NGR Softlab ajoute à son SIEM Alertix une règle pour détecter les attaques menées avec des LLM

NGR Softlab a ajouté à son SIEM Alertix une nouvelle règle de corrélation, censée détecter les activités suspectes associées aux cyberattaques reposant sur des modèles de langage. CNews a rapporté cette nouveauté le 12 octobre 2026. Le fragment disponible de l'article ne contient aucun chiffre : on ignore combien de scénarios la règle couvre, quelles sources d'événements elle exploite et à partir de quelle version elle est disponible. Ce qui suit présente donc le contexte, et non les détails d'implémentation.

Ce que l'on sait de cette version

Alertix est le SIEM de l'éditeur russe NGR Softlab. Dans ce type de produit, une règle de corrélation fait quelque chose de simple : elle rapproche des événements issus de sources différentes (équipements réseau, proxys, journaux applicatifs, comptes utilisateurs) et déclenche un incident lorsque cet ensemble d'événements forme une chaîne caractéristique. Une requête isolée vers un service externe ne signifie rien. La même requête, précédée d'une connexion atypique et suivie d'une exportation massive de données, prend un tout autre sens.

Selon la formulation de CNews, la règle est destinée à détecter les attaques dans lesquelles les pirates utilisent des modèles de langage. La source ne précise pas quelles techniques elle repère exactement : génération de phishing, automatisation de la reconnaissance, code malveillant écrit avec l'aide d'un LLM, ou attaques contre les modèles internes des entreprises.

Pourquoi les SIEM doivent apprendre à voir les LLM

Les modèles de langage modifient le profil des menaces sur deux fronts. Le premier, ce sont les attaquants. Un modèle accélère la préparation d'e-mails, de scripts et de scénarios d'ingénierie sociale, abaisse le seuil d'entrée et augmente le volume des tentatives. Le second, c'est l'infrastructure à protéger. Les entreprises déploient des chatbots, des assistants et des agents ayant accès à des données internes, ce qui crée de nouveaux points d'attaque : prompt injection, fuites via les requêtes, usage abusif de clés d'API.

Pour un SIEM, cela signifie de nouveaux types de télémétrie et de nouveaux schémas à reconnaître. Les règles classiques ont été écrites pour les malwares, le brute force et le lateral movement. Le trafic vers les services LLM et les appels aux passerelles internes de modèles n'entrent pas dans ces cadres.

Éléments confirmés par le fragment publié :

• Éditeur : NGR Softlab
• Produit : SIEM Alertix
• Type de modification : nouvelle règle de corrélation
• Objectif : détecter les activités suspectes liées aux attaques utilisant des modèles de langage
• Date de publication : 12 octobre 2026, source : CNews

Non communiqués : le nombre de scénarios de détection, la liste des sources d'événements, les conditions de licence, l'éventuelle correspondance avec MITRE ATT&CK et le taux de faux positifs.

Ce que les clients doivent vérifier

Une règle de corrélation n'est utile que dans la mesure où les données sur lesquelles elle s'appuie sont complètes. Si l'organisation ne dispose ni de logs de proxy avec catégorisation des services LLM, ni de journaux d'une passerelle IA interne, ni d'un audit des appels d'API, il n'y aura rien à détecter, quelle que soit la sophistication de la logique.

Avant le déploiement, il convient de demander trois choses à l'éditeur : la liste des sources d'événements obligatoires, la description des conditions de déclenchement et les statistiques de faux positifs obtenues lors de pilotes. Il faut aussi décider qui, au sein du SOC, prend en charge le triage de ces incidents : un analyste de premier niveau sans expérience des menaces liées aux LLM ne saura pas distinguer une attaque d'un usage normal d'un assistant par un employé. Enfin, la règle ne couvre qu'une partie du problème. L'inventaire des modèles de l'entreprise et le contrôle des droits de leurs agents restent un chantier à part.