Cribl élargit son portefeuille de sécurité avec l’acquisition de Radiant AI SOC

Cribl a acquis les actifs technologiques AI SOC de Radiant Security le 19 août, sa deuxième acquisition dans le domaine de la sécurité en un peu plus d’un mois. Le titre de Google News rend compte de la transaction, mais pas du conflit plus vaste qui la sous-tend. Cribl dépasse le simple routage de télémétrie pour s’aventurer sur un terrain historiquement dominé par les plateformes de gestion des informations et événements de sécurité, communément appelées SIEM.

Selon Cribl, la propriété intellectuelle acquise peut trier, enquêter et contribuer à résoudre les alertes de sécurité de manière autonome. La technologie génère une logique propre à chaque alerte au lieu de dépendre entièrement de playbooks prédéfinis. Cribl prévoit de l’adapter sous la forme d’une application fonctionnant sur la plateforme de télémétrie existante de l’entreprise.

Cette stratégie rapproche Cribl du territoire occupé par Microsoft, Splunk de Cisco, CrowdStrike, Palo Alto Networks et les nouveaux fournisseurs d’AI SOC. Elle soulève aussi une question plus difficile. Un fournisseur peut-il transformer une couche de données ouverte en plateforme efficace d’opérations de sécurité sans reconstruire la pile fermée dont il affirme que les clients ont dépassé les limites ?

La réponse de Cribl repose sur deux acquisitions. Radiant apporte l’investigation et le triage des alertes. CardinalOps, acquis en juillet, apporte l’ingénierie de détection, qui mesure la couverture et améliore les règles utilisées pour identifier les menaces.

Ensemble, ces capacités donnent à Cribl des composants couvrant la préparation des données, la conception de détections et l’investigation des incidents. La combinaison importe davantage que chacune des transactions prises séparément. Elle représente une tentative délibérée de rapprocher l’intelligence de sécurité de la télémétrie elle-même.

Cribl a acheté des actifs technologiques, pas l’entreprise entière

La structure précise de l’opération est importante, car Cribl a acquis les actifs technologiques AI SOC de Radiant plutôt que d’annoncer une reprise d’entreprise conventionnelle.

L’acquisition AI SOC de Cribl comprend la propriété intellectuelle permettant de trier, d’enquêter et de résoudre les alertes de manière autonome. L’annonce n’a pas divulgué les conditions financières de la transaction. Elle n’a pas non plus précisé combien d’employés, de clients ou d’obligations contractuelles de Radiant passeront chez Cribl.

Cela établit une distinction importante entre l’acquisition d’une entreprise opérationnelle complète et l’achat d’actifs technologiques ciblés. Une acquisition intégrale transfère généralement l’entreprise, les effectifs, les relations clients et les passifs. Une transaction sur actifs peut donner à l’acheteur davantage de contrôle sur ce qu’il reprend, mais elle peut rendre la continuité moins évidente.

Cribl indique qu’il adaptera la technologie de Radiant afin qu’elle fonctionne comme une application sur sa plateforme de données de télémétrie. La télémétrie désigne les informations générées par les machines à partir des applications, réseaux, identités, terminaux et infrastructures. Les équipes de sécurité utilisent ces informations pour comprendre l’activité et enquêter sur les comportements suspects.

Le produit de Radiant abordait le problème par l’autre extrémité. Il absorbait les alertes et le contexte pertinent, puis utilisait l’IA pour trier les alertes et mener les investigations. Son système était conçu pour rassembler les preuves, évaluer si une activité semblait malveillante et suggérer une réponse.

Selon Cribl, la technologie acquise génère une logique de triage personnalisée pour chaque alerte. Cela diffère d’une automatisation fondée uniquement sur des playbooks préécrits. Un playbook prédéfini suppose que les ingénieurs peuvent anticiper un scénario et coder les étapes nécessaires avant l’arrivée de l’alerte.

