Sophos réduit de 96 % le temps d’investigation des menaces avec OpenAI Daybreak

Sophos affirme qu’OpenAI Daybreak a contribué à réduire de 96 % son temps moyen d’investigation et de réponse aux menaces, le faisant passer d’environ 38 minutes à 89 secondes. Le fournisseur de cybersécurité indique désormais que l’intelligence artificielle traite de bout en bout 52 % de ses cas de détection et de réponse managées.

Ces résultats représentent une étape plus importante que l’ajout d’un assistant IA à la console d’un analyste. Sophos a confié à des agents IA la responsabilité opérationnelle de plus de la moitié de son volume de dossiers, dans un cadre que ses spécialistes de la sécurité ajustent en continu.

Cette distinction place l’entreprise à l’opposé d’un modèle bien connu des opérations de sécurité. Au lieu de demander aux analystes de superviser chaque investigation de routine, Sophos laisse les agents traiter des cas circonscrits tandis que les équipes humaines se concentrent sur les décisions incertaines ou lourdes de conséquences. La question essentielle est de savoir si cette répartition peut préserver la responsabilité à mesure que l’automatisation s’étend.

OpenAI Daybreak passe de l’assistance à la résolution des cas

Le changement central ne réside pas dans des résumés plus rapides. Sophos autorise les agents à mener à bien des investigations et des réponses définies sans exiger une intervention humaine dans chaque cas.

Selon l’étude de cas d’OpenAI, Sophos avait auparavant besoin d’environ 38 minutes pour investiguer un dossier moyen et y répondre. Les dossiers traités par ses nouveaux agents atteignent désormais un temps de réponse moyen d’environ 89 secondes.

Cette baisse représente une réduction d’environ 96 %. Sophos indique également que les agents résolvent de bout en bout 52 % de ses dossiers de managed detection and response, ou MDR.

Le MDR est un service dans lequel une équipe de sécurité externe surveille en continu les environnements des clients et répond aux menaces détectées. Il permet aux organisations d’accéder à des opérations de sécurité sans devoir construire un centre interne complet d’opérations de sécurité.

L’amélioration annoncée concerne les dossiers traités par les agents. Elle ne doit pas être interprétée comme la preuve que chaque investigation chez Sophos se conclut désormais en 89 secondes.

Cette précision de périmètre est importante, car les dossiers de sécurité varient fortement. Un fichier malveillant connu peut permettre une réponse strictement définie, tandis qu’une activité suspecte liée à une identité peut nécessiter un contexte métier que la télémétrie ne peut pas fournir.

Sophos indique que son système Fusion collecte des signaux issus de ses produits et de plus de 500 intégrations tierces. Ces sources couvrent des environnements pouvant inclure des terminaux, des réseaux, des services cloud, des systèmes de messagerie, des pare-feux et des plateformes de gestion des identités.

Selon OpenAI, les capteurs combinés génèrent des billions d’événements chaque jour. Sophos filtre et corrèle cette activité pour obtenir environ 1 000 à 2 000 dossiers à investiguer par neuf centres d’opérations de sécurité.

Un agent d’investigation recueille le contexte client pertinent, les détections, les indicateurs de compromission et les renseignements sur les menaces. Un modèle de planification crée ensuite un plan d’investigation, en exécute les étapes, examine les résultats et prépare les actions recommandées.

D’autres agents peuvent prendre en charge certaines parties de la réponse lorsque l’autorisation du client et les limites opérationnelles de Sophos le permettent. Ce flux de travail transforme le modèle en orchestrateur, et non en simple interface conversationnelle.

Le résultat s’appuie également sur une initiative d’automatisation antérieure. En mai 2026, Sophos a présenté des résultats de SOC agentique couvrant une année d’utilisation en production.

Cette annonce mentionnait également un temps de réponse automatisée de 89 secondes et un taux de clôture de bout en bout de 52 %. L’étude de cas d’OpenAI publiée en octobre fournit donc davantage de détails sur le rôle de Daybreak, plutôt que d’introduire ces mesures pour la première fois.

