Greenlight clôture 90 % de 4 000 dossiers de sécurité par mois grâce à des agents sur AgentCore

Un problème bien connu de toutes les équipes de sécurité : les alertes sont nombreuses, presque toutes routinières, mais chacune doit être vérifiée manuellement. Chez Greenlight Financial, qui propose des cartes de débit aux familles, le SOC reçoit 3 000 à 4 000 signaux par mois. Un seul dossier concernant une carte repérée sur le dark web exige de vérifier le statut de la carte, les notifications en double, les sessions du client et les tickets ouverts. Cela représente 15 à 30 minutes de travail humain et, avec de tels volumes, cette méthode ne passe tout simplement pas à l’échelle.

Architecture de Luna

L’équipe a construit un système multi-agent hiérarchique sur Amazon Bedrock AgentCore en reproduisant la structure d’un SOC humain. Le superviseur de niveau 1 reçoit les dossiers via API Gateway, avec un endpoint MCP, ou depuis Tines SOAR. Il sélectionne les agents nécessaires parmi plus de 30 agents spécialisés : identité et accès, EDR, inventaire des actifs, paiements, assistance, renseignement sur les menaces, entre autres. Il agrège ensuite leurs constatations et rend un verdict. Pour les dossiers routiniers, le temps médian se compte en secondes.

Si le niveau de confiance est insuffisant, le dossier est transmis au superviseur de niveau 2. Celui-ci utilise un modèle doté de capacités de raisonnement avancées, s’exécute selon un calendrier via EventBridge ou à la demande en cas d’urgence, et recoupe 3 à 5 sources de données. Il produit un rapport assorti d’une chaîne de preuves destinée à un humain. Ces dossiers représentent environ 10 % du total.

La mémoire comme principal multiplicateur

L’élément le plus pratique de cette approche est la couche de mémoire. La mémoire épisodique conserve 30 jours de décisions. Exemple donné dans l’article : chaque mardi à 3 heures du matin, un rôle d’infrastructure effectue le même accès dans le cadre d’une opération de maintenance. Sans mémoire, l’agent le signale chaque semaine ; avec la mémoire, il ajoute ce schéma à la liste d’autorisation après la première analyse.

La mémoire à long terme conserve des modèles de décision et des statistiques telles que : « 73 % des alertes concernant les cartes provenant de cette source sont de faux positifs ». Un pipeline distinct reposant sur Lambda et DynamoDB enregistre l’issue des dossiers et, lorsqu’un dossier est résolu de la même manière à trois reprises, consigne un schéma confirmé. Selon Greenlight, c’est précisément ce mécanisme qui a fait passer l’autonomie de 83 % avec le seul niveau 1 à plus de 90 %.

Extension aux risques financiers

Deux mois après le lancement dans le SOC, l’équipe a appliqué la même architecture au triage des risques. Elle a ajouté de nouveaux agents, notamment Galileo et un agent de scoring de fraude, ainsi qu’un superviseur des risques, tout en réutilisant les agents Zendesk et Mixpanel. Pour une carte repérée sur le dark web, le workflow comprend une vérification dans le système de traitement des paiements, la déduplication, le rapprochement des sessions et des tickets, puis l’évaluation du risque. Un risque faible est journalisé, un risque moyen est soumis à examen et un risque élevé est remonté avec les preuves correspondantes.

Points à retenir

Premier enseignement : commencer par un périmètre restreint assorti d’un indicateur de réussite clair — « décision correcte ou remontée du dossier ». Deuxième enseignement : reproduire l’organisation des équipes humaines afin qu’elles accordent plus facilement leur confiance au système. Troisième enseignement : effectuer d’abord le triage, puis seulement les actions. Luna se contente de formuler des recommandations ; la remédiation est déclenchée par un humain ou par une politique approuvée, ce qui a contribué à satisfaire les exigences de conformité.

Il existe aussi des limites. Il s’agit d’un article publié sur le blog AWS, les chiffres sont communiqués par l’entreprise elle-même et les économies sont présentées comme une estimation : 900 à 1 800 heures de travail d’analyste par mois. Aucune donnée n’est fournie sur la proportion de verdicts automatiques erronés ni sur le coût de l’inférence. Malgré cela, le modèle combinant plusieurs niveaux, une mémoire avec déduplication et des agents mutualisés peut être transposé à n’importe quel service d’assistance, système antifraude ou processus de gestion des incidents DevOps.