IA agentique pour la cybersécurité: 10 cas d'usage et exemples
L'IA agentique désigne les systèmes d'IA qui combinent des modèles comme les grands modèles de langage (LLM) avec des flux de travail automatisés, l'intégration d'outils et l'aide à la décision. Ces systèmes assistent les équipes de sécurité en SecOps et AppSec en analysant les alertes, en automatisant les tâches routinières et en soutenant le travail d'investigation.
Les outils d'IA agentique fonctionnent généralement sous supervision humaine. Ils ne prennent pas de décisions de sécurité entièrement autonomes dans les environnements de production.
Découvrez des cas d'usage structurés et concrets de l'IA agentique en cybersécurité, ainsi que ce que font ces agents, comment ils fonctionnent et leurs limites pratiques :
Exemples d'agents IA en cybersécurité
- Agents de niveau 1
- Assistent la détection initiale et le triage des alertes.
- Effectuent la classification, la déduplication et l'enrichissement des alertes.
- Fournissent un contexte aux analystes pour prioriser les menaces.
- Agents de niveau 2
- Exécutent des actions prédéfinies sous supervision humaine.
- Exemples de tâches : isoler les systèmes affectés, lancer le confinement piloté par des playbooks.
- Agents de niveau 3
- Soutiennent l'analyse avancée des menaces.
- Exemples de capacités : corréler la télémétrie entre les systèmes, assister la chasse aux menaces, l'analyse des vulnérabilités.
Les agents de niveau 3 ne remplacent pas les analystes humains mais augmentent leur flux de travail.
IA agentique pour les flux de travail de cybersécurité
Contrairement à l'automatisation simple basée sur des règles que l'on trouve dans les systèmes de sécurité traditionnels, l'IA agentique peut orchestrer plusieurs outils, intégrer des informations contextuelles provenant de sources diverses et soutenir la prise de décision en traitant des données non structurées. Cependant, ces systèmes fonctionnent généralement avec une supervision humaine ou des politiques préconfigurées plutôt qu'avec un apprentissage et un contrôle entièrement autonomes dans les environnements de production.
L'IA agentique exploite sa capacité à apprendre dynamiquement de son environnement.1 Elle améliore les activités de cybersécurité en :
- Surveillant et traitant en continu les menaces en temps réel
- Automatisant les tâches répétitives du SOC avec une intervention humaine minimale
- Offrant un soutien décisionnel contextuel
Architecture des agents IA intégrés à l'inférence IA, pour leur interaction avec les LLM et les données d'entreprise pour l'automatisation du SOC :
Adapté de : Cloudera2
Capacités fondamentales des outils de cybersécurité IA agentique
Les principales capacités des outils de cybersécurité IA agentique incluent :
- Triage et enrichissement intelligents des alertes : Les systèmes agentiques peuvent classer et prioriser les alertes, réduisant le bruit et aidant les analystes SOC à se concentrer sur les menaces significatives.
- Aide à l'investigation automatisée : Ces systèmes peuvent rassembler des informations contextuelles (par exemple, renseignements sur les menaces, corrélations de journaux) et résumer les résultats pour les analystes humains.
- Confinement et exécution de playbooks : L'IA agentique peut exécuter des actions de confinement telles que la mise en quarantaine d'un hôte ou l'application de restrictions d'accès définies dans des playbooks automatisés, sous réserve de gouvernance et de supervision humaine.
- Soutien à la chasse aux menaces : Ils assistent les analystes en corrélant les indicateurs de compromission (IOC) entre les sources de données et en suggérant des hypothèses d'investigation, bien qu'une interprétation humaine substantielle reste nécessaire.
- Analyse et priorisation des vulnérabilités : Les systèmes d'IA aident à analyser et à évaluer les vulnérabilités à grande échelle pour soutenir la priorisation des ressources.
