Sophos réduit de 96% le temps d'enquête sur les cybermenaces avec OpenAI Daybreak

Sophos affirme avoir réduit de 96% le temps d'enquête sur les cybermenaces et automatisé 52% des dossiers de son service MDR (managed detection and response) grâce à OpenAI Daybreak. Pris au pied de la lettre, ce chiffre signifie qu'une enquête prend désormais 4% du temps d'avant, soit environ 25 fois moins. La supervision humaine est maintenue : les analystes restent dans la boucle de décision. Ces données ont été publiées sur le blog d'OpenAI le 9 octobre 2026.

Ce qui a été accéléré

Le MDR est un service dans lequel l'équipe d'analystes d'un éditeur traite en continu, 24 heures sur 24, les alertes remontées par l'infrastructure de ses clients. L'enquête constitue la partie la plus coûteuse du travail. Il faut collecter la télémétrie des postes de travail et du réseau, recouper les événements dans le temps, déterminer s'il s'agit d'une attaque ou de bruit, puis décider de la suite. Cette routine se heurte depuis longtemps au manque de spécialistes et au volume d'alertes. D'après la description du cas, c'est précisément là que Daybreak apporte un gain.

Le second chiffre compte aussi. Avec 52% de dossiers automatisés, environ un cas sur deux dans le MDR suit un parcours où c'est le système, et non l'humain, qui fait l'essentiel du travail.

Principales métriques

• Temps d'enquête sur une cybermenace : −96%.
• Part des dossiers MDR automatisés : 52%.
• Modèle de fonctionnement : automatisation avec maintien de la supervision humaine.
• Source : blog d'OpenAI, témoignage client de Sophos.

Ce qui manque à la publication

Il s'agit d'un témoignage client publié sur la plateforme du fournisseur de la technologie, et il convient de le lire comme tel. La description disponible omet plusieurs éléments sans lesquels ces chiffres sont difficiles à comparer à quoi que ce soit.

Le premier est la base de référence. On ne sait pas si les 96% se calculent par rapport au temps d'enquête moyen, à la médiane ou à certains types de dossiers seulement. Le deuxième est la définition d'« automatisé ». Cela peut désigner un dossier entièrement clos sans intervention humaine, ou une analyse préparée que l'analyste se contente de valider. Le troisième est la qualité. En sécurité, la vitesse sans données sur les menaces manquées et les faux positifs ne prouve pas grand-chose. Ici, elle se mesure au coût de l'erreur, pas en secondes.

L'architecture n'est pas détaillée non plus : on ignore comment Daybreak s'intègre aux processus de travail de Sophos et quelles actions il est autorisé à exécuter seul. Ces détails déterminent dans quelle mesure l'expérience est reproductible.

Comment lire de tels chiffres

Il est trop tôt pour juger sur le seul chiffre de 96%. Pour un fournisseur de MDR, les 52% comptent davantage : c'est la couverture qui détermine combien de dossiers le système prend en charge et comment évolue la charge des analystes. Si l'automatisation touche la moitié du flux, le temps libéré peut être consacré aux incidents complexes, où l'intervention d'un humain est nécessaire.

Pour ceux qui choisissent un service MDR ou évaluent une IA pour leur propre SOC, il est utile de poser au fournisseur quelques questions précises :

• Par rapport à quelle valeur la réduction du temps est-elle calculée, et sur quels types de dossiers ?
• Quelles étapes le système exécute-t-il seul, et lesquelles exigent la validation d'un analyste ?
• Comment les menaces manquées et les faux positifs sont-ils mesurés avant et après le déploiement ?
• Qui est responsable de la décision si la conclusion automatique s'avère erronée ?

L'enseignement principal du cas Sophos est que l'IA y est présentée comme un accélérateur du travail des analystes, et non comme leur remplaçante. Dans un secteur où l'erreur coûte cher, cette formulation paraît plus réaliste que les slogans sur l'autonomie totale. Il faudra la vérifier par des mesures indépendantes, pas par des communiqués de presse.