NVIDIA et CrowdStrike testent un agent cyber IA adaptatif

NVIDIA et CrowdStrike ont conjointement évalué un système de cybersécurité basé sur des agents autonomes, conçu pour automatiser et accélérer le cycle continu de tests offensifs et défensifs. Face à la complexité croissante des menaces, cette approche vise à combler les lacunes des défenses existantes en générant des attaques adaptatives et en validant en temps réel les nouvelles règles de détection. Le projet s'appuie sur les modèles ouverts Nemotron de NVIDIA, intégrés à l'architecture SafeMind de CrowdStrike, permettant une boucle d'apprentissage machine plutôt que des interventions manuelles chronophages. Le dispositif fonctionne selon une boucle fermée en quatre phases distinctes. En premier lieu, un agent rouge exécute des scénarios d'attaque au sein d'un environnement isolé et reproductif, en enregistrant chaque étape et la télémétrie associée. Ensuite, un agent bleu analyse ces données, identifie les failles de visibilité et formule des propositions de détection. Ces dernières sont ensuite rigoureusement validées par des contrôles techniques et un rejeu sur les traces d'attaque capturées. Enfin, une fois déployées, les règles sont testées contre de nouvelles attaques, poussant l'agent rouge à adapter ses stratégies pour contourner la défense, bouclant ainsi la boucle d'amélioration continue. Pour optimiser ce processus, l'équipe a séparé les responsabilités entre deux modèles Nemotron. Le modèle Nemotron 3 Ultra gère l'orchestration et la reconstruction des séquences d'attaque, tandis qu'une version ajustée, Nemotron 3 Super, se concentre exclusivement sur la génération et la réparation des règles de détection. Ce découplage est soutenu par un harnais d'agent spécialisé qui impose des garde-fous techniques. Celui-ci vérifie la conformité des requêtes aux schémas de données, rejette les détections liées à des adresses IP statiques au profit de signaux comportementaux, et soumet chaque proposition à un mécanisme de rejeu et à un contrôle qualité indépendant. Cette architecture minimise les erreurs et aligne les sorties du modèle sur les bonnes pratiques des ingénieurs de sécurité. Les résultats de l'évaluation démontrent l'efficacité de cette configuration. En test rétroactif, le pipeline ouvert a doublé son taux de détection, passant de 16,5 % à 41,9 % par rapport à la configuration de référence. Lors de tests en conditions réelles sur huit attaques inédites, le système a prouvé une meilleure capacité de généralisation que les modèles frontiers propriétaires. Bien que produisant moins de détections brutes, le pipeline a généré des règles qualifiées de référence, couvrant l'intégralité des scénarios attaqués tout en restant silencieuses face au trafic légitime. Par ailleurs, le modèle défensif Blue Solano de CrowdStrike affiche une précision supérieure de 13 % à un modèle propriétaire concurrent, pour un coût réduit de 97 %. Cette étude valide une nouvelle architecture pour l'intelligence artificielle appliquée à la cybersécurité. En associant un modèle de raisonnement pour la planification à un expert spécialisé et à des mécanismes de validation stricts, les équipes peuvent désormais faire évoluer leurs défenses au même rythme que les techniques d'intrusion. Cette approche ouvre la voie à une automatisation industrielle des exercices de red team et blue team, consolidant la résilience des infrastructures critiques face à des adversaires toujours plus agiles.