Une logique dynamique promet davantage de flexibilité lorsqu’une alerte présente des caractéristiques inhabituelles. Le système peut sélectionner des actions d’investigation en fonction des preuves disponibles. Toutefois, Cribl n’a pas publié de benchmarks indépendants montrant avec quelle fiabilité cette approche fonctionne selon les clients, les sources d’alertes ou les types d’attaques.

Radiant apportait une expérience de terrain existante à la transaction. L’entreprise a été fondée en 2021 et commercialisait auparavant une plateforme d’opérations de sécurité assistée par l’IA. Elle a levé une série A de 15 millions de dollars en 2023, menée par Next47 avec la participation d’investisseurs antérieurs.

L’entreprise décrivait initialement son produit comme un copilote SOC. Ce positionnement mettait l’accent sur le soutien aux analystes plutôt que sur le remplacement de l’ensemble des opérations de sécurité. Sa communication ultérieure a évolué vers un AI SOC adaptatif capable de prendre en charge une plus grande part du processus de triage et d’investigation.

Cribl intègre désormais cette technologie dans une plateforme plus large. L’entreprise affirme que l’application qui en résultera enquêtera à partir de la télémétrie, où que résident les données. Si cette promesse est tenue, les clients n’auraient pas besoin de copier chaque enregistrement pertinent dans un dépôt AI SOC distinct avant le début d’une investigation.

Ce détail architectural déclenche la tension centrale de l’article. Une approche fédérée peut préserver le choix des clients et réduire les déplacements de données inutiles. Elle peut aussi compliquer la cohérence des investigations, car les systèmes sources diffèrent en matière de disponibilité, de structure, de rétention et de performances de requête.

L’article original de Google News marque donc le début d’un projet d’intégration, et non l’arrivée d’un produit combiné finalisé. Cribl a acquis des capacités et de la propriété intellectuelle. Les clients ont encore besoin de preuves que ces composants peuvent fonctionner ensemble dans des conditions de sécurité réelles.

Pourquoi Cribl se lance maintenant dans les opérations de sécurité

Cribl remonte la chaîne de valeur, car le contrôle de la seule télémétrie ne suffit plus à capter les décisions de sécurité les plus déterminantes.

Cribl a bâti sa position en aidant les entreprises à collecter, transformer, acheminer, rechercher et stocker les données opérationnelles. Cette couche se situe entre les systèmes qui produisent la télémétrie et les plateformes qui l’analysent. Elle donne aux clients davantage de contrôle sur les données qui atteignent les outils en aval coûteux.

Ce modèle répond à un problème persistant pour les entreprises. Les équipes de sécurité et d’exploitation génèrent plus de journaux qu’elles ne peuvent conserver économiquement dans chaque plateforme d’analyse. Elles travaillent également entre des services cloud, des produits pour terminaux, des systèmes d’identité, des outils réseau et des infrastructures gérées de manière privée.

Le routage et le filtrage peuvent réduire la duplication et les dépenses. Pourtant, un pipeline de données ne décide pas si une alerte représente une attaque. Il ne détermine pas automatiquement si les règles de détection couvrent les menaces auxquelles une organisation est réellement confrontée.

L’acquisition de CardinalOps par Cribl en juillet a commencé à combler cette lacune. La transaction CardinalOps a ajouté un logiciel d’évaluation de la couverture de détection, d’identification des protections manquantes et de détection des règles défaillantes ou trop bruyantes.

L’ingénierie de détection transforme la connaissance des menaces en logique que les produits de sécurité peuvent exécuter. Elle relie les comportements des adversaires aux sources de données et aux règles nécessaires pour les identifier. CardinalOps automatisait une partie de ce travail et cartographiait les contrôles de sécurité par rapport à des cadres tels que MITRE ATT&CK.

Radiant fait progresser Cribl d’une étape supplémentaire. CardinalOps traite la question de l’existence des bonnes détections et de leur bon fonctionnement. La technologie de Radiant traite ce qui se passe après que ces détections ou d’autres outils de sécurité ont produit des alertes.