Cet historique rend les éléments disponibles plus solides qu’une démonstration en laboratoire. Toutefois, les deux récits publiés restent des mesures rapportées par l’entreprise, et non une comparaison indépendante fondée sur un référentiel industriel commun.

Pourquoi une réponse en 89 secondes change la concurrence dans le MDR

Sophos pousse les fournisseurs de sécurité managée à rivaliser sur les résultats effectivement obtenus, plutôt que sur le nombre d’alertes que leur IA peut résumer.

Les équipes d’opérations de sécurité utilisent déjà l’automatisation pour réduire le bruit, corréler les alertes et prioriser les activités suspectes. L’étape plus difficile consiste à laisser un logiciel décider que les éléments disponibles justifient une réponse, puis l’exécuter.

Sophos indique que son activité MDR protège plus de 40 000 clients. Son portefeuille de produits plus large dessert plus de 625 000 organisations, ce qui donne à l’entreprise un vaste ensemble de signaux de sécurité et d’expérience opérationnelle.

À cette échelle, même une faible quantité de travail manuel par dossier devient coûteuse. Le volume de dossiers peut aussi croître plus rapidement qu’une organisation ne peut recruter et former des analystes expérimentés.

Le déploiement de Daybreak modifie l’équation de passage à l’échelle. Sophos peut augmenter sa capacité d’inférence de modèles et d’automatisation sans embaucher un analyste pour chaque hausse correspondante des investigations de routine.

Cela ne signifie pas que les analystes disparaissent du modèle opérationnel. Cela signifie que leur travail s’éloigne de la collecte de contexte routinière pour se concentrer sur les attaques inédites, les preuves ambiguës, la communication avec les clients, la chasse aux menaces et la gouvernance.

Cette distinction est importante pour les acheteurs. Un outil qui produit un résumé d’incident peut faire gagner quelques minutes, mais il laisse toujours à une file d’attente humaine la charge de décider et d’exécuter.

Un agent qui rassemble les preuves, teste une hypothèse, rend un verdict circonscrit et exécute une action approuvée modifie la file d’attente elle-même. Les cas de routine n’ont plus besoin d’attendre qu’un analyste intervienne à chaque étape.

Sophos avait déjà construit un important pipeline de filtrage avant Daybreak. Une description antérieure de son flux d’événements MDR expliquait comment la télémétrie est nettoyée, enrichie, corrélée, priorisée et escaladée.

Ce pipeline traitait environ 31 milliards d’événements et 358 millions de détections lors d’une journée typique à l’époque de la publication. Il ramenait cette activité à 367 investigations, 47 escalades et une menace active.

Ces chiffres antérieurs décrivent une période de référence différente et ne doivent pas être directement combinés aux estimations quotidiennes plus récentes. Ils illustrent néanmoins pourquoi le filtrage est au cœur des opérations de sécurité managées.

Les agents interviennent après que plusieurs couches ont déjà réduit les données. Ils ne raisonnent pas de manière autonome sur chaque événement brut généré par chaque client.

Cette architecture confère à Sophos un avantage défendable par rapport aux entreprises qui appliquent des modèles généralistes directement à des alertes non structurées. Les agents reçoivent des dossiers sélectionnés, des renseignements sur les menaces, des playbooks de réponse et le contexte client.

Les concurrents explorent un territoire similaire. Les agents Microsoft Security Copilot peuvent aider au triage des incidents, au renseignement sur les menaces, aux investigations et aux recommandations de remédiation dans l’ensemble des produits de sécurité de Microsoft.

La documentation de Microsoft décrit des agents qui analysent les incidents, extraient les entités, corrèlent les signaux et déterminent si une activité est malveillante. Cela confirme que les opérations de sécurité pilotées par des agents deviennent une compétition sectorielle, et non une expérience menée par une seule entreprise.

L’élément différenciant de Sophos est sa revendication d’une résolution de bout en bout à l’échelle de la production au sein d’un service managé. Les concurrents subiront une pression accrue pour publier des taux d’achèvement, des temps de réponse, des taux d’escalade et des modèles d’autorisation comparables.

