La méthode 2023 de cybersécurité repose encore largement sur une succession d’étapes manuelles : inventorier les actifs, analyser les alertes, prioriser les vulnérabilités, coordonner les équipes puis vérifier les correctifs. Cette organisation atteint ses limites lorsque les volumes de failles et de changements applicatifs augmentent plus vite que les effectifs disponibles.
Cogent et OpenAI proposent désormais une approche différente : des agents d’IA regroupés dans des « Cyber Defense Factories », capables de relier l’inventaire, l’investigation et la remédiation dans une même chaîne opérationnelle. L’objectif n’est pas de remplacer les politiques de sécurité, mais d’automatiser leur exécution avec des contrôles déterministes et une validation humaine pour les changements sensibles.
Voici une méthode concrète pour moderniser une démarche de cybersécurité conçue en 2023, sans abandonner les fondamentaux : connaissance des actifs, contrôle des accès, segmentation, supervision, sauvegardes et gestion rigoureuse des vulnérabilités.
Pourquoi la méthode 2023 atteint ses limites
La cybersécurité efficace commence toujours par une connaissance fiable du système d’information. En 2023, cette connaissance était souvent répartie entre plusieurs outils : scanners de vulnérabilités, plateformes de gestion des actifs, solutions de sécurité cloud, annuaires d’identité, outils de ticketing et systèmes de supervision.
Cette fragmentation crée un problème opérationnel. Une alerte peut identifier une bibliothèque vulnérable sans savoir précisément quelle application l’utilise, qui en est responsable, si elle est exposée sur Internet ou si un correctif risque d’interrompre une activité critique. L’analyste doit alors reconstituer manuellement le contexte avant de décider.
La méthode traditionnelle suit généralement ce parcours :
- découverte des actifs et des logiciels installés ;
- collecte des vulnérabilités depuis plusieurs scanners ;
- déduplication des résultats ;
- évaluation de la gravité et de l’exposition ;
- création de tickets pour les équipes responsables ;
- déploiement du correctif ;
- nouvelle analyse pour vérifier la résolution.
Chaque transfert entre équipes ajoute un délai et augmente le risque d’erreur. La priorité technique n’est pas toujours la priorité métier : une faille critique sur un serveur isolé peut représenter moins de danger qu’une vulnérabilité moins sévère sur une application accessible depuis Internet.
À retenir : l’intelligence artificielle ne compense pas un inventaire incomplet. Elle devient utile lorsque les données d’actifs, d’identités, de dépendances et de vulnérabilités peuvent être reliées dans un même contexte.
Construire une base fiable avant d’automatiser
La première étape consiste à établir une source de vérité sur les actifs. L’inventaire doit couvrir les environnements cloud, les infrastructures locales, les postes de travail, les applications, les comptes techniques et les composants logiciels utilisés dans les chaînes de développement.
Un inventaire exploitable associe au minimum chaque actif à un propriétaire, une fonction métier, une exposition réseau, un niveau de criticité et ses dépendances principales. Ces informations permettent à un agent d’IA de distinguer une machine de test d’un système de production ou une application secondaire d’un service indispensable.
Les données à relier
Une architecture de cybersécurité assistée par IA gagne en précision lorsque les sources suivantes sont corrélées :
- inventaire matériel et logiciel ;
- fournisseurs d’identité et privilèges ;
- configurations cloud ;
- résultats de scanners ;
- journaux réseau et systèmes ;
- dépôts de code et pipelines CI/CD ;
- tickets d’incident et historiques de remédiation ;
- propriétaires et contraintes opérationnelles des applications.
La qualité des résultats dépend directement de cette corrélation. Un modèle peut résumer une alerte, proposer une hypothèse ou générer une commande, mais il ne doit pas inventer la criticité d’un actif ni déduire une autorisation qui n’existe pas.
Cogent décrit une couche de contexte qui relie les vulnérabilités aux actifs, identités, applications, propriétaires et dépendances concernés. Dans son modèle de Cyber Defense Factory, les agents utilisent cette connaissance pour conduire l’investigation et choisir une action conforme aux politiques définies par l’entreprise.
Définir les responsabilités
Chaque famille d’actifs doit disposer d’un responsable opérationnel et d’un responsable de sécurité. Cette séparation évite qu’un agent déclenche une modification sans validation du propriétaire du service ou sans contrôle de l’équipe de sécurité.
Les rôles doivent être associés à des règles précises : qui peut accepter un risque, qui peut demander une exception, qui valide une mise en production, qui peut interrompre un service et qui vérifie le retour à l’état attendu.
Utiliser l’IA pour prioriser les vulnérabilités
L’IA est particulièrement utile lorsqu’elle transforme une liste de vulnérabilités en décisions contextualisées. La priorité ne doit pas dépendre du seul score de gravité : elle doit intégrer l’exposition, la présence d’un exploit, la valeur de l’actif, les privilèges accessibles et la facilité de déploiement d’un correctif.
