IA agentique pour la cybersécurité: 10 cas d'usage et exemples
L'IA agentique désigne les systèmes d'IA qui combinent des modèles tels que les grands modèles de langage (LLMs) avec des flux de travail automatisés, l'intégration d'outils et l'aide à la décision. Ces systèmes assistent les équipes de sécurité en SecOps et AppSec en analysant les alertes, en automatisant les tâches routinières et en soutenant le travail d'investigation.
Explorez des cas d'usage structurés et concrets de l'IA agentique en cybersécurité, ainsi que ce que font ces agents, comment ils fonctionnent et leurs limites pratiques :
Exemples d'agents IA en cybersécurité
- Agents de niveau 1
- Assistent la détection initiale et le triage des alertes.
- Effectuent la classification, la déduplication et l'enrichissement des alertes.
- Fournissent du contexte aux analystes pour prioriser les menaces.
- Agents de niveau 2
- Exécutent des actions prédéfinies sous supervision humaine.
- Exemples de tâches : isoler les systèmes affectés, lancer le confinement guidé par des playbooks.
- Agents de niveau 3
- Soutiennent l'analyse avancée des menaces.
- Exemples de capacités : corréler la télémétrie entre les systèmes, assister la chasse aux menaces, le scanning de vulnérabilités.
Les agents de niveau 3 ne remplacent pas les analystes humains mais augmentent leur flux de travail.
IA agentique pour les flux de travail de cybersécurité
Contrairement à l'automatisation simple basée sur des règles que l'on trouve dans les systèmes de sécurité traditionnels, l'IA agentique peut orchestrer plusieurs outils, intégrer des informations contextuelles provenant de sources diverses et soutenir la prise de décision en traitant des données non structurées. Cependant, ces systèmes fonctionnent avec une supervision humaine ou des politiques préconfigurées plutôt qu'avec un apprentissage et un contrôle entièrement autonomes dans les environnements de production.
L'IA agentique exploite sa capacité à apprendre dynamiquement de son environnement.1 Elle améliore les activités de cybersécurité en :
- Surveillant et traitant en continu les menaces en temps réel
- Automatisant les tâches répétitives du SOC avec une intervention humaine minimale
- Offrant un soutien décisionnel contextuel
Architecture des agents IA intégrés à l'inférence IA, pour leur interaction avec les LLMs et les données d'entreprise pour l'automatisation du SOC :
Adapté de : Cloudera2
Capacités fondamentales des outils de cybersécurité IA agentique
Les principales capacités des outils de cybersécurité IA agentique comprennent :
- Triage et enrichissement intelligents des alertes : les systèmes agentiques peuvent classer et prioriser les alertes, réduisant le bruit et aidant les analystes SOC à se concentrer sur les menaces significatives.
- Assistance à l'investigation automatisée : ces systèmes peuvent rassembler des informations contextuelles (par exemple, renseignements sur les menaces, corrélations de journaux) et résumer les résultats pour les analystes humains.
- Confinement et exécution de playbooks : l'IA agentique peut exécuter des actions de confinement telles que la mise en quarantaine d'un hôte ou l'application de restrictions d'accès définies dans des playbooks automatisés, sous réserve de gouvernance et de supervision humaine.
- Soutien à la chasse aux menaces : ils assistent les analystes en corrélant les indicateurs de compromission (IOC) entre les sources de données et en suggérant des hypothèses d'investigation, bien qu'une interprétation humaine substantielle reste nécessaire.
- Analyse et priorisation des vulnérabilités : les systèmes d'IA aident à analyser et à évaluer les vulnérabilités à grande échelle pour soutenir la priorisation des ressources.
Exemple de flux de travail : agent IA pour la détection de vulnérabilités (niveau 1)
Dans les preuves de concept de cybersécurité, des agents IA ont été mis en œuvre pour soutenir les flux de travail de scanning de vulnérabilités et de triage, en s'interfaçant avec des APIs qui fournissent des données de vulnérabilité et en orchestrant des tâches telles que la création de tickets ou la génération de rapports.
En plus des systèmes d'entreprise comme Dropzone IA, il existe également des implémentations construites manuellement où les agents de niveau 1 gèrent la détection initiale et le triage des menaces de sécurité potentielles.