Comment les agents IA de sécurité de Sophos répartissent le travail

Le mécanisme fonctionne parce que Sophos limite l’autorité des agents selon le type de dossier, les préférences du client et l’impact potentiel.

OpenAI décrit Daybreak comme une pile de cybersécurité gouvernée, combinant des modèles spécialisés, un environnement d’exécution, des outils de sécurité, des flux de travail de confiance et des partenaires du secteur. Son objectif déclaré est de soutenir le travail défensif tout en conservant le contrôle humain sur les accès et les actions.

Sophos fournit l’environnement opérationnel qui entoure ces modèles. Cet environnement comprend des renseignements sur les menaces, des procédures d’investigation, la télémétrie des clients, une logique de détection et des playbooks de réponse élaborés au fil d’années d’opérations de sécurité.

Cette combinaison est importante, car un modèle de langage seul ne sait pas si un processus inconnu est normal pour une organisation donnée. Il a besoin de données actualisées sur les actifs, d’informations d’identité, d’activités historiques et de preuves de sécurité vérifiées.

Pour chaque dossier, l’agent d’investigation assemble ce contexte. Le système de planification suit ensuite une boucle de planification, d’exécution et d’examen, au lieu de générer une réponse à partir d’une seule invite.

La division du travail en étapes permet au système de réévaluer ses éléments de preuve. Elle produit également un enregistrement structuré que les analystes peuvent examiner lorsqu’un dossier doit être escaladé.

Sophos répartit l’autorité de réponse client en trois modes opérationnels. Avec Notify, Sophos enquête et recommande une action, mais le client l’exécute.

Avec Collaborate, Sophos et le client travaillent ensemble avant d’agir. Avec Authorise, Sophos peut répondre directement pour le compte du client dans les limites convenues.

Ces règles s’appliquent, qu’une personne ou un agent effectue le travail. Un agent ne reçoit pas automatiquement une autorité plus large simplement parce qu’il peut parvenir rapidement à un verdict.

Les actions potentiellement destructrices restent soumises à la supervision appropriée. John Peterson, directeur de la technologie de Sophos, a déclaré à OpenAI que les dossiers qui dépassent le niveau de confiance de l’entreprise sont transmis au jugement humain.

Cela crée deux modes de fonctionnement liés. L’automatisation avec l’humain dans la boucle de supervision permet aux spécialistes de superviser un travail bien délimité sans approuver individuellement chaque action.

Le fonctionnement avec un humain dans la boucle exige qu’une personne intervienne avant qu’une décision ou une réponse sensible ne se poursuive. Sophos affirme utiliser ce modèle plus strict pour les schémas inédits, les décisions à forts enjeux et les dossiers nécessitant un contexte métier.

Cette répartition aide à expliquer comment une automatisation à 52 % peut coexister avec la responsabilité humaine. La part automatisée représente les dossiers que Sophos estime relever de limites établies, et non une autorisation de réponse autonome sans restriction.

Elle explique également pourquoi les 48 % restants sont significatifs. Les dossiers qui résistent à l’automatisation sont susceptibles de comporter des comportements inhabituels, des preuves incomplètes ou des conséquences métier exigeant une expertise plus approfondie.

Une lecture purement axée sur la productivité passe à côté de cette redistribution. La valeur du système dépend de sa capacité à orienter les analystes vers un travail plus conséquent sans laisser leurs compétences d’investigation de routine s’éroder.

Les organisations qui adoptent des systèmes similaires auront besoin d’une documentation durable pour les playbooks de réponse, les incidents passés et les exceptions opérationnelles. Une base de connaissances d’ingénierie interrogeable peut aider les équipes à préserver ce contexte, même si elle ne peut pas remplacer des contrôles de sécurité validés.

Le mécanisme comporte donc deux composantes essentielles. Les modèles apportent rapidité et capacité de raisonnement, tandis que la gouvernance détermine quelles conclusions peuvent déclencher une action.

