En cybersécurité, la vitesse de traitement devient un facteur décisif. Sophos affirme avoir fait passer le temps moyen d’investigation de certains cas MDR d’environ 38 minutes à 89 secondes grâce à des agents développés avec OpenAI Daybreak.
Cette automatisation couvre désormais 52 % des dossiers MDR de bout en bout, dans des limites définies par les analystes Sophos. Le dispositif ne supprime pas la supervision humaine : trois modes de contrôle déterminent les actions qu’un agent peut proposer ou exécuter.
Voici les cinq mécanismes qui structurent cette automatisation en 2026, de l’analyse initiale des alertes à la réponse coordonnée dans l’environnement informatique.
1. Sophos automatise l’investigation des cas MDR avec des agents IA
L’investigation constitue le premier niveau d’automatisation. Les agents développés avec OpenAI Daybreak rassemblent automatiquement le contexte client, les détections, les indicateurs de compromission et les renseignements sur les menaces associés à un dossier.
Cette collecte évite aux analystes de répéter manuellement les mêmes recherches dans plusieurs outils. L’agent peut réunir les éléments nécessaires à l’analyse avant de transmettre le dossier à un spécialiste humain lorsque la situation exige une décision ou une interprétation plus poussée.
Sophos indique que les cas utilisant ces agents sont traités en moyenne en 89 secondes, contre environ 38 minutes auparavant. Cette comparaison représente une réduction de 96 % du temps moyen de traitement annoncé par l’entreprise.
À retenir : l’agent ne se contente pas de trier une alerte. Il collecte le contexte technique et les renseignements utiles pour construire une investigation exploitable par le centre opérationnel de sécurité.
Une chaîne d’analyse organisée en plusieurs étapes
Le fonctionnement repose sur une succession d’opérations automatisées. Un agent d’investigation collecte les données pertinentes, puis un modèle de planification élabore une stratégie d’analyse. Le système exécute ensuite les étapes prévues et produit une synthèse accompagnée de recommandations.
Sophos décrit cette méthode comme une boucle « plan-execute-review », c’est-à-dire planifier, exécuter puis vérifier. Des agents spécialisés peuvent également réaliser certaines opérations de réponse, selon les droits et les limites définis pour le client.
L’intérêt principal se situe dans la standardisation. Une alerte présentant des caractéristiques connues peut suivre rapidement un parcours d’analyse cohérent, tandis que les analystes concentrent leur attention sur les exceptions, les cas ambigus et les décisions sensibles.
Une automatisation mesurée par les résultats MDR
Sophos affirme que 52 % des cas MDR sont désormais résolus de bout en bout par l’IA. Ce chiffre concerne les dossiers traités dans les limites calibrées par les analystes Sophos.
L’automatisation ne signifie donc pas que tous les incidents suivent le même parcours. Les cas qui dépassent les règles prévues peuvent rester soumis à une intervention humaine, notamment lorsqu’une action risque d’interrompre une activité ou de modifier durablement un système.
2. Sophos transforme les résultats de l’analyse en plans d’action
La deuxième automatisation concerne la préparation de la réponse. Une fois les éléments rassemblés, les modèles construisent un plan qui détaille les vérifications à effectuer, les résultats obtenus et les mesures envisageables.
Cette étape réduit le temps consacré à la préparation manuelle d’une réponse. Elle permet aussi de présenter les conclusions dans un format plus directement exploitable par les analystes et les équipes informatiques.
Le système ne produit pas uniquement une alerte supplémentaire. Il relie les événements, les indicateurs de compromission et les renseignements disponibles pour formuler une séquence d’actions. Les analystes peuvent ensuite examiner cette séquence avant qu’une opération sensible soit lancée.
Le modèle « plan-execute-review »
La boucle de traitement annoncée par Sophos s’articule autour de trois temps :
- Planifier l’investigation à partir du contexte et des données disponibles.
- Exécuter les étapes d’analyse et collecter les résultats.
- Vérifier les conclusions et produire une synthèse destinée aux analystes.
Cette organisation donne un cadre aux agents. Elle limite le risque d’une réponse improvisée et rend plus visible le chemin suivi pour parvenir à une recommandation.
Dans un environnement MDR, cette traçabilité est essentielle. L’analyste doit pouvoir comprendre pourquoi une action est proposée, quels éléments ont été examinés et quelles hypothèses restent à confirmer.
Des recommandations qui restent encadrées
Sophos précise que les agents peuvent effectuer certaines parties de la réponse, mais que les actions potentiellement destructrices continuent de nécessiter le niveau approprié de supervision humaine.