Exemple de flux de travail : agent IA pour la détection de vulnérabilités (niveau 1)
Dans les preuves de concept de cybersécurité, des agents IA ont été mis en œuvre pour soutenir les flux de travail d'analyse et de triage des vulnérabilités, en s'interfaçant avec des API qui fournissent des données de vulnérabilité et en orchestrant des tâches telles que la création de tickets ou la génération de rapports.
En plus des systèmes d'entreprise comme Dropzone AI, il existe également des implémentations artisanales où les agents de niveau 1 gèrent la détection initiale et le triage des menaces de sécurité potentielles.
Voici une démonstration pour construire un agent de détection automatisée des vulnérabilités dans l'environnement bac à sable DevNet :
Architecture agentique utilisée dans la démo : L'agent s'interface avec une interface frontale (telle que Streamlit UI) et un agent routeur (ACCS), envoyant des API REST et des commandes dans une direction et recevant des réponses, soit en JSON, soit en texte brut, dans l'autre direction.
Flux de travail et interactions des agents
1. Invite : L'utilisateur saisit une invite, telle que « Is R1 vulnerable? If so, please open a problem in ServiceNow and email the security team a report to xyz@gmail.com. »
2. Traitement initial : L'agent reçoit l'invite et analyse la demande. Il identifie que la tâche consiste à vérifier la vulnérabilité du Routeur 1 (R1), à ouvrir un ticket de problème dans ServiceNow et à envoyer un rapport par e-mail à l'adresse spécifiée.
3. Exécution de la requête : L'agent frontal (Streamlit UI) et l'agent routeur (ACCS) communiquent entre eux. L'agent routeur interroge le système pour connaître le statut du Routeur 1, en vérifiant les vulnérabilités. Il détermine dynamiquement les commandes nécessaires et les exécute (par exemple, en utilisant la commande show version pour récupérer les détails de version).
4. Collecte de données : L'agent routeur rassemble les données nécessaires, telles que la version du Routeur 1, et envoie ces données à l'API PSIRT pour vérifier les vulnérabilités connues associées à cette version.
5. Détection de vulnérabilités : Le système interroge l'API PSIRT, reçoit les résultats (soit en JSON, soit en texte brut) et traite les informations. Il identifie s'il existe des vulnérabilités à haut risque liées to Router 1.
6. Exécution des actions : Si des vulnérabilités sont détectées :
- Un ticket de problème est automatiquement ouvert dans ServiceNow
- L'agent envoie par e-mail un rapport de vulnérabilités à l'équipe de sécurité.
Voir le rapport de vulnérabilités par e-mail généré par l'agent IA :
Cas d'usage réels : l'IA agentique en SecOps
1. Triage et investigation
- Les agents regroupent les alertes, suppriment les doublons et enrichissent les alertes avec un contexte de menace.
- Exemple d'enrichissement : vérifications IOC, informations sur les endpoints et les comptes.
- Les analystes humains examinent toujours les résultats pour éviter les faux positifs.
Exemple réel : agents IA exploitant le triage et l'investigation
Défis : La configuration de sécurité initiale d'une compagnie d'assurance numérique nécessitait une gestion manuelle des alertes, ce qui était gourmand en ressources.
- Volume élevé d'alertes de sécurité
- Processus chronophages
- Besoin de surveillance continue 24h/24 et 7j/7
Solutions : L'entreprise a déployé des agents IA de cybersécurité et a intégré ces agents aux systèmes existants comme AWS, Google Workspace et Okta.
Conséquences :
- La réduction de la charge manuelle a permis aux analystes SOC de prioriser les tâches à plus forte valeur ajoutée.
- Des rapports d'investigation détaillés ont fourni un niveau d'analyse granulaire, augmentant la visibilité sur les IOC (indicateurs de compromission).
- La réduction des faux positifs a amélioré la précision de la détection des menaces.4
2. Soutien à la chasse aux menaces
L'IA agentique peut être utilisée dans les systèmes de cybersécurité pour détecter et répondre aux menaces en temps réel.
