IA et cyberdéfense : tier-zero, intelligence et supervision humaine

Deux IA différentes : celle qui défend et celle qu’il faut défendre

Quand on parle d’IA et de sécurité, on désigne deux choses distinctes. La première est l’IA qui défend : une technologie au service du SOC, qui lit les signaux, les hiérarchise et les relie à ce que l’on sait de l’adversaire. La seconde est l’IA à défendre : les systèmes d’intelligence artificielle qu’une entreprise adopte, des copilotes aux applications internes, qui ont leur propre surface d’attaque. Ce guide traite de la première. Les confondre conduit à promettre, ou à exiger, des choses différentes.

Chez Fortgale, l’IA défensive est intégrée dans la plateforme et appliquée aux données du client, dans le cycle d’un service managé. Ce n’est pas un produit à part et elle ne remplace pas les personnes.

Tier-zero AI-native : ce que fait le triage automatique et ce qui reste humain

Le tier-zero est le premier niveau de lecture de chaque alerte, avant qu’elle n’arrive à un humain. L’IA y fait trois choses : elle lit l’alerte dans le contexte du client, la compare aux profils d’adversaires et écarte ce qui n’a pas de pertinence. Le résultat mesurable est un bruit réduit de plus de 90 % au jour 30.

Reste humain tout ce qui demande jugement et responsabilité : évaluer l’incident, décider du confinement, parler au client, renvoyer aux profils les techniques observées sur le terrain. Les temps médians qui comptent sont ceux du service : TTD sous 15 minutes, TTC sous 30. Le tier-zero sert à faire arriver à l’analyste moins de signaux, et plus pertinents.

Le I de MDIR : l’intelligence qui donne du poids aux alertes

Une alerte sans contexte est un fait isolé. Avec 287 profils de groupes adverses et d’outils d’attaque, chaque signal est lu à l’aune de ce que l’on sait de l’attaquant. Une connexion avec des identifiants valides (T1078) est un événement ordinaire tant que l’infrastructure de commande ne coïncide pas avec celle d’un groupe qui vise le secteur du client : dès lors, elle a un nom, une histoire et une priorité.

C’est pourquoi Fortgale parle de MDIR, Managed Detection, Intelligence and Response : l’intelligence n’arrive pas en aval comme une liste d’indicateurs, elle circule dans le cycle. Le terme, et les limites avec lesquelles nous l’employons, sont expliqués dans MDIR : Managed Detection, Intelligence and Response, définition.

AI Assistant dans le portail

Dans le portail client, l’AI Assistant propose trois assistants, Technical, CISO et Intel, qui répondent aux questions sur le périmètre et les incidents en n’utilisant que les données du client. Chaque année de contrat inclut 5 crédits IA. C’est de l’IA intégrée dans la plateforme et appliquée aux données du client, sur une infrastructure européenne. La description complète se trouve sur la page de la Fortgale Defence Platform.

Supervision humaine, dégradation du modèle, transparence : ce qu’exigent les autorités et ce que nous faisons

L’attention des autorités à l’IA en cybersécurité a nettement augmenté à l’été 2026. La lettre de la BCE «Addressing AI-enabled cybersecurity threats» du 7 juillet 2026 traite des menaces rendues possibles par l’IA. Le Statement des ESAs JC 2026 25 du 31 juillet 2026 et l’avertissement ESRB/2026/3 du CERS, qui qualifie le risque de «severe», placent le sujet au niveau européen, pour les entités financières en particulier. Les attentes convergent : l’IA dans la défense là où c’est opportun, avec évaluation des risques, supervision humaine et contrôle de la dégradation du modèle.

Notre réponse est structurelle. Supervision humaine : chaque réponse passe par un analyste. Dégradation du modèle : la comparaison entre alertes brutes et alertes portées à l’analyste est une mesure continue, et une baisse de qualité se voit dans les chiffres du client. Transparence : l’IA est déclarée dans le cycle, avec son rôle et ses limites.

Ce que l’IA ne fait pas seule

• Elle ne lance pas de réponse automatique sans analyste : une action de confinement est une décision humaine.
• Elle ne remplace pas la CTI humaine : les profils d’adversaires naissent de l’analyse d’incidents réels et sont entretenus par l’équipe.
• Elle n’élimine ni la prompt injection ni les autres risques des systèmes d’IA : elle les réduit par des contrôles et une supervision, elle ne les annule pas.

Dire ce que l’IA ne fait pas fait partie du service : qui promet un SOC sans personnes promet ce que personne ne peut démontrer.

L'IA accélère la lecture, l'intelligence donne un nom à l'adversaire, les analystes décident. Trois rôles distincts, un seul cycle : c'est ainsi qu'on arrête une attaque à temps.