L'IA peut-elle remplacer les analystes d'un SOC ?

Non. L’IA automatise une partie croissante du travail d’un SOC : le tri des alertes, l’enrichissement, le résumé d’une chronologie. Mais qualifier un incident, comprendre l’environnement du client, s’adapter à un attaquant qui change de méthode et assumer un geste de réponse restent des tâches d’analystes. L’IA change leur métier, elle ne le supprime pas.

Cet article fait partie de notre série sur la réponse aux attaques à l’ère de l’IA. Pour le cadre général, voir Qu’est-ce que la réponse « à la vitesse machine » en cybersécurité ?.

Ce que l’IA sait déjà bien faire

Microsoft, dans la présentation de son Digital Defense Report 2026 publiée le 1er octobre 2026, note que relier des informations connues et exécuter des techniques établies peut de plus en plus être automatisé. Dans un SOC, cela correspond à des tâches précises :

• regrouper des alertes liées au même incident ;
• ajouter du contexte (réputation d’une adresse, historique d’un compte, criticité d’un poste) ;
• repérer un comportement anormal sur un poste, ce que font les EDR modernes à l’aide de l’apprentissage automatique ;
• produire un premier résumé de la chronologie.

Ces gains sont réels et utiles. Le détail est dans Comment l’IA aide-t-elle un SOC à détecter et traiter les attaques ?.

Pourquoi l’analyste reste indispensable

Le contexte du client

Une connexion à 3 heures du matin depuis l’étranger est suspecte, sauf si le directeur commercial est en déplacement. Un transfert massif de fichiers est anormal, sauf le jour de la sauvegarde mensuelle. Ce contexte vient de l’infogérant, des échanges avec le client et de l’historique du SOC. Il est rarement complet dans les données qu’un modèle peut lire.

L’adaptation face à un adversaire

Un attaquant n’est pas un phénomène statistique : il observe, contourne et change de tactique. Microsoft souligne que le jugement, le contexte et l’expertise humaine restent essentiels au travail de sécurité. Face à une technique nouvelle, il faut quelqu’un capable de raisonner hors du modèle.

La responsabilité des gestes

Isoler un serveur de production, couper l’accès d’un prestataire ou recommander l’arrêt d’un site sont des décisions qui ont un coût pour le client. Elles doivent être prises par quelqu’un capable de les expliquer, de les assumer et de les annuler si nécessaire. Un modèle ne peut pas porter cette responsabilité.

La fiabilité des outils eux-mêmes

Un modèle génératif peut produire une conclusion plausible mais fausse. Et les outils d’IA sont eux-mêmes des cibles : l’ANSSI décrit l’empoisonnement des données d’entraînement et l’injection de fausses informations dans les requêtes ; Microsoft indique que des acteurs malveillants peuvent exploiter l’IA pour exécuter des commandes malveillantes ou exfiltrer des données. Un SOC qui laisserait un modèle agir seul offrirait une surface d’attaque supplémentaire.

Ce qui change pour le métier d’analyste

Avant	Avec l’automatisation et l’IA
Lire chaque alerte une à une	Superviser des files d’alertes déjà regroupées
Rechercher manuellement le contexte	Vérifier un contexte proposé par l’outil
Écrire les requêtes d’enquête	Valider et affiner les requêtes suggérées
Réagir aux alertes	Chasser les menaces de façon proactive
Appliquer les règles	Régler et contrôler les automatismes

L’ENISA, dans son Threat Landscape 2025 publié en octobre 2025, insiste sur des stratégies défensives fondées sur le renseignement, la chasse proactive aux menaces et la détection comportementale. C’est précisément le travail qui reste humain quand le tri se fait plus vite. Pour les différents rôles d’une équipe, voir Quels sont les rôles dans un SOC informatique ?.

Et la symétrie avec les attaquants ?

On entend parfois qu’il faudrait « une IA contre l’IA ». Les sources publiques invitent à la nuance. Le NCSC britannique, dans son évaluation publiée en mai 2025, juge peu probable, d’ici 2027, le développement d’attaques avancées entièrement automatisées de bout en bout, et estime que des attaquants qualifiés devront rester dans la boucle. L’ANSSI, dans sa synthèse de février 2026, indique que l’identification d’une vulnérabilité et le développement de la preuve de concept dépendent encore de compétences humaines. Les attaquants utilisent l’IA pour aller plus vite, pas pour se passer d’humains ; la défense suit la même logique.

Ce que cela implique pour un infogérant

Pour un MSP qui choisit un SOC partenaire, la question utile n’est pas « combien d’IA ? » mais « qui regarde mes alertes, et quand ? ». Chez Cyna, le SOC managé fonctionne 24h/24 et 7j/7 avec des équipes internes d’analystes basées en France. L’IA y sert notamment à aider à concevoir des règles d’automatisation de son SOAR (sa plateforme d’automatisation de la réponse) ; les analystes restent présents à chaque alerte. Les modalités du service (périmètre, actions autorisées, escalade) sont précisées dans le contrat conclu avec votre infogérant partenaire. Pour comparer les modèles, voir SOC managé ou SOC interne pour un MSP.

Faire le point avec un expert

Vous voulez savoir comment les alertes de vos clients sont traitées, et par qui ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Un SOC entièrement automatisé est-il moins cher ?

Il réduit certains coûts de traitement, mais il déplace le risque : une erreur d'automatisation non contrôlée peut couper un service critique ou laisser passer une attaque. Le bon critère est le délai de qualification et de confinement réellement tenu, pas le degré d'automatisation.

Les attaquants, eux, se passent-ils d'humains ?

Pas pour les attaques avancées. Le NCSC britannique estime que des attaquants qualifiés devront rester impliqués, et l'ANSSI n'a pas identifié de système d'IA capable de mener seul toutes les étapes d'une attaque. Voir Comment les attaquants utilisent-ils l'IA ?.

Comment vérifier qu'un SOC a de vrais analystes derrière ses alertes ?

Demandez qui qualifie une alerte critique, de jour comme de nuit, dans quel délai, et depuis quel pays. Demandez aussi un exemple anonymisé de rapport d'incident pour voir le niveau d'analyse.

Les analystes utilisent-ils quand même des outils d'IA ?

C'est de plus en plus courant, notamment via les fonctions intégrées aux EDR et aux consoles de sécurité. L'important est que ces outils assistent l'analyste et que leurs conclusions soient vérifiées.