GenAI pour la cybersécurité - Cours pratique pour les professionnels

Le teaser de cours : Marco résume en moins d'une minute de quoi il s'agit – des centaines d'alertes, des journaux sans fin, des rapports sans fin et la question de savoir comment tu vas tout gérer. La réponse : Tu n'as plus besoin de le faire seul. Des analyses de journaux en quelques secondes, des rapports d'incidents à la demande, des règles de détection fonctionnelles, ainsi qu'une multitude de leçons et plus de 50 invites prêtes à l'emploi.

Avant de toucher à un outil, tu dois d'abord répondre à la question la plus importante : où l'IA générative apporte-t-elle une réelle valeur ajoutée dans le quotidien de la sécurité – et où est-elle tout simplement le mauvais outil ? Marco confronte l'interprétation des logs, les résumés, la documentation et la génération de scripts aux limites strictes : détection réelle dans le SIEM, décisions d'incidents automatiques sans humain, accès aux systèmes internes. Avec l'événement Windows 4625, tu vois en direct comment plusieurs minutes de clics sur Google se réduisent à quelques secondes.

Ici, il s'agit de la question que les professionnels de la sécurité devraient poser en premier : Où vont réellement mes données ? Vous obtiendrez la comparaison entre ChatGPT, Claude, Gemini, les modèles locaux via Ollama et les versions Enterprise - chacun avec un regard sur la formation, la durée de stockage et la conformité. Marco navigue étape par étape à travers le contrôle des données de ChatGPT et vous montre où désactiver la formation avec vos contenus.

80 % de la qualité des résultats dépendent du prompt et non du modèle – et c'est exactement ce que cette leçon te montre de manière douloureusement honnête. Tu commences avec le prompt classique pour débutants « Aide-moi avec un problème de sécurité » et tu vois pourquoi l'IA ne fait que poser des questions en retour. Ensuite, tu le transformes avec quatre éléments – rôle, contexte, tâche, format – en une instruction précise qui fournit réellement des réponses exploitables.

Des milliers d'événements par jour, et tu dois trouver une seule tentative de brute force – un effort vain manuellement. Marco passe en revue les ID d'événements que tu devrais connaître par cœur (4624, 4625, 4688, 4720 et autres), filtre les connexions échouées et les exporte en CSV ou via PowerShell. Ensuite, il transmet les données à ChatGPT et obtient en quelques secondes l'analyse qui te prendrait sinon des heures.

Les journaux d'événements te montrent ce qui se passe sur le point de terminaison – les journaux de pare-feu et de proxy te montrent avec qui il communique. Tu découvriras les formats courants (Squid, Blue Coat, Palo Alto) et comprendras comment reconnaître le C2-Beaconing : des intervalles réguliers avec des variations, toujours la même cible, des quantités de données similaires, souvent la nuit et le week-end. Ensuite, tu feras en sorte que ChatGPT repère exactement ce modèle dans de vrais journaux de proxy.

300 alertes le matin, 500 d'ici le midi, et la moitié n'est que du bruit – mais quelle moitié ? Cette leçon transforme ChatGPT en assistant de triage, incluant un modèle prêt à l'emploi avec rôle, environnement, horaires de travail et actifs critiques. Avec de vrais formats d'alerte issus de Splunk, Microsoft Sentinel et Elastic, tu obtiens des True/False Positifs, des priorités P1 à P4 et une justification claire.

Après l'incident, vient la partie que tout le monde aimerait sauter : documenter et partager. Tu passes en revue les catégories IOC - Réseau, Hôte, Comportement - et tu apprends quels artefacts ont vraiment un caractère d'attaque et lesquels ne sont que du bruit. À partir de journaux anonymisés d'un véritable cas de phishing, tu extraits les IOCs avec ChatGPT et les associes à MITRE ATT&CK, afin que ton rapport soit compris dans le monde entier.

mardi matin, 9h47 : le SIEM explose, la ligne d'assistance du service d'aide sonne, sur le serveur de fichiers se trouve une note de rançon. C'est précisément à ce moment que la plupart des erreurs se produisent, et c'est ici que commence la leçon - utiliser ChatGPT non pas comme un substitut à vos connaissances, mais comme un cerveau secondaire qui pose les questions que vous oubliez sous le stress. Vous simulez le processus complet, depuis les premières alertes jusqu'aux décisions de confinement.

Les playbooks existent dans presque toutes les équipes - généralement obsolètes et poussiéreux quelque part sur SharePoint. Vous obtenez d'abord la structure dont un playbook utile a besoin : métadonnées, déclencheurs et portée, triage, confinement, éradication, récupération, post-incident et références. Ensuite, vous laissez ChatGPT remplir la structure et l'ajustez à votre environnement concret en environ 30 minutes.

