Sola Security requalifie 58,5 % des alertes cloud HIGH

Sola Security a testé ce qui arrive aux alertes cloud classées HIGH après vérification dans leur environnement réel. L’étude, publiée le 13 octobre 2026, porte sur un agent IA conçu par les chercheurs. Cet agent a réévalué des alertes produites par deux plateformes commerciales de sécurité cloud. Son analyse a couvert 9 967 alertes dans huit environnements de production. Il a modifié la gravité de 75,1 % des cas examinés. La baisse concerne 58,5 % des alertes. La hausse concerne 16,6 % des alertes. Les résultats sont présentés dans l’étude publiée sur arXiv et dans l’article de Help Net Security.

Deux plateformes commerciales ont fourni les alertes soumises à l’agent. Les chercheurs Leon Goldberg et Gal Engelberg ont construit cet agent pour réévaluer chaque signal selon son environnement. Leur analyse indique que 49,0 % des verdicts reposaient sur des preuves extérieures à la ressource signalée. Cette proportion montre que l’agent ne s’est pas limité aux paramètres attachés à chaque ressource. Il a aussi utilisé des éléments présents ailleurs dans l’environnement de production. Goldberg et Engelberg écrivent qu’une règle transporte le contexte que son auteur peut encoder une seule fois pour chaque environnement. Leur étude relie donc la gravité observée au contexte opérationnel vérifié.

L’agent revoit 75,1 % des alertes

Les résultats chiffrés distinguent les changements vers le bas et vers le haut. Sur les 9 967 alertes HIGH, 58,5 % ont vu leur gravité diminuée par l’agent. À l’inverse, 16,6 % ont été relevées. Au total, ces deux mouvements représentent 75,1 % des alertes examinées. L’agent a donc changé le classement de trois alertes sur quatre dans cet échantillon. Les données proviennent de huit environnements de production et de deux plateformes commerciales. Les chercheurs décrivent un écart important entre la gravité d’une règle et sa situation en production. Ils indiquent que sa réduction exige des preuves recueillies dans l’ensemble de l’environnement.

La vérification environnementale a également été comparée aux faits observables dans les environnements concernés. Pour les verdicts vérifiables, les faits de l’agent correspondaient à l’environnement réel dans 99,4 % des cas. Ce taux mesure la concordance entre les faits utilisés et les environnements de production. Lorsque toutes les alertes non vérifiables sont comptées comme incorrectes, le taux descend à 81,8 %. Ces deux chiffres décrivent des périmètres de calcul différents. Le premier porte sur les verdicts vérifiables. Le second pénalise aussi chaque verdict qui ne pouvait pas être contrôlé. Les résultats associent ainsi la qualité mesurée à la possibilité de vérification.

Goldberg et Engelberg relient contexte et action

Les chercheurs défendent une lecture propre à chaque environnement avant toute action autonome. Leon Goldberg et Gal Engelberg écrivent qu’une lecture vérifiée et spécifique à l’environnement constitue une condition préalable pour agir automatiquement sur les alertes. Ils affirment aussi que l’écart entre la règle et sa gravité en production est important. Selon eux, la fermeture de cet écart demande des preuves provenant de l’environnement entier. Cette position s’appuie sur les 49,0 % de verdicts fondés sur des preuves extérieures à la ressource signalée. L’étude présente donc la vérification comme un préalable aux décisions autonomes concernant les alertes cloud.