SentinelOne à OneCon 2026 : l’IA traque, les humains décident

SentinelOne (S) a profité de sa session OneCon 2026 à Las Vegas, le mercredi 21 octobre 2026, pour affirmer que la prochaine phase de la cybersécurité reposera sur l’alliance entre l’intelligence artificielle et l’expertise humaine. La société a indiqué que cette approche améliore déjà la détection des menaces, tout en avertissant que les outils d’IA offensifs rendent les attaques plus rapides et plus fréquentes.

Points clés

• SentinelOne a indiqué que sa capacité de chasse aux menaces assistée par IA a progressé de 2.200% dans la détection d’activités malveillantes depuis son lancement en décembre 2024.
• La société a déclaré qu’elle identifie désormais environ 28 notifications d’intrusion par jour uniquement grâce à la chasse assistée par IA.
• La direction a soutenu que l’IA aide davantage les défenseurs que les attaquants, car les attaques pilotées par IA sont très facilement détectables.
• SentinelOne a mis en avant la vulnérabilité React2Shell comme un test majeur de sa stratégie de détection à sept couches.
• La société a présenté sa stratégie comme un mélange d’agents IA et d’experts humains identifiés travaillant ensemble en permanence.

Stratégie : IA et analystes humains

Le directeur de la relation client Steve Stone a déclaré que le principal avantage de SentinelOne ne réside pas dans l’intelligence artificielle en elle-même, mais dans la façon dont la société associe les modèles d’IA à des analystes experts. Il a précisé que l’objectif est d’éloigner les équipes de sécurité du mode « héros » pour les orienter vers un modèle plus durable, où les machines gèrent les tâches répétitives et les humains se concentrent sur les décisions complexes.

• Les agents IA peuvent travailler 24 heures sur 24 sans se fatiguer.
• Les experts humains peuvent consacrer davantage de temps à l’analyse et à la prise de décision.
• La société a indiqué que cette répartition des tâches permet aux équipes d’agir plus vite et à plus grande échelle.
• Stone a affirmé que cette approche peut contribuer à des carrières plus durables dans les opérations de cybersécurité.

Stone a cité plusieurs spécialistes internes impliqués dans cet effort, notamment Luko, qui dirige l’équipe de chasse, Brian Kearns, qui pilote la chasse assistée par IA, Sagi Shoshani, qui développe les modèles, et Matan Weinstein, spécialiste de la détection.

Paysage des menaces : attaques plus rapides, schémas plus visibles

Stone a indiqué que l’environnement des menaces évolue rapidement. Citant une évaluation du gouvernement britannique, il a précisé que les modèles d’IA de pointe doublent les capacités offensives en matière de cybersécurité tous les quatre mois. Il a ajouté que depuis le précédent OneCon, les capacités offensives de ces modèles ont triplé.

• Les attaques pilotées par IA sont désormais observées sur l’ensemble du paysage des menaces, et pas seulement parmi les groupes soutenus par des États.
• De petits groupes, des acteurs individuels et des gouvernements utilisent des méthodes d’attaque assistées par IA.
• Stone a déclaré que ces attaques sont « très facilement détectables » car les agents IA se déplacent souvent à la vitesse des machines et accordent moins d’importance à la discrétion.
• Il a soutenu que les défenseurs tirent davantage profit de l’IA que les attaquants.

Stone a indiqué que la société recense environ 28 notifications d’intrusion par jour détectées uniquement grâce à la chasse assistée par IA. Il a également précisé que les vrais positifs ont augmenté de 50% d’une année sur l’autre, avec plus de 14 millions de vrais positifs identifiés au cours du dernier exercice annuel.

Contexte financier et opérationnel

La société n’a pas présenté de mise à jour financière traditionnelle lors de cette session, mais elle a fourni des indicateurs opérationnels destinés à illustrer l’ampleur de son travail de détection et le rythme de croissance de sa clientèle.