La séquence dessine une orientation produit cohérente :

• La plateforme existante de Cribl gère et expose la télémétrie.

• CardinalOps évalue la couverture de détection et la qualité des règles.

• La technologie de Radiant trie les alertes et mène les investigations.

• Les analystes humains examinent les conclusions et décident du degré d’autorité de réponse à automatiser.

Cette progression explique pourquoi les transactions ont été conclues à si peu d’intervalle. Cribl ne collecte pas des fonctionnalités d’IA sans lien entre elles. L’entreprise assemble des fonctions adjacentes autour d’une fondation de données commune.

Le PDG de Cribl, Clint Sharp, a présenté le problème sous l’angle des silos de données de sécurité. Il a déclaré qu’une trop grande part d’un marché de la sécurité de 121 milliards de dollars reste enfermée dans des systèmes isolés. Cette estimation du marché et cette affirmation plus générale proviennent de Cribl ; elles ne doivent donc pas être considérées comme une validation indépendante de la stratégie.

La motivation reste néanmoins claire. Les applications d’IA dépendent d’un contexte accessible, pertinent et bien structuré. Un agent de sécurité ne peut pas enquêter efficacement lorsque des enregistrements d’identité essentiels se trouvent sur une plateforme, des preuves issues des terminaux sur une autre et l’historique réseau ailleurs.

Les plateformes SIEM traditionnelles répondent à ce problème en centralisant de grands volumes de données. Le SIEM applique ensuite des règles, génère des alertes, prend en charge les recherches et gère les investigations. Cette approche crée un environnement analytique commun, mais elle peut aussi accroître les coûts de stockage et la dépendance envers le fournisseur.

Cribl propose un centre de gravité différent. Sa plateforme vise à rendre la télémétrie distribuée disponible pour plusieurs applications sans exiger qu’un seul produit d’analyse possède chaque copie. Les fonctions AI SOC reposeraient sur cette fondation partagée.

Le positionnement antérieur de l’entreprise rend ce mouvement particulièrement notable. En 2024, Cribl a levé 319 millions de dollars pour une valorisation annoncée de 3,5 milliards de dollars. À l’époque, la couverture du tour mettait l’accent sur l’infrastructure de données plutôt que sur une identité d’entreprise de sécurité IA.

Deux ans plus tard, Cribl se présente comme une AI Platform for Telemetry et acquiert des capacités opérationnelles de sécurité. Il ne s’agit pas simplement d’un ajustement de marque. Cela modifie ce que les clients, partenaires et concurrents doivent attendre du produit.

Le titre de Google News masque un défi lancé à la pile SIEM

Cribl parie que les opérations de sécurité peuvent devenir un ensemble d’applications reposant sur une télémétrie partagée, plutôt qu’un système unique possédant les données et le workflow.

C’est le principal affrontement qui se joue derrière l’acquisition. Il ne s’agit pas simplement de Cribl face à un concurrent nommément désigné. Le conflit plus profond oppose un modèle de télémétrie ouvert et fédéré à la pile SIEM intégrée.

Un SIEM conventionnel centralise les données afin que ses fonctions de recherche, de détection, de corrélation, d’investigation et de reporting puissent fonctionner dans un environnement contrôlé. Le fournisseur peut optimiser les performances sur l’ensemble de cette pile. Les clients gagnent en cohérence, mais il peut devenir difficile d’en sortir.

Cribl soutient que les données doivent rester portables et disponibles entre les outils. Sa plateforme peut acheminer les enregistrements vers différentes destinations, conserver certaines données dans des emplacements moins coûteux et rechercher des informations là où elles résident déjà. Le fournisseur veut désormais ajouter des applications de sécurité au-dessus de cette couche.