Voici une démonstration pour construire un agent de détection automatisée de vulnérabilités dans l'environnement bac à sable DevNet :
Architecture agentique utilisée dans la démo : L'agent s'interface avec une interface frontale (telle que Streamlit UI) et un agent routeur (ACCS), envoyant des APIs REST et des commandes dans une direction et recevant des réponses, soit en JSON, soit en texte brut, dans l'autre direction.
Flux de travail et interactions des agents
1. Invite : L'utilisateur saisit une invite, telle que « Le routeur R1 est-il vulnérable ? Si oui, veuillez ouvrir un problème dans ServiceNow et envoyer un rapport à l'équipe de sécurité par e-mail à xyz@gmail.com. »
2. Traitement initial : L'agent reçoit l'invite et analyse la demande. Il identifie que la tâche consiste à vérifier la vulnérabilité du routeur 1 (R1), à ouvrir un ticket de problème dans ServiceNow et à envoyer un rapport par e-mail à l'adresse spécifiée.
3. Exécution de la requête : L'agent frontal (Streamlit UI) et l'agent routeur (ACCS) communiquent entre eux. L'agent routeur interroge le système pour connaître le statut du routeur 1, en vérifiant les vulnérabilités. Il détermine dynamiquement les commandes nécessaires et les exécute (par exemple, en utilisant la commande show version pour récupérer les détails de version).
4. Collecte de données : L'agent routeur collecte les données nécessaires, telles que la version du routeur 1, et envoie ces données à l'API PSIRT pour vérifier les vulnérabilités connues associées à cette version.
5. Détection de vulnérabilités : Le système interroge l'API PSIRT, reçoit les résultats (soit en JSON, soit en texte brut) et traite les informations. Il identifie s'il existe des vulnérabilités à haut risque liées to Router 1.
6. Exécution des actions : Si des vulnérabilités sont détectées :
- Un ticket de problème est automatiquement ouvert dans ServiceNow
- L'agent envoie par e-mail un rapport de vulnérabilité à l'équipe de sécurité.
Voir le rapport de vulnérabilité par e-mail généré par l'agent IA :
Cas d'usage réels : l'IA agentique dans les SecOps
1. Triage et investigation
- Les agents regroupent les alertes, suppriment les doublons et enrichissent les alertes avec du contexte sur les menaces.
- Exemple d'enrichissement : vérifications IOC, informations sur les endpoints et les comptes.
- Les analystes humains examinent toujours les résultats pour éviter les faux positifs.
Exemple concret : agents IA exploitant le triage et l'investigation
Défis : la configuration de sécurité initiale d'une compagnie d'assurance numérique nécessitait une gestion manuelle des alertes, ce qui était gourmand en ressources.
- Volume élevé d'alertes de sécurité
- Processus chronophages
- Nécessité d'une surveillance continue 24/7
Solutions : L'entreprise a déployé des agents IA de cybersécurité et a intégré ces agents aux systèmes existants comme AWS, Google Workspace et Okta.
Conséquences :
- La réduction de la charge manuelle a permis aux analystes SOC de prioriser les tâches à plus forte valeur ajoutée.
- Des rapports d'investigation détaillés ont fourni un niveau d'analyse granulaire, augmentant la visibilité sur les IOC (indicateurs de compromission).
- La réduction des faux positifs a amélioré la précision de la détection des menaces.4
2. Soutien à la chasse aux menaces
L'IA agentique peut être utilisée dans les systèmes de cybersécurité pour détecter et répondre aux menaces en temps réel.
Par exemple, ces agents peuvent identifier un comportement réseau inhabituel et isoler les appareils impactés de manière autonome pour empêcher une compromission sans intervention humaine.
- Les agents aident les analystes à détecter les comportements réseau inhabituels.
- Ils catégorisent les alertes par indicateurs atomiques, calculés et comportementaux.
- Ils corrèlent les indicateurs entre les données historiques et en temps réel.
- Les analystes interprètent les étapes d'investigation suggérées ; l'IA ne remplace pas le jugement expert.
