PME - Reconnaitre le bias cognitif pour mieux se protéger
07 mai 2026
Parce que... c'est l'épisode 0x309!
Teknik - Doxxing-proof authentic digital media - trust the asset, protect the source (nsec)
14 mai 2026
Parce que... c'est l'épisode 0x308!
H'umain - Horizon 2030 - Le cerveau humain, nouvelle infrastructure critique de la cybersécurité (Cybereco)
29 avril 2026
Parce que... c'est l'épisode 0x307!
Actu - 7 juin 2026
07 juin 2026
Parce que... c'est l'épisode 0x306!
PME - Mythos ou pas mythos
11 mai 2026
Parce que... c'est l'épisode 0x305!
Teknik - A systematic approach to evading antivirus software
14 mai 2026
Parce que... c'est l'épisode 0x304!
Teknik - GenAI en cybersécurité - cas concret d'utilisation et retour d'expérience (Cybereco)
29 avril 2026
Parce que... c'est l'épisode 0x303!
Parce que… c’est l’épisode 0x303!
Shameless plug
- 3 au 5 juin 2026 - SSTIC 2026
- 24 et 25 juin 2026 - Troopers
- 26 et 27 juin 2026 - leHACK
- 19 septembre 2026 - Bsides Montréal
- 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026
- 24 et 25 février 2027 - SéQCure 2027
Description
Dans cet épisode spécial Cybereco, Cédric Thibault partage un retour d’expérience sur le développement d’une plateforme d’automatisation de workflows de cybersécurité utilisant réellement l’IA générative. Sa motivation : il existe beaucoup de discours sur l’IA, mais peu de retours concrets de bâtisseurs qui ont fait des choix, commis des erreurs et obtenu des succès.
Le problème : des analystes noyés
Le constat de départ est partagé par toutes les entreprises qu’il côtoie. Face à la montée réelle des attaques — ce n’est pas qu’un argument marketing — les moyens humains restent très limités. Paradoxalement, ajouter des outils, même justifié, produit souvent l’effet inverse : cela noie davantage les équipes et réduit la capacité humaine en bout de chaîne.
Son objectif est de redonner de la capacité aux clients et de remettre les analystes dans un véritable poste d’analyste. Un analyste devrait faire de l’analyse et exercer son esprit critique, pas exécuter des clics séquencés en suivant un playbook. Beaucoup de processus de sécurité existent d’ailleurs en dehors du SOC. L’exemple récurrent est le triage des courriels signalés comme hameçonnage par les utilisateurs : ces signalements s’accumulent dans une boîte cyber partagée, et les analystes valident les indicateurs, lisent les courriels et jugent leur caractère malicieux. Additionné, cet effort représente des heures, pour une tâche répétitive sans réelle valeur ajoutée — comparable à la roue d’un hamster, puisque le flux de courriels malicieux est infini.
L’approche : déterminisme d’abord, IA aux points clés
Cédric insiste sur le mot clé du déterminisme. Par nature, un agent IA ne sera jamais pleinement déterministe : on peut maximiser sa fiabilité sans jamais la garantir totalement. Face à la pression marketing qui promet de remplacer des équipes entières par un agent, son retour d’expérience est différent : il faut utiliser l’IA là où elle est réellement utile, et s’appuyer sur des bases solides et déterministes — du procode ou du low-code via des plateformes d’automatisation.
Ces plateformes existent depuis des années, et la cybersécurité connaît bien les SOAR, mais ceux-ci sont restés cantonnés à l’univers du SOC. L’avantage de l’IA est qu’en mêlant les deux technologies — automatisation robuste et agents IA très ponctuels à des endroits clés — on obtient une valeur maximale : interaction intelligente avec les utilisateurs d’un côté, garantie que la prise d’action est exécutée par des scripts de l’autre. Bloquer le port 80 doit signifier exactement le port 80, pas une approximation. Cette fiabilité est indispensable, car aucune équipe cyber n’adoptera des processus qui ne sont pas fiables à 100 %.
Cédric rappelle un constat partagé deux ou trois ans plus tôt par David Gérard : en cybersécurité, la tolérance à la déviation est nulle, et dès qu’un analyste constatait une hallucination, c’était l’abandon systématique de toute la solution. Ces abandons sont dommageables, car la technologie bien employée apporte beaucoup de valeur. Le mode « yolo » n’est pas recommandé : déployer des workflows IA en production exige une démarche très structurée et beaucoup d’ingénierie, un aspect trop peu évoqué face aux vidéos YouTube spectaculaires.
L’ingénierie et l’équipe hybride
Un conseil fort : ne jamais confier un projet d’ingénierie IA uniquement à des ingénieurs IA. Il faut des spécialistes de domaine. Pour un workflow anti-hameçonnage dans M365, un spécialiste M365 est nécessaire, car les API ne sont pas si simples. Cédric recommande une équipe hybride en binôme : un ingénieur IA qui maîtrise la plateforme d’automatisation et l’invocation optimale du LLM (tokens, coûts, garde-fous), et un spécialiste de contenu qui choisit le meilleur flow et la bonne façon de travailler avec les outils tiers.
Concrètement, dans ce type de workflow, environ 90 % des nodes sont purement déterministes et seulement 10 % relèvent d’agents IA — mais placés au bon endroit, ils servent de « colle » permettant de finaliser le processus de bout en bout. Il déconseille d’utiliser des agents pour prendre des actions en console quand un simple script déterministe fait l’affaire, sans risque ni coût en tokens.
Gestion du risque et amélioration continue
Le niveau d’acceptation du risque varie selon les clients. Certains gardent un human in the loop — une alerte Teams avec un bouton « approve » ou « reject » avant toute action. D’autres, après une preuve de concept concluante, acceptent une automatisation complète, mais toujours avec des actions déterministes qui réduisent le risque sans le supprimer.
Une fois les premiers résultats observés, l’effet est impressionnant : les clients veulent enrichir leurs workflows et améliorer des processus qu’ils n’optimisaient pas faute de temps. L’analyste passe alors en mode amélioration et critique. Mais il faut stabiliser des versions, car l’observabilité et l’évaluation de performance exigent des jeux de tests roulés en permanence pour garantir la stabilité, tout en développant les versions suivantes en parallèle.
L’automatisation génère aussi de nombreux KPI, impossibles à obtenir dans des processus manuels, formant une boucle de rétroaction continue. Comme le reporting des plateformes low-code/no-code est souvent pauvre, son équipe exporte les logs des agents vers les SIEM des clients pour créer des tableaux de bord. Ce qu’on ne peut mesurer, on ne peut le faire évoluer.
Une évolution nécessaire
Cédric reprend une formule tirée d’un papier de la CSA lié à Mythos : ne pas faire évoluer ses processus de cybersécurité aujourd’hui revient à préparer ses équipes au burnout. Il ne s’agit pas que l’IA fasse tout, mais qu’elle améliore des points critiques pour décharger les analystes face à l’alert fatigue déjà bien présente. Les premiers retours clients sont très positifs. Il anticipe une adoption plus large et précise qu’il n’a pas abordé le sujet des agents personnels, un autre enjeu dont on parlera beaucoup en 2026.
Collaborateurs
Crédits
- Montage par Intrasecure inc
- Locaux réels par Cybereco
Tags: ai, cybereco, genai, ia
Tweet