La distinction est importante entre une opération d’analyse et une opération qui modifie l’environnement. Collecter des informations, enrichir un dossier ou produire une synthèse ne présente pas le même niveau de risque qu’isoler un poste, interrompre un processus ou modifier une configuration de sécurité.
Le système automatise donc davantage les étapes répétitives et prévisibles que les décisions susceptibles d’avoir un impact opérationnel immédiat.
3. Sophos laisse le client choisir le niveau d’intervention autorisé
La troisième automatisation repose sur trois modes de contrôle client : Notify, Collaborate et Authorise. Ils définissent la manière dont Sophos traite un dossier et le degré d’autonomie accordé pour les actions de réponse.
Ces modes s’appliquent aux opérations réalisées par une personne comme à celles effectuées par un agent. L’IA ne bénéficie donc pas d’un périmètre d’action différent simplement parce qu’elle exécute plus rapidement les étapes prévues.
| Mode de contrôle | Fonctionnement | Niveau de décision client |
|---|---|---|
| Notify | Sophos enquête sur le cas et recommande une réponse | Le client réalise l’action |
| Collaborate | Sophos et le client travaillent ensemble avant l’action | La décision est coordonnée |
| Authorise | Sophos peut répondre directement au nom du client | L’action est déléguée dans le cadre défini |
Notify : l’automatisation prépare, le client agit
Dans le mode Notify, Sophos mène l’investigation et formule une recommandation. Le client conserve l’exécution de la réponse.
Ce fonctionnement convient aux organisations qui veulent bénéficier d’une analyse accélérée tout en gardant la main sur chaque intervention. L’automatisation réduit le temps de préparation sans transférer la décision opérationnelle à la plateforme.
Ce mode peut également s’intégrer à des procédures internes exigeant une validation avant toute modification d’un poste, d’un compte ou d’un service.
Collaborate : l’agent accélère la décision collective
Le mode Collaborate prévoit une coopération entre Sophos et le client avant l’exécution d’une action. Les résultats de l’enquête et les recommandations peuvent être examinés avec les équipes responsables de l’environnement.
Ce modèle associe la rapidité de l’automatisation à une validation conjointe. Il limite le risque qu’une réponse techniquement correcte provoque une interruption non souhaitée dans un contexte métier sensible.
Authorise : une réponse directe dans un périmètre défini
Le mode Authorise permet à Sophos de répondre directement au nom du client. Cette délégation reste encadrée par les limites convenues et par les règles de supervision applicables.
L’objectif est de réduire le délai entre la détection et la remédiation lorsque la rapidité prime. La capacité d’action ne signifie pas pour autant que toutes les mesures sont exécutées automatiquement : les opérations sensibles restent soumises au niveau de contrôle approprié.
À retenir : les trois modes ne suppriment pas le choix du client. Ils déterminent au contraire jusqu’où l’automatisation peut aller dans la réponse à un incident.
4. Sophos orchestre les réponses entre plusieurs outils de sécurité
La quatrième automatisation concerne la coordination des opérations dans l’environnement informatique. Sophos XDR propose des connecteurs capables d’intégrer des produits Sophos et des solutions tierces.
Une fois les connexions configurées, les équipes peuvent créer des playbooks combinant des actions et une logique de décision. Ces scénarios peuvent exécuter automatiquement certaines tâches répétitives liées aux tickets, aux notifications, aux détections et aux opérations de réponse.
Cette approche évite de traiter chaque outil comme un silo indépendant. Une détection peut déclencher une suite d’actions cohérentes dans plusieurs systèmes, selon les règles configurées par l’organisation.
Les opérations automatisables dans Sophos XDR
La documentation Sophos mentionne plusieurs catégories d’actions :
- Créer et interroger des tickets dans des systèmes tiers.
- Envoyer des notifications par courrier électronique ou messagerie instantanée.
- Gérer des détections.
- Exécuter des actions de réponse.
- Créer des dossiers et attribuer des étiquettes aux terminaux.
Les playbooks peuvent associer ces opérations à une logique conditionnelle. Un scénario peut donc traiter différemment une alerte selon son type, son niveau de risque ou les informations recueillies pendant l’investigation.
Des intégrations qui élargissent le contexte disponible
Sophos indique que Sophos Fusion s’appuie sur plus de 500 intégrations tierces. Les signaux provenant de l’endpoint, de l’identité, du pare-feu, de la messagerie, du cloud et d’autres points de contrôle peuvent contribuer à l’enquête et à la réponse.
