Daybreak chez Block et SentinelOne. Ce que les retours clients disent de la défense par agents

OpenAI a publié le 14 octobre 2026 deux retours clients consacrés à la cybersécurité. Block y décrit des agents qui relient des alertes et préparent des corrections. SentinelOne explique comment Daybreak l’aide à analyser des logiciels malveillants. Ces récits donnent des exemples précis d’usage de l’IA. Ils restent des témoignages publiés par le fournisseur et ne constituent pas une évaluation indépendante de son efficacité.

Chez Block les agents rapprochent les preuves

Le cas présenté par OpenAI avec Block porte sur plusieurs étapes du travail de défense. Les agents peuvent examiner du code et analyser les traces laissées dans les journaux techniques. L’équipe conserve les requêtes et les éléments bruts issus des investigations pour réexaminer ses règles de détection.

Selon le responsable de la sécurité de Block, une alerte sur un ordinateur a pris une autre dimension après rapprochement avec les journaux d’identité. Les outils séparés n’avaient pas établi ce lien.

Block répartit les tâches entre plusieurs modèles. Son dispositif prévoit une reprise humaine et des vérifications entre agents. L’équipe confronte les résultats à ses évaluations internes.

Préparer une correction ne suffit pas à la déployer

Le parcours décrit passe par une proposition de correction puis une vérification du problème et du résultat. Un humain guide le travail et déploie les changements de code. L’automatisation porte ainsi sur des opérations précises. Elle ne supprime ni le contexte détenu par l’équipe ni son rôle dans les décisions.

Chez SentinelOne l’enjeu est la comparaison des menaces

Le témoignage de SentinelOne concerne surtout la rétro-ingénierie. Il s’agit de comprendre le fonctionnement d’un logiciel malveillant en l’examinant. L’entreprise présente Daybreak comme un moyen de mener davantage d’analyses approfondies et de comparer plus d’échantillons.

Un composant commun à deux fichiers apparemment sans rapport peut donner une piste d’enquête. Le gain recherché dépasse donc la vitesse de lecture d’un fichier. Il concerne aussi les relations entre des menaces que l’équipe peut alors explorer.

Le responsable de l’IA de SentinelOne distingue toutefois une correction ciblée d’un changement d’architecture. Il estime que ce dernier demande encore un regard humain. Son souhait d’intégrer davantage ces capacités à la création de code décrit une direction future. Il ne prouve pas que cette intégration soit déjà généralisée.

Une chaîne de défense avec des résultats à prouver

Ces exemples s’inscrivent dans la Defense Factory décrite par OpenAI. Le principe consiste à relier les outils de sécurité et de développement dans une boucle continue. Des environnements isolés servent à reproduire les problèmes puis à tester les corrections. La documentation distingue un signalement plausible d’une vulnérabilité reproduite.

Elle sépare aussi une correction acceptée dans le code d’une correction déployée et vérifiée. Cette distinction aide à lire les annonces. Une tâche terminée dans un outil ne démontre pas que le système en service est protégé. Un contrôle impossible doit rester un résultat incomplet.

Les deux retours clients affichent des gains de temps et de volume. Leurs pages ne fournissent pas un protocole indépendant permettant de comparer ces chiffres à toutes les équipes de sécurité. Cet article n’en tire donc aucun rendement universel. Daybreak conserve par ailleurs un accès encadré pour les usages défensifs autorisés. Ces témoignages n’annoncent pas son ouverture automatique à tous les comptes ChatGPT.

Le fil commun est plus utile qu’une promesse de défense autonome. L’IA peut élargir les investigations et préparer des actions dont il faut encore établir le résultat. Notre article sur les pratiques du FSB pour les agents et la supervision prolonge cette distinction entre capacité technique et responsabilité effective.