IA agentique, un nouveau cap pour la cybersécurité : peut-on encore défendre sans déléguer ?

L'IA agentique marque un tournant : face à des menaces toujours plus complexes, elle promet de renforcer la cybersécurité tout en questionnant notre rapport à la confiance et à la responsabilité.

L’édition 2025 des Assises de la Cybersécurité s’ouvre sous un thème ambitieux : “FuturS, la cybersécurité au service des métiers et de la création de valeur”. Derrière ce pluriel intriguant - FuturS - se cache une évidence : il n’existe pas un avenir unique de la cybersécurité, mais une multitude de trajectoires possibles. Et si ce thème nous invite à regarder vers demain, il nous interpelle aussi sur le sens que nous donnons à notre action. Car à l’heure où la complexité des menaces explose, où les entreprises peinent à aligner résilience et performance, comment penser des futurs qui soient à la fois sûrs et porteurs de valeur ?

Constat : la menace s’accélère, la défense s’essouffle

Le premier défi tient à l’évolution vertigineuse de la menace. Les attaques n’ont jamais été aussi polymorphes, automatisées et persistantes. Les campagnes de phishing s’industrialisent, les rançongiciels se professionnalisent, et l’exploitation des vulnérabilités s’inscrit désormais dans des chaînes d’approvisionnement globales. Dans ce contexte, les SOC sont sous tension permanente. Submergés par le volume d’alertes, soumis à des environnements techniques de plus en plus hétérogènes, ils doivent arbitrer entre vitesse et profondeur d’analyse. L’épuisement des équipes, conjugué à la pénurie de talents, devient un facteur de risque majeur.

La réponse traditionnelle : plus de capteurs, plus de règles, plus de supervision, montre ses limites. L’inflation d’outils n’apporte pas nécessairement plus de clarté. Au contraire, elle peut accroître l’opacité et renforcer le bruit de fond.

À cela s’ajoutent les nouveaux défis liés à l’intelligence artificielle. Le LLM poisoning - l’empoisonnement des grands modèles de langage - démontre que les systèmes sur lesquels nous comptons peuvent être manipulés à la source. La confiance aveugle dans les IA génératives pourrait ouvrir la porte à des biais invisibles, des décisions erronées, voire des attaques sophistiquées qui exploitent nos propres mécanismes de défense.

Dans le même temps, les exigences réglementaires (DORA, NIS 2, RGPD, IA Act, etc.) rappellent que la cybersécurité n’est pas qu’une affaire de technique : elle est aussi un enjeu de gouvernance, de conformité et, in fine, de confiance sociétale.

L’IA agentique : une rupture nécessaire

Face à ce constat, une idée s’impose : nous ne pourrons pas répondre aux menaces de demain avec les seules méthodes d’hier. L’automatisation classique, basée sur des scénarios figés, pourrait vite atteindre ses limites. C’est ici qu’émerge l’IA agentique.

Mais de quoi parle-t-on ? L’IA agentique désigne une nouvelle génération de systèmes : non plus limités à produire du texte ou des réponses, mais capables d’agir par eux-mêmes dans un cadre contrôlé. On peut les voir comme l’évolution des programmes traditionnels basés sur des règles conditionnelles, où les choix ne sont plus seulement codés par l’humain, mais portés par des modèles de langage capables de raisonner et d’arbitrer en situation. Ces agents, dotés de capacités de raisonnement, peuvent analyser une situation complexe, formuler des hypothèses, tester des scénarios, et proposer, voire exécuter, des actions adaptées.

Dans un SOC, leur apport est considérable. Là où l’analyste humain s’épuise à trier des milliers de signaux faibles, l’agent peut prioriser, corréler et contextualiser en temps réel. Là où les procédures classiques exigent une intervention manuelle, l’agent peut enclencher des réponses rapides et proportionnées. On pourrait craindre un transfert de responsabilité aveugle vers la machine. Mais l’IA agentique ne remplace pas l’humain : elle l’augmente. Elle agit comme un copilote, un filtre intelligent, permettant aux experts de se concentrer sur les décisions stratégiques et les cas les plus sensibles.

En d’autres termes, l’IA agentique ne vise pas à supprimer la vigilance humaine, mais à lui redonner de la portée et du sens.

Au-delà de la technique : un projet de société

Ce débat ne se limite pas à une question d’efficacité opérationnelle. Il engage une réflexion plus large sur la place de la cybersécurité dans nos sociétés.

La cybersécurité n’est plus seulement un rempart invisible : elle devient un facteur de confiance pour les citoyens, les entreprises et les institutions. Security by default et Zero Trust sont autant de principes qui traduisent cette exigence de rigueur et de transparence. Mais ils posent aussi une question : voulons-nous bâtir des environnements numériques où la confiance est présumée, ou des environnements où la confiance se mérite et se vérifie en permanence ?

L’IA agentique nous confronte à une tension inédite : comment déléguer des tâches critiques à des systèmes autonomes tout en maintenant une gouvernance claire et une responsabilité humaine ? Qui sera comptable d’une décision automatisée ayant conduit à un incident ? Quels garde-fous éthiques devons-nous mettre en place ? Ces interrogations dépassent le cadre technique. Elles touchent à notre conception de la responsabilité, de la souveraineté et, finalement, de la valeur que nous attribuons à la cybersécurité. La cybersécurité n’est pas une fin en soi ; elle est un levier pour préserver la liberté d’agir, d’innover et de créer de la valeur dans un monde incertain.

Les Assises, catalyseur de réflexion collective

C’est précisément ce que le thème FuturS nous rappelle. Il ne s’agit pas seulement de prévoir les menaces ou d’anticiper les technologies. Il s’agit de donner une direction collective à la cybersécurité.

Les Assises de la Cybersécurité sont l’un de ces espaces où se rencontrent décideurs, experts, chercheurs et praticiens. Un lieu où la technique croise la stratégie, où les enjeux opérationnels se nourrissent d’une vision sociétale. L’IA agentique, encore émergente, ne peut pas être pensée dans l’isolement. Son adoption doit être discutée, encadrée, mise en perspective. Elle exige des standards, une gouvernance, une réflexion partagée sur son rôle dans les architectures de demain.

Car il n’y a pas un futur de la cybersécurité, mais bien plusieurs. Certains pourraient nous conduire vers une dépendance accrue à des systèmes opaques. D’autres pourraient ouvrir la voie à une cybersécurité plus résiliente, plus humaine, et plus au service de la création de valeur.