L'IA remplacera-t-elle les analystes en cybersécurité ?

Réponse courte : non, mais le poste pour lequel on vous embaucherait dans cinq ans ne ressemblera pas à celui affiché aujourd'hui. L'IA fait déjà une bonne partie de ce que les analystes SOC juniors font pendant leurs quarts de travail, et faire semblant du contraire n'aide personne à planifier une carrière.

Ce que l'IA fait déjà au SOC

Des outils comme Microsoft Security Copilot, CrowdStrike Charlotte AI, et diverses assistants LLM intégrés aux SIEM gèrent le triage des alertes, rédigent les résumés initiaux d'incidents et corrèlent les données de journaux entre les sources plus vite qu'un humain examinant les requêtes Splunk à la main. Si vous avez déjà travaillé en Tier 1, vous savez que la majeure partie de la journée est souvent répétitive : cette connexion depuis un nouveau pays est-elle une vraie menace ou une mauvaise configuration VPN, cette exécution PowerShell est-elle une activité administrative normale ou le début d'une chaîne de mouvement latéral. Ce travail de triage, la correspondance de motifs par rapport aux éléments connus comme malveillants ou bienveillants, c'est exactement ce pour quoi les modèles d'apprentissage machine sont doués.

Les plateformes EDR utilisent la détection d'anomalies basée sur le ML depuis des années avant que l'« IA » devienne le terme marketing du choix. Ce qui a changé récemment, c'est l'ajout de l'IA générative par-dessus, donc au lieu de simplement signaler une anomalie, l'outil peut rédiger une explication lisible de ce qui s'est passé et suggérer les étapes suivantes. C'est un vrai gain de productivité pour une équipe débordée.

Ce que l'IA ne peut pas faire de manière fiable

Les modèles hallucinent, et dans un contexte SOC, une cause racine hallucincée envoie un analyste suivre la mauvaise piste pendant un incident actif. L'IA manque aussi de contexte organisationnel : elle ne sait pas que le trafic sortant bizarre de l'équipe financière tous les vendredis est un travail de sauvegarde hérité, pas une exfiltration, à moins que quelqu'un ait entraîné ce contexte, et même dans ce cas les cas limites le cassent.

La pression adversariale est un problème plus important que la plupart des démos de vendeurs ne l'admettent. Les attaquants testent déjà l'injection de prompts contre les outils de défense assistés par l'IA et créent des charges utiles spécifiquement pour contourner les classificateurs ML entraînés sur les échantillons de malwares de l'année dernière. Un modèle n'est bon que pour les données qu'il a vues, et les acteurs malveillants le savent et s'adaptent plus vite que les cycles de réentraînement dans beaucoup de structures.

Enfin, la réponse aux incidents implique des appels de jugement avec des conséquences juridiques et commerciales : mettons-nous ce serveur hors ligne pendant les heures de pointe, notifions-nous les clients, payons-nous la rançon. Ce ne sont pas des problèmes de classification. Ils nécessitent quelqu'un de responsable, et les entreprises ne vont pas laisser un modèle faire cet appel sans supervision.

Le rôle change, il ne disparaît pas

Comparez cela à ce qui s'est passé dans l'ingénierie réseau quand l'automatisation et l'infrastructure-en-tant-que-code ont mûri. Personne ne configure plus manuellement les VLAN sur des commutateurs individuels dans un SOC moderne, mais les ingénieurs réseau ne ont pas disparu, ils se sont déplacés vers le haut de la pile vers l'architecture et la politique. Les analystes en sécurité vont dans la même direction. Le travail de triage d'entrée de gamme est en cours d'automatisation, ce qui signifie que le travail d'entrée de gamme lui-même devient plus difficile à trouver sous sa forme actuelle. Ce qui croît, c'est la demande pour les gens qui peuvent affiner les règles de détection, valider les résultats générés par l'IA, écrire des règles Sigma personnalisées pour les lacunes que les outils automatisés manquent, et gérer les cas ambigus qui nécessitent un vrai raisonnement sur l'intention et l'impact commercial.

La chasse aux menaces est un bon exemple d'une discipline qui devient plus précieuse, pas moins, à mesure que l'automatisation s'améliore. Les chasseurs de menaces recherchent ce que les systèmes automatisés n'ont pas signalé : le mécanisme de persistance assis tranquille pendant des mois, la menace interne qui ressemble à un accès normal sur papier. C'est intrinsèquement une activité dirigée par l'hypothèse humaine.

Ce qu'il faut vraiment faire

Si vous entrez dans le domaine ou y êtes déjà, n'évitez pas les outils d'IA par peur qu'ils vous remplacent. Apprenez à les utiliser et apprenez leurs modes de défaillance. Prenez un SIEM (Splunk, Microsoft Sentinel, ou Elastic) et pratiquez vous-même l'écriture de la logique de détection avant de compter sur un assistant IA pour la générer, pour pouvoir repérer quand c'est faux. Développez des compétences en scripts avec Python pour l'analyse des journaux et l'automatisation, car les analystes qui montent sont ceux qui automatisent leur propre travail répétitif plutôt que d'attendre que le vendeur le fasse pour eux.

Comprendre comment les modèles eux-mêmes échouent est important aussi. Lisez sur l'apprentissage automatique adversarial et l'injection de prompts contre les outils de sécurité ; cette connaissance devient aussi pertinente pour les blue teamers que de savoir comment fonctionnent les kits de phishing. Les analystes qui restent précieux sont ceux qui traitent l'IA comme un multiplicateur de force qu'ils contrôlent, pas une boîte noire qu'ils font confiance aveuglément.

Korra Studio propose des labs pratiques couvrant les fondamentaux du SIEM, l'ingénierie de la détection, et la chasse aux menaces si vous voulez développer les compétences qui se situent au-dessus de la couche d'automatisation plutôt que de concurrencer celle-ci.