Blog · Agentique
RAG et cybersécurité
prévoir les CVE au lieu de les subir
Des dizaines de CVE par jour que personne ne lit. Ce qu'un RAG bien nourri change dans la façon de patcher un parc.
Le problème : une CVE par jour, et un parc à patcher
Un flux de vulnérabilités publie plusieurs dizaines d'identifiants par jour. Personne ne lit ça. Ce qui intéresse un exploitant n'est pas la liste : c'est la réponse à quatre questions, est-ce que ça me concerne, est-ce exposé, qu'est-ce que je fais, et quand ? Un agent augmenté par recherche documentaire ne remplace pas la veille : il la rend exploitable.
Ce qu'on met dans le corpus
La qualité d'un RAG tient entièrement à ses sources. Le nôtre agrège quatre familles, avec leur date et leur origine conservées :
| Source | Ce qu'on y prend |
|---|---|
| Base CVE / NVD | Identifiant, score, vecteur d'attaque, versions affectées |
| Avis CERT-FR et éditeurs | Le contexte national, les contournements, les versions corrigées exactes |
| Notre inventaire | Quelles versions tournent, sur quelles machines, et lesquelles sont exposées |
| Nos propres notes d'incident | Ce qui s'est déjà produit chez nous, et comment ça s'est réglé |
La quatrième ligne est celle qu'aucun service commercial ne fournit : elle transforme une alerte générique en « on a déjà vu ça sur ce modèle de pare-feu ».
La chaîne, de l'alerte à la décision
- 1CollecteUn workflow planifié récupère les nouvelles entrées (API NVD, flux CERT-FR, avis éditeurs) et les normalise dans une même structure : identifiant, produit, versions, gravité, date.
- 2Découpage et vectorisationChaque avis devient un ou plusieurs fragments, avec ses métadonnées : produit, version, CVSS, source. C'est ce qui permettra de filtrer avant de chercher.
- 3Confrontation à l'inventaireLa question posée à l'agent n'est pas « parle-moi des CVE du jour » mais « parmi les CVE publiées cette semaine, lesquelles touchent des produits que nous exploitons, dans une version affectée ? »
- 4PriorisationTrois critères, dans cet ordre : exploitable à distance sans authentification, service exposé sur Internet, correctif disponible. Une CVE critique sur un service interne non exposé n'a pas la même urgence qu'un 9,8 sur un portail public.
- 5Plan de patchL'agent rédige la séquence : version cible, commande, ordre des machines, test, retour arrière. L'humain valide et exécute.
- 6PreuveAprès application, la version réelle est relue sur la machine et inscrite dans la base, sinon on ne saura jamais si le patch est passé.
Ce que l'accès à Internet change
Un modèle sans accès au réseau répond avec ce qu'il a appris, c'est-à-dire avec un retard de plusieurs mois sur les vulnérabilités. Un agent qui consulte les sources en direct peut travailler sur l'avis publié ce matin. La contrepartie est double : il faut citer la source de chaque affirmation, et ne jamais laisser une page web lui dicter une action.
Une information lue sur Internet peut devenir un argument, jamais une instruction. Tout ce qui vient de l'extérieur est traité comme une donnée à vérifier, pas comme un ordre, c'est la seule protection contre une page piégée qui demanderait à l'agent d'exécuter une commande.
Les limites, dites franchement
- Un RAG peut citer un avis périmé d'où la métadonnée de date et le filtre « publié après ».
- Il ne connaît pas votre parc la valeur vient de la jointure avec l'inventaire, pas du modèle.
- Il ne patche pas il prépare, il explique, il vérifie ; l'exécution reste humaine, avec une fenêtre et un retour arrière.
- Le score CVSS n'est pas une priorité l'exposition et l'exploitabilité réelle comptent davantage qu'un chiffre à une décimale.
Bien fait, l'ensemble fait gagner ce qui manque toujours dans une PME : le temps de lecture. Et il rend possible ce qui était impossible, savoir, en une question, si la faille du jour concerne réellement quelqu'un chez nous.
Un projet comparable ? Nous répondons aux questions techniques en rendez-vous, avec les mêmes chiffres que dans ces articles.
L'offre correspondante : l'audit de cybersécurité et les pare-feux Stormshield.