Agentic IA pour la cybersécurité: 10 cas d'utilisation et exemples
L'IA agentique (Agentic IA) désigne les systèmes d'IA qui combinent des modèles tels que les grands modèles de langage (LLMs) avec des flux de travail automatisés, l'intégration d'outils et l'aide à la décision. Ces systèmes assistent les équipes de sécurité en SecOps et AppSec en analysant les alertes, en automatisant les tâches routinières et en soutenant le travail d'investigation.
Découvrez des cas d'utilisation structurés et concrets de l'IA agentique en cybersécurité, ainsi que ce que font ces agents, comment ils fonctionnent et leurs limites pratiques :
Exemples d'agents IA en cybersécurité
- Agents de niveau 1
- Assistent à la détection initiale et au triage des alertes.
- Effectuent la classification, la déduplication et l'enrichissement des alertes.
- Fournissent un contexte aux analystes pour prioriser les menaces.
- Agents de niveau 2
- Exécutent des actions prédéfinies sous supervision humaine.
- Exemples de tâches : isoler les systèmes affectés, lancer le confinement piloté par des playbooks.
- Agents de niveau 3
- Soutiennent l'analyse avancée des menaces.
- Exemples de capacités : corréler la télémétrie entre les systèmes, assister la chasse aux menaces, analyse de vulnérabilités.
Les agents de niveau 3 ne remplacent pas les analystes humains mais augmentent leur flux de travail.
Agentic IA pour les flux de travail en cybersécurité
Contrairement à l'automatisation simple basée sur des règles que l'on trouve dans les systèmes de sécurité traditionnels, l'IA agentique peut orchestrer plusieurs outils, intégrer des informations contextuelles provenant de sources diverses et soutenir la prise de décision en traitant des données non structurées. Cependant, ces systèmes fonctionnent avec une supervision humaine ou des politiques préconfigurées plutôt qu'avec un apprentissage et un contrôle entièrement autonomes dans les environnements de production.
L'IA agentique exploite sa capacité à apprendre dynamiquement de son environnement.1 Elle améliore les activités de cybersécurité en :
- Surveillant et traitant continuellement les menaces en temps réel
- Automatisant les tâches répétitives du SOC avec une intervention humaine minimale
- Offrant un soutien décisionnel contextuel
Architecture des agents IA intégrés à l'inférence IA, pour leur interaction avec les LLMs et les données d'entreprise pour l'automatisation du SOC :
Adapté de : Cloudera2
Fonctionnalités principales des outils de cybersécurité Agentic IA
Les principales capacités des outils d'IA agentique pour la cybersécurité incluent :
- Triage et enrichissement intelligents des alertes : Les systèmes agentiques peuvent classifier et prioriser les alertes, réduisant le bruit et aidant les analystes SOC à se concentrer sur les menaces significatives.
- Assistance à l'investigation automatisée : Ces systèmes peuvent collecter des informations contextuelles (par exemple, renseignements sur les menaces, corrélations de logs) et résumer les résultats pour les analystes humains.
- Confinement et exécution de playbooks : L'IA agentique peut exécuter des actions de confinement telles que la mise en quarantaine d'un hôte ou l'application de restrictions d'accès définies dans des playbooks automatisés, sous réserve de gouvernance et de supervision humaine.
- Soutien à la chasse aux menaces : Ils assistent les analystes en corrélant les indicateurs de compromission (IOC) à travers les sources de données et en suggérant des hypothèses d'investigation, bien qu'une interprétation humaine substantielle reste nécessaire.
- Analyse et priorisation des vulnérabilités : Les systèmes d'IA aident à analyser et à évaluer les vulnérabilités à grande échelle pour soutenir la priorisation des ressources.
Exemple de flux de travail : Agent IA pour la détection de vulnérabilités (Niveau 1)
Dans les preuves de concept en cybersécurité, des agents IA ont été mis en œuvre pour soutenir les flux de travail d'analyse et de triage des vulnérabilités, en s'interfaçant avec des APIs qui fournissent des données de vulnérabilité et en orchestrant des tâches telles que la création de tickets ou la génération de rapports.