• Les vrais positifs ont augmenté de 50% d’une année sur l’autre.
• Plus de 14 millions de vrais positifs ont été identifiés au cours du dernier exercice annuel.
• Les organisations typiques font croître leurs terminaux d’environ 16%, et SentinelOne a indiqué que les environnements de ses clients affichent une croissance similaire.
• La chasse assistée par IA a produit une augmentation de 380% de la détection d’activités malveillantes au cours du premier trimestre suivant son lancement.
• Six mois après le lancement, la progression atteignait 1.400%.
• Un an après le lancement, la progression atteignait 2.200%.

SentinelOne a indiqué que ces chiffres reflètent à la fois la croissance globale de sa clientèle et la capacité de la société à détecter davantage de menaces à mesure que ses modèles s’améliorent. Le message est que le système n’est pas figé : il progresse au fur et à mesure qu’il est exposé à davantage d’activités et que les analystes l’affinent.

Cadre de détection à sept couches

Stone a présenté ce qu’il a appelé la stratégie de détection et de chasse à sept couches de SentinelOne. La société a indiqué que ces couches fonctionnent ensemble, la chasse étant utilisée pour identifier de nouveaux schémas qui peuvent ensuite devenir des détections de niveau production.

• Les indicateurs de compromission, ou détections fragiles, utilisés pour suivre les activités de commande et de contrôle.
• Les signatures conçues pour identifier des menaces spécifiques.
• Les modèles autonomes, que la société a indiqué être au cœur de sa plateforme depuis sa fondation et le dépôt de son premier brevet en 2014.
• La chasse basée sur le renseignement sur les menaces.
• La chasse en temps réel.
• La chasse rétrospective.
• La chasse aux menaces assistée par IA, lancée le 1er décembre 2024.

Stone a précisé que la chasse est exploratoire, tandis que les détections sont conçues pour un déploiement à grande échelle. Selon lui, ces deux fonctions se complètent : la chasse identifie des menaces inédites et des cas particuliers, puis les ingénieurs transforment ces découvertes en détections intégrées à la plateforme.

React2Shell : un cas de test majeur

L’un des principaux exemples présentés était React2Shell, une vulnérabilité critique divulguée le 3 décembre 2024 avec un score CVSS de 10,0. Stone a indiqué qu’il s’agissait de l’événement d’exploitation massive le plus rapide de l’année écoulée.

• SentinelOne a lancé la chasse assistée par IA le 1er décembre 2024, juste avant la divulgation.
• AWS a observé la première exploitation environ 12 heures après la divulgation.
• La CISA a ajouté le problème à sa liste de vulnérabilités exploitées connues 36 heures après la première exploitation.
• SentinelOne a indiqué que sa première détection dans un environnement client est intervenue le 9 décembre 2024.
• La première méthode de détection utilisée était la chasse aux menaces assistée par IA.

Stone a précisé que la société disposait d’une bonne couverture sur les systèmes Linux et Mac, mais d’une couverture plus faible sur Windows, ce qui a fait de ce cas un test de résistance utile. SentinelOne a utilisé son cadre à sept couches pour identifier la forme générale de l’attaque, puis a affiné les résultats pour obtenir des détections plus robustes.

Il a indiqué que Google Threat Intelligence a identifié au moins cinq groupes de menaces basés en Chine exploitant la faille, tandis que les recherches de SentinelOne ont révélé au moins sept groupes de menaces significatifs au cours de la première semaine. Dans les 30 premiers jours, la société a identifié huit victimes potentielles émanant de nombreux groupes de menaces.

Comment la société a géré la vulnérabilité

SentinelOne a indiqué qu’elle a d’abord eu recours à la chasse plutôt qu’aux détections de production, car le schéma était large et encore en évolution. Les analystes ont comparé l’activité suspecte avec des tests de pénétration légitimes afin de distinguer les véritables attaques des activités bénignes.

• La société a utilisé des modèles d’IA et une revue d’experts pour distinguer les comportements malveillants des tests autorisés.
• Elle a renforcé les sept catégories de détection à mesure que le renseignement s’améliorait.
• Elle a ensuite converti les résultats de la chasse en détections de niveau production pour la plateforme.