La supervision humaine est un système de contrôle, pas un slogan

La question non résolue est de savoir si Sophos peut mesurer les erreurs des agents avec autant de rigueur qu’il mesure leur vitesse.

La réduction de 96 % et le taux de clôture de 52 % décrivent le débit. Ils ne révèlent pas les taux de faux positifs, les taux de faux négatifs, les dossiers rouverts, les annulations par les clients ou la fréquence des corrections apportées par les analystes.

Ces omissions n’invalident pas les résultats. Elles limitent ce que les observateurs extérieurs peuvent conclure quant à la fiabilité.

Une réponse rapide est précieuse lorsqu’un agent isole correctement un appareil compromis. Cette même rapidité devient dangereuse s’il désactive un système critique après avoir mal interprété une activité administrative légitime.

Les agents de cybersécurité évoluent également dans un environnement adversarial. Des attaquants peuvent concevoir délibérément des fichiers, des messages, des commandes et du contenu web destinés à perturber l’analyse automatisée.

Les modèles peuvent produire des interprétations plausibles mais erronées lorsque les éléments disponibles sont incomplets. Ils peuvent aussi accorder une confiance excessive à des indicateurs faibles ou manquer un contexte qu’un analyste expérimenté identifierait.

Il ne s’agit pas d’une limite théorique propre à Sophos. Anthropic a indiqué qu’un système d’IA impliqué dans une campagne d’espionnage cybernétique orchestrée surestimait parfois ses découvertes et fabriquait des données lors de travaux autonomes.

Dans son analyse de la campagne, le modèle aurait affirmé avoir obtenu des identifiants qui se sont révélés inutilisables et aurait présenté des informations publiques comme des découvertes importantes.

Ce cas concernait un usage offensif abusif, et non le système défensif de Sophos. Il montre néanmoins pourquoi les preuves et conclusions générées par un modèle doivent être validées avant toute action aux conséquences importantes.

Microsoft formule des avertissements similaires pour ses propres agents de sécurité. Ses recommandations en matière d’IA responsable indiquent que les réponses générées peuvent être inexactes, incomplètes ou obsolètes.

Microsoft conseille à ses clients d’assurer une supervision humaine appropriée, de valider les résultats critiques, d’appliquer des autorisations fondées sur le moindre privilège et d’éviter toute dépendance excessive. Ces principes s’appliquent tout autant à tout agent capable d’enquêter ou de répondre.

Les trois modes d’autorisation de Sophos fournissent un cadre de contrôle crédible. Toutefois, la solidité de ce cadre dépend de la manière dont les limites sont définies, testées, surveillées et révisées.

L’entreprise affirme que ses analystes calibrent continuellement ces limites. Davantage de transparence aiderait les clients à comprendre ce que ce processus signifie concrètement.

Parmi les mesures utiles figureraient le pourcentage de cas automatisés ultérieurement rouverts, le taux de dérogations demandées par les clients et le nombre d’actions bloquées par les politiques de sécurité. Sophos pourrait également communiquer ses performances par catégorie de cas.

Les résultats agrégés peuvent masquer des variations importantes. Le confinement de malwares, l’analyse de phishing, la compromission d’identités, les mauvaises configurations cloud et les activités internes présentent des preuves et des conséquences différentes.

Les clients ont également besoin de clarté sur le traitement des données. Une enquête peut porter sur des détails d’appareils, des identités d’utilisateurs, des métadonnées d’e-mails, des renseignements sur les menaces et des informations provenant de produits de sécurité tiers.

Les questions pertinentes portent notamment sur le lieu de traitement des données, leur durée de conservation, les composants du modèle qui peuvent y accéder et la manière dont les actions sont consignées. Les contrôles contractuels comptent autant que les performances du modèle.

La supervision humaine a également ses propres modes de défaillance. Les analystes peuvent devenir moins attentifs lorsque l’automatisation est généralement correcte, un phénomène souvent décrit comme le biais d’automatisation.

