Les entreprises disposent aujourd’hui de plus d’outils de cybersécurité que jamais.

EDR, XDR, supervision, protection des identités, analyse des vulnérabilités, gestion des terminaux ou encore solutions de détection avancée permettent de surveiller une grande partie du système d’information.

Pourtant, un problème demeure : détecter un risque ne signifie pas qu’il est corrigé.

Une vulnérabilité peut être identifiée sans être traitée immédiatement. Une alerte peut nécessiter plusieurs vérifications avant qu’une action soit décidée. Une recommandation issue d’un audit peut rester plusieurs semaines dans un plan d’action faute de temps ou de ressources.

Entre la détection et la correction, il existe donc encore un espace dans lequel le risque reste présent.

C’est précisément ce que les nouvelles approches de sécurité agentique cherchent à réduire.

Détecter ne suffit plus

Le fonctionnement traditionnel d’un SOC repose largement sur une succession d’étapes.

Un outil détecte un comportement inhabituel.

Une alerte est générée.

Un analyste doit ensuite comprendre ce qui s’est passé, récupérer du contexte, déterminer le niveau de risque, décider des actions nécessaires puis transmettre ou appliquer les mesures correctives.

Ce fonctionnement reste indispensable mais il atteint progressivement certaines limites.

Les environnements informatiques produisent toujours plus de signaux de sécurité tandis que les attaques gagnent en vitesse et en automatisation.

Le problème n’est donc plus uniquement de détecter davantage.

Il faut être capable de comprendre plus rapidement ce qui mérite réellement une intervention puis de passer de l’analyse à l’action.

C’est l’un des principes qui guide aujourd’hui Microsoft avec son approche de sécurité agentique et son nouveau système Project Perception. Microsoft décrit un environnement dans lequel différents agents spécialisés peuvent analyser les signaux, raisonner à partir du contexte disponible et participer à des workflows de sécurité coordonnés.

Du SOC assisté par l’IA au SOC agentique

L’intelligence artificielle est déjà présente depuis plusieurs années dans les outils de cybersécurité.

Elle permet notamment d’identifier des comportements inhabituels, de rapprocher différents signaux ou d’aider les analystes à comprendre plus rapidement un incident.

L’approche agentique va plus loin.

L’objectif n’est plus uniquement d’utiliser l’IA pour produire une recommandation ou résumer une alerte. Des agents spécialisés peuvent prendre en charge plusieurs étapes d’un workflow de sécurité et collaborer entre eux.

Microsoft organise notamment Project Perception autour de trois grandes catégories d’agents : Red Team, Blue Team et Green Team. Ensemble, ils forment une boucle continue de détection, d’analyse et de réduction du risque.

Cette logique change progressivement la manière d’envisager le SOC.

Le SOC ne devient pas autonome au sens où l’humain disparaîtrait du processus. Microsoft prévoit au contraire des mécanismes de supervision permettant aux équipes de suivre les actions des agents, de les approuver, de les interrompre ou de les réorienter lorsque cela est nécessaire.

L’objectif est surtout de déléguer une partie du travail répétitif et chronophage pour permettre aux experts de se concentrer sur les décisions qui nécessitent réellement leur expertise.

Red Team, Blue Team, Green Team : trois rôles complémentaires

La logique proposée par Microsoft repose sur une approche simple.

La Red Team cherche les failles

Les agents Red Team adoptent la perspective d’un attaquant.

Ils cherchent à identifier les vulnérabilités, les chemins d’attaque ou les configurations qui pourraient être exploités avant qu’un acteur malveillant ne les utilise.

Cette approche permet de passer d’une sécurité uniquement réactive à une logique davantage proactive.

La Blue Team détecte et analyse

Les agents Blue Team se concentrent sur la défense.

Ils peuvent participer à la détection, au triage et à l’investigation des menaces.

Leur rôle consiste notamment à exploiter le contexte disponible afin de déterminer ce qui constitue réellement un risque et ce qui doit être traité en priorité.

La Green Team corrige et renforce

C’est probablement la partie la moins connue de cette nouvelle approche.

Une fois la vulnérabilité ou la menace identifiée, encore faut-il agir.

Les agents Green Team ont précisément pour rôle de participer à la remédiation et au renforcement de la posture de sécurité.

Ils permettent ainsi de rapprocher davantage la découverte d’un problème de sa correction.