Par exemple, ces agents peuvent identifier un comportement réseau inhabituel et isoler les appareils impactés de manière autonome pour empêcher une compromission sans intervention humaine.
- Les agents aident les analystes à détecter les comportements réseau inhabituels.
- Ils catégorisent les alertes par indicateurs atomiques, calculés et comportementaux.
- Ils corrèlent les indicateurs entre les données historiques et en temps réel.
- Les analystes interprètent les étapes d'investigation suggérées ; l'IA ne remplace pas le jugement expert.
Étude de cas réelle : agents IA exploitant la chasse aux menaces
Défis : Le University of Kansas Health System rencontrait des difficultés à coordonner la réponse aux incidents, certains des défis clés incluent :
- Manque de visibilité
- Réponse aux incidents limitée
- Contraintes en ressources humaines
Solutions : L'université a mis en œuvre une plateforme de sécurité avec des capacités d'IA agentique pour améliorer la visibilité et automatiser la chasse aux menaces dans la réponse aux incidents.
Conséquences :
- La visibilité entre les systèmes a augmenté de plus de 98 %
- La couverture de détection s'est améliorée de 110 % en six mois.
- Les processus de réponse aux incidents automatisés ont filtré et résolu 74 826 alertes sur 75 000, n'escaladant que 174 pour examen manuel.
- Les vrais positifs parmi les alertes escaladées totalisaient 38, réduisant le bruit et permettant des réponses ciblées.5
3. Actions de réponse
Les agents peuvent générer des modèles d'infrastructure-as-code (par exemple, OpenTofu, Pulumi). Ils peuvent effectuer des actions sur les endpoints ou mettre à jour les contrôles de sécurité sous supervision humaine.
Exemple réel : agents IA exploitant les actions de réponse
Défis : APi Group, une organisation de distribution, faisait face aux défis de cybersécurité suivants :
- Piles technologiques diversifiées
- Visibilité sur l'écosystème
Solutions : Pour relever les défis ci-dessus, APi Group a mis en œuvre la plateforme d'IA agentique de ReliaQuest pour améliorer la détection des menaces dans ses environnements Microsoft.
Conséquences :
- Réduction des temps de réponse de 52 % grâce à l'automatisation et aux playbooks intégrés.
- Obtention d'une augmentation de 47 % de la visibilité sur les piles Microsoft 365, Cisco et Palo Alto.
- Couverture MITRE ATT&CK étendue de 275 %.6
4. L'IA agentique comme outil d'attaque
La plupart des couvertures de l'IA agentique en sécurité se concentrent sur la défense, mais les mêmes capacités sont désormais documentées dans les opérations offensives.
Exemple réel : GTG-1002
En novembre 2025, l'équipe de renseignement sur les menaces d'Anthropic a signalé avoir perturbé ce qu'elle a décrit comme la première campagne de cyberespionnage largement autonome orchestrée par IA, attribuée à un groupe présumé parrainé par l'État chinois qu'elle a suivi sous le nom de GTG-1002.7 La campagne impliquait des tentatives d'intrusion quasi simultanées contre environ 30 cibles, y compris des entreprises technologiques, des institutions financières, des fabricants de produits chimiques et des agences gouvernementales, avec plusieurs compromissions confirmées avant que l'activité ne soit interrompue.
Ce qui distingue cela des attaques antérieures assistées par IA est le degré d'autonomie. Selon le rapport, l'acteur de la menace a utilisé un outil de codage agentique pour exécuter environ 80 à 90 % des opérations tactiques de manière indépendante, à des taux de requêtes impossibles à atteindre pour des opérateurs humains. L'IA a géré le travail tout au long du cycle de vie de l'intrusion :
- Reconnaissance : énumération des services internes au sein des réseaux ciblés sans direction humaine étape par étape.
- Découverte et exploitation de vulnérabilités : identification des faiblesses dans les cibles sélectionnées par l'humain et exploitation de celles-ci lors d'opérations en direct.