Les examinateurs doivent également disposer d’une visibilité suffisante sur les éléments de preuve et le raisonnement de l’agent afin de pouvoir contester sa conclusion. Une recommandation dépourvue de justification traçable encourage une approbation par habitude.

Le critère n’est donc pas de savoir si un humain reste quelque part dans le flux de travail. Il consiste à déterminer si cette personne dispose de l’autorité, du temps, du contexte et de preuves exploitables nécessaires pour arrêter une mauvaise action.

Le véritable enjeu oppose l’autonomie encadrée à l’assistance de type Copilot

Sophos parie qu’une autonomie gouvernée apporte davantage de valeur opérationnelle qu’un assistant IA attendant la prochaine instruction d’un analyste.

La première génération de copilotes de sécurité se concentrait sur l’accès conversationnel. Les analystes pouvaient demander des résumés d’incidents, produire des requêtes, expliquer des scripts suspects et rédiger des instructions de remédiation.

Ces fonctions réduisent la charge cognitive et administrative. Elles ne retirent pas nécessairement des cas de la file d’enquête.

L’approche de Sophos cible l’ensemble du cycle de vie de certains cas. L’agent collecte le contexte, planifie une enquête, exécute des étapes, examine les résultats, recommande une réponse et, parfois, l’exécute.

Cette différence crée la tension principale de l’article. L’assistance de type Copilot maintient une personne dans chaque boucle opérationnelle, tandis que l’autonomie encadrée supprime cette exigence pour les cas répétables.

Aucune des deux approches n’est universellement supérieure. L’assistance de type Copilot est plus facile à introduire lorsque la qualité des données varie, que les processus restent informels ou que les conséquences d’une erreur sont graves.

L’autonomie encadrée devient plus attrayante lorsqu’une organisation dispose d’une télémétrie fiable, de procédures éprouvées, d’autorisations claires et d’un volume de cas suffisant pour justifier une validation approfondie.

Sophos réunit plusieurs de ces conditions. Son service managé centralise les procédures auprès de milliers de clients et rencontre régulièrement des schémas d’attaque reconnaissables.

Une équipe de sécurité d’entreprise classique ne bénéficie pas nécessairement du même avantage. Ses journaux peuvent être incomplets, ses processus de réponse peuvent différer d’une unité opérationnelle à l’autre, et les responsabilités peuvent manquer de clarté.

Cette différence limite les comparaisons directes entre Sophos et les centres d’opérations de sécurité internes. Un fournisseur de services managés peut standardiser l’infrastructure et les politiques de manière plus agressive que de nombreux clients individuels.

Elle signifie également que le résultat de Daybreak relève en partie de l’organisation opérationnelle. Le modèle s’insère dans un système qui filtre déjà les événements, enrichit les détections, organise les cas et définit l’autorité de réponse.

Le programme plus large Daybreak d’OpenAI présente la cybersécurité comme une boucle continue couvrant l’inventaire, la découverte, la validation, l’affectation, la remédiation et la preuve. Cette ambition dépasse largement l’assistance fondée sur le chat.

Si ce modèle se diffuse, les acheteurs auront besoin d’un vocabulaire plus précis pour évaluer l’automatisation. L’étiquette « alimenté par l’IA » ne dit presque rien sur ce qu’un produit fait réellement.

Une évaluation utile devrait demander ce qui déclenche l’agent, quels éléments de preuve il peut récupérer, quels outils il peut utiliser et quelles actions il peut entreprendre. Les acheteurs devraient également demander à quel moment l’escalade devient obligatoire.

Le taux de résolution est une autre mesure importante. Un agent qui clôture de manière autonome un cas bien défini produit un résultat différent de celui qui fait gagner quelques minutes à un analyste.

Toutefois, les fournisseurs ne devraient pas rivaliser en maximisant la clôture autonome à tout prix. Un taux de clôture plus faible peut refléter des seuils de sécurité plus stricts ou une base de clients plus complexe.

L’objectif pertinent est un taux d’automatisation approprié pour un niveau de risque défini. Cela exige des rapports conjoints sur la rapidité, la précision, la qualité des escalades et l’impact opérationnel.

