Moins de 2 % des alertes atterrissent encore sur le bureau d’un analyste. Le chiffre vient d’une étude relayée par The Hacker News portant sur les workflows des SOC, ces centres des opérations de sécurité. Sur 25 millions d’alertes analysées en entreprise, 98 % pourraient être traitées de façon autonome, sans main humaine, à condition de marier agents IA autonomes et copilotes pour analystes.
Le contexte est connu de tout défenseur : le volume d’alertes explose, les effectifs stagnent. La proposition défendue ici tient en une répartition des rôles. L’IA encaisse le tri, l’enrichissement et les cas triviaux. L’analyste garde les dossiers ambigus, les décisions de remédiation sensibles et la validation finale quand le contexte manque.
Points clés
- Sur 25 millions d’alertes analysées, 98 % pourraient être résolues de façon autonome selon l’étude
- Le modèle propose deux couches : IA pour le volume, humain pour les cas ambigus et sensibles
- Distinction clé entre plateformes agentic (qui décident) et copilots (qui assistent l’analyste)
- La traçabilité et l’explicabilité des décisions restent le verrou pour l’adoption en 2026
Ce que dit l’étude
La donnée centrale est brutale de simplicité : sur 25 millions d’alertes examinées en environnement d’entreprise, 98 % auraient pu être résolues seules, laissant moins de 2 % des cas à un humain. On ne parle pas de virer le SOC, mais de scinder le travail en deux couches. L’autonomie logicielle pour le volume, le jugement humain pour l’exception.
Dans le jargon du secteur, cela rapproche les plateformes dites agentic (capables d’agir et de décider sur une chaîne de tâches) du bon vieux copilot, centré sur l’assistance à l’opérateur. L’objectif n’est pas de résumer une alerte plus vite, mais de fermer automatiquement les faux positifs, de corréler les signaux et de ne faire remonter que ce qui mérite un cerveau humain.
The Hacker News replace cette lecture dans un débat plus vaste : comment évaluer une plateforme de sécurité pilotée par l’IA. Un AI SOC platform, selon sa définition, désigne une couche où des agents exécutent détection, triage, investigation et réponse sous supervision humaine. À ne pas confondre avec une IA collée en surface d’un SIEM déjà en place, ce système qui centralise et corrèle les logs de sécurité.
Autonomie d’un côté, garde-fou de l’autre
Les éditeurs surfent déjà sur la nuance. Certaines offres se vendent comme un AI SOC analyst, censé investiguer chaque alerte de bout en bout et n’escalader que les incidents crédibles. D’autres campent sur le copilot, plus prudent, qui laisse l’humain aux commandes. Un choix qui ressemble surtout à un curseur de responsabilité entre la machine et son opérateur.
La logique répond à un mal bien identifié : le temps englouti sur des alertes répétitives qui ne mènent nulle part. Plus le volume grimpe, plus l’analyste devient trieur manuel. L’intérêt des agents autonomes, c’est de rendre un verdict argumenté et de documenter le raisonnement, pour que l’humain n’entre en scène qu’en second niveau.
Reste le nerf de la guerre : la confiance. Une plateforme qui automatise la résolution doit pouvoir justifier ses décisions, tracer les preuves utilisées et délimiter ce qu’elle peut exécuter sans feu vert. C’est exactement la frontière que les acteurs tentent de graver en 2026. Autonomie sur le répétitif, contrôle humain sur les actions à fort impact. Reste à voir si les 2 % restants sont vraiment les plus difficiles, ou juste ceux que personne n’ose confier à un algorithme.