- Post-exploitation : mouvement latéral, collecte d'identifiants, analyse de données et exfiltration.
Le rapport a également noté des limites. L'IA a parfois halluciné des identifiants ou prétendu avoir accès à des informations qui étaient en fait déjà publiques, ce que les auteurs ont cité comme un obstacle restant aux attaques entièrement autonomes.
IA agentique et opérations de sécurité (SecOps) expliquées
Les opérations de sécurité (SecOps) sont une approche collaborative entre les équipes de sécurité informatique et d'opérations informatiques axée sur l'identification, la détection et la réponse proactives aux cybermenaces.
Le problème :
Les SecOps font face à une fatigue sérieuse car les équipes traitent de vastes données provenant de systèmes diversifiés et de menaces en évolution rapide tout en naviguant dans des structures organisationnelles complexes et des exigences de conformité.
Comment l'IA agentique aide :
L'IA est particulièrement efficace dans les « tâches de raisonnement » telles que l'analyse des alertes, la conduite de recherches prédictives et la synthèse des données provenant des outils.
Ainsi, les agents IA en SecOps peuvent aider à automatiser les tâches qui nécessitent une analyse et une prise de décision en temps réel, telles que le phishing, les logiciels malveillants, les brèches d'identifiants, les mouvements latéraux et la réponse aux incidents.
Par exemple, ces outils peuvent être entraînés sur les bases de connaissances MITRE ATT&CK pour imiter l'expertise des analystes humains ou utiliser des playbooks de réponse aux incidents pour :
- enrichir les alertes
- détecter les systèmes impactés
- isoler/trier les systèmes infectés
- créer des rapports d'incident
Les outils de cybersécurité IA agentique, tels que Trase, peuvent automatiser une grande partie du travail de conformité pour des normes comme SOC 2 et HIPAA.8
Source : SCALE9
Cas d'usage réels : l'IA agentique en AppSec
5. Identification des risques
L'IA agentique analyse en continu l'environnement pour faire apparaître les vulnérabilités dans les applications et les bases de code par le biais de la découverte externe et interne. Les agents IA peuvent exécuter une découverte externe et interne pour identifier les menaces :
Découverte externe :
- stockage et classification des données sur vos applications et API.
- analyse des serveurs web exposés.
- découverte des ports ouverts sur les adresses IP exposées à Internet.
Découverte interne :
- Évaluation des configurations d'exécution, identification des problèmes et priorisation.
- Visualisation de l'accessibilité et de la fonctionnalité des API
- Visualisation et utilisation des applications-API
- Surveillance sans agent des charges de travail API AWS et Azure
- Analyse du volume et des modèles de trafic des applications
6. Création et adaptation de tests d'applications
Les agents IA génèrent des tests automatiquement en fonction des interactions des utilisateurs avec l'application. Lorsque les testeurs ou les développeurs utilisent l'outil pour capturer des cas de test, l'IA surveille et crée des scripts de test.
Si l'interface utilisateur de l'application change (par exemple, l'ID d'un élément change ou la mise en page change), l'agent IA peut identifier ces changements et personnaliser les scripts de test pour éviter les échecs.
7. Exécution dynamique des tests d'applications
L'IA agentique exécute en continu des tests dans des contextes variés (par exemple, sur plusieurs navigateurs et appareils) sans interaction humaine. Les agents IA peuvent planifier des tests et analyser le comportement des applications de manière autonome pour garantir une couverture de test complète.
Ils peuvent également personnaliser dynamiquement les paramètres de test, comme la copie de différentes données d'entrée utilisateur ou la modification des conditions réseau, pour permettre une analyse plus approfondie des applications.
8. Rapports autonomes et suggestions prédictives
Les agents IA peuvent examiner les données de test des applications de manière autonome, en trouvant des schémas d'échec et en déterminant les causes profondes.
