Teknik - IA SOC - Parce que... c'est l'épisode 0x2EE! — PolySécure Podcast

Teknik - IA SOC - Parce que... c'est l'épisode 0x2EE!

PolySécure Podcast · 22/04/2026 04:00 · 40 min
Informatique

Contenu de l'épisode

Parce que… c’est l’épisode 0x2EE! Shameless plug Description

Un historique souvent oublié

David Bizeul rappelle d’emblée que l’intelligence artificielle en cybersécurité n’est pas un phénomène récent. Ses racines remontent aux années 1950 avec les travaux d’Alan Turing, mais c’est surtout à partir des années 1990 que le machine learning commence à s’intégrer concrètement dans les produits de sécurité. Les systèmes experts et les algorithmes de classification — supervisés ou non supervisés — permettent alors de traiter de grands volumes de données : filtres bayésiens pour les e-mails, détection d’anomalies réseau via les outils NDR, etc.

Cette évolution se fait progressivement et sans grand bruit jusqu’en 2023, où l’architecture Transformer de Google — à l’origine de ChatGPT et d’OpenAI — change radicalement la donne. Les LLM (grands modèles de langage) ouvrent de nouvelles possibilités dès lors qu’on leur fournit un corpus textuel structuré. Les produits de sécurité intègrent d’abord des assistants conversationnels, capables de répondre à des questions sur des groupes d’attaquants ou des menaces connues, en s’appuyant simplement sur ce que le modèle a appris.

Vient ensuite le RAG (Retrieval-Augmented Generation), qui permet de combiner la connaissance générale du LLM avec des données internes propres à chaque client : analyses de risques, politiques de sécurité, rapports de tests d’intrusion. Le contexte devient ainsi beaucoup plus pertinent et personnalisé.

L’ère agentique : plusieurs agents qui collaborent

La véritable rupture arrive avec l’approche agentique, qui s’impose véritablement à partir de fin 2025 et début 2026. Plutôt qu’un modèle unique qui répond à des requêtes, on dispose désormais d’un framework composé de plusieurs agents spécialisés qui travaillent ensemble de façon orchestrée.

David illustre cela avec un cas d’usage concret dans un SOC :

  • Un agent d’investigation analyse les alertes en profondeur : il examine les événements associés, identifie les actifs concernés, recoupe les informations pour confirmer si une attaque a réellement progressé ou a été bloquée.
  • Un agent de triage joue le rôle d’orchestrateur : il mobilise l’agent d’investigation sur l’ensemble des alertes en attente, puis produit un verdict ou un score de pertinence pour chacune d’elles.
  • Un agent de contre-mesures prend le relais une fois la situation clarifiée : il propose des actions correctives en tenant compte des outils disponibles (présence ou non d’API, de protocoles MCP) et de leur accessibilité réelle dans l’environnement du client.

Chaque agent dispose d’un périmètre d’action délimité, d’une capacité de raisonnement (un LLM interne ou externe) et d’une batterie d’actions possibles. C’est exactement la trajectoire suivie par l’entreprise de David, qui déploie ces modules agentiques cette année.

Maîtriser les hallucinations et personnaliser les agents

Pour s’assurer qu’un agent reste dans les rails, plusieurs mécanismes sont mis en place. Le premier est le system prompt : une instruction détaillée — parfois l’équivalent de cinq pages — qui définit les objectifs, les étapes à suivre et les comportements à éviter. Les clients peuvent ensuite surcharger ces instruct

Plus d'informations