L'architecture double IA : Pourquoi les modèles généraux sont des outils mais l'autonomie du SOC est une infrastructure

La rapidité de l'adoption de l'IA dans la cybersécurité a créé un écart stratégique important entre ceux qui voient l'IA comme un chatbot et ceux qui la voient comme une architecture. Auparavant, les responsables de la sécurité évaluaient les grands modèles de langage (LLM) en fonction de leur capacité à répondre à des questions ou à écrire des scripts. Désormais, la réalité opérationnelle est que les plateformes d'IA polyvalentes comme Claude et Cursor sont distinctes de l'infrastructure spécialisée requise pour faire fonctionner un centre d'opérations de sécurité (SOC) à haut volume.

Les équipes de sécurité font face à un environnement de menaces où les attaquants utilisent l'IA pour automatiser les phases de reconnaissance et d'exploitation de la chaîne d'exécution (kill chain). Le modèle de menace traditionnel, qui repose sur la vitesse humaine pour intercepter des attaques à la vitesse de la machine, est fondamentalement dépassé. Pour y remédier, les organisations doivent dépasser l'intégration basique d'assistants IA et établir une architecture d'intelligence à plusieurs niveaux qui sépare le triage autonome à haut volume de la cognition humaine à haute valeur ajoutée.

La séparation de la cognition et du volume

Les opérations de sécurité modernes fonctionnent sur trois couches distinctes. À la couche de base, les outils de sécurité existants tels que l'EDR, le SIEM et les plateformes d'identité cloud génèrent de la télémétrie brute et des alertes. Cette couche est la principale source de données mais manque de capacité de raisonnement pour distinguer une attaque complexe d'un script administratif mal configuré.

Au milieu se trouve la couche SOC IA autonome. Il ne s'agit pas d'une interface de chatbot. C'est un système d'agents qui enquête en continu sur chaque alerte, corrèle les preuves à travers des outils disjoints et applique le contexte organisationnel pour déterminer le risque. Cette couche réduit le bruit en résolvant les alertes bénignes sans intervention humaine.

Au sommet se trouve la couche cognitive, où opèrent des plateformes comme Claude, Codex et Cursor. C'est l'espace interactif où les analystes seniors et les intervenants en cas d'incident collaborent avec des modèles de pointe pour résoudre des problèmes spécialisés. L'utilisation de ces modèles à la couche supérieure est efficace car ils sont conçus pour le raisonnement, et non pour l'ingestion répétitive de milliers de flux de télémétrie. Chaque couche a un rôle spécifique, et confondre la couche cognitive avec la couche autonome conduit à une inefficacité opérationnelle.

La « tokenomics » du raisonnement de sécurité

L'architecture est souvent un sous-produit de l'économie. Chaque interaction avec un grand modèle de langage engendre un coût, généralement mesuré en tokens. Une seule enquête de sécurité n'est pas une simple commande textuelle. Elle nécessite l'ingestion de la télémétrie des points de terminaison, des arbres de processus, des journaux d'authentification et des flux de renseignements sur les menaces. Ce contexte peut rapidement consommer des milliers de tokens par incident.

Auparavant, les organisations supposaient qu'une seule licence d'IA pouvait résoudre tous les besoins d'investigation. Désormais, les calculs révèlent que l'utilisation d'un LLM polyvalent pour enquêter sur chaque alerte informationnelle est une impossibilité financière. Si un SOC reçoit 5 000 alertes par jour et envoie chacune d'elles à un modèle de pointe pour une analyse médico-légale complète, les coûts annuels d'API dépasseront le budget de l'ensemble du département de sécurité.

Les plateformes de SOC IA autonome résolvent ce problème en utilisant un contexte mis en cache et un raisonnement sélectif. Elles ne traitent pas chaque alerte comme une nouvelle conversation avec un modèle coûteux. Au lieu de cela, elles utilisent des flux de travail déterministes pour la collecte de données de routine et ne font appel aux LLM que lorsqu'une tâche de raisonnement spécifique est requise. Cette approche architecturale permet d'enquêter sur 100 % des alertes tout en gardant des coûts prévisibles. Utiliser Claude pour enquêter sur chaque journal bénin revient à utiliser un laser chirurgical pour défricher une forêt ; l'outil est précis, mais l'application est une erreur architecturale.

La gravité des données et le point de friction du MDR

De nombreuses entreprises s'appuient sur des fournisseurs de détection et de réponse gérées (MDR) pour gérer leur surveillance de la sécurité. Cela crée une asymétrie d'accès aux données. Le fournisseur MDR possède généralement le flux de travail d'investigation et la télémétrie enrichie. Le client ne voit que l'incident final escaladé, ce qui limite l'efficacité des plateformes d'IA internes.

Si un analyste tente d'utiliser Claude pour enquêter sur une alerte, il lui manque souvent les données brutes nécessaires pour fournir au modèle un contexte suffisant. Le LLM ne peut pas raisonner sur des données qu'il ne peut pas voir. C'est pourquoi une couche locale de SOC IA autonome devient un composant critique de la pile technologique de l'entreprise. Elle se situe aux côtés des outils de sécurité, capture l'historique des investigations et construit une base de connaissances locale.