La technologie de Radiant s’inscrit dans ce modèle, car un enquêteur IA a besoin d’un large accès au contexte. Cribl affirme que le logiciel peut exécuter des investigations directement sur une télémétrie distribuée. Cela pourrait permettre à une organisation de conserver les enregistrements des terminaux, du cloud et du réseau dans différents emplacements tout en rassemblant les preuves associées à une alerte.

CardinalOps fournit une boucle de rétroaction complémentaire. Sa technologie peut identifier les sources de données ou les champs manquants lorsque la couverture de détection est faible. Elle peut également révéler les échecs d’analyse syntaxique et de normalisation qui empêchent les règles de fonctionner.

Cribl a cité une étude de CardinalOps suggérant que les organisations collectent des données capables de couvrir environ 90 pour cent des techniques MITRE ATT&CK. Selon cette étude du fournisseur, leurs détections SIEM n’en couvrent qu’environ 21 pour cent. La même analyse indique qu’environ 13 pour cent des règles SIEM sont défaillantes.

Ces chiffres constituent des indicateurs utiles, mais ils proviennent de CardinalOps et ont été republiés par son acquéreur. Ils n’établissent pas des taux universels à l’échelle du secteur. Les organisations définissent également de différentes manières la couverture des techniques et l’efficacité des règles.

Le décalage sous-jacent reste plausible. Collecter les bonnes données ne garantit pas qu’une entreprise a rédigé, testé et maintenu les bonnes détections. Générer une alerte ne garantit pas qu’un analyste dispose d’un contexte suffisant pour l’examiner rapidement.

La plateforme proposée par Cribl cible ces deux lacunes. CardinalOps évalue si les détections offrent une couverture pertinente. La technologie de Radiant enquête sur les alertes produites par ces détections. Cribl fournit l’accès aux données sous-jacentes.

Un client du secteur industriel a décrit une version de ce modèle opérationnel avant l’acquisition. Dans une étude de cas AI SOC publiée, Rehrig Pacific a déclaré avoir remplacé un dispositif de sécurité externalisé et internalisé ses opérations avec Radiant.

Le client a indiqué que le délai moyen de réponse était passé de 20 à 30 minutes à environ cinq minutes. Il a également déclaré que les analystes recevaient 70 à 80 % du contexte nécessaire avec chaque alerte. Il s’agit de résultats rapportés par le client et le fournisseur, et non d’une comparaison contrôlée.

Ce cas illustre néanmoins le flux de travail visé. Les alertes issues des e-mails, du cloud, des endpoints, du réseau et des systèmes internes arrivaient dans un même environnement. L’enquête automatisée regroupait les détails sur l’hôte, l’activité des utilisateurs, les événements associés et une chronologie avant qu’un analyste n’examine le dossier.

Cribl veut reproduire cette expérience sans obliger chaque client à adopter un autre magasin de données isolé. C’est là que cette stratégie exerce une pression sur les plateformes historiques. Si les enquêtes peuvent s’appuyer sur une télémétrie partagée, les clients ont moins de raisons de laisser un unique SIEM contrôler la collecte, le stockage, la détection et la réponse.

Les acteurs historiques conservent des avantages majeurs. Microsoft peut relier les opérations de sécurité à l’identité, aux endpoints, aux services cloud et aux logiciels de travail collaboratif. CrowdStrike dispose d’une visibilité approfondie sur les endpoints et a étendu son offre de SIEM de nouvelle génération. Palo Alto Networks combine des produits pour le réseau, le cloud, les endpoints et l’automatisation.

Le Splunk de Cisco dispose lui aussi d’une importante base installée et de capacités de recherche matures. Ces fournisseurs peuvent intégrer les fonctions de sécurité à travers des produits qu’ils contrôlent déjà. Leurs clients peuvent valoriser cette cohérence opérationnelle davantage que l’ouverture architecturale.