Étude de cas réelle : agents IA exploitant la chasse aux menaces
Défis : Le système de santé de l'Université du Kansas rencontrait des difficultés à coordonner la réponse aux incidents. Parmi les défis clés :
- Manque de visibilité
- Réponse aux incidents limitée
- Contraintes en ressources humaines
Solutions : L'Université a mis en œuvre une plateforme de sécurité dotée de capacités d'IA agentique pour améliorer la visibilité et automatiser la chasse aux menaces dans la réponse aux incidents.
Conséquences :
- La visibilité entre les systèmes a augmenté de plus de 98 %
- La couverture de détection s'est améliorée de 110 % en six mois.
- Les processus de réponse automatisée aux incidents ont filtré et résolu 74 826 alertes sur 75 000, en escaladant 174 pour examen manuel.
- Les vrais positifs parmi les alertes escaladées ont totalisé 38, réduisant le bruit et permettant des réponses ciblées.5
3. Actions de réponse
Les agents peuvent générer des modèles d'infrastructure-as-code (par exemple, OpenTofu, Pulumi). Ils peuvent effectuer des actions sur les endpoints ou mettre à jour les contrôles de sécurité sous supervision humaine.
Exemple concret : agents IA exploitant les actions de réponse
Défis : APi Group, une organisation de distribution, était confrontée aux défis de cybersécurité suivants :
- Piles technologiques diversifiées
- Visibilité à travers l'écosystème
Solutions : pour relever les défis ci-dessus, APi Group a mis en œuvre la plateforme d'IA agentique de ReliaQuest pour améliorer la détection des menaces pour ses environnements Microsoft.
Conséquences :
- Réduction des temps de réponse de 52 % grâce à l'automatisation et aux playbooks intégrés.
- Augmentation de 47 % de la visibilité sur les piles Microsoft 365, Cisco et Palo Alto.
- Couverture MITRE ATT&CK étendue de 275 %.6
4. L'IA agentique comme outil d'attaque
La plupart des analyses sur l'IA agentique en sécurité se concentrent sur la défense, mais les mêmes capacités sont désormais documentées dans les opérations offensives.
Exemple concret : GTG-1002
En novembre 2025, l'équipe de renseignement sur les menaces d'Anthropic a signalé avoir perturbé ce qu'elle a décrit comme la première campagne de cyberespionnage largement autonome orchestrée par IA, attribuée à un groupe présumé parrainé par l'État chinois qu'elle a suivi sous le nom de GTG-1002.7 La campagne impliquait des tentatives d'intrusion quasi simultanées contre environ 30 cibles, y compris des entreprises technologiques, des institutions financières, des fabricants de produits chimiques et des agences gouvernementales, avec plusieurs compromissions confirmées avant que l'activité ne soit arrêtée.
Ce qui distingue cette campagne des attaques précédentes assistées par IA est le degré d'autonomie. Selon le rapport, l'acteur de la menace a utilisé un outil de codage agentique pour exécuter environ 80–90 % des opérations tactiques de manière indépendante, à des taux de requêtes inatteignables par des opérateurs humains. L'IA a pris en charge le travail tout au long du cycle de vie de l'intrusion :
- Reconnaissance : énumération des services internes au sein des réseaux ciblés sans direction humaine étape par étape.
- Découverte et exploitation de vulnérabilités : identification des faiblesses dans les cibles sélectionnées par l'humain et exploitation de celles-ci dans des opérations réelles.
- Post-exploitation : mouvement latéral, collecte d'identifiants, analyse de données et exfiltration.
Le rapport a également noté des limites. L'IA a parfois halluciné des identifiants ou prétendu avoir accès à des informations publiques, ce que les auteurs ont cité comme un obstacle restant aux attaques entièrement autonomes.
L'IA agentique et les opérations de sécurité (SecOps) expliquées
Les opérations de sécurité (SecOps) sont une approche collaborative entre les équipes de sécurité informatique et d'opérations informatiques axée sur l'identification proactive, la détection et la réponse aux cybermenaces.
Le problème :
Les SecOps sont confrontées à une fatigue sérieuse car les équipes traitent de vastes données provenant de systèmes diversifiés et de menaces évoluant rapidement tout en naviguant dans des structures organisationnelles et des exigences de conformité complexes.