En plus des systèmes d'entreprise comme Dropzone IA, il existe également des implémentations artisanales où les agents de niveau 1 gèrent la détection initiale et le triage des menaces de sécurité potentielles.
Voici une démo pour construire un agent de détection automatisée des vulnérabilités dans l'environnement sandbox DevNet :
Architecture agentique utilisée dans la démo : L'agent s'interface avec une interface frontale (telle que Streamlit UI) et un agent routeur (ACCS), envoyant des APIs REST et des commandes dans une direction et recevant des réponses, soit en JSON, soit en texte brut, dans l'autre direction.
Flux de travail et interactions des agents
1. Sollicitation : L'utilisateur saisit une requête, telle que « Le routeur R1 est-il vulnérable ? Si oui, veuillez ouvrir un problème dans ServiceNow et envoyer un rapport par e-mail à l'équipe de sécurité à xyz@gmail.com. »
2. Traitement initial : L'agent reçoit la requête et analyse la demande. Il identifie que la tâche consiste à vérifier la vulnérabilité du Routeur 1 (R1), ouvrir un ticket de problème dans ServiceNow et envoyer un rapport par e-mail à l'adresse spécifiée.
3. Exécution de la requête : L'agent frontal (Streamlit UI) et l'agent routeur (ACCS) communiquent entre eux. L'agent routeur interroge le système pour connaître le statut du Routeur 1, en vérifiant les vulnérabilités. Il détermine dynamiquement les commandes nécessaires et les exécute (par exemple, en utilisant la commande show version pour récupérer les détails de la version).
4. Collecte de données : L'agent routeur collecte les données nécessaires, telles que la version du Routeur 1, et envoie ces données à l'API PSIRT pour vérifier les vulnérabilités connues associées à cette version.
5. Détection de vulnérabilités : Le système interroge l'API PSIRT, reçoit les résultats (soit en JSON, soit en texte brut) et traite les informations. Il identifie s'il existe des vulnérabilités à haut risque liées to Router 1.
6. Exécution des actions : Si des vulnérabilités sont détectées :
- Un ticket de problème est automatiquement ouvert dans ServiceNow
- L'agent envoie par e-mail un rapport de vulnérabilité à l'équipe de sécurité.
Voir le rapport de vulnérabilité par e-mail généré par l'agent IA :
Cas d'utilisation réels : Agentic IA en SecOps
1. Triage et investigation
- Les agents regroupent les alertes, suppriment les doublons et enrichissent les alertes avec un contexte de menace.
- Exemple d'enrichissement : vérifications IOC, informations sur les endpoints et les comptes.
- Les analystes humains examinent toujours les résultats pour éviter les faux positifs.
Exemple concret : Agents IA exploitant le triage et l'investigation
Défis : La configuration de sécurité initiale d'une compagnie d'assurance numérique nécessitait une gestion manuelle des alertes, ce qui était gourmand en ressources.
- Volume élevé d'alertes de sécurité
- Processus chronophages
- Nécessité d'une surveillance continue 24h/24 et 7j/7
Solutions : L'entreprise a déployé des agents IA de cybersécurité et les a intégrés aux systèmes existants comme AWS, Google Workspace et Okta.
Conséquences :
- La réduction de la charge manuelle a permis aux analystes SOC de prioriser les tâches à plus forte valeur ajoutée.
- Des rapports d'investigation détaillés ont fourni un niveau d'analyse granulaire, augmentant la visibilité sur les IOC (indicateurs de compromission).
- La réduction des faux positifs a amélioré la précision de la détection des menaces.4
2. Soutien à la chasse aux menaces
L'IA agentique peut être utilisée dans les systèmes de cybersécurité pour détecter et répondre aux menaces en temps réel.
