Un agent qui résume une alerte et un agent qui clôt un cas de sécurité offrent des produits différents. Le second peut retirer du travail à la file des analystes, mais doit expliquer quelles preuves autorisent quelles actions. Le cas Sophos Daybreak relie vitesse et responsabilité, tout en laissant ouvertes d'importantes questions de fiabilité.
Sophos rapporte environ 89 secondes d'investigation et de réponse sur les cas traités par agents, contre une ancienne moyenne proche de 38 minutes, et 52 % de cas MDR résolus de bout en bout par l'IA. Ces chiffres d'entreprise ne prouvent pas que tous les incidents clients se terminent en 89 secondes. Les mêmes chiffres figuraient en mai 2026 ; le récit OpenAI d'octobre ajoute du détail, pas une mesure entièrement nouvelle.
Fixer l'unité de travail
Demandez quand commence le chronomètre : alerte brute, cas corrélé, activation de l'agent ou validation ? Demandez aussi où il s'arrête. Contenir un poste compromis ne signifie pas forcément remédiation complète, restauration ou suppression de tous les accès. Une comparaison nécessite les mêmes débuts, critères d'arrêt et catégories admissibles.
Les agents Sophos interviennent après filtrage et corrélation, pas seuls sur chaque événement brut. Le système rassemble contexte client, détections, indicateurs et renseignement, puis planifie, exécute et révise. Télémétrie fiable et procédures mûres font partie du résultat ; une équipe interne n'hérite pas de ces conditions en achetant le même modèle.
Relier permission client et action
Sophos décrit trois modes. Notify enquête et recommande, le client agit. Collaborate implique une décision commune. Authorise permet à Sophos de répondre dans les limites convenues. Ces règles valent pour humains et agents : un verdict rapide ne doit pas étendre silencieusement l'autorisation.
Exigez une matrice précisant réversibilité, impact métier, accès aux données et escalade obligatoire. Les cas connus et répétitifs peuvent fonctionner sous supervision sans accord à chaque étape ; nouveauté, enjeux élevés et contexte manquant exigent une intervention directe. Les 48 % restants ne sont pas automatiquement un échec : ils peuvent être les cas difficiles réservés aux experts.
Associer clôture et correction
Ni les 96 % de temps gagné ni les 52 % de clôtures ne renseignent faux positifs, menaces manquées, réouvertures, annulations clients et corrections. Demandez ces mesures par catégorie plutôt qu'uniquement agrégées. Moins d'automatisation peut refléter des seuils plus stricts ou des tâches plus complexes, non un produit inférieur.
Échantillonnez les cas clos et testez preuves adversariales, télémétrie incomplète et administration légitime ressemblant à une attaque. Les conclusions du modèle exigent un appui validé avant une action importante. Le réviseur doit avoir temps, preuves et autorité pour arrêter la réponse ; un humain quelque part ne prévient ni approbation habituelle ni biais d'automatisation.
Piloter des résultats bornés avant d'étendre les pouvoirs
Choisissez des cas fréquents aux preuves claires, réponses réversibles et règles d'escalade mûres. Comparez effort total, qualité de détection, perturbations inutiles, réouverture et récupération au processus existant. Conservez preuves, actions d'outils, responsable des décisions et accord client pour reconstituer chaque cas après coup.
Examinez lieu de traitement, conservation, accès des composants et contrats de télémétrie externe, pas seulement les performances. Étendez les usages avec évaluation, retour arrière et approbation responsable adaptés. Le critère d'achat n'est pas le plus haut pourcentage autonome, mais une clôture appropriée à un risque défini, des erreurs mesurables et un responsable clair en cas de mauvaise réponse.