Comment l'IA agentique aide :
L'IA est particulièrement efficace pour les « tâches de raisonnement » telles que l'analyse des alertes, la réalisation de recherches prédictives et la synthèse des données provenant des outils.
Ainsi, les agents IA dans les SecOps peuvent aider à automatiser les tâches qui nécessitent une analyse et une prise de décision en temps réel, telles que le phishing, les logiciels malveillants, les compromissions d'identifiants, les mouvements latéraux et la réponse aux incidents.
Par exemple, ces outils peuvent être entraînés sur les bases de connaissances MITRE ATT&CK pour imiter l'expertise des analystes humains ou utiliser des playbooks de réponse aux incidents pour :
- enrichir les alertes
- détecter les systèmes impactés
- isoler/trier les systèmes infectés
- créer des rapports d'incident
Les outils de cybersécurité IA agentique, tels que Trase, peuvent automatiser une grande partie du travail de conformité pour les normes comme SOC 2 et HIPAA.8
Source : SCALE9
Cas d'usage réels : l'IA agentique en AppSec
5. Identification des risques
L'IA agentique analyse en continu l'environnement pour faire remonter les vulnérabilités dans les applications et les bases de code par le biais de la découverte externe et interne. Les agents IA peuvent exécuter la découverte externe et interne pour identifier les menaces :
Découverte externe :
- stocker et classer les données concernant vos applications et APIs.
- scanner les serveurs web exposés.
- découvrir les ports ouverts sur les adresses IP exposées sur Internet.
Découverte interne :
- Évaluer les configurations d'exécution, identifier les problèmes et prioriser.
- Visualisation de l'accessibilité et des fonctionnalités des API
- Visualisation et utilisation des applications-API
- Surveillance sans agent des charges de travail API AWS et Azure
- Analyse du volume et des modèles de trafic applicatif
6. Création et adaptation de tests d'application
Les agents IA génèrent automatiquement des tests en fonction des interactions des utilisateurs avec l'application. Au fur et à mesure que les testeurs ou les développeurs utilisent l'outil pour capturer des cas de test, l'IA surveille et crée des scripts de test.
Si l'interface utilisateur de l'application change (par exemple, l'ID d'un élément change ou la mise en page change), l'agent IA peut identifier ces changements et personnaliser les scripts de test pour éviter les échecs.
7. Exécution dynamique des tests d'application
L'IA agentique exécute en continu des tests dans des contextes variés (par exemple, sur plusieurs navigateurs et appareils) sans interaction humaine. Les agents IA peuvent planifier des tests et analyser le comportement des applications de manière autonome pour garantir une couverture de test complète.
Ils peuvent également personnaliser dynamiquement les paramètres de test, tels que la copie de différentes entrées de données utilisateur ou la modification des conditions réseau, pour permettre une analyse plus approfondie de l'application.
8. Rapports autonomes et suggestions prédictives
Les agents IA peuvent examiner les données de test d'application de manière autonome, en trouvant des modèles d'échec et en déterminant les causes profondes.
Par exemple, si de nombreux tests échouent en raison du même problème, l'agent IA combinera les résultats et mettra en évidence le problème sous-jacent à l'équipe de développement.
Sur la base des données de test précédentes, les agents IA peuvent prédire les échecs futurs potentiels et recommander des méthodologies de test d'application pour traiter ces problèmes.
9. Remédiation autonome
L'IA agentique automatise le processus de remédiation. Par exemple, si l'agent IA détecte que certains tests sont redondants ou ne couvrent pas adéquatement des risques spécifiques, il peut optimiser la suite de tests en supprimant les tests non pertinents et en priorisant ceux qui se concentrent sur des domaines plus pertinents.
L'agent IA peut également détecter lorsqu'un test échoue en raison d'erreurs mineures (comme un changement mineur d'interface utilisateur) et « remédier » le script de test pour se conformer à l'application révisée, éliminant les faux positifs et nécessitant moins d'intervention manuelle.