Par exemple, ces agents peuvent identifier un comportement réseau inhabituel et isoler les appareils impactés de manière autonome pour empêcher une compromission sans intervention humaine.
- Les agents aident les analystes à détecter un comportement réseau inhabituel.
- Ils catégorisent les alertes par indicateurs atomiques, calculés et comportementaux.
- Ils corrèlent les indicateurs à travers les données historiques et en temps réel.
- Les analystes interprètent les étapes d'investigation suggérées ; l'IA ne remplace pas le jugement expert.
Étude de cas concrète : Agents IA exploitant la chasse aux menaces
Défis : Le système de santé de l'Université du Kansas rencontrait des difficultés pour coordonner la réponse aux incidents, certains des défis clés incluent :
- Manque de visibilité
- Réponse aux incidents limitée
- Contraintes de ressources en personnel
Solutions : L'Université a mis en œuvre une plateforme de sécurité avec des capacités d'IA agentique pour améliorer la visibilité et automatiser la chasse aux menaces de réponse aux incidents.
Conséquences :
- La visibilité à travers les systèmes a augmenté de plus de 98%
- La couverture de détection s'est améliorée de 110% en six mois.
- Les processus de réponse aux incidents automatisés ont filtré et résolu 74 826 alertes sur 75 000, escaladant 174 alertes pour examen manuel.
- Les vrais positifs parmi les alertes escaladées totalisaient 38, réduisant le bruit et permettant des réponses ciblées.5
3. Actions de réponse
Les agents peuvent générer des modèles d'infrastructure-as-code (par exemple, OpenTofu, Pulumi). Ils peuvent effectuer des actions sur les endpoints ou mettre à jour les contrôles de sécurité sous supervision humaine.
Exemple concret : Agents IA exploitant les actions de réponse
Défis : APi Group, une organisation de distribution, a été confrontée aux défis de cybersécurité suivants :
- Piles technologiques diversifiées
- Visibilité à travers l'écosystème
Solutions : Pour relever les défis ci-dessus, APi Group a mis en œuvre la plateforme d'IA agentique de ReliaQuest pour améliorer la détection des menaces dans ses environnements Microsoft.
Conséquences :
- Temps de réponse réduits de 52% grâce à l'automatisation et aux playbooks intégrés.
- Augmentation de 47% de la visibilité à travers les piles Microsoft 365, Cisco et Palo Alto.
- Couverture MITRE ATT&CK étendue de 275%.6
4. L'IA agentique comme outil d'attaquant
La plupart des discussions sur l'IA agentique en sécurité se concentrent sur la défense, mais les mêmes capacités sont désormais documentées dans les opérations offensives.
Exemple concret : GTG-1002
En novembre 2025, l'équipe de renseignement sur les menaces d'Anthropic a signalé avoir perturbé ce qu'elle a décrit comme la première campagne de cyberespionnage largement autonome orchestrée par IA, attribuée à un groupe présumé parrainé par l'État chinois qu'elle a suivi sous le nom de GTG-1002.7 La campagne impliquait des tentatives d'intrusion quasi simultanées contre environ 30 cibles, y compris des entreprises technologiques, des institutions financières, des fabricants de produits chimiques et des agences gouvernementales, avec plusieurs compromissions confirmées avant que l'activité ne soit stoppée.
Ce qui distingue cette attaque des précédentes assistées par IA est le degré d'autonomie. Selon le rapport, l'acteur malveillant a utilisé un outil de codage agentique pour exécuter environ 80–90% des opérations tactiques de manière indépendante, à des taux de requêtes inatteignables par des opérateurs humains. L'IA a géré le travail tout au long du cycle de vie de l'intrusion :
- Reconnaissance : énumération des services internes au sein des réseaux ciblés sans direction humaine étape par étape.
- Découverte et exploitation de vulnérabilités : identification des faiblesses dans les cibles sélectionnées par l'humain et leur exploitation en opérations réelles.
- Post-exploitation : mouvement latéral, collecte d'identifiants, analyse de données et exfiltration.
