La cybersécurité est un domaine où l’IA agentique apporte un gain immédiat. La raison est simple : le travail d’analyse consiste largement à corréler des informations dispersées sous contrainte de temps — exactement ce qu’un agent outillé fait bien.

Voici six cas d’usage concrets, classés du plus simple au plus ambitieux.

1. Veille sur les vulnérabilités — filtrée par pertinence réelle

Le problème. Chaque jour, des dizaines de vulnérabilités sont publiées. La plupart ne concernent pas votre périmètre. Faire le tri manuellement prend du temps et demande une attention constante.

Ce que fait l’agent. Il croise automatiquement les publications (avis CERT-FR, bulletins éditeurs, bases CVE) avec l’inventaire technologique réel de la structure. Il ne remonte que ce qui concerne le parc, classé par urgence d’action — pas par score CVSS.

Le gain n’est pas la collecte — des flux existent — mais le filtrage par pertinence réelle. Sur trois cents vulnérabilités publiées dans la semaine, cinq concernent votre parc, et deux sont exploitables compte tenu de votre exposition.

Architecture. Agent planifié (une fois par jour ou par semaine), inventaire technologique comme outil, sortie structurée par e-mail ou dans un document partagé. Faisable en une demi-journée avec un coût d’exploitation de quelques euros par mois.

La section la plus utile du rapport : “Rien à signaler sur…” — elle prouve que la veille a bien couvert l’ensemble du périmètre.

2. Analyse de phishing signalé

Le problème. Les collaborateurs signalent des e-mails suspects. Les analyser un par un — en-têtes, URLs, pièces jointes, réputation — prend du temps.

Ce que fait l’agent. Pour chaque message signalé, il analyse les en-têtes, décompose les URLs, vérifie la réputation des domaines et des adresses IP, compare avec les campagnes récentes, et produit un verdict structuré.

Précaution majeure : l’agent traite du contenu hostile par définition. C’est le cas d’école du contenu non fiable. Il doit fonctionner dans un bac à sable isolé, et le contenu doit être explicitement balisé comme non fiable dans le contexte de l’agent.

Architecture. Agent déclenché par événement (nouveau signalement), outils d’analyse en lecture seule, sortie structurée pour l’analyste.

3. Tri d’alertes SOC (niveau 1)

Le problème. Un système de détection produit des centaines d’alertes par jour. Un analyste SOC passe la majeure partie de son temps à qualifier — rassembler le contexte, vérifier, classer — avant même de prendre une décision.

Ce que fait l’agent. Pour chaque alerte, il rassemble automatiquement le contexte : requête SIEM, enrichissement de réputation, annuaire (à qui appartient ce poste), inventaire d’actifs, historique des incidents similaires. Il produit un dossier de qualification structuré avec verdict, chronologie, éléments à charge et à décharge, actions recommandées — et surtout, ce qu’il n’a pas pu vérifier.

Ces deux dernières sections — les éléments à décharge et les angles morts — sont ce qui distingue un dossier utile d’un dossier dangereux. Un agent qui n’expose pas ses limites induit l’analyste en erreur.

Contrainte absolue : lecture seule. L’agent de triage ne bloque rien, ne met rien en quarantaine, n’isole aucun poste. Il prépare la décision — c’est l’analyste qui agit.

4. Audit de configuration assisté

Le problème. Auditer des configurations (SSH, pare-feu, Active Directory, services cloud) contre un référentiel (guides ANSSI, CIS Benchmarks, politique interne) est un travail systématique mais chronophage.

Ce que fait l’agent. Il lit les configurations collectées, les compare au référentiel, et produit un rapport structuré : constat, preuve (extrait de configuration), impact et remédiation pour chaque écart.

Point clé : séparer collecte et analyse. La collecte doit être faite par des scripts déterministes et reproductibles. L’agent travaille ensuite en lecture seule sur les fichiers collectés. Mélanger les deux rend l’audit incontrôlable.

Architecture. Agent en lecture seule sur un dossier de collecte, compétences encapsulant le référentiel et le format de rapport. C’est un excellent cas d’usage pour un consultant qui doit produire des rapports pour plusieurs clients.

5. Agent de sensibilisation

Le problème. Produire des campagnes de sensibilisation pertinentes et contextualisées au métier de chaque service prend du temps — surtout pour un consultant qui travaille avec plusieurs clients.

Ce que fait l’agent. Il produit des supports de sensibilisation différenciés — par métier, par niveau de risque, par actualité cyber — et peut répondre aux questions des collaborateurs sur les bonnes pratiques.

Faible risque, forte valeur. Pas de données sensibles manipulées, contenu facilement vérifiable par un humain, gain de temps très net sur la production de supports.

6. Aide à la réponse à incident

Le problème. Pendant un incident de sécurité, maintenir une chronologie à jour, ne rien oublier et préparer les communications est difficile sous pression.

Ce que fait l’agent. Il maintient la chronologie des événements, suggère les prochaines vérifications à effectuer, et prépare les brouillons de communication (technique et non technique).

Contrainte : jamais d’action autonome pendant un incident. Uniquement de la préparation, de la mémoire et de la suggestion. La fiabilité prime sur l’autonomie quand les enjeux sont élevés.

L’opportunité pour les consultants : auditer les agents des autres

Pour un consultant en cybersécurité, il existe une opportunité de mission qui n’existait pas il y a deux ans : auditer les déploiements d’agents IA des clients.

Le référentiel OWASP pour les applications agentiques (ASI01 à ASI10) constitue une grille d’audit directement exploitable :

Inventaire des agents et des serveurs MCP en place — y compris l’IA “fantôme” déployée sans validation
Revue des identités et des portées accordées
Test d’injection indirecte sur les canaux d’entrée
Vérification de l’isolation du bac à sable
Contrôle de la piste d’audit et du dispositif d’arrêt d’urgence

C’est une prestation cadrée, chiffrable, et pour laquelle très peu de cabinets sont outillés aujourd’hui.

L’IA agentique ne remplace pas l’analyste — elle lui rend les heures perdues en collecte et en qualification. Pour évaluer comment l’IA peut renforcer votre posture de cybersécurité, demandez un diagnostic.