10. Tests d'intrusion automatisés
L'IA agentique automatise le processus de test de pénétration, y compris l'identification des vulnérabilités, la génération de plans d'attaque et l'exécution. Parmi les pratiques clés des agents IA dans les initiatives de tests d'intrusion, on trouve :
Simulation d'adversaire en temps réel :
- Réalisation de simulations telles que des attaques réseau, applicatives et d'ingénierie sociale.
- Exécution de tests de pénétration tels que le DAST (test dynamique de sécurité des applications).
Reconnaissance :
- Scanning d'Internet, y compris le web profond, sombre et de surface, pour détecter les actifs informatiques exposés (par exemple, ports ouverts, buckets cloud mal configurés).
- Intégration d'OSINT (renseignement de sources ouvertes) et de renseignement sur les menaces pour cartographier les surfaces d'attaque.
L'IA agentique et la sécurité des applications (AppSec) expliquées
La sécurité des applications consiste à protéger les applications tout au long de leur cycle de vie, de la conception et du développement jusqu'au déploiement et à la maintenance continue.
Le problème :
À mesure que les applications hébergées gagnaient en importance en tant que moteurs de revenus clés pour les entreprises à grande échelle, leur sécurité également. Cela a créé des tendances récentes telles que :
- L'utilisation généralisée du Cloud et des applications SaaS a déplacé la sécurité plus tôt dans le SDLC pour minimiser les risques avant qu'ils n'atteignent la production.
- Avec l'augmentation de la programmation cloud-native, davantage de migration vers des plateformes tierces telles qu'AWS a eu lieu, rendant ainsi la surface d'attaque des applications plus exposée aux vulnérabilités.
En raison de l'augmentation de la surface d'attaque et du potentiel, les attaquants ont développé des méthodes nouvelles et inventives pour compromettre les applications.
Comment l'IA agentique aide :
L'IA agentique peut aider à améliorer l'AppSec en intégrant et en automatisant diverses étapes du cycle de vie des applications pour renforcer la sécurité, y compris la surveillance de vos pipelines CI/CD ou l'automatisation des tests de pénétration.
Ajouter comme source préféréeDéfis de l'IA agentique en cybersécurité
1. Manque de transparence et d'interprétabilité
- Prise de décision opaque : les opérations et systèmes de sécurité pilotés par l'IA peuvent être difficiles à interpréter, en particulier lorsqu'ils modifient les politiques de sécurité ou les décisions par eux-mêmes. Les ingénieurs de test et les développeurs peuvent avoir du mal à comprendre pourquoi certaines actions ont été prises ou à confirmer les décisions de l'IA.
- Confiance et fiabilité : sans explications explicites, il peut être difficile pour les équipes de faire confiance aux recommandations ou aux révisions de l'IA, ce qui conduit à une résistance à la mise en œuvre de solutions d'IA agentique.
2. Préoccupations concernant la qualité des données
- Dépendance aux données : les agents IA ont besoin de données diversifiées pour apprendre à effectuer des actions efficacement. Des données insuffisantes ou biaisées peuvent entraîner des actions erronées ou des prévisions incorrectes.
- Cas limites dans les configurations système : si l'infrastructure informatique d'une organisation comprend des configurations sur mesure ou des combinaisons logicielles rares, un agent IA peut interpréter à tort des comportements normaux comme des anomalies ou ne pas détecter de véritables menaces.
3. Maintenir la fiabilité
- Faux positifs et faux négatifs : l'IA agentique peut classer incorrectement les données liées aux SecOps ou à l'AppSec, entraînant des faux positifs (signaler des bogues alors qu'il n'en existe pas) ou des faux négatifs (ne pas détecter des problèmes réels). Ces erreurs peuvent compromettre la confiance dans le système et nécessiter une intervention manuelle pour valider les résultats.
- Problèmes d'adaptabilité : bien que l'IA agentique soit conçue pour s'adapter aux changements, certains changements complexes ou inattendus dans l'application (par exemple, des refontes majeures de l'interface utilisateur ou des changements d'architecture backend) peuvent encore entraîner l'échec des opérations de sécurité, nécessitant une intervention humaine pour mettre à jour les modèles de l'IA.