Sophos a rapproché le débat de cette norme en publiant un temps de réponse et un taux de clôture de bout en bout. La prochaine étape consiste à associer ces chiffres à des mesures de fiabilité transparentes.

Ce qu’il faut surveiller après le déploiement d’OpenAI Daybreak

La prochaine phase déterminera si Sophos a établi un modèle opérationnel de sécurité durable ou publié un instantané impressionnant issu de charges de travail favorables.

Le premier signal est la qualité des cas automatisés dans le temps. Les clients devraient surveiller les informations communiquées sur les enquêtes rouvertes, les réponses incorrectes, les menaces manquées et les dérogations des analystes.

Des performances stables renforceraient l’argument de Sophos selon lequel le taux de clôture de 52 % reflète une automatisation fiable. Une hausse des taux de correction indiquerait qu’une plus grande autonomie déplace le travail au lieu de l’éliminer.

Le deuxième signal concerne l’extension à des actions de réponse plus difficiles. Sophos affirme prévoir d’élargir les cas d’usage des agents et de rendre leurs capacités de réponse plus sophistiquées.

Cette extension mettra le cadre de gouvernance à l’épreuve. La collecte de preuves et le confinement d’un terminal connu comme malveillant présentent des risques différents de ceux liés à la modification d’autorisations d’identité ou à la perturbation d’une infrastructure de production.

Le succès devrait donc être mesuré par le contrôle du périmètre, et non simplement par un pourcentage d’automatisation plus élevé. L’entreprise doit démontrer que toute autorité supplémentaire s’accompagne de mécanismes appropriés d’évaluation et de retour en arrière.

Le troisième signal est la communication des concurrents. Microsoft et d’autres fournisseurs de sécurité proposent déjà des agents pour les flux de triage, d’enquête, de renseignement sur les menaces et de remédiation.

Si les concurrents commencent à publier des taux de résolution de bout en bout et des données de délai comparables, les acheteurs bénéficieront d’un référentiel de marché plus clair. S’ils évitent ces mesures, la publication de Sophos en production restera un facteur de différenciation notable.

Les clients devraient néanmoins vérifier si les comparaisons utilisent le même point de départ. Le « temps de réponse » peut commencer à la génération de l’alerte, à la création du cas, à l’activation du modèle ou à la validation par un analyste.

Ils devraient également distinguer le confinement automatisé de la remédiation complète. L’isolement d’un appareil peut arrêter une activité immédiate, mais la restauration des systèmes et la fermeture du chemin d’accès de l’attaquant peuvent exiger un travail supplémentaire.

Pour les responsables de la sécurité, la réponse pratique n’est pas d’exiger une autonomie sans restriction. Elle consiste à identifier des cas à volume élevé disposant de preuves fiables, d’actions réversibles et de règles d’escalade matures.

Ils peuvent ensuite évaluer si les agents réduisent la charge totale des analystes sans affaiblir la qualité de détection ni la responsabilité. Cette évaluation devrait inclure des tests adversariaux et l’échantillonnage régulier des cas clôturés automatiquement.

Les résultats communiqués par Sophos rendent cette évaluation plus difficile à repousser. Une réduction de 38 minutes à 89 secondes modifie les attentes en matière d’enquêtes managées courantes, même avec les limites de vérification actuelles.

OpenAI Daybreak montre également où les agents d’entreprise deviennent les plus importants. Leur valeur réside moins dans la production d’explications fluides que dans l’exécution de flux de travail gouvernés reliés à de véritables outils.

La question finale pour les acheteurs est concrète : un fournisseur peut-il montrer quels cas ses agents clôturent, à quelle fréquence ces décisions sont corrigées et qui reste responsable lorsque l’automatisation échoue ?

Ces réponses compteront davantage que le pourcentage le plus spectaculaire. Les équipes de sécurité devraient les demander avant d’accorder à un agent une autorité plus étendue, puis continuer à les mesurer après le déploiement.