Danelle Au avertit : l’IA sécurise mal sans données complètes

Danelle Au estime que la sécurité guidée par l’IA dépend d’abord de données complètes. Dans un article publié le 27 août 2026, la dirigeante du marketing produit chez Cylake décrit une limite architecturale des centres opérationnels de sécurité. Les systèmes actuels transmettent souvent des journaux déjà filtrés et normalisés. Selon elle, ces informations représentent environ 10 à 20 % de ce que l’environnement a généré. Un modèle, même avancé, perd donc une partie du contexte initial. Au compare cette situation à une enquête criminelle privée d’indices essentiels. L’analyse doit relier mouvements, relations, chronologie et intentions. L’article original est disponible sur SecurityWeek.

Les journaux réduisent la réalité opérationnelle à des événements partiels. Un événement de création de processus arrive ainsi sans son contexte complet ni ses relations temporelles avec les événements voisins. Cette perte devient plus problématique lorsque les attaques guidées par l’IA traversent plusieurs domaines. Au cite le cas d’un salarié sur le départ. Celui-ci ouvre un document concurrentiel, le télécharge, l’envoie vers un stockage cloud personnel, puis transmet une copie par courriel. La chaîne implique quatre systèmes distincts. Un SIEM classique peut repérer séparément un signal DLP et une alerte CASB. Il peine toutefois à reconstruire l’intention sans connaître la filiation du fichier, les accès précédents et la référence comportementale de six mois.

Les attaques croisent quatre systèmes

Les signaux prennent davantage de sens lorsqu’ils sont analysés avec leur chronologie et leur filiation. Une activité isolée peut sembler ambiguë. Un accès à 1 heure du matin ne suffit pas, selon Au, à identifier une compromission. Cinquante connexions du même compte sur six mois, croisées avec les données de l’appareil et les habitudes d’accès, peuvent distinguer un directeur financier en déplacement international d’un adversaire utilisant des identifiants volés. L’autrice estime aussi que les équipes doivent envisager la présence préalable d’un attaquant. L’objectif devient alors l’identification de déviations discrètes par rapport au comportement normal. Cette approche exige des échantillons suffisamment larges pour faire apparaître les régularités.

Le périmètre doit inclure la télémétrie de sécurité, mais aussi les données réseau, les capteurs OT, les appareils IoT, les applications SaaS et les environnements cloud. L’identité couvre les personnes, les comptes de service, les clés d’API et les jetons. Les fichiers, documents et contenus circulant entre utilisateurs, serveurs et applications complètent cette analyse. Au insiste surtout sur les actifs stratégiques. Elle cite le code source, la propriété intellectuelle, les dossiers clients et les modèles financiers. Une IA privée du dépôt de code peut manquer la copie intégrale effectuée par un développeur avant son départ. Une IA privée de modèles financiers peut également manquer l’exfiltration de prévisions trimestrielles.

La souveraineté encadre l’analyse

Le contrôle devient central lorsque les données sensibles rejoignent une analyse par IA. Au relie cette exigence aux architectures dépendantes du cloud. Elle cite le RGPD, le CLOUD Act américain, DORA et HIPAA parmi les cadres alimentant les préoccupations. La solution évoquée consiste à exécuter l’IA dans l’environnement de l’organisation, sous son propre contrôle. Les données propriétaires pourraient alors participer à l’analyse de sécurité sans dépendre d’un service cloud tiers. L’autrice distingue deux dimensions complémentaires. La complétude détermine ce que le modèle peut observer. La souveraineté détermine qui contrôle les données, les modèles, leurs poids et les résultats produits.

Danelle Au conclut que la qualité de la sécurité guidée par l’IA dépendra moins de la sophistication isolée des modèles. Elle met en avant des données complètes, non filtrées, avec leur contexte opérationnel. Chaque journal tronqué, jeu de données réduit ou système exclu crée selon elle un angle mort. Cette analyse est portée par son expérience de plus de vingt ans dans la commercialisation de technologies de sécurité, cloud et IA. Au occupe aujourd’hui le poste de vice-présidente du marketing produit chez Cylake. Elle a aussi travaillé chez Infoblox, Ordr, Blue Hexagon, SafeBreach et Adallom. Son profil professionnel est disponible sur LinkedIn.