Sophos automatise ses enquêtes cyber avec les agents d’OpenAI

Sophos, éditeur de cybersécurité qui protège plus de 625 000 organisations, dit avoir profondément accéléré ses enquêtes de menaces grâce à des agents bâtis avec le programme OpenAI Daybreak. Dans un cas d’usage publié le 9 octobre 2026 par OpenAI, le temps moyen de réponse serait tombé à 89 secondes sur les dossiers traités par ces agents, contre environ 38 minutes auparavant. L’enjeu dépasse la seule productivité : il s’agit de scaler une expertise rare sans gonfler mécaniquement les équipes SOC, ces centres d’opérations de sécurité où les analystes trient les alertes et valident les réponses.

Quand l’IA prend le tri, l’humain garde le dernier mot

Le déploiement repose sur Sophos Fusion, le système de défense cyber natif de l’éditeur, qui agrège des données issues de plus de 500 intégrations tierces et de ses propres produits. Selon OpenAI, ces capteurs génèrent des trillions d’événements par jour, que Sophos réduit ensuite à environ 1 000 à 2 000 cas à examiner dans ses neuf centres de sécurité. Pour chaque dossier, un agent d’investigation rassemble le contexte client, les détections, les indicateurs de compromission et la menace associée ; un modèle de planification enchaîne ensuite un cycle plan-execute-review, c’est-à-dire préparation, exécution puis vérification, avant de proposer un résumé et des actions recommandées. Des agents peuvent aussi exécuter une partie de la réponse.

La mécanique reste encadrée. Sophos conserve trois modes de fonctionnement pour ses clients MDR, son offre de détection et de réponse managées : Notify, où l’éditeur alerte et le client agit ; Collaborate, où les deux parties valident ensemble ; et Authorise, où Sophos intervient directement au nom du client. John Peterson, chief technology officer de Sophos, explique que les actions potentiellement destructrices exigent toujours le bon niveau de supervision humaine. « Anything we don’t feel comfortable with an agent handling gets passed off for human judgement », a-t-il déclaré. Une prudence logique : dans la cybersécurité, laisser un agent cliquer trop vite peut coûter plus cher qu’une alerte manquée.

Des résultats déjà mis en avant par OpenAI et Sophos

OpenAI affirme que le dispositif permet à Sophos de résoudre 52 % de ses cas MDR de bout en bout avec l’IA, dans des limites définies par les analystes de l’éditeur. La société dit aussi que la charge des équipes humaines se concentre davantage sur les menaces complexes, les exceptions et les décisions qui demandent un jugement métier. Avant Daybreak, l’investigation et la réponse reposaient surtout sur l’expertise humaine ; John Peterson affirme que ce fonctionnement était déjà meilleur que 96 % des SOC professionnels, mais restait bien plus lent que ce que permettent désormais les agents.

Le partenariat entre les deux groupes a été rendu public le 22 juin 2026, puis étendu au canal le 10 août 2026, avec OpenAI frontier models mis à disposition de prestataires via Sophos Fusion. Selon le billet de Sophos, l’éditeur protège plus de 40 000 clients MDR dans le monde et s’appuie sur un réseau de plus de 25 000 partenaires, dont plus de 7 000 managed service providers. L’entreprise dit utiliser l’IA dans ses produits depuis 2017 et veut désormais l’appliquer à la réponse aux incidents, à la criminalistique numérique, à l’investigation et aux services de conseil.

Daybreak, le programme d’OpenAI qui encadre l’usage défensif

OpenAI décrit Daybreak comme une pile de cybersécurité gouvernée, combinant modèles de pointe, outillage Codex, workflows de confiance et partenaires de l’écosystème, tout en gardant l’accès et l’action sous contrôle humain. Le programme promet une boucle de défense agentique fondée sur l’inventaire, la découverte, la validation dynamique, l’assignation des responsabilités et la remédiation vérifiée. Les cas d’usage couvrent le développement logiciel sécurisé, la sécurité applicative, les opérations défensives et les tests de sécurité autorisés.

OpenAI ajoute un engagement d’1 milliard de dollars en accès subventionné à Daybreak sur six mois pour les administrations locales et d’État, les opérateurs d’infrastructures critiques, les banques communautaires, les associations et les mainteneurs open source. De son côté, Sophos dit vouloir élargir progressivement ce que ses agents peuvent faire, tout en gardant des garde-fous stricts et une logique de contrôle humain. Le message est clair : l’IA ne remplace pas l’analyste, mais elle commence à faire le tri plus vite que lui. Et dans les salles d’opérations, ce détail change déjà beaucoup.