L'incident est terminé, tout le monde respire – et puis vient la partie que personne n'aime. Après 48 heures de fonctionnement continu, tes notes sont chaotiques, les horodatages manquent, et pourtant les assurances, la conformité et le service juridique exigent un rapport clair. Ici, tu transformes ce chaos de notes avec ChatGPT en une chronologie structurée et un rapport d'incident prêt – en quelques minutes au lieu de quelques heures.

Le logiciel malveillant est identifié, mais qui est derrière cela, comment travaillent-ils – et que se passera-t-il ensuite ? Vous découvrirez les principales sources OSINT, des rapports de Mandiant, CrowdStrike et Microsoft aux CISA et BSI en passant par les Groupes MITRE ATT&CK, Malpedia et Ransom-Wiki. Vous agrègeriez ensuite le matériel avec ChatGPT en un rapport de renseignement sur les menaces et saurez ensuite où vous renforcez vos détections de manière ciblée.

«Est-ce critique ? Devons-nous appliquer un patch ce soir ?» – la question du CISO, à laquelle tu ne peux pas répondre uniquement avec un score CVSS. Tu étudies les questions clés : Quelle est la vulnérabilité, quelle est sa gravité réelle (CVSS, EPSS, Temporal), existe-t-il des exploits dans l'Exploit-DB, GitHub ou Metasploit, et est-ce que le système est accessible chez vous ? Avec ChatGPT, tu parviens en quelques minutes à une décision de patch basée sur des données plutôt que sur un simple ressenti.

Auparavant, le scripting consistait à fouiller Stack Overflow, à copier des extraits, à déboguer pendant des heures. Aujourd'hui, ChatGPT fournit le premier brouillon en quelques secondes - mais le code IA n'est pas automatiquement sûr ou correct. Tu obtiens un modèle de prompt avec l'objectif, l'entrée, la sortie, l'environnement, la gestion des erreurs et les spécifications de sécurité, et tu construis ainsi trois scripts pour la chasse aux menaces, le contrôle de renforcement et la réponse aux incidents.

Vous avez des informations sur les menaces, des IOC et des TTP – mais réalisez-vous même quand l'attaque est en cours ? Cette leçon porte sur Sigma en tant que langage de règles multiplateforme : écrire une fois, puis convertir pour Splunk, Sentinel, Elastic, QRadar ou CrowdStrike. Dans le scénario réel du dumping de credentials LSASS, vous générez, testez et optimisez votre règle avec ChatGPT.

Dans le fichier journal se trouvent des noms d'utilisateur, des adresses e-mail, des noms de serveurs internes, parfois des mots de passe en clair - et c'est exactement ce que vous vous apprêtez à envoyer à un service externe. Cette leçon fixe la limite et vous montre pour chaque fournisseur et plan, qui entraîne vos données et combien de temps elles sont stockées. Vous recevrez également des règles concrètes, des techniques d'anonymisation et l'alternative sécurisée via des modèles locaux.

Une vérité inconfortable : les attaquants utilisent les mêmes outils que vous, mais sans conditions d'utilisation et sans frein éthique. Vous voyez comment l'IA élève le phishing à un nouveau niveau - fini les fautes d'orthographe et le « Cher client » - et comment le développement de malwares, les deepfakes et le clonage vocal s'accélèrent. L'objectif n'est pas de provoquer la panique, mais de se préparer : seul celui qui comprend l'offensive peut défendre efficacement.

Imaginez que ChatGPT attribue une adresse IP avec confiance au groupe Lazarus, la direction est alarmée, des experts externes sont appelés – et puis tout était inventé. C'est exactement ça une hallucination, et elle arrive sans aucun avertissement. Vous apprendrez pourquoi les LLM produisent de telles choses en tant que machines de prédiction de texte et comment vous vérifiez systématiquement les IOC, les détails CVE et les attributions d'acteurs de menace avant d'agir.

Pour conclure, il s'agit de ce qui tend à passer inaperçu : la responsabilité. Quatre piliers te guident dans la vie quotidienne – transparence, responsabilité, devoir de diligence et proportionnalité – complétés par des cas clairs dans lesquels tu ne dois pas utiliser l'IA, par exemple en ce qui concerne les questions juridiques ou les décisions de personnel. La phrase à retenir de la leçon : les erreurs de l'IA sont tes erreurs si tu ne les vérifies pas.

«J'ai ChatGPT, je n'ai besoin de rien d'autre» – cette phrase te fait perdre du temps chaque jour. Chaque modèle a ses propres forces et faiblesses : ChatGPT est en difficulté dans la recherche en temps réel, Gemini avec les documents très longs, Claude est fort dans le texte, mais n'est pas conçu pour les processus bureautiques, et c'est justement là que Copilot brille. Cette leçon te montre pourquoi une stratégie multi-modèles n'est pas un luxe et comment combiner plusieurs LLM de manière efficace.

