Sophos passe de 38 minutes à 89 secondes par enquête : ce que l’IA change vraiment en cybersécurité

Le 9 octobre 2026, OpenAI a publié un retour d’expérience mené avec Sophos autour de Daybreak, son programme consacré à la cyberdéfense. Le chiffre qui attire immédiatement l’attention est spectaculaire : pour les dossiers traités par ses agents IA, Sophos affirme avoir ramené le temps moyen d’investigation et de réponse d’environ 38 minutes à 89 secondes.

Ce résultat mérite qu’on s’y attarde, mais pas qu’on le transforme en promesse universelle. Il provient d’un témoignage client publié par OpenAI, dans un environnement de sécurité très spécialisé. Il ne signifie ni qu’un chatbot peut remplacer un analyste, ni qu’une petite entreprise peut obtenir le même résultat en branchant simplement une IA sur ses journaux.

Ce que Sophos a réellement automatisé

Sophos Fusion rassemble les données de ses propres produits et de plus de 500 intégrations tierces. Selon l’article, ces capteurs produisent chaque jour des milliers de milliards d’événements, ensuite réduits à environ 1 000 à 2 000 dossiers à examiner par neuf centres d’opérations de sécurité.

Les agents Daybreak n’arrivent donc pas devant des données brutes sans contexte. Un agent d’investigation réunit les informations du client, les détections, les indicateurs de compromission et le renseignement sur la menace. Un modèle de planification construit ensuite une boucle « planifier, exécuter, vérifier », puis produit une synthèse et des recommandations pour les analystes. D’autres agents peuvent réaliser certaines étapes de réponse.

OpenAI et Sophos annoncent trois résultats :

• un temps moyen passé d’environ 38 minutes à 89 secondes pour les dossiers utilisant ces agents ;
• une réduction annoncée de 96 % du temps d’investigation ;
• 52 % des dossiers MDR résolus de bout en bout par l’IA, dans des limites définies par les analystes Sophos.

Ces chiffres sont déclarés par les entreprises concernées. L’article ne fournit pas un protocole indépendant permettant de reproduire l’évaluation dans un autre contexte. Ils montrent néanmoins qu’une automatisation très encadrée peut accélérer des opérations répétitives lorsque les données, les outils et les procédures sont déjà maîtrisés.

Le détail le plus important n’est pas la vitesse

Le point le plus instructif se trouve dans les trois modes de fonctionnement proposés aux clients :

• Notifier : le système enquête et recommande une réponse, mais le client agit.
• Collaborer : Sophos et le client valident ensemble l’action à effectuer.
• Autoriser : Sophos peut intervenir directement au nom du client.

Le degré d’autonomie est donc choisi à l’avance. Il ne dépend pas uniquement de la confiance affichée par le modèle. Sophos précise aussi que les actions potentiellement destructrices conservent le niveau de supervision humaine approprié et que les cas jugés inconfortables pour un agent sont transférés à un humain.

C’est une règle utile bien au-delà de la cybersécurité : automatiser une analyse n’oblige pas à automatiser immédiatement la décision finale. On peut commencer par collecter les preuves, classer l’incident et préparer une recommandation, tout en laissant le blocage d’un compte, l’isolement d’une machine ou la suppression d’un fichier à une personne autorisée.

Pourquoi ce résultat n’est pas reproductible avec un simple chatbot

La performance repose sur un ensemble complet : télémétrie, renseignements sur les menaces, procédures de réponse, droits d’accès, contrôles, journalisation et expertise accumulée. Le modèle intervient au milieu de cette chaîne ; il ne remplace pas la chaîne.

Un assistant généraliste auquel on colle quelques lignes de journal ne dispose pas automatiquement :

• du contexte normal de l’entreprise ;
• de l’historique de la machine et du compte concernés ;
• d’une liste fiable des actifs critiques ;
• de procédures approuvées pour chaque type d’incident ;
• des autorisations nécessaires pour intervenir sans danger ;
• d’un mécanisme de retour arrière si son action est incorrecte.

Sans ces éléments, une réponse rapide peut simplement devenir une erreur rapide. Dans un domaine où un faux positif peut couper un service légitime et un faux négatif laisser passer une attaque, la vitesse n’est utile que si elle reste contrôlée.

Ce qu’une petite structure peut retenir dès maintenant

Une petite entreprise n’a généralement ni neuf centres de sécurité ni des centaines d’intégrations. Elle peut toutefois reprendre la logique du dispositif à son échelle.

1. Connaître les actifs importants. Quels ordinateurs, comptes, données et services doivent être protégés en priorité ?
2. Centraliser les alertes utiles. Une alerte ignorée dans cinq outils différents ne devient pas meilleure parce qu’elle contient de l’IA.
3. Définir les actions autorisées. Qu’est-ce qui peut être automatisé sans risque, et qu’est-ce qui exige une validation ?
4. Préparer une procédure simple. Qui contacter, quoi isoler, quelles preuves conserver et comment poursuivre l’activité ?
5. Tester le retour arrière. Une automatisation de sécurité doit pouvoir être arrêtée et corrigée.
6. Mesurer les erreurs. Il faut suivre les faux positifs, les incidents manqués et le temps réellement gagné.

Un premier niveau raisonnable peut se limiter à résumer une alerte, rapprocher plusieurs informations et proposer une priorité. Les actions sur les comptes, les postes ou les données restent validées manuellement jusqu’à ce que le processus soit suffisamment éprouvé.

L’IA ne remplace pas les fondamentaux

Le propre conseil du responsable technique de Sophos est de revenir aux bases : correctifs, protection des postes, authentification multifacteur, segmentation du réseau et opérations de sécurité solides. Une IA sophistiquée ne compense pas un mot de passe réutilisé, une sauvegarde jamais testée ou un ordinateur qui ne reçoit plus ses mises à jour.

C’est aussi le lien le plus concret avec les prestations de FuretSplick. Avant de parler d’agent autonome, un diagnostic de sécurité, de sauvegarde et de bonnes pratiques numériques permet de vérifier les protections élémentaires et d’expliquer les mesures réellement utiles. L’objectif n’est pas de promettre un centre de sécurité automatisé, mais de réduire les risques courants avec une base compréhensible et maintenable.

En bref

Le cas Sophos montre qu’un agent IA peut accélérer fortement une investigation lorsqu’il travaille dans un système déjà structuré, avec des données fiables, des procédures, des limites d’action et des experts disponibles. Le chiffre de 89 secondes est impressionnant, mais la leçon la plus importante est ailleurs : l’autonomie doit être graduée selon le risque, et la décision humaine reste centrale dès qu’une action peut avoir des conséquences importantes.

Sources

• OpenAI — Sophos cuts threat investigation time by 96% with OpenAI Daybreak, 9 octobre 2026.
• OpenAI — Daybreak Defense Network, consulté le 10 octobre 2026.