La sécurité devient alors une boucle :

identifier, analyser, prioriser, corriger puis vérifier.

La Green Team vient combler un trou important

Les entreprises investissent depuis longtemps dans la détection.

Mais la correction reste souvent beaucoup plus dépendante des équipes internes.

Prenons un exemple simple.

Un audit identifie plusieurs configurations à risque dans l’environnement Microsoft de l’entreprise.

Le rapport est transmis.

Les recommandations sont classées par priorité.

Puis commence la partie la plus difficile : les transformer en actions.

Il faut identifier les responsables, vérifier les impacts potentiels, planifier les modifications, effectuer les changements puis contrôler qu’ils ont réellement permis de réduire le risque.

Ce processus peut être parfaitement maîtrisé. Mais lorsqu’il existe des dizaines ou des centaines de recommandations, le délai entre « nous savons qu’un problème existe » et « le problème est corrigé » peut devenir important.

C’est ce délai que l’approche Green Team cherche à réduire.

La cybersécurité ne doit plus seulement produire des constats.

Elle doit être capable de transformer plus rapidement ces constats en amélioration concrète de la posture de sécurité.

Le SOC agentique ne signifie pas laisser l’IA tout décider

L’arrivée d’agents capables d’agir soulève évidemment une question : jusqu’où peut-on leur donner de l’autonomie ?

La réponse dépendra du contexte, de la criticité de l’action et des règles définies par l’entreprise.

Certaines tâches pourront être largement automatisées.

D’autres devront demander une validation humaine avant toute modification.

C’est pourquoi la notion de gouvernance est essentielle.

Un agent de sécurité ne doit pas disposer de droits illimités simplement parce qu’il peut accélérer une opération.

Les permissions doivent rester contrôlées, les actions traçables et les interventions sensibles soumises aux mécanismes d’approbation appropriés.

Microsoft met justement en avant cette supervision humaine dans Project Perception avec la possibilité de suivre les sessions des agents et d’approuver ou de rejeter certaines actions.

Le SOC agentique ne remplace donc pas l’expertise humaine.

Il change la manière dont cette expertise est utilisée.

De l’audit ponctuel à l’amélioration continue

Cette approche pose également une question plus large sur la manière dont les entreprises évaluent leur cybersécurité.

Un audit reste indispensable pour obtenir un état des lieux et identifier les risques prioritaires.

Mais une posture de sécurité n’est jamais figée.

De nouveaux comptes sont créés. Les droits évoluent. De nouveaux appareils apparaissent. Les infrastructures changent. Les vulnérabilités se renouvellent et de nouveaux usages sont introduits.

La posture évaluée aujourd’hui ne sera donc pas exactement celle de demain.

L’intérêt d’une approche combinant audit, supervision, SOC et mécanismes de remédiation continue est justement de réduire cet écart.

EXA propose déjà une approche cybersécurité qui associe audit, conseil, supervision, SOC et actions préventives afin d’identifier les risques et de les transformer en mesures concrètes.

Les nouvelles capacités agentiques viennent prolonger cette logique en accélérant la circulation entre la détection, l’analyse et l’action.

Vers une cybersécurité plus continue

Le changement le plus important n’est finalement peut-être pas technologique.

Il concerne la manière de penser la sécurité.

Pendant longtemps, la question était :

« Sommes-nous capables de détecter une attaque ? »

Elle devient progressivement :

« Sommes-nous capables de détecter, comprendre et réduire le risque suffisamment vite ? »

C’est tout l’intérêt de l’approche Green Team et du SOC agentique.

La valeur ne réside plus seulement dans la quantité d’alertes générées mais dans la capacité à transformer un signal en décision puis une décision en action.

Project Perception illustre cette évolution avec des agents Red Team qui recherchent les failles, des agents Blue Team qui enquêtent et des agents Green Team qui participent à leur correction. Le système est actuellement proposé par Microsoft en préversion et doit donc être considéré comme une évolution émergente de l’écosystème de sécurité Microsoft.

Pour les entreprises, le premier enjeu reste toutefois le même : connaître leur exposition réelle et identifier les failles qui doivent être traitées en priorité.

EXA accompagne les organisations dans l’audit de leur environnement, l’identification des risques et la mise en place de solutions de cybersécurité adaptées à leur système d’information.