une valeur maximale : interaction intelligente avec les utilisateurs d’un côté, garantie que la prise d’action est exécutée par des scripts de l’autre. Bloquer le port 80 doit signifier exactement le port 80, pas une approximation. Cette fiabilité est indispensable, car aucune équipe cyber n’adoptera des processus qui ne sont pas fiables à 100 %.

Cédric rappelle un constat partagé deux ou trois ans plus tôt par David Gérard : en cybersécurité, la tolérance à la déviation est nulle, et dès qu’un analyste constatait une hallucination, c’était l’abandon systématique de toute la solution. Ces abandons sont dommageables, car la technologie bien employée apporte beaucoup de valeur. Le mode « yolo » n’est pas recommandé : déployer des workflows IA en production exige une démarche très structurée et beaucoup d’ingénierie, un aspect trop peu évoqué face aux vidéos YouTube spectaculaires.

L’ing

Plus d'informations