Cette consolidation permet de rapprocher des événements qui seraient autrement examinés séparément. Une activité suspecte détectée sur un poste peut être confrontée à des signaux provenant d’un compte, d’un service cloud ou d’un autre équipement.
La valeur de l’automatisation dépend alors de la qualité du contexte disponible. Plus les données sont reliées, plus les playbooks et les agents disposent d’éléments pour appliquer une réponse adaptée.
5. Sophos combine automatisation et supervision humaine dans Fusion
La cinquième façon dont Sophos automatise la cybersécurité consiste à intégrer les agents, les données et les contrôles dans Sophos Fusion, présenté comme son système de défense cybernétique fondé sur l’IA.
Fusion regroupe les capacités liées à la détection, à l’investigation et à la réponse. L’approche vise à faire travailler ensemble les produits Sophos, les intégrations tierces, les playbooks et les agents développés avec OpenAI Daybreak.
L’automatisation accélère les opérations, mais la supervision humaine reste le mécanisme de contrôle des décisions à fort impact. Sophos indique que les limites d’action sont calibrées par ses analystes et que les frontières définies pour les clients s’appliquent aux agents comme aux personnes.
L’analyste se concentre sur les exceptions
Lorsque les tâches répétitives sont prises en charge par des agents, les analystes peuvent consacrer davantage de temps aux menaces complexes, aux exceptions et aux arbitrages.
Ce déplacement du travail ne transforme pas l’analyste en simple validateur. Il modifie plutôt la répartition des efforts : l’agent rassemble les faits et exécute les étapes autorisées, tandis que l’expert examine les situations qui nécessitent du contexte, du jugement ou une décision métier.
Le modèle est particulièrement pertinent pour les équipes qui doivent traiter un grand volume d’événements sans augmenter proportionnellement le nombre d’analystes disponibles.
Une automatisation conçue pour rester réversible
Le contrôle humain joue aussi un rôle de sécurité opérationnelle. Une recommandation peut être vérifiée avant une action, une action peut être réservée au client, et une délégation peut être limitée à un périmètre défini.
Cette gradation réduit le risque d’une automatisation trop large. Elle permet d’adapter le niveau d’autonomie au type d’organisation, à la criticité des systèmes et aux procédures internes de réponse aux incidents.
La combinaison entre agents et analystes ne repose donc pas sur un remplacement uniforme. Elle s’appuie sur des règles d’autorisation qui déterminent les opérations exécutables automatiquement et celles qui doivent rester validées.
Ce que les 89 secondes changent pour les opérations de sécurité
Le passage d’environ 38 minutes à 89 secondes modifie la temporalité d’un centre opérationnel de sécurité. Une partie des dossiers peut être enrichie, analysée et orientée beaucoup plus rapidement qu’avec un traitement manuel séquentiel.
La rapidité ne garantit pas à elle seule une réponse correcte. Elle devient utile lorsqu’elle s’accompagne d’un contexte fiable, de règles d’action précises et d’une supervision adaptée au risque.
Le chiffre de 52 % apporte un second éclairage. Sophos ne présente pas seulement une démonstration ponctuelle : l’entreprise affirme que plus de la moitié des cas MDR sont résolus de bout en bout par l’IA dans les limites établies par ses analystes.
Cette proportion montre que l’automatisation vise des opérations de production réelles. Elle ne signifie pas que tous les incidents sont équivalents ni que les décisions sensibles sont déléguées sans contrôle.
Notre avis : Sophos automatise vite, mais conserve le dernier mot humain
Sophos adopte une approche convaincante pour les équipes qui veulent accélérer le MDR sans abandonner la gouvernance des réponses. Les 89 secondes annoncées et les 52 % de cas résolus de bout en bout montrent une automatisation déjà intégrée au traitement opérationnel, tandis que les modes Notify, Collaborate et Authorise maintiennent un contrôle gradué.
Le point fort du dispositif tient à l’équilibre entre agents, playbooks et analystes. L’IA collecte, planifie et exécute certaines opérations ; les experts définissent les limites et interviennent lorsque le contexte ou le risque l’exige.
Dans les six prochains mois, la question centrale ne sera probablement pas seulement la vitesse des agents. Elle portera sur la capacité des entreprises à définir des périmètres d’autorisation suffisamment précis pour profiter de cette vitesse sans automatiser une erreur à grande échelle.
Si Sophos continue d’étendre Fusion, ses intégrations et ses agents tout en conservant cette supervision, l’automatisation MDR pourrait progressivement devenir un standard de fonctionnement plutôt qu’une fonctionnalité différenciante.