Cribl doit donc prouver que la flexibilité produit de meilleurs résultats, et pas seulement davantage de choix. Un système fédéré qui exige un travail considérable sur les connecteurs, la gestion des schémas et le dépannage des accès pourrait déplacer la complexité plutôt que l’éliminer.

L’acquisition couverte par google news doit être comprise avant tout comme un test direct de cette proposition. Cribl détient désormais davantage de la logique nécessaire pour transformer des données distribuées en décisions de sécurité. L’entreprise doit démontrer que sa plateforme peut y parvenir de façon prévisible.

Les enquêtes dynamiques par IA créent un compromis de confiance

La génération d’une logique d’enquête unique pour chaque alerte élargit la couverture, mais rend aussi la validation et la gouvernance plus exigeantes.

Les playbooks prédéfinis ont des limites évidentes. Ils fonctionnent bien pour des alertes familières associées à des sources de données stables et à des procédures de réponse documentées. Ils peinent lorsqu’une enquête exige de nouvelles requêtes, des éléments de preuve inattendus ou un raisonnement entre des outils que le playbook n’avait pas anticipés.

La technologie de Radiant promet de formuler une logique de triage à mesure que chaque alerte arrive. Un agent IA peut décider quels enregistrements récupérer, identifier les relations, évaluer les comportements suspects et recommander d’autres actions. En théorie, cela rend le système adaptable à davantage de catégories d’alertes.

Cette même flexibilité crée des risques. Un playbook fixe peut être examiné avant son déploiement et testé avec des entrées connues. Les étapes générées dynamiquement varient d’un cas à l’autre, ce qui rend difficile un test exhaustif à l’avance.

Les enquêtes de sécurité impliquent également des données adverses. Des attaquants peuvent manipuler des champs de journaux, des noms de fichiers, des messages ou d’autres contenus lus par un système d’IA. Un agent d’enquête a besoin de contrôles séparant la télémétrie non fiable des instructions opérationnelles.

L’accès constitue une autre préoccupation. Une application AI SOC peut nécessiter l’autorisation d’interroger des données sensibles liées à l’identité, aux endpoints, au réseau et au cloud. Une réponse automatisée peut exiger une autorité encore plus étendue, notamment la capacité de désactiver des comptes ou d’isoler des appareils.

Les organisations doivent savoir quelles actions l’application peut entreprendre, comment fonctionnent les approbations et si chaque décision génère un enregistrement auditable. L’annonce de Cribl décrit un triage, une enquête et une résolution autonomes, mais elle ne fournit pas de modèle public détaillé de gouvernance pour le produit combiné.

L’exactitude doit aussi être mesurée de manière indépendante. Réduire les faux positifs semble utile, mais un filtrage agressif peut créer des faux négatifs en écartant une activité malveillante. Le coût d’une véritable intrusion passée inaperçue diffère fortement de l’inconvénient d’escalader une alerte bénigne.

Une évaluation utile doit distinguer plusieurs questions. Le système a-t-il récupéré les bons éléments de preuve ? Les a-t-il interprétés avec précision ? A-t-il attribué le bon niveau de gravité ? A-t-il recommandé une réponse sûre ? Un analyste humain a-t-il approuvé la conclusion ?

Un unique pourcentage d’exactitude masquerait ces distinctions. Les performances peuvent également varier selon la source de données, le type d’alerte, l’environnement client et le contexte historique disponible.

L’intégration crée une incertitude supplémentaire, car Cribl combine des technologies issues de produits distincts. CardinalOps cartographie la couverture des détections et évalue les règles. Les actifs de Radiant enquêtent sur les alertes. Cribl gère la télémétrie dans des systèmes distribués.

Les composants entretiennent une relation logique, mais l’architecture produit ne devient pas unifiée par le seul effet d’annonces d’acquisition. Les modèles de données, les contrôles d’identité, les systèmes de déploiement, les interfaces utilisateur et les enregistrements d’audit exigent toujours une intégration.

