Sophos automatise une partie de ses enquêtes avec les agents Daybreak

EElias

Alors, OpenAI indique que Sophos s’appuie sur Daybreak pour développer des agents qui interviennent dans son service de détection et de réponse managées, appelé MDR. Sophos annonce que 52 % des dossiers de ce service peuvent être traités de bout en bout par l’intelligence artificielle, tout en maintenant une supervision humaine. Pour les dossiers effectivement traités par les agents, l’entreprise donne un temps moyen d’investigation de 89 secondes, contre environ 38 minutes auparavant. Elle chiffre cette réduction à 96 %. Il faut bien distinguer ces deux mesures : les 52 % décrivent une part des dossiers, tandis que les 89 secondes correspondent au temps moyen annoncé pour l’investigation des dossiers pris en charge par les agents. Ces chiffres ne disent donc pas que tous les cas sont automatisés, ni que chaque incident est entièrement résolu en ce délai. Le changement annoncé porte sur la manière d’instruire une partie des dossiers, avec des agents qui prennent en charge certaines étapes du travail. Sophos présente cette évolution comme une accélération de ses enquêtes, et non comme la suppression de ses équipes humaines. L’annonce permet de comprendre l’ampleur revendiquée de l’automatisation, mais elle ne fournit pas un résultat distinct pour chaque catégorie de menace. Les indicateurs à retenir sont donc la proportion de dossiers automatisés et le temps d’investigation associé à ces dossiers, deux données que Sophos communique séparément.

EElias

Bon, le socle mentionné par Sophos est sa plateforme Fusion, qui agrège des données provenant de plus de 500 intégrations tierces. D’après Brief IA, un agent d’investigation rassemble le contexte du dossier, les éléments associés aux détections et les indicateurs de compromission, c’est-à-dire les signes qui peuvent signaler une intrusion. Un modèle de planification organise ensuite le travail en plusieurs étapes : préparer un plan, l’exécuter, puis revoir ce qui a été fait. Le processus produit aussi une synthèse et des actions proposées, qui peuvent être soumises à validation. D’autres agents prennent en charge certaines étapes de la réponse, mais la description disponible ne détaille pas toutes les opérations pour chaque type de dossier. L’idée est donc de réunir les éléments issus de plusieurs outils, de les organiser et de faire intervenir des agents à différents moments de l’enquête. Les plus de 500 intégrations donnent l’échelle des sources que Fusion peut agréger ; elles ne signifient pas que chaque enquête utilise simultanément toutes ces intégrations. De même, la présence d’un plan et d’une revue dans le processus ne permet pas de connaître les règles précises appliquées à chaque cas. Sophos décrit une chaîne de travail comprenant collecte de contexte, planification, exécution et examen des résultats. Les agents peuvent aussi proposer des actions, mais cela ne signifie pas que toutes sont exécutées sans contrôle. La façon dont ce contrôle intervient dépend notamment des modes choisis par le client, et les opérations potentiellement destructrices restent sous supervision humaine.

EElias

Sophos indique protéger plus de 625 000 organisations dans différents secteurs et régions. Ce chiffre décrit l’ensemble des organisations protégées par l’entreprise ; il ne précise pas combien utilisent son service MDR, ni combien ont recours aux agents Daybreak. Pour l’activité de ses équipes de sécurité, Sophos indique que ses 9 centres instruisent environ 1 000 à 2 000 cas par jour. La plateforme Fusion agrège par ailleurs des données provenant de plus de 500 intégrations tierces. Ces nombres donnent trois repères distincts : l’échelle de la clientèle protégée, le volume quotidien de cas instruit par les centres et le nombre d’intégrations reliées à la plateforme. Ils ne doivent pas être confondus, et les informations annoncées ne donnent pas la part de ces cas quotidiens traitée par les agents. De même, elles ne précisent pas la répartition des organisations selon leur secteur, leur région ou le niveau d’automatisation utilisé. Le service concerné est le MDR de Sophos, et l’entreprise affirme qu’une partie des dossiers peut être traitée de bout en bout par l’intelligence artificielle. Pour les clients, les modes de contrôle prévus sont importants parce qu’ils encadrent cette automatisation, mais les chiffres communiqués ne détaillent pas combien de clients choisissent chacun d’eux. Sophos avance aussi que l’automatisation lui permet d’accroître ses capacités sans augmentation équivalente des effectifs ; cela reste une ambition annoncée par l’entreprise. On dispose donc de données sur l’échelle globale et le fonctionnement annoncé, mais pas d’une ventilation des résultats pour chaque organisation cliente.