Le rapport a également noté des limites. L'IA a parfois halluciné des identifiants ou prétendu avoir accès à des informations publiques, ce que les auteurs ont cité comme un obstacle restant aux attaques entièrement autonomes.
Agentic IA et opérations de sécurité (SecOps) expliquées
Les opérations de sécurité (SecOps) sont une approche collaborative entre les équipes de sécurité informatique et d'opérations informatiques axée sur l'identification, la détection et la réponse proactives aux cybermenaces.
Le problème :
Les équipes SecOps font face à une fatigue importante car elles traitent de vastes données provenant de systèmes divers et de menaces en évolution rapide tout en naviguant dans des structures organisationnelles complexes et des exigences de conformité.
Comment l'IA agentique aide :
L'IA est particulièrement efficace pour les « tâches de raisonnement » telles que l'analyse des alertes, la conduite de recherches prédictives et la synthèse de données provenant d'outils.
Ainsi, les agents IA en SecOps peuvent aider à automatiser les tâches qui nécessitent une analyse et une prise de décision en temps réel, telles que le phishing, les logiciels malveillants, les compromissions d'identifiants, les mouvements latéraux et la réponse aux incidents.
Par exemple, ces outils peuvent être formés sur les bases de connaissances MITRE ATT&CK pour imiter l'expertise des analystes humains ou utiliser des playbooks de réponse aux incidents pour :
- enrichir les alertes
- détecter les systèmes impactés
- isoler/trier les systèmes infectés
- créer des rapports d'incident
Les outils de cybersécurité Agentic IA, tels que Trase, peuvent automatiser une grande partie du travail de conformité pour des normes comme SOC 2 et HIPAA.8
Source : SCALE9
Cas d'utilisation réels : Agentic IA en AppSec
5. Identification des risques
L'IA agentique analyse continuellement l'environnement pour faire apparaître les vulnérabilités dans les applications et les bases de code grâce à la découverte externe et interne. Les agents IA peuvent exécuter une découverte externe et interne pour identifier les menaces :
Découverte externe :
- stockage et classification des données sur vos applications et APIs.
- analyse des serveurs web exposés.
- découverte des ports ouverts sur les adresses IP exposées à Internet.
Découverte interne :
- Évaluation des configurations d'exécution, identification des problèmes et priorisation.
- Visualisation de l'accessibilité et de la fonctionnalité des API
- Visualisation et utilisation des applications-API
- Surveillance sans agent des charges de travail API AWS et Azure
- Analyse du volume et des modèles de trafic des applications
6. Création et adaptation de tests d'application
Les agents IA génèrent automatiquement des tests en fonction des interactions des utilisateurs avec l'application. Lorsque les testeurs ou les développeurs utilisent l'outil pour capturer des cas de test, l'IA surveille et crée des scripts de test.
Si l'interface utilisateur de l'application change (par exemple, l'ID d'un élément change ou la mise en page change), l'agent IA peut identifier ces changements et personnaliser les scripts de test pour éviter les échecs.
7. Exécution dynamique de tests d'application
L'IA agentique exécute continuellement des tests dans des contextes variés (par exemple, sur plusieurs navigateurs et appareils) sans interaction humaine. Les agents IA peuvent planifier des tests et analyser le comportement des applications de manière autonome pour assurer une couverture de test complète.
Ils peuvent également personnaliser dynamiquement les paramètres de test, comme la copie de différentes entrées de données utilisateur ou le changement des conditions réseau, pour permettre une analyse plus approfondie de l'application.
8. Rapports autonomes et suggestions prédictives
Les agents IA peuvent examiner les données de test des applications de manière autonome, trouver les modèles de défaillance et déterminer les causes principales.
Par exemple, si de nombreux tests échouent en raison du même problème, l'agent IA combinera les résultats et mettra en évidence le problème sous-jacent à l'équipe de développement.