4. Complexité de mise en œuvre
- Difficulté à sécuriser l'intégration des API : les agents IA s'interfacent fréquemment avec des systèmes externes ; par conséquent, la protection des APIs est essentielle. La tokenisation et la validation des API sont autant de mesures qui contribuent à garantir une interaction fiable.
- Formation et déploiement : les modèles d'IA agentique doivent être entraînés sur de grands ensembles de données et des scénarios diversifiés pour être efficaces, ce qui peut être gourmand en ressources et chronophage.
5. Exigences de supervision humaine
- Surveillance continue : bien que l'IA agentique vise à réduire l'implication humaine, elle nécessite toujours une surveillance et une maintenance pour garantir son bon fonctionnement. Les équipes de sécurité doivent vérifier les résultats de l'IA, ajuster les modèles si nécessaire et intervenir lorsque l'IA rencontre des scénarios complexes ou inattendus.
- Exigences en personnel hautement qualifié : la gestion de l'IA agentique nécessite une expertise en IA, en apprentissage automatique ou en sécurité des applications. Les organisations peuvent avoir des difficultés à trouver ou à former du personnel possédant les compétences requises.
Réflexions finales sur l'IA agentique pour la cybersécurité
L'IA agentique a le potentiel d'améliorer les opérations de cybersécurité en améliorant les temps de réponse et en allégeant la charge des équipes de sécurité.
Cependant, des défis tels que le manque de transparence, les préoccupations concernant la qualité des données et les faux positifs/négatifs peuvent accroître la difficulté globale de déployer efficacement des solutions d'IA agentique.
La mise en œuvre réussie de l'IA agentique dans les opérations nécessite du personnel qualifié, une surveillance et des mises à jour continues, des processus efficaces de validation des faux positifs et une attention portée aux autres défis clés.
Lectures complémentaires
- Signes de prolifération des agents IA et liste de contrôle pour gérer la prolifération
- Vulnérabilité des agents IA
- Top 30+ du paysage des agents IA industriels à surveiller
- Pièges des agents IA : 20 incidents réels
Citer cette recherche
Choisissez le format qui correspond à votre lieu de publication. Coller la version avec lien dans votre CMS préserve le lien retour.
@misc{dilmegani2026,
author = {Dilmegani, Cem and PhD., Ezgi Arslan,},
title = {{IA agentique pour la cybersécurité: 10 cas d'usage et exemples}},
year = {2026},
month = jul,
howpublished = {\url{https://aimultiple.com/agentic-ai-cybersecurity}},
note = {AIMultiple. Consulté le 30 Juillet 2026}
}Liens de référence
Les travaux de Cem ont été cités par des publications internationales de premier plan telles que Business Insider, Forbes, Washington Post, des entreprises mondiales comme Deloitte, HPE et des ONG comme le Forum économique mondial et des organisations supranationales comme la Commission européenne.
Tout au long de sa carrière, Cem a exercé en tant que consultant tech, acheteur tech et entrepreneur tech. Il a conseillé des entreprises sur leurs décisions technologiques chez McKinsey & Company et Altman Solon pendant plus d'une décennie. Il a également publié un rapport McKinsey sur la numérisation.
Il a dirigé la stratégie technologique et les achats d'un opérateur télécom tout en rendant compte au PDG. Il a également mené la croissance commerciale de l'entreprise deep tech Hypatos qui a atteint un chiffre d'affaires récurrent annuel à 7 chiffres et une valorisation à 9 chiffres à partir de 0 en 2 ans. Le travail de Cem chez Hypatos a été couvert par des publications technologiques de premier plan comme TechCrunch et Business Insider.
Cem intervient régulièrement lors de conférences technologiques internationales. Il est diplômé de la Bogazici University en tant qu'ingénieur informatique et détient un MBA de la Columbia Business School.
Commentaires 1
Partagez vos idées
Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires. Les commentaires sont laissés dans leur langue d'origine.
Very insightful overview of how agentic AI is moving cybersecurity from reactive alerting to autonomous, intelligence-driven operations. The real-world SecOps and AppSec examples clearly show the value of AI agents in reducing noise, accelerating response, and scaling security—while also realistically highlighting the challenges around trust, data quality, and human oversight.