Cette architecture permet à l'organisation de conserver les connaissances institutionnelles plutôt que de les laisser à l'intérieur d'un portail MDR tiers. Elle garantit que lorsqu'un analyste senior utilise un outil comme Claude, les preuves nécessaires sont déjà structurées et prêtes pour l'analyse. La couche autonome agit comme le pont entre les journaux bruts et dispersés et le travail cognitif de haut niveau.

Le risque caché des alertes informationnelles

La plupart des SOC ignorent les alertes de faible gravité car ils manquent de capacité humaine pour les examiner. Cette hiérarchisation est une nécessité dans un modèle centré sur l'humain, mais c'est aussi une vulnérabilité systémique. L'analyse de 25 millions d'alertes en 2025 a indiqué qu'environ 1 % des incidents de sécurité confirmés commençaient par des journaux de faible gravité ou informationnels.

Les attaquants utilisent souvent des techniques de mouvement latéral furtives qui ne déclenchent pas d'alarmes de haute gravité. Une seule tentative de connexion échouée ou une commande PowerShell suspecte mais non malveillante est facile à ignorer. Un SOC IA autonome change la donne en offrant la capacité de tout investiguer. Parce que la machine ne se fatigue pas et que le coût par investigation est minimisé grâce à une architecture spécialisée, la « gravité » d'une alerte ne dicte plus si elle reçoit de l'attention. Chaque alerte est examinée, et seules les menaces réelles atteignent la couche cognitive humaine.

Où les modèles de pointe offrent le meilleur ROI

Lorsque la couche autonome gère le triage répétitif, les plateformes d'IA comme Claude deviennent nettement plus puissantes. Les analystes ne les utilisent plus pour la collecte de données de base. Au lieu de cela, ils se concentrent sur un travail stratégique à fort impact.

Pour plus de clarté, la couche cognitive est mieux utilisée pour :

• Développer et tester de nouvelles logiques de détection basées sur les renseignements de menaces émergentes.
• Mener des analyses médico-légales approfondies sur des incidents complexes à plusieurs étapes.
• Synthétiser des enquêtes techniques pour la direction générale et les organismes de réglementation.
• Chasser les menaces (threat hunting) en générant des requêtes complexes sur plusieurs lacs de données.
• Traduire les règles de détection héritées vers des langages de requête modernes comme Sigma ou KQL.

Dans ce modèle, l'humain et le LLM travaillent ensemble sur les problèmes qui nécessitent de la nuance et du jugement. Le système autonome garantit que leur temps n'est jamais gaspillé sur les 99 % d'alertes qui sont bénignes.

Plan d'action : Construire une architecture IA à plusieurs niveaux

Pour passer de la peur de manquer l'IA (AI FOMO) à une défense résiliente, les RSSI devraient suivre cette feuille de route de 6 à 12 mois pour restructurer leurs opérations de sécurité.

1. Auditer le pipeline de télémétrie (Mois 1-2) : Cartographier toutes les sources de données et identifier où la télémétrie est stockée. Déterminer si votre fournisseur MDR autorise un accès API en temps réel aux journaux bruts et aux artefacts d'investigation.
2. Hiérarchiser les dépenses d'IA (Mois 3-4) : Séparer le budget des outils cognitifs (Claude, Cursor) du budget de l'infrastructure autonome. N'essayez pas de forcer un seul outil à faire les deux tâches.
3. Mettre en œuvre une couche de triage autonome (Mois 5-8) : Déployer un système capable d'automatiser le processus de collecte médico-légale. Concentrez-vous d'abord sur la réduction du temps de triage pour les alertes de faible gravité afin de prouver le concept.
4. Codifier le contexte organisationnel (Mois 9-10) : Construire un référentiel de documentation interne, de cartes réseau et de fichiers de politique que le système autonome peut utiliser pour distinguer une activité d'administration autorisée d'un comportement d'attaquant.
5. Affiner le flux de travail des analystes (Mois 11-12) : Orienter les analystes de niveau 1 et 2 vers l'ingénierie de détection et la chasse aux menaces. Utiliser les plateformes d'IA cognitive pour soutenir cette transition en automatisant la rédaction de nouvelles règles et de rapports.

L'objectif de cette architecture n'est pas d'éliminer les humains du SOC. C'est de s'assurer qu'une compromission ne devienne pas une catastrophe parce qu'un humain était trop occupé à trier du bruit pour voir le signal. La survie dans l'environnement actuel des menaces dépend de l'architecture et de la vitesse, pas seulement de meilleurs outils.

Sources :

• CISA (Cybersecurity and Infrastructure Security Agency) - Directives sur la sécurité et le triage de l'IA.
• NIST (National Institute of Standards and Technology) - Cadre de gestion des risques de l'IA 1.0.
• Anthropic - Documentation Claude Enterprise et API.
• Analyse interne des tendances de télémétrie et de la tokenomics dans les opérations de sécurité en entreprise (2025-2026).

Avertissement : Cet article est fourni à des fins d'information et d'éducation uniquement et ne remplace pas un audit de cybersécurité professionnel ou un service de réponse aux incidents.