Par exemple, si de nombreux tests échouent en raison du même problème, l'agent IA combinera les résultats et mettra en évidence le problème sous-jacent à l'équipe de développement.
Sur la base des données de test antérieures, les agents IA peuvent prédire les défaillances futures potentielles et recommander des méthodologies de test d'applications pour traiter ces problèmes.
9. Remédiation autonome
L'IA agentique automatise le processus de remédiation, par exemple, si l'agent IA détecte que certains tests sont redondants ou ne couvrent pas adéquatement des risques spécifiques, il peut optimiser la suite de tests en supprimant les tests non pertinents et en priorisant ceux qui se concentrent sur des domaines plus pertinents.
L'agent IA peut également détecter quand un test échoue en raison d'erreurs mineures (comme un changement mineur d'interface utilisateur) et « remédier » le script de test pour se conformer à l'application révisée, éliminant les faux positifs et nécessitant moins d'implication manuelle.
10. Tests d'intrusion automatisés
L'IA agentique automatise le processus de test d'intrusion, y compris l'identification des vulnérabilités, la génération de plans d'attaque et l'exécution. Certaines pratiques clés des agents IA dans les initiatives de tests d'intrusion incluent :
Simulation d'adversaire en temps réel :
- Réalisation de simulations telles que des attaques réseau, d'applications et d'ingénierie sociale.
- Exécution de tests d'intrusion tels que le DAST (test dynamique de sécurité des applications).
Reconnaissance :
- Analyse d'Internet, y compris le web profond, sombre et de surface, pour détecter les actifs informatiques exposés (par exemple, ports ouverts, buckets cloud mal configurés).
- Intégration de l'OSINT (renseignement de source ouverte) et du renseignement sur les menaces pour cartographier les surfaces d'attaque.
Ajouter comme source préféréeIA agentique et sécurité des applications (AppSec) expliquées
La sécurité des applications consiste à protéger les applications tout au long de leur cycle de vie complet, qui couvre la conception, le développement, le déploiement et la maintenance continue.
Le problème :
À mesure que les applications hébergées sont devenues de plus en plus importantes en tant que moteurs de revenus clés pour les entreprises à grande échelle, leur sécurité l'est devenue également. Cela a créé des tendances récentes telles que :
- L'utilisation généralisée des applications Cloud et SaaS a déplacé la sécurité plus tôt dans le SDLC pour minimiser les risques avant qu'ils n'atteignent la production.
- Avec l'augmentation de la programmation cloud-native, davantage de migrations vers des plateformes tierces telles qu'AWS ont eu lieu, rendant ainsi la surface d'attaque des applications plus exposée aux vulnérabilités.
En raison de l'augmentation de la surface d'attaque et du potentiel, les attaquants ont développé des méthodes nouvelles et inventives pour compromettre les applications.
Comment l'IA agentique aide :
L'IA agentique peut aider à améliorer l'AppSec en intégrant et en automatisant diverses étapes du cycle de vie des applications pour renforcer la sécurité, notamment la surveillance de vos pipelines CI/CD ou l'automatisation des tests d'intrusion.
Défis de l'IA agentique en cybersécurité
1. Manque de transparence et d'interprétabilité
- Prise de décision opaque : Les opérations et systèmes de sécurité pilotés par l'IA peuvent être difficiles à interpréter, surtout lorsqu'ils modifient eux-mêmes les politiques ou les décisions de sécurité. Les ingénieurs de test et les développeurs peuvent avoir du mal à comprendre pourquoi certaines actions ont été prises ou à confirmer les décisions de l'IA.
- Confiance et fiabilité : Sans explications explicites, il peut être difficile pour les équipes de faire confiance aux recommandations ou aux révisions de l'IA, ce qui entraîne une résistance à la mise en œuvre des solutions d'IA agentique.
2. Préoccupations liées à la qualité des données
- Dépendance aux données : Les agents IA ont besoin de données diversifiées pour apprendre à effectuer des actions efficacement. Des données insuffisantes ou biaisées peuvent entraîner de fausses actions ou des prévisions incorrectes.
