SentinelOne : les modèles d'OpenAI réalisent en 8 heures un travail de reverse engineering de 4–6 semaines

Gregor Stewart, de SentinelOne, a déclaré que les capacités cyber des modèles d'OpenAI atteignent le niveau humain en reverse engineering : pour un travail qui occupe un chercheur de haut niveau pendant quatre à six semaines, l'IA met environ huit heures. En temps de travail, sur la base d'une semaine de 40 heures, cela fait 160–240 heures contre huit, soit une accélération d'environ 20–30 fois. La source est à la fois éditeur et partenaire : la vidéo a été publiée sur la chaîne d'OpenAI.

Ce qui est réellement accéléré

Il s'agit de reverse engineering, c'est-à-dire de l'analyse de code malveillant : à partir d'un fichier compilé, l'analyste reconstitue ce que le programme fait, comment il se dissimule et avec quoi il communique. C'est l'une des tâches les plus chronophages de la sécurité. Peu de spécialistes savent l'exécuter, et chaque heure de leur travail coûte cher. Les équipes doivent donc choisir les échantillons qui méritent une analyse approfondie ; les autres restent en file d'attente ou ne sont jamais étudiés.

Stewart formule cela en termes économiques : « C'est le type d'intelligence que nous ne pouvions tout simplement pas nous offrir auparavant. » Ce n'est pas la vitesse en soi qui compte ici. Quand l'analyse approfondie devient des dizaines de fois moins chère, le seuil du « cet échantillon vaut-il qu'on y passe du temps » se déplace, et ce qui était écarté auparavant entre dans le périmètre de travail.

Ce que cela apporte à une équipe de sécurité

SentinelOne cite trois effets :

• davantage d'échantillons de malware analysés, avec les mêmes effectifs ;
• la possibilité de relier des menaces apparentées : code commun, infrastructure, techniques de différentes familles ;
• une vision plus claire de l'évolution des attaques dans le temps.

Le troisième point découle des deux premiers. Plus on analyse d'échantillons jusqu'au niveau de la logique, plus il est facile de voir que trois outils « différents » ont été écrits par la même équipe ou dérivent de la même base de code. Auparavant, ces liens passaient souvent inaperçus pour une raison simple : personne n'examinait jusqu'à la moitié des échantillons.

Ce qui manque dans le matériel

La source est maigre : une courte description de la vidéo et un lien vers l'étude de cas sur le site d'OpenAI. Plusieurs questions restent ouvertes :

• quel modèle ou quel système a été utilisé ;
• sur quels échantillons et selon quel critère la « qualité humaine » du résultat a été établie ;
• si les huit heures correspondent au temps machine pur ou incluent la vérification par un analyste ;
• quel est le taux d'erreurs et quelle part de contrôle humain reste nécessaire après le passage de l'IA.

Le dernier point est décisif. En reverse engineering, une conclusion erronée sur un échantillon est pire que l'absence de conclusion : elle peut envoyer l'enquête sur une fausse piste ou donner le faux sentiment qu'une menace est écartée. La comparaison « 8 heures contre 4–6 semaines » n'est valable que si les résultats sont comparables en profondeur et en précision, et le matériel publié ne permet pas de le vérifier.

Que faire concrètement pour les équipes

Si vous dirigez une équipe de threat research ou un SOC, mieux vaut ne pas transposer ce chiffre à votre propre activité, mais le tester sur vos données. Prenez quelques échantillons que vos analystes ont déjà traités et passez-les dans un assistant IA. Comparez le résultat à la référence : exhaustivité, erreurs, temps de vérification.

Évaluez aussi à part ce qui s'est accumulé dans la file des échantillons non traités. C'est là que l'IA peut apporter le plus, car le temps humain n'a tout simplement jamais été disponible pour ce travail. Et intégrez au processus une vérification humaine obligatoire : une accélération de 20–30 fois est utile tant que les conclusions peuvent être confirmées rapidement.

Pour le marché, le signal est le suivant : les éditeurs de sécurité commencent à parler d'IA en termes de coût de l'expertise, et non de confort d'interface. Il n'existe pas encore de mesures indépendantes, et d'ici là, le chiffre de SentinelOne doit se lire comme une allégation, non comme un résultat mesuré.