Sean Sosnowski de Software Analyst Cyber Research a décrit l’accord CardinalOps comme une extension naturelle du contrôle de Cribl sur la couche de données. Ses commentaires dans une analyse des opérations de sécurité ont également souligné l’ampleur de la concurrence potentielle à laquelle Cribl fait face en montant dans la chaîne de valeur.

Cette pression s’accroît désormais. Cribl doit continuer à prendre en charge les intégrations avec des entreprises dont elle défie de plus en plus les activités de SIEM et d’analytique de sécurité. Les partenaires pourraient réagir en limitant la coopération technique, en améliorant leurs propres contrôles des données ou en mettant l’accent sur les performances intégrées.

Les clients devraient également distinguer les affirmations architecturales des preuves opérationnelles. Mener les enquêtes là où réside la télémétrie peut réduire les copies, mais les requêtes distantes dépendent toujours de la disponibilité et de la latence des sources. Les données peuvent suivre des schémas ou des politiques de conservation incohérents.

Une enquête pourrait échouer si un système source est indisponible ou si les enregistrements requis ont expiré. Elle pourrait aboutir à une mauvaise conclusion lorsque les champs sont incomplets. Cribl doit définir clairement son comportement dans ces situations, y compris des indicateurs de confiance et des règles d’escalade.

La structure des actifs ajoute une inconnue supplémentaire. Cribl n’a pas publiquement détaillé quels employés de Radiant soutiendront la technologie après la transaction. La propriété intellectuelle compte, mais des ingénieurs spécialisés et les connaissances en réponse aux incidents déterminent souvent si un logiciel de sécurité continue de s’améliorer.

Aucune de ces préoccupations n’invalide l’acquisition. Elles définissent les preuves que Cribl doit fournir. L’entreprise est passée de l’activation d’outils de sécurité à la formulation de jugements de sécurité, et le niveau de preuve augmente avec ce changement.

Trois signaux montreront si la stratégie AI SOC de Cribl fonctionne

Le prochain test est l’exécution : Cribl doit dévoiler un produit, prouver son adoption et montrer que son modèle ouvert fonctionne sous pression opérationnelle.

Le premier signal arrivera lors de CriblCon, le 28 septembre 2026. Cribl indique qu’elle présentera davantage d’ajouts à la plateforme lors de l’événement. Les détails les plus importants concerneront le packaging, l’intégration, la disponibilité et le contrôle par les clients.

Une sortie crédible devrait expliquer comment la technologie Radiant acquise apparaît au sein de la plateforme Cribl. Les clients doivent savoir quelles sources de télémétrie elle peut interroger, si elle fonctionne dans des environnements cloud et autogérés, et comment les autorisations sont définies.

Cribl devrait également clarifier la relation entre les fonctions d’enquête de Radiant et l’ingénierie de détection de CardinalOps. Une interface commune compterait moins qu’une boucle de retour commune. Les résultats des enquêtes devraient aider les équipes à améliorer les règles faibles, le contexte manquant et les sources de données bruyantes.

Si Cribl présente un produit intégré avec des détails concrets de déploiement, la thèse de l’acquisition devient plus solide. Une démonstration sans calendrier de sortie, documentation de gouvernance ni flux de travail pris en charge laisserait les questions centrales sans réponse.

Le deuxième signal sera l’adoption par les clients au-delà des études de cas sélectionnées. Cribl affirme que sa plateforme est utilisée par la moitié des entreprises du Fortune 100. Cette diffusion pourrait offrir à l’application AI SOC une voie significative vers les grandes entreprises.

L’accès à une base installée ne garantit pas la confiance opérationnelle. Les clients existants peuvent utiliser Cribl pour le routage tout en conservant les enquêtes dans Microsoft Sentinel, Splunk, CrowdStrike, Palo Alto Networks ou une autre plateforme. Les responsables de la sécurité évalueront la nouvelle application séparément.

