Security Copilot ne détecte rien : ce qu'il fait vraiment

Commençons par la phrase qui vous évitera de perdre votre crédibilité en réunion.

Microsoft Security Copilot ne détecte aucune menace. Il ne génère pas d'alerte, ne bloque pas d'attaque, ne surveille aucun poste de travail. Dire « Copilot détecte les intrusions » devant quelqu'un qui connaît le sujet vous coûte la conversation dans la seconde.

Ce qu'il fait : il lit ce que d'autres outils ont déjà détecté, il recoupe, il résume, il explique, et il rédige. C'est beaucoup. Ce n'est pas de la détection.

Si cette distinction vous paraît un détail de vocabulaire, c'est justement la raison d'être de ce guide : elle décide de ce que vous pouvez en attendre, et de ce que vous perdrez votre temps à espérer.

L'analogie qui tient

Imaginez un analyste junior extrêmement rapide, qui vient d'arriver.

Il a lu toute la documentation. Il sait interroger chacun de vos outils sans en connaître la syntaxe. Il rédige un rapport propre en trente secondes là où vous mettez deux heures.

Mais il n'a aucun jugement. Il ne voit que ce que vous avez le droit de voir. Et surtout, il ne dit jamais « je ne sais pas » : confronté à une question dont la réponse n'est pas dans les données, il rédige quand même, avec le même aplomb.

Cette dernière phrase est celle qu'il faut retenir. Tout le reste du guide en découle.

Ce qu'il y a dans la boîte

Quatre morceaux, et il est utile de savoir lequel fait quoi :

• un grand modèle de langage, qui rédige. C'est la partie qui impressionne, et c'est la moins spécifique : c'est la même technologie que les assistants que vous connaissez déjà ;
• les données de sécurité de votre organisation : incidents, alertes, identités, appareils, journaux. Elles viennent de vos outils, pas de Copilot ;
• le renseignement sur les menaces de l'éditeur, construit à partir des signaux qu'il observe mondialement. C'est le seul ingrédient qu'on ne peut pas se procurer ailleurs facilement ;
• un orchestrateur, qui décide quel outil interroger pour répondre à votre question. C'est la pièce discrète, et c'est elle qui fait le travail.

Le chemin d'une question

Comprendre ce trajet sépare celui qui a lu une brochure de celui qui a déployé. Il explique aussi où sont les risques, sujet du guide Brancher une IA sur vos fichiers n'ouvre aucune porte.

flowchart TD
    A["Vous posez une question<br/>en français"] --> B["L'orchestrateur decoupe<br/>et choisit les outils"]
    B --> C{"Vos droits<br/>a vous"}
    C -->|"uniquement ce que<br/>vous pourriez deja ouvrir"| D["Les outils de securite<br/>rendent leurs donnees"]
    C -->|"le reste"| E["Jamais lu,<br/>jamais mentionne"]
    D --> F["Le modele redige<br/>une reponse"]
    F --> G["Reponse + journal<br/>des etapes suivies"]
    G --> H["Vous verifiez<br/>avant d'agir"]

Deux choses méritent votre attention dans ce schéma.

Le filtre est au milieu, pas à la fin. Les outils sont interrogés avec votre identité. Une donnée que vous n'avez pas le droit d'ouvrir n'est pas lue, puis masquée : elle n'est jamais lue. C'est une propriété solide, et elle répond à la première objection que soulèvera votre direction.

Le journal des étapes existe. Chaque réponse conserve la trace de ce qui a été interrogé pour la produire. C'est votre seul moyen de vérifier une affirmation, et c'est la raison pour laquelle la dernière case du schéma n'est pas décorative.

Deux portes d'entrée, et une seule qui sert

Il existe un portail dédié : une page, un champ de saisie, des conversations qu'on garde. Et il existe des panneaux intégrés dans les consoles de sécurité que vos équipes ouvrent déjà : un bouton « résumer cet incident », une traduction de question en requête, une explication d'alerte.

Même moteur, mêmes droits, même facturation. Ce qui change, c'est qui s'en sert.

Et voici ce qu'on observe : le portail impressionne en démonstration et se vide en trois mois. Personne ne change d'onglet, ne quitte son enquête en cours et ne se déconcentre pour aller taper une question ailleurs. Les panneaux intégrés, eux, sont là au moment où la question se pose.