Ce cas a été présenté comme un exemple de la façon dont la société souhaite opérer : détecter tôt, apprendre rapidement, puis renforcer la plateforme pour une utilisation plus large.

SectopRAT : une menace persistante à l’enveloppe évolutive

Stone a également évoqué SectopRAT, une menace active depuis sept ans, utilisée pour voler des sessions de navigation et des portefeuilles de crypto. Il a indiqué que ce logiciel malveillant modifie son enveloppe de livraison tous les quelques mois, ce qui en fait un exemple utile pour illustrer comment maintenir une détection dans la durée.

Le 13 juillet, SentinelOne a indiqué avoir mis à jour les règles statiques pour Windows et Linux, ajusté les détections comportementales pour repérer les activités de vol de cookies et maintenu des détections fragiles en place à l’aide de 50 indicateurs de compromission actifs connus pour les activités de commande et de contrôle.

• La société a utilisé la chasse assistée par IA pour identifier les variantes en évolution et les cas particuliers.
• Elle a effectué des chasses rétrospectives portant sur les deux semaines précédentes dans les environnements clients.
• Ces chasses ont produit plus de six résultats.
• SentinelOne a utilisé ce cas pour vérifier si ses autres détections fonctionnaient comme prévu.

Stone a indiqué que la société a également élaboré des ensembles de règles de chasse pour des schémas d’exécutables spécifiques et un pack de chasse au chargement latéral de DLL axé sur le comportement plutôt que sur un outil unique. L’objectif était d’examiner l’intégralité des chemins d’attaque à travers les sept couches de détection.

Message de marché et positionnement concurrentiel

Stone a indiqué que SentinelOne bénéficie d’une avance de 12 ans dans la détection autonome, en faisant référence au premier brevet de la société déposé en 2014. Il a présenté cet historique comme faisant partie du positionnement actuel de la société sur un marché où de nombreux fournisseurs cherchent désormais à intégrer des fonctionnalités d’IA.

• SentinelOne a reconnu ne pas être la seule à poursuivre la chasse assistée par IA.
• Elle a indiqué que sa différence réside dans la combinaison de plusieurs couches de détection avec l’expertise humaine.
• La société a mis l’accent sur la responsabilité et la transparence quant aux engagements pris envers ses clients et aux résultats obtenus.
• Elle a déclaré vouloir partager les leçons apprises avec la communauté de la cybersécurité au sens large.

Stone a indiqué que la société estime que l’IA aide davantage les défenseurs que les attaquants, car les systèmes défensifs peuvent utiliser l’IA pour repérer des schémas, tandis que les attaquants l’utilisent souvent pour amplifier des méthodes qui restent visibles. Cette conviction a constitué le fil directeur de la présentation.

Perspectives d’avenir

SentinelOne a indiqué que les travaux présentés à OneCon 2026 s’inscrivent dans une feuille de route plus large. La société a précisé que Chris Corde et son équipe présenteront de nouveaux déploiements technologiques plus tard lors de l’événement, et que Tomer abordera la direction et le positionnement de la société sur le marché.

• La société prévoit de continuer à développer la chasse assistée par IA à travers ses couches de détection.
• Elle souhaite maintenir le rythme face aux attaques à la vitesse des machines.
• Elle vise à continuer de transformer les découvertes issues de la chasse en protections de niveau production.
• Elle continuera d’associer l’automatisation à des analystes experts.

Le message de Stone est que les équipes de cybersécurité ont besoin d’outils capables de fonctionner en continu tout en laissant une place au jugement humain. Il a indiqué que ce modèle aide déjà SentinelOne à détecter des activités d’intrusion rares et à améliorer ses opérations quotidiennes.

Pour l’intégralité des échanges et des éléments de contexte supplémentaires, veuillez consulter la retranscription ci-dessous.

Cet article a été généré et traduit avec l’aide de l’IA et revu par un rédacteur. Pour plus d’informations, consultez nos T&C.