L'ami tout-en-un en détail : ChatGPT en tant qu'assistant, qui écrit des textes, fournit des idées, construit des concepts et produit du code. Marco aborde les forces de la version actuelle – un traitement du contexte nettement amélioré, un style d'écriture très naturel, une énorme base de connaissances – et te guide à travers l'interface et les principales fonctions. Après cela, tu sauras comment utiliser ChatGPT dans la vie quotidienne de la sécurité et où un autre modèle est le meilleur choix.

Document de 200 pages, et vous avez besoin d'un résumé précis en quelques secondes – c'est le domaine de Claude. Le modèle d'Anthropic est conçu pour de longs contextes, bien au-delà de 100 000 tokens, et se distingue par beaucoup moins d'hallucinations. Pour de longs journaux, des rapports volumineux et des documentations, c'est exactement la combinaison dont vous avez besoin.

Écrire des mails, créer des présentations, assembler des tableaux Excel – et cela prend une éternité. Copilot est directement intégré dans Word, Excel, PowerPoint, Outlook et Teams et s'occupe exactement de ce travail pénible, y compris des procès-verbaux de réunion, dont tu peux tirer directement des résumés. Il est important de savoir : tout cela dépend de Microsoft 365, les packs Office autonomes ne sont pas inclus.

Vingt sites à consulter pour une seule réponse claire - cela ne doit pas être nécessaire. Perplexity est un moteur de recherche IA qui te fournit la réponse et la source en même temps, ce qui est particulièrement précieux lors de la recherche de CVE et de faits avérés. Tu vois la version gratuite, ses limites et pour quoi il vaut la peine de passer à la version supérieure.

Grok est l'IA de xAI d'Elon Musk et est directement intégrée dans X, l'ancien Twitter. L'avantage réside dans l'accès en temps réel aux publications, aux informations et aux tendances – pratique lorsque une nouvelle menace vient d'émerger et n'est pas encore mentionnée dans un rapport. Marco te guide à travers l'interface sur la page de xAI et montre où Grok a vraiment du sens au quotidien.

Un seul login, plusieurs modèles : Poe de Quora regroupe ChatGPT, Claude, Gemini et d'autres dans une seule interface. Cela t'épargne le jonglage avec des dizaines de comptes et rend la comparaison directe facile - idéal si tu veux découvrir quel modèle résout le mieux ta tâche. De plus, tu obtiens un aperçu sur le système de points et les modèles de prix du plan gratuit jusqu'à l'abonnement premium.

Des modèles d'IA comme les variantes GPT ou Llama directement sur votre propre ordinateur, sans abonnement et sans cloud – c'est ce que propose LM Studio. L'application de bureau pour Windows, Mac et Linux télécharge des modèles de langage locaux et les rend utilisables en quelques clics. Pour tous ceux qui doivent analyser des données sensibles, c'est la solution propre : ce qui reste sur votre ordinateur ne se retrouve pas dans les données d'entraînement d'autrui.

Si tu veux un contrôle total, il te suffit de faire fonctionner le modèle chez toi. Ollama est open source, gratuit et fonctionne sur Mac, Windows et Linux – avec des modèles comme Llama, Mistral ou Phi directement sur ton ordinateur, sans internet et sans abonnement. Pour des analyses confidentielles, cela signifie : aucune donnée ne quitte ton PC, pas de discussion sur les données d'entraînement, pas de coûts cachés.

Après tous les outils, vient la question qui compte vraiment au quotidien : Quel modèle vais-je utiliser pour cette tâche ? Tu reçois une règle pour débutants qui couvre déjà environ 90 % - ChatGPT pour les textes, Claude pour les contenus longs, Gemini pour la recherche, Copilot pour les tâches de bureau, Perplexity pour les faits avec source. Suivent ensuite la règle pour les professionnels, pour tous ceux qui produisent ou automatisent régulièrement.

La plupart des gens ouvrent ChatGPT, tapent une invite et espèrent – alors que le véritable saut se situe ailleurs. Tu utilises les modèles comme une équipe : l'un fait des recherches, l'autre écrit, un autre vérifie, un autre automatise. Concrètement, tu construis un flux de travail à quatre modèles à partir de Perplexity, Claude, ChatGPT et Gemini, avec lequel tu travailles en tant qu'individu comme une rédaction entière.

La leçon de conclusion du module renverse la situation : Tu n'as pas besoin d'un modèle unique, tu as besoin d'un système. Ton installation sera construite sur trois niveaux, afin que chaque modèle prenne exactement ce pour quoi il est destiné - au lieu de taper au hasard quelque part. Le résultat est une boîte à outils d'IA personnelle, avec laquelle tu travailleras plus rapidement et de manière plus structurée chaque jour.