Si vous devez mesurer une adoption, mesurez celle des seconds. Un tableau de bord d'utilisation du portail décrit surtout l'enthousiasme du premier mois.

À qui ça sert, et à qui ça ne sert pas

C'est la section que les présentations commerciales n'écrivent jamais, et c'est probablement pour ça que vous lisez ce guide.

Cette ligne « peu de télémétrie » mérite d'être développée, parce qu'elle est contre-intuitive.

Copilot ne voit que ce que vos outils ont collecté. Si la moitié de votre parc n'est pas couverte, si vos politiques tournent en mode observation sans rien appliquer, si votre collecteur de journaux n'ingère que trois sources sur douze, alors l'assistant produira des réponses élégamment rédigées à partir de données incomplètes.

Et une synthèse bien écrite inspire beaucoup plus confiance qu'un tableau de bord vide. C'est précisément ce qui la rend dangereuse : le tableau vide vous alerte, le beau paragraphe vous rassure.

Le conseil qui en découle est ennuyeux et juste : si votre couverture est partielle, l'argent est mieux placé dans la couverture que dans l'assistant.

Les gains réels, et le mot sur les chiffres

Là où le gain est franc, il l'est surtout sur des tâches de traduction et de synthèse :

• comprendre un incident à tiroirs : au lieu de recoudre quarante alertes à la main, une chronologie rédigée, avec les machines et les comptes touchés ;
• écrire une requête d'investigation : une phrase en français devient une requête exécutable, à relire avant de la lancer ;
• expliquer un script suspect : désobfuscation et explication pas à pas, sans exécuter le script ;
• rédiger pour un comité de direction : un brouillon en une minute, à corriger, sur une tâche que personne n'aime faire ;
• croiser une vulnérabilité publiée avec votre parc réel : la liste des machines concernées, plutôt qu'un bulletin générique.

Sur les gains chiffrés, soyons clairs : les mesures qui circulent viennent de l'éditeur, sur ses propres scénarios, avec ses propres jeux de données. Ce sont des ordres de grandeur, pas des engagements. Les citer comme une promesse contractuelle est le genre d'erreur dont on ne se remet pas quand la recette arrive.

Si vous voulez un chiffre qui tienne, il vous faut une mesure de départ : combien de temps prend aujourd'hui une investigation type, chez vous. Sans cette référence, aucune amélioration ne sera démontrable, seulement racontable.

Le piège de la démonstration

Les démonstrations tournent sur des environnements de test riches en incidents fabriqués et parfaitement instrumentés.

Votre environnement réel rendra des réponses plus pauvres et plus incertaines. Ce n'est pas un défaut de l'outil, c'est la différence entre un décor et une maison.

Posez cette attente avant la démonstration, pas après. Le moment où un projet se perd, c'est la recette, quand l'écart entre ce qui a été montré et ce qui est livré devient visible à tout le monde en même temps.

Ce qu'il faut savoir avant d'aller plus loin

Trois points que ce guide ouvre et que d'autres traitent :

Les droits d'accès. L'outil n'élargit aucun droit, et c'est exactement ce qui le rend révélateur : il rend utilisable en une phrase une permission mal posée que personne n'exploitait faute de savoir naviguer dans les consoles. C'est le sujet du guide Brancher une IA sur vos fichiers n'ouvre aucune porte, et le point à traiter avant de signer quoi que ce soit.

Les risques propres à l'IA, dont l'injection d'instructions cachées dans un contenu que l'assistant va lire. Le cours IA responsable en entreprise y consacre un chapitre.

La montée en compétence des juniors, et son revers. Si l'équipe n'investigue plus jamais par elle-même parce que l'outil rédige la conclusion, elle perd la capacité de repérer les cas où l'outil se trompe. La parade n'est pas technique : garder une part d'enquêtes menées sans assistance, et faire relire les réponses plutôt que les accepter.

À retenir

• Il ne détecte rien. Il lit, recoupe, résume et rédige ce que vos outils ont déjà trouvé.
• Il ne dit jamais « je ne sais pas ». Chaque réponse se vérifie par son journal d'étapes.
• Il n'accède qu'à ce que la personne qui pose la question pouvait déjà ouvrir.
• L'adoption réelle se joue dans les consoles, pas dans le portail.
• Sur une télémétrie incomplète, il produit de belles réponses fausses. Couvrez d'abord.
• Les gains chiffrés publiés sont des ordres de grandeur de l'éditeur. Mesurez chez vous.