Sevii court-circuite le SOC pour riposter aux attaques IA

Sevii étend sa plateforme Autonomous Defense & Remediation avec un module de sécurité baptisé AIDR. L’annonce intervient le 2 septembre 2026. Le module reçoit les alertes de toute la pile de détection du client en temps réel. Il les analyse ensuite sans attendre leur transmission au centre opérationnel de sécurité. Sevii présente ce fonctionnement comme une réponse aux attaques menées à la vitesse des systèmes automatisés. Le dispositif fonctionne à l’exécution, quelle que soit la source de l’intelligence artificielle utilisée dans l’organisation. Il vise notamment les usages d’IA invisibles aux équipes, désignés comme « shadow AI ». La présentation officielle est disponible dans le communiqué de Sevii.

Les alertes alimentent une analyse conduite par des agents que Sevii appelle ses « cyber warriors ». Ces agents examinent rétrospectivement sept jours de contexte pour déterminer si l’action détectée est normale ou anormale. Cette vérification sert à confirmer une attaque IA réelle. Si l’attaque est confirmée, ils recherchent une activité identique ailleurs dans l’infrastructure du client. Cette étape permet d’évaluer l’ampleur de l’incident et la nécessité d’une remédiation immédiate. Le directeur général et cofondateur Curt Aubley explique que Sevii collecte les données nécessaires, reconstitue l’attaque et détermine les actions à prendre. La remédiation peut rester autonome ou être déclenchée par un défenseur humain.

Sevii automatise la validation des alertes

La vitesse devient un critère central du dispositif. Curt Aubley cite l’attaque d’agents autonomes d’OpenAI contre Hugging Face, décrite comme une séquence de dix-sept actions de sept minutes. Selon lui, un humain ne peut pas suivre mathématiquement ce rythme. Sevii indique que son module peut aussi identifier un volume important de données sortantes pendant la collecte du contexte. Il vérifie alors si cette sortie est habituelle, où les données se dirigent et si la destination correspond à une infrastructure connue comme malveillante. Une information devenue disponible dans les quinze dernières minutes peut déjà être intégrée à la recherche de renseignement du module.

Le trafic dangereux peut être interrompu immédiatement, selon Curt Aubley. Sevii réalise ensuite une analyse d’impact pour déterminer quelles données ont quitté l’organisation et pendant combien de temps l’activité a continué. Le scénario présenté concerne un ordinateur portable compromis, dont l’utilisateur réemploie la même identité et le même mot de passe pour SAP, Salesforce ou ServiceNow. Après validation du signal, Sevii isole l’ordinateur, désactive le compte, supprime ses sessions et force la réinitialisation du mot de passe. La plateforme retire aussi les processus et éléments de registre malveillants. Elle libère ensuite l’appareil, effectue une validation finale et surveille son comportement.

La remédiation prend quinze minutes

Le processus complet prend généralement entre deux et quinze minutes, d’après la présentation de Sevii. Le temps d’interruption annoncé reste donc limité dans le scénario décrit. La source indique qu’une attaque IA dure typiquement entre trente secondes et trente minutes, avec une moyenne de quinze minutes. Ces durées rapprochent le temps moyen d’attaque et le temps moyen de remédiation du module. L’AIDR combine ainsi réception des alertes, recherche rétrospective, validation, extension de la recherche à l’infrastructure et action corrective. Les organisations peuvent conserver une intervention humaine lorsque leurs règles de gouvernance l’exigent, tandis que l’exécution autonome reste proposée par le dispositif.