Après les grands SOC, les agents IA peuvent-ils protéger les PME ?

Le 3 août 2026, Google a ouvert en preview publique son Threat Hunt Agent pour les clients Google SecOps Enterprise Plus. L’agent s’appuie sur Gemini, Google Threat Intelligence, l’expertise de Mandiant et le référentiel MITRE ATT&CK pour rechercher des traces d’attaque dans l’historique de télémétrie de sécurité.

Concrètement, il peut construire un plan de recherche à partir d’un groupe d’attaquants, d’une campagne ou d’une technique connue, traduire ses hypothèses en requêtes, les exécuter sur les journaux disponibles, isoler les éléments utiles puis créer un dossier avec un verdict. Le système ne se contente donc plus d’attendre une alerte générée par une règle existante.

Un signal de marché, pas encore une offre pour PME

L’annonce de Google vise des organisations déjà équipées de Google SecOps Enterprise Plus, avec beaucoup de journaux à analyser et des analystes capables d’examiner les résultats. On est loin d’un produit que n’importe quelle PME pourrait activer en quelques clics.

C’est justement ce qui rend le mouvement intéressant. Une PME dispose souvent déjà de plusieurs sources utiles : Microsoft 365 ou Google Workspace, un EDR sur les postes, un pare-feu, les journaux de ses sauvegardes et quelques applications critiques. Le problème est que les alertes restent dispersées, techniques et parfois jamais lues.

Une offre plus simple pourrait collecter ces signaux, détecter une anomalie, lancer automatiquement une première investigation, expliquer la situation en français et proposer une action. Un responsable ou un prestataire valide ensuite le blocage d’un compte, l’isolement d’un poste ou l’ouverture d’une procédure d’incident.

Une offre plus proche du service managé que du logiciel seul

Pour les PME, la valeur ne viendra probablement pas d’un nouvel écran rempli d’alertes. Elle viendra d’un service capable de transformer un événement technique en décision : ce qui s’est passé, ce qui est touché, ce qu’il faut vérifier et qui doit agir.

Le modèle économique le plus crédible ressemble donc davantage à une prestation managée qu’à un SaaS autonome. On peut imaginer un audit initial, la connexion de quelques sources prioritaires, des scénarios de détection adaptés au métier, des procédures de réponse validées à l’avance et une escalade vers un expert lorsqu’un doute subsiste. L’agent absorbe une partie du travail répétitif. Le prestataire conserve la responsabilité opérationnelle et le client garde la décision sur les actions sensibles.

NIS2 renforce le besoin, sans concerner toutes les PME

La directive NIS2 pousse les organisations concernées vers davantage de gestion des risques, de supervision et de déclaration des incidents. En France, l’ANSSI indique toutefois que la transposition nationale est encore en cours au 13 août 2026. Le périmètre porte principalement sur des moyennes et grandes structures appartenant à 18 secteurs, avec plusieurs exceptions. Il serait donc trompeur de présenter NIS2 comme une obligation générale pour toutes les PME.

La pression peut néanmoins venir des clients, des assureurs ou des donneurs d’ordre. Même sans obligation directe, une entreprise doit de plus en plus être capable de montrer qu’elle surveille ses accès critiques, conserve des traces exploitables et sait qui appeler en cas d’incident.

Le garde-fou : commencer en lecture seule

Un agent ne compense pas des journaux absents, un EDR mal déployé, des comptes sans authentification forte ou des sauvegardes non testées. Il peut aussi relier de mauvais signaux, produire un faux positif ou proposer une réponse trop large. Google présente d’ailleurs son approche de réponse comme un système hybride dans lequel l’analyste garde le contrôle des actions à fort impact.

Pour une première version, on laisserait donc l’agent enquêter, résumer et recommander. L’automatisation de la réponse viendrait ensuite, scénario par scénario, avec des actions réversibles et des seuils clairs.

Le verdict Clarifya

Le SOC agentique pour PME est un vrai signal business, à condition de ne pas vendre l’illusion d’une cybersécurité autonome. Le bon point de départ serait un périmètre étroit, par exemple Microsoft 365, l’EDR, le pare-feu et les sauvegardes, avec quelques scénarios fréquents : connexion inhabituelle, création d’un compte administrateur, chiffrement massif de fichiers, désactivation d’une protection ou échec anormal des sauvegardes.

Si le service sait détecter ces situations, produire une explication compréhensible et joindre rapidement un humain compétent, il apporte déjà une valeur concrète. Sans collecte fiable, procédures de réponse et capacité d’escalade, l’agent ne fera qu’ajouter une couche d’IA sur une organisation encore trop fragile.