EElias

Sophos encadre l’automatisation de son service MDR par 3 modes de contrôle proposés aux clients : Notifier, Collaborer et Autoriser. Ces intitulés marquent des niveaux de contrôle différents, mais la description communiquée ne précise pas toutes les règles détaillées propres à chacun. Sophos indique que les opérations potentiellement destructrices restent soumises à une supervision humaine. L’entreprise précise aussi qu’un dossier qu’un agent ne peut pas gérer avec confiance est renvoyé au jugement d’un humain. Le chiffre de 52 % de dossiers traités de bout en bout par l’intelligence artificielle doit donc se lire avec ces limites : Sophos dit maintenir une supervision et prévoit un recours humain pour les situations concernées. Cela ne permet pas de conclure que les 48 % restants correspondent tous à la même catégorie, car la répartition de ces dossiers n’est pas détaillée. La description explique plutôt deux principes de contrôle : le client choisit un mode, et les actions potentiellement destructrices restent supervisées. Elle ne donne pas la fréquence des interventions humaines, ni le nombre de dossiers remontés parce qu’un agent manque de confiance. Il n’est donc pas possible, à partir des éléments annoncés, de mesurer la part exacte du travail vérifiée par une personne dans chaque configuration. En revanche, la frontière affichée est claire : les agents assurent une part importante du traitement, mais Sophos ne présente pas l’automatisation comme une délégation sans limite. Les opérations susceptibles d’avoir des conséquences destructrices gardent un contrôle humain, et les dossiers hors du périmètre de confiance d’un agent sont renvoyés à un jugement humain. C’est ce cadre, autant que la vitesse annoncée, qui définit le fonctionnement présenté par l’entreprise.

EElias

Le premier repère, c’est la vitesse annoncée pour les dossiers pris en charge par les agents : 89 secondes d’investigation en moyenne, contre environ 38 minutes auparavant. Sophos chiffre la baisse à 96 %, mais cette mesure concerne ces dossiers et ne décrit pas le temps nécessaire dans toutes les situations. Le deuxième repère est la proportion annoncée : 52 % des dossiers MDR peuvent, selon Sophos, être traités de bout en bout par l’intelligence artificielle. Ce taux s’inscrit dans un dispositif où le client dispose de 3 modes de contrôle et où les opérations potentiellement destructrices restent supervisées par une personne. Le troisième repère est celui de l’environnement technique et opérationnel : Fusion agrège plus de 500 intégrations tierces, tandis que 9 centres de sécurité instruisent environ 1 000 à 2 000 cas par jour. Ces nombres éclairent l’échelle du système, mais ne disent pas quelle proportion des cas quotidiens passe effectivement par les agents, ni quels résultats sont obtenus pour chaque type de menace. Ce qui est annoncé, c’est donc une automatisation significative d’une partie du travail, associée à une baisse du temps moyen d’investigation sur les dossiers traités par les agents. Ce qui reste à distinguer, c’est le temps d’enquête, la résolution complète d’un dossier et le contrôle humain : ce ne sont pas une seule et même mesure. Sophos affirme que les agents traitent certains dossiers de bout en bout, mais maintient une supervision, notamment lorsque des actions peuvent être destructrices. Les chiffres donnent une indication de l’ambition et du périmètre annoncés par l’entreprise ; ils ne constituent pas une comparaison indépendante pour toutes les situations. Pour comprendre la portée du dispositif, il faut donc retenir à la fois la rapidité revendiquée, la part automatisée et les limites de contrôle décrites par Sophos.