Microsoft vient tout juste de lever le voile sur Project Perception, un dispositif IA capable d’enchaîner simulation d’attaque, enquête, détection et remédiation. Il s’appuie notamment sur MDASH et sur un nouveau modèle spécialisé, MAI-Cyber-1-Flash.
Microsoft ne veut plus cantonner l’intelligence artificielle à un rôle d’assistance auprès des analystes. Avec Perception, le groupe présente une architecture complète de sécurité agentique, pensée pour automatiser une grande partie du travail mené dans les centres opérationnels de sécurité, ou SoC. Attendue en préversion publique à partir du 3 août 2026, la plateforme doit coordonner plusieurs agents IA spécialisés, les faire travailler à partir d’une même compréhension de l’environnement à protéger et leur permettre d’enchaîner des tâches aujourd’hui réparties entre plusieurs métiers de la cybersécurité.
Des agents qui attaquent pour mieux défendre
Dans le détail, Perception s’organise autour de trois familles d’agents, chacune chargée d’une étape différente de la réponse cyber. Les red teams, d’abord, adoptent le point de vue des attaquants. Elles recherchent les chemins susceptibles de mener à une compromission, repèrent les services exposés et vérifient si les failles détectées peuvent réellement être exploitées.
Leurs conclusions sont ensuite transmises aux blue teams, qui prennent en charge la défense. Elles enquêtent sur les signaux collectés, évaluent la menace et décident de la réponse à apporter. Elles peuvent aussi générer des règles de détection adaptées à l’attaque observée, afin de repérer d’éventuelles tentatives d’exploitation avant que la faille ne soit corrigée.
Microsoft complète ce duo avec des green teams, dont le rôle consiste à patcher les failles identifiées et à renforcer l’environnement. Elles peuvent modifier une règle de pare-feu, fermer un port, renforcer un contrôle d’autorisation ou préparer un correctif dans le code.
Ces agents ne travaillent donc pas chacun de leur côté. Perception les fait intervenir dans une même boucle, de la simulation d’attaque à la remédiation, à partir d’un contexte de sécurité partagé. Chaque équipe peut ainsi exploiter les résultats de la précédente, sans obliger les analystes, pentesters et développeurs à reprendre le travail à chaque passage de relais.
La plateforme s’appuie pour cela sur des playbooks, des procédures prédéfinies qui organisent les différentes étapes de la réponse à une menace. Les équipes peuvent lancer l’un de ces scénarios ou formuler directement leur demande en langage naturel. Elles peuvent, par exemple, demander si leur organisation est protégée contre un groupe malveillant récemment identifié, puis laisser Perception sélectionner les agents à mobiliser et les actions à enchaîner.
MDASH sépare les failles théoriques des risques exploitables
Une partie de ce travail repose sur MDASH, le nom de code du système agentique de Microsoft consacré aux vulnérabilités logicielles. Dévoilé en mai 2026, puis intégré à Microsoft Defender, il analyse les dépôts de code, recherche les failles et vérifie qu’elles peuvent effectivement être exploitées.
MDASH doit notamment éviter que les équipes de sécurité se retrouvent face à des dizaines, voire des centaines de vulnérabilités potentielles sans savoir lesquelles traiter en priorité. Ses résultats peuvent ensuite être utilisés par les autres agents de Perception pour replacer le risque dans l’environnement de l’entreprise et déterminer les mesures à prendre.
Pour chaque faille, le système détaille son impact et reconstitue le chemin d’attaque susceptible de mener jusqu’à elle. Ces informations sont précieuses pour les équipes de sécurité, mais pourraient aussi servir de mode d’emploi si elles tombaient entre de mauvaises mains. Microsoft prévoit donc des droits d’accès précis pour contrôler qui peut lancer les analyses, consulter leurs résultats ou gérer les vulnérabilités découvertes.
MDASH s’intègre enfin à GitHub et Azure DevOps pour aider les développeurs à corriger les failles détectées. Il peut proposer un correctif, en vérifier la pertinence et présenter les modifications apportées avant leur examen. Le changement peut ensuite être soumis au dépôt sous la forme d’une pull request.
Un modèle maison pour réduire le coût de MDASH
Reste à faire fonctionner ce dispositif à grande échelle. Les entreprises peuvent disposer de centaines de dépôts à analyser, et mobiliser les modèles les plus puissants pour chaque opération ferait rapidement grimper la facture. Pour contenir ce coût sans sacrifier les performances, Microsoft intègre donc à MDASH MAI-Cyber-1-Flash, un modèle maison spécialisé dans la cybersécurité et pensé pour prendre en charge la majorité des requêtes courantes.
Il ne travaillera pas seul pour autant. Fidèle à son approche multimodèle, Microsoft prévoit de lui confier environ 90 % des requêtes, tandis que GPT-5.4 prendra le relais sur les cas les plus difficiles. Cette répartition doit permettre de ne mobiliser le modèle le plus coûteux que lorsque la tâche l’exige réellement.
Microsoft affirme que cette combinaison atteint 96 % de réussite sur CyberGym, un benchmark qui évalue la capacité des systèmes d’IA à reproduire des vulnérabilités connues à partir du code source et d’une description de la faille. Elle réduirait aussi de près de moitié le coût de MDASH par rapport à sa précédente configuration. Ces résultats restent toutefois ceux de l’entreprise et ne suffisent pas à mesurer les performances du système lors de recherches menées sur des logiciels réels et des vulnérabilités encore inconnues.