Sur la base des données de test précédentes, les agents IA peuvent prédire les défaillances futures potentielles et recommander des méthodologies de test d'application pour traiter ces problèmes.
9. Remédiation autonome
L'IA agentique automatise le processus de remédiation. Par exemple, si l'agent IA détecte que certains tests sont redondants ou ne couvrent pas adéquatement des risques spécifiques, il peut optimiser la suite de tests en supprimant les tests non pertinents et en priorisant ceux qui se concentrent sur des domaines plus pertinents.
L'agent IA peut également détecter quand un test échoue en raison d'erreurs mineures (comme un changement mineur d'interface utilisateur) et « remédier » le script de test pour se conformer à l'application révisée, éliminant les faux positifs et nécessitant moins d'intervention manuelle.
10. Pentesting automatisé
L'IA agentique automatise le processus de test d'intrusion, y compris l'identification des vulnérabilités, la génération de plans d'attaque et l'exécution. Quelques pratiques clés des agents IA dans les initiatives de pentesting incluent :
Simulation d'adversaire en temps réel :
- Mener des simulations telles que des attaques réseau, d'application et d'ingénierie sociale.
- Exécuter des tests d'intrusion tels que le DAST (test dynamique de sécurité des applications).
Reconnaissance :
- Analyser Internet, y compris le web profond, le dark web et le web de surface, pour détecter les actifs informatiques exposés (par exemple, ports ouverts, buckets cloud mal configurés).
- Intégrer l'OSINT (renseignement de sources ouvertes) et le renseignement sur les menaces pour cartographier les surfaces d'attaque.
Agentic IA et sécurité des applications (AppSec) expliquées
La sécurité des applications consiste à protéger les applications tout au long de leur cycle de vie, de la conception et du développement jusqu'au déploiement et à la maintenance continue.
Le problème :
Alors que les applications hébergées sont devenues de plus en plus importantes en tant que moteurs de revenus clés pour les entreprises à grande échelle, leur sécurité a également gagné en importance. Cela a créé des tendances récentes telles que :
- L'utilisation généralisée du Cloud et des applications SaaS a déplacé la sécurité plus tôt dans le SDLC pour minimiser les risques avant qu'ils n'atteignent la production.
- Avec l'augmentation de la programmation cloud-native, davantage de migration vers des plateformes tierces telles qu'AWS a eu lieu, ainsi la surface d'attaque des applications devient plus exposée aux vulnérabilités.
En raison de l'augmentation de la surface d'attaque et du potentiel, les attaquants ont développé des méthodes nouvelles et inventives pour compromettre les applications.
Comment l'IA agentique aide :
L'IA agentique peut aider à améliorer l'AppSec en intégrant et en automatisant diverses étapes du cycle de vie des applications pour renforcer la sécurité, y compris la surveillance de vos pipelines CI/CD ou l'automatisation des tests d'intrusion.
Ajouter comme source préféréeDéfis de l'IA agentique en cybersécurité
1. Manque de transparence et d'interprétabilité
- Prise de décision opaque : Les opérations et systèmes de sécurité pilotés par l'IA peuvent être difficiles à interpréter, surtout lorsqu'ils modifient les politiques de sécurité ou les décisions par eux-mêmes. Les ingénieurs de test et les développeurs peuvent avoir du mal à comprendre pourquoi certaines actions ont été entreprises ou à confirmer les décisions de l'IA.
- Confiance et fiabilité : Sans explications explicites, il peut être difficile pour les équipes de faire confiance aux recommandations ou aux révisions de l'IA, ce qui conduit à une résistance à la mise en œuvre de solutions d'IA agentique.
2. Préoccupations concernant la qualité des données
- Dépendance aux données : Les agents IA ont besoin de données diversifiées pour apprendre à effectuer des actions efficacement. Des données insuffisantes ou biaisées peuvent entraîner de fausses actions ou des prévisions incorrectes.