Une règle de priorisation peut combiner plusieurs facteurs :
- gravité technique de la vulnérabilité ;
- exposition directe ou indirecte à Internet ;
- présence de données sensibles ;
- rôle de l’actif dans les dépendances applicatives ;
- disponibilité d’un correctif ou d’une mesure compensatoire ;
- activité observée sur l’actif ;
- conséquences possibles d’une interruption.
L’agent peut ensuite regrouper les résultats par cause commune. Plusieurs alertes issues de serveurs différents peuvent provenir de la même bibliothèque ou de la même image de conteneur. Cette déduplication réduit le travail d’analyse et permet de corriger une cause racine plutôt que de traiter chaque alerte isolément.
Comparer les niveaux d’automatisation
| Niveau | Action de l’IA | Contrôle humain | Usage adapté |
|---|---|---|---|
| Assistance | Résumer les alertes et proposer une priorité | Validation de chaque décision | Équipes qui commencent avec l’IA |
| Orchestration | Créer des tickets et préparer les changements | Validation avant exécution | Environnements hétérogènes |
| Exécution contrôlée | Appliquer des actions autorisées et réversibles | Supervision et seuils d’arrêt | Correctifs répétitifs et maîtrisés |
| Boucle fermée | Détecter, corriger et vérifier automatiquement | Gouvernance, audit et exceptions | Processus standardisés et fortement instrumentés |
Cette progression évite de passer directement d’un outil d’analyse à une autonomie totale. Les premières automatisations doivent viser des tâches répétitives, réversibles et faciles à vérifier.
Passer de l’analyse à la remédiation vérifiée
Une recommandation de correctif ne suffit pas. La remédiation doit comporter une préparation, une exécution contrôlée et une vérification indépendante.
Le workflow recommandé est le suivant :
- l’agent identifie les actifs concernés et la vulnérabilité ;
- il vérifie la version installée et les dépendances ;
- il propose une stratégie de correction ;
- il évalue les risques de régression ;
- il demande une validation lorsque la politique l’exige ;
- il exécute uniquement les commandes autorisées ;
- il vérifie que le correctif est actif ;
- il conserve les preuves et le résultat de l’opération.
Cogent présente ses agents comme capables d’évaluer une exposition, d’exécuter des changements permis et de confirmer que le risque a été éliminé. Cette logique est différente d’une simple génération de texte : l’agent doit agir dans un environnement instrumenté et rendre compte de chaque étape.
Imposer des contrôles déterministes
Les contrôles déterministes limitent les actions possibles avant même que le modèle ne formule une décision. Ils peuvent imposer des restrictions sur les environnements, les comptes utilisés, les commandes acceptées, les fenêtres de maintenance, les actifs exclus et les seuils d’approbation.
Exemples de garde-fous :
- interdiction de modifier un système de production sans approbation ;
- limitation des commandes à une liste validée ;
- obligation de créer une sauvegarde avant changement ;
- arrêt automatique en cas d’écart avec l’état attendu ;
- vérification obligatoire par un second outil ;
- conservation des journaux d’entrée, de décision et d’exécution.
Le modèle ne doit donc pas être le seul mécanisme de sécurité. Il interprète le contexte et propose ou enchaîne des actions, tandis que les politiques techniques bornent ce qu’il est réellement autorisé à faire.
Vérifier au lieu de supposer
La vérification doit utiliser un signal distinct de celui qui a déclenché l’action. Après une mise à jour, il faut contrôler la version réellement installée, l’exposition persistante, le fonctionnement de l’application et la disparition de la vulnérabilité dans les outils de sécurité.
Une remédiation peut échouer de plusieurs façons : le correctif n’a pas été déployé sur tous les nœuds, une image obsolète a été redémarrée, une dépendance vulnérable reste présente ou une règle réseau continue d’exposer le service. La validation doit donc porter sur l’état effectif, pas uniquement sur le succès d’une commande.
Encadrer les agents avec une gouvernance adaptable
L’autonomie doit être proportionnelle au risque. Un agent peut disposer d’une marge d’action plus large pour appliquer une mise à jour réversible sur un poste isolé que pour modifier une base de données de production.
Une matrice simple peut définir les niveaux d’autorisation :
- observation et recommandation pour les systèmes critiques ;
- préparation automatique avec validation humaine pour les applications sensibles ;
- exécution automatique pour les changements réversibles et standardisés ;
- exécution en boucle fermée uniquement après validation du processus et des contrôles.
Cogent met en avant une gouvernance adaptable dans laquelle les équipes définissent jusqu’où les agents peuvent agir seuls. Cette approche permet d’augmenter progressivement l’automatisation sans imposer une règle identique à tous les actifs.
Protéger les données utilisées par les modèles
Les données de sécurité peuvent contenir des noms de machines, des identités, des chemins internes, du code source ou des informations sur les incidents. Leur utilisation par un modèle doit respecter les règles de confidentialité, de conservation et d’accès de l’entreprise.