- Cas limites dans les configurations système : Si l'infrastructure informatique d'une organisation comprend des configurations sur mesure ou des combinaisons logicielles rares, un agent IA peut interpréter à tort des comportements normaux comme des anomalies ou ne pas détecter de véritables menaces.
3. Maintenir la fiabilité
- Faux positifs et faux négatifs : L'IA agentique peut classer de manière incorrecte les données liées aux SecOps ou à l'AppSec, entraînant des faux positifs (signaler des bogues alors qu'il n'en existe pas) ou des faux négatifs (ne pas détecter les problèmes réels). Ces erreurs peuvent compromettre la confiance dans le système et nécessiter une intervention manuelle pour valider les résultats.
- Problèmes d'adaptabilité : Bien que l'IA agentique soit conçue pour s'adapter aux changements, certains changements complexes ou inattendus dans l'application (par exemple, des refontes majeures de l'interface utilisateur ou des changements d'architecture backend) peuvent encore faire échouer les opérations de sécurité, nécessitant une intervention humaine pour mettre à jour les modèles de l'IA.
4. Complexité de la mise en œuvre
- Difficulté à sécuriser l'intégration des API : Les agents IA s'interfacent fréquemment avec des systèmes externes ; par conséquent, la protection des API est critique. La tokenisation et la validation des API sont toutes des mesures qui aident à garantir une interaction fiable.
- Formation et déploiement : Les modèles d'IA agentique doivent être entraînés sur de grands ensembles de données et des scénarios diversifiés pour être efficaces, ce qui peut être gourmand en ressources et chronophage.
5. Exigences de supervision humaine
- Surveillance continue : Bien que l'IA agentique vise à réduire l'implication humaine, elle nécessite toujours une surveillance et une maintenance pour s'assurer qu'elle fonctionne correctement. Les équipes de sécurité doivent vérifier les résultats de l'IA, ajuster les modèles si nécessaire et intervenir lorsque l'IA rencontre des scénarios complexes ou inattendus.
- Exigences en personnel hautement qualifié : La gestion de l'IA agentique nécessite une expertise en IA, en apprentissage automatique ou en sécurité des applications. Les organisations peuvent avoir des difficultés à trouver ou à former du personnel possédant les compétences requises.
Réflexions finales sur l'IA agentique pour la cybersécurité
L'IA agentique a le potentiel d'améliorer les opérations de cybersécurité en améliorant les temps de réponse et en allégeant la charge des équipes de sécurité.
Cependant, des défis tels que le manque de transparence, les préoccupations liées à la qualité des données et les faux positifs/négatifs peuvent augmenter la difficulté globale de déployer efficacement des solutions d'IA agentique.
La mise en œuvre réussie de l'IA agentique dans les opérations nécessite du personnel qualifié, une surveillance et des mises à jour continues, des processus efficaces de validation des faux positifs et une attention portée aux autres défis clés.
Lectures complémentaires
Citer cette recherche
Choisissez le format qui correspond à votre lieu de publication. Coller la version avec lien dans votre CMS préserve le lien retour.
@misc{dilmegani2026,
author = {Dilmegani, Cem},
title = {{IA agentique pour la cybersécurité: 10 cas d'usage et exemples}},
year = {2026},
month = may,
howpublished = {\url{https://aimultiple.com/agentic-ai-cybersecurity}},
note = {AIMultiple. Consulté le 20 Mai 2026}
}Liens de référence
Commentaires 1
Partagez vos idées
Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires. Les commentaires sont laissés dans leur langue d'origine.
Very insightful overview of how agentic AI is moving cybersecurity from reactive alerting to autonomous, intelligence-driven operations. The real-world SecOps and AppSec examples clearly show the value of AI agents in reducing noise, accelerating response, and scaling security—while also realistically highlighting the challenges around trust, data quality, and human oversight.