- Cas particuliers dans les configurations système : Si l'infrastructure informatique d'une organisation comprend des configurations sur mesure ou des combinaisons logicielles rares, un agent IA peut interpréter à tort des comportements normaux comme des anomalies ou ne pas détecter de véritables menaces.
3. Maintenir la fiabilité
- Faux positifs et faux négatifs : L'IA agentique peut classifier incorrectement les données liées aux SecOps ou à l'AppSec, entraînant des faux positifs (signaler des bugs alors qu'il n'en existe pas) ou des faux négatifs (ne pas détecter les problèmes réels). Ces erreurs peuvent compromettre la confiance dans le système et nécessiter une intervention manuelle pour valider les résultats.
- Problèmes d'adaptabilité : Bien que l'IA agentique soit conçue pour s'adapter aux changements, certains changements complexes ou inattendus dans l'application (par exemple, des refontes majeures de l'interface utilisateur ou des changements d'architecture backend) peuvent encore faire échouer les opérations de sécurité, nécessitant une intervention humaine pour mettre à jour les modèles de l'IA.
4. Complexité de la mise en œuvre
- Difficulté à sécuriser l'intégration des API : Les agents IA s'interfacent fréquemment avec des systèmes externes ; par conséquent, la protection des APIs est essentielle. La tokénisation et la validation des APIs sont autant de mesures qui aident à garantir une interaction fiable.
- Formation et déploiement : Les modèles d'IA agentique doivent être formés sur de grands ensembles de données et des scénarios diversifiés pour être efficaces, ce qui peut être gourmand en ressources et en temps.
5. Exigences de supervision humaine
- Surveillance continue : Bien que l'IA agentique vise à réduire l'implication humaine, elle nécessite toujours une surveillance et une maintenance pour s'assurer qu'elle fonctionne correctement. Les équipes de sécurité doivent vérifier les résultats de l'IA, ajuster les modèles si nécessaire et intervenir lorsque l'IA rencontre des scénarios complexes ou inattendus.
- Exigences de personnel hautement qualifié : La gestion de l'IA agentique nécessite une expertise en IA, en apprentissage automatique ou en sécurité des applications. Les organisations peuvent avoir des difficultés à trouver ou à former du personnel avec les compétences requises.
Réflexions finales sur l'IA agentique pour la cybersécurité
L'IA agentique a le potentiel d'améliorer les opérations de cybersécurité en améliorant les temps de réponse et en allégeant la charge des équipes de sécurité.
Cependant, des défis tels que le manque de transparence, les préoccupations concernant la qualité des données et les faux positifs/négatifs peuvent augmenter la difficulté globale de déployer efficacement des solutions d'IA agentique.
Une mise en œuvre réussie de l'IA agentique dans les opérations nécessite du personnel qualifié, une surveillance et des mises à jour continues, des processus de validation efficaces des faux positifs et une attention portée aux autres défis clés.
Lectures complémentaires
- Signes de prolifération des agents IA et liste de contrôle pour gérer la prolifération
- Vulnérabilité des agents IA
- Top 30+ du paysage des agents IA industriels à surveiller
- Pièges des agents IA : 20 incidents réels
Citer cette recherche
Choisissez le format qui correspond à votre lieu de publication. Coller la version avec lien dans votre CMS préserve le lien retour.
@misc{dilmegani2026,
author = {Dilmegani, Cem},
title = {{Agentic IA pour la cybersécurité: 10 cas d'utilisation et exemples}},
year = {2026},
month = may,
howpublished = {\url{https://aimultiple.com/agentic-ai-cybersecurity}},
note = {AIMultiple. Consulté le 20 Mai 2026}
}Liens de référence
Commentaires 1
Partagez vos idées
Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires. Les commentaires sont laissés dans leur langue d'origine.
Very insightful overview of how agentic AI is moving cybersecurity from reactive alerting to autonomous, intelligence-driven operations. The real-world SecOps and AppSec examples clearly show the value of AI agents in reducing noise, accelerating response, and scaling security—while also realistically highlighting the challenges around trust, data quality, and human oversight.