Des preuves solides incluraient des déploiements de production nommés, des volumes d’alertes documentés, des entretiens indépendants avec des clients et des performances dans plusieurs environnements de sécurité. Les résultats devraient couvrir à la fois la qualité de détection et la charge de travail des analystes.

Les indicateurs les plus utiles incluront la réduction des faux positifs, les taux d’alertes manquées, le temps d’enquête, la fréquence des dérogations par les analystes et le pourcentage de cas exigeant une reconstruction manuelle. Cribl devrait également révéler la fréquence à laquelle l’accès distant aux données échoue ou renvoie un contexte incomplet.

Des améliorations constantes chez les clients étayeraient l’affirmation de Cribl selon laquelle les applications fonctionnent mieux avec une télémétrie partagée. Un succès limité à des déploiements fortement configurés suggérerait que l’approche dépend encore fortement des services et d’une ingénierie spécifique à chaque client.

Le troisième signal sera la réponse concurrentielle. Les fournisseurs de SIEM peuvent réduire la différenciation de Cribl en ouvrant l’accès aux données, en améliorant la recherche fédérée ou en ajoutant des contrôles plus transparents pour les enquêtes par IA.

Ils peuvent également rendre les piles intégrées plus attrayantes. Un fournisseur qui contrôle le capteur endpoint, la couche d’identité, le moteur analytique et le flux de réponse peut optimiser les interactions entre ces produits. Cribl doit compenser cet avantage par la portabilité, une prise en charge plus large des sources et une friction de changement plus faible.

Le comportement des partenaires mérite également une attention particulière. La plateforme Cribl se connecte actuellement à de nombreux fournisseurs de sécurité. Ces intégrations sont centrales pour son modèle ouvert. Toute restriction, réduction de la coopération technique ou fonctionnalité concurrente de télémétrie pourrait affaiblir la stratégie.

À l’inverse, la poursuite des partenariats montrerait que les clients demandent toujours des architectures de sécurité composables. Les fournisseurs peuvent décider que continuer à prendre en charge Cribl reste nécessaire, même lorsqu’elle entre sur des marchés adjacents.

C’est pourquoi cette acquisition est plus importante qu’un élément typique de google news sur un financement ou une fusion. Cribl teste la possibilité que le point de contrôle des opérations de sécurité passe d’une suite analytique centralisée à une plateforme de télémétrie partagée.

L’issue affecte les acheteurs d’entreprise. Un modèle réussi pourrait permettre aux équipes de préserver leur infrastructure de données existante tout en remplaçant progressivement des fonctions de sécurité individuelles. Un modèle défaillant pourrait les laisser gérer une couche logicielle supplémentaire sans réduire leur dépendance aux systèmes historiques.

Les développeurs et les ingénieurs en sécurité devraient surveiller les interfaces entre les couches. Ils ont besoin de schémas cohérents, d’identifiants contrôlés, de pistes d’audit complètes et d’une gestion fiable des défaillances. Le raisonnement de l’IA n’est qu’une partie d’un système de sécurité opérationnel.

Les travailleurs du savoir en dehors du SOC sont également concernés. Les enquêtes de sécurité impliquent de plus en plus les activités liées aux identités, les ressources cloud, les systèmes de collaboration et les applications métier. Les décisions prises par un agent d’IA peuvent affecter l’accès des employés et les services de production.

Les équipes qui évaluent cette annonce devraient considérer le titre de Google News comme un point de départ. Demandez à Cribl une feuille de route précise concernant les actifs et les intégrations. Testez le produit face à des alertes représentatives, des données incomplètes, des sources indisponibles et des entrées adversariales.

Surtout, comparez au fil du temps les conclusions du système avec celles d’analystes expérimentés. La question décisive n’est pas de savoir si l’IA peut générer une enquête. Elle est de savoir si Cribl peut rendre ces enquêtes exactes, gouvernables et reproductibles sur des données de télémétrie qu’il ne contrôle pas entièrement.