Les contrôles nécessaires comprennent :
- séparation des environnements de test et de production ;
- réduction des privilèges des comptes utilisés par les agents ;
- chiffrement des données en transit et au repos ;
- journalisation des consultations ;
- limitation de la durée de conservation ;
- filtrage des secrets avant transmission au modèle ;
- évaluation des fournisseurs et des sous-traitants.
La gouvernance doit également prévoir un mécanisme d’arrêt d’urgence. Une équipe doit pouvoir suspendre les agents, révoquer leurs accès et revenir à un fonctionnement manuel lorsqu’un comportement inattendu apparaît.
Mesurer les résultats avec des indicateurs opérationnels
Une stratégie d’IA en cybersécurité doit être évaluée sur des résultats mesurables, pas sur le nombre de réponses générées par un modèle. Les indicateurs doivent couvrir la vitesse, la qualité, le risque et la charge de travail.
Les métriques utiles comprennent :
- délai moyen entre la détection et la qualification ;
- délai entre la qualification et la correction ;
- taux de vulnérabilités corrigées dans le délai cible ;
- taux de faux positifs ;
- taux d’échec des changements automatisés ;
- pourcentage de remédiations vérifiées ;
- nombre d’exceptions ouvertes depuis plus de trente jours ;
- nombre d’actions nécessitant une reprise manuelle ;
- fréquence des régressions après correction.
Synack indique que ses clients ont réduit de 63 à 38 jours le délai moyen de correction des vulnérabilités critiques entre 2024 et 2025. La même source rapporte une baisse de 100 à 58 jours pour les vulnérabilités de gravité élevée sur cette période. Ces résultats concernent les clients et le périmètre étudiés par Synack, ils ne constituent pas une garantie applicable à toutes les organisations.
L’indicateur le plus important reste la réduction du risque résiduel. Une organisation peut corriger davantage de vulnérabilités tout en restant exposée si les actifs critiques sont mal inventoriés, si les exceptions sont trop nombreuses ou si les vérifications sont insuffisantes.
Ce que change l’approche Cogent et OpenAI
Cogent présente les Cyber Defense Factories comme une chaîne continue allant de l’inventaire à la correction vérifiée. Les agents prennent en charge une partie du travail d’investigation, de coordination et d’exécution, tandis que l’entreprise définit les politiques qu’ils doivent respecter.
OpenAI décrit une collaboration dans laquelle les modèles sont utilisés pour des tâches de cybersécurité longues, notamment l’analyse de code, la planification de remédiations et l’enchaînement d’appels à des outils. Cogent affirme obtenir une meilleure fidélité sur les bases de code techniques, moins d’hallucinations et une exécution plus fiable avec les modèles d’OpenAI.
Ces affirmations doivent être lues comme des résultats et positions publiés par les entreprises concernées, et non comme un benchmark indépendant universel. Le bénéfice opérationnel dépend de la qualité des données, des intégrations, des politiques et du périmètre d’automatisation retenu.
Cogent indique également que son modèle spécialisé VR-1.1 s’est classé premier sur LiveCVEBench pour la réparation de vulnérabilités réelles. Un tel résultat peut éclairer le choix d’un outil, mais il ne remplace pas une évaluation sur les applications, les contraintes et les procédures propres à chaque entreprise.
La feuille de route annoncée vise une remédiation de plus en plus autonome, jusqu’à un système en boucle fermée. Dans ce modèle, l’agent détecte une vulnérabilité, détermine la correction, l’applique dans les limites autorisées puis confirme le retour à un état sûr.
À retenir : la valeur d’une Cyber Defense Factory ne réside pas uniquement dans le modèle. Elle vient de l’association entre contexte d’entreprise, agents spécialisés, contrôles d’exécution, politiques d’autorisation et preuves de vérification.
Notre avis : commencez par les corrections répétitives
La meilleure manière d’optimiser la cybersécurité avec l’IA n’est pas d’automatiser immédiatement les décisions les plus sensibles. Il faut commencer par les workflows fréquents, réversibles et mesurables : déduplication des alertes, enrichissement des actifs, préparation de tickets, validation de versions et déploiement de correctifs sur des périmètres maîtrisés.
La méthode 2023 reste pertinente pour ses fondamentaux : inventaire, contrôle des accès, segmentation, sauvegardes, supervision et gestion des risques. Ce qui doit évoluer, c’est la coordination entre ces briques. Les agents peuvent réduire les transferts manuels et accélérer la résolution, à condition que leurs pouvoirs soient limités et auditables.
Dans les six prochains mois, les équipes les mieux préparées seront celles qui auront défini des politiques d’automatisation, nettoyé leurs inventaires et mesuré précisément leurs délais de remédiation. Les entreprises qui voudront passer directement à une boucle fermée sans ces bases risqueront surtout d’automatiser leurs erreurs.
La question décisive ne sera donc pas de savoir si un agent peut corriger une faille, mais si l’organisation peut prouver qu’il a corrigé la bonne faille, sur le bon actif, sans créer un nouveau risque.