Instructions système de l’agent
RÔLE Tu es l'agent de triage de niveau 1 du SOC de [organisation]. Tu prépares l'enrichissement et la documentation des alertes pour les analystes. Tu ne bloques rien, tu n'isoles rien, tu ne fermes aucune alerte : tu documentes et tu proposes. CE QUE TU SAIS FAIRE - Toutes les [fréquence], sans qu'on te le demande, lire dans [file d'alertes : SIEM, EDR ou boîte de réception dédiée] les alertes nouvelles depuis le passage précédent, de sévérité [seuils], sur le périmètre [périmètre]. - Pour chaque alerte, ENRICHIR à partir des sources autorisées : · l'actif concerné : rôle, propriétaire, criticité, depuis [inventaire ou CMDB] ; · l'utilisateur concerné : fonction, statut, habitudes connues, depuis [annuaire] ; · les indicateurs (adresses, domaines, empreintes) : réputation et contexte, depuis [sources de renseignement autorisées] ; · l'historique : alertes similaires sur le même actif ou le même utilisateur sur [période], et leur conclusion. - DOCUMENTER une fiche de triage : ce que l'alerte dit, ce que l'enrichissement établit, les hypothèses (vrai positif probable, faux positif probable, indéterminé) avec les indices pour et contre, ce qu'il reste à vérifier, et la recommandation de priorité selon la matrice [matrice de priorisation]. - CRÉER la fiche dans [outil de ticketing] avec le statut « à valider », rattachée à l'alerte, avec les indices en pièces jointes. Ne jamais créer deux fiches pour la même alerte. - REGROUPER les alertes qui décrivent probablement le même événement (même actif, même indicateur, même fenêtre) dans une fiche unique, en le signalant. - ALERTER immédiatement [canal ou astreinte] quand une alerte correspond aux critères d'escalade immédiate [liste : compte à privilèges, actif critique, indicateur connu d'une campagne en cours], avec la fiche jointe, sans attendre le passage suivant. - Répondre à la demande : « que sait-on de l'indicateur [X] ? », « combien d'alertes sur [actif] ce mois-ci ? ». RÈGLES DE SÉCURITÉ - Aucune action de réponse : pas de blocage, pas d'isolation, pas de désactivation de compte, pas de fermeture d'alerte, pas de changement de sévérité. Tu proposes, l'analyste agit. - Aucun indicateur, aucun extrait de journal, aucune donnée interne n'est envoyé à une source externe non listée dans les sources autorisées. - Tu ne conclus jamais « faux positif » : tu écris « faux positif probable » avec les indices ; l'analyste conclut. - Une alerte que tu ne sais pas enrichir est documentée comme telle, avec ce qui a manqué, et conserve sa priorité d'origine. - Tu cites tes sources d'enrichissement et leur horodatage. FORMAT Fiche de triage : résumé de l'alerte ; enrichissement (actif, utilisateur, indicateurs, historique) avec sources ; hypothèses et indices ; vérifications restantes ; priorité proposée ; regroupement éventuel.
Quand l’utiliser, quand s’en passer
À utiliser
- Quand les analystes de niveau 1 passent l'essentiel de leur temps à enrichir et documenter des alertes souvent fausses.
- Quand plusieurs alertes décrivent le même événement et créent des fiches en double.
- Quand un compte à privilèges ou un actif critique doit déclencher l'astreinte sans attendre le passage suivant.
À éviter
- Pour examiner un e-mail suspect remonté par un collaborateur : le prompt « Analyser un email suspect signalé par un collaborateur » suffit.
- Si le RSSI n'a pas validé où tourne l'agent et quelles données sortent : ne le mettez pas en service.
- Pour isoler une machine ou bloquer un compte : ces actions relèvent de l'analyste ou de l'automatisation native du SIEM.
Mettre l’agent en service
Ouvrez Microsoft 365 Copilot › onglet « Cowork » › « Automatisations » › « Créer » › « Décrire dans la conversation ».
Décrivez la tâche et son horaire en langage naturel (« toutes les heures »), puis collez le bloc « Instructions système de l'agent ». Copilot lit déjà, sans réglage, vos mails, votre agenda, OneDrive, SharePoint, Teams et Planner (Work IQ). Dans la description, nommez les sources que l'agent doit utiliser : la boîte de réception ou le canal Teams où le SIEM dépose les alertes, la liste SharePoint de l'inventaire des actifs et le Planner ou la liste des fiches de triage (les sources de renseignement autorisées restent lues par l'agent construit dans Copilot Studio par la DSI). Si l'une d'elles est un fichier ou un dossier précis, joignez-le avec « + » › « Joindre des fichiers et dossiers cloud ». La recherche web est intégrée, rien à connecter.
Aucun outil tiers à installer : tout est natif Microsoft 365.
Choisissez « Activer et exécuter maintenant » pour un premier passage immédiat (l'agent reste en brouillon et demande une approbation avant tout envoi), puis laissez l'automatisation active. Suivez chaque exécution dans « Automatisations » › « Exécutions ».
Respectez la limite de 25 automatisations par utilisateur, exécutées avec vos droits et journalisées. Pour ouvrir l'agent à d'autres utilisateurs ou brancher un outil sans plugin, la DSI le construit dans Copilot Studio et le publie dans « Agents ».
Ouvrez la barre latérale › « Agents » › « Create » › « Créer un agent » › « Start blank » (ou « Browse templates » si un modèle proche existe).
Nommez l'agent « Agent de triage des alertes » et collez les instructions dans « Instructions ».
Ouvrez « Browse apps » : connectez Atlassian Rovo (Jira Service Management), SharePoint ou Google Drive (inventaire, matrice), Microsoft Teams ou Slack (escalades) (les actions d'écriture restent en « Always ask ») ; utilisez « Upload files » pour les modèles et référentiels. La recherche web est intégrée, rien à connecter.
Ouvrez l'onglet « Automatisations » › « Add automation » : « Interval » toutes les heures, canal « ChatGPT » ou « Slack », instructions complémentaires si besoin. Les automatisations ne démarrent qu'après la création de l'agent.
Cliquez sur « Create » : l'agent est disponible dans « Agents » › « Built by me » ; publiez-le dans l'annuaire du workspace ou branchez un canal Slack (« Channels » › « Add channel »). Si un bandeau « Workspace out of credits » s'affiche, prévenez votre administrateur : sans crédits, l'agent ne tourne pas.
Ouvrez « Personnaliser » › « Connecteurs » › « Add » › « Browse connectors » › « Connecter » : Atlassian Rovo, Microsoft 365 ou Google Drive, Slack. La recherche web est intégrée, rien à connecter.
Ouvrez « Projects » › « New project » et nommez le projet « Agent de triage des alertes ». Dans le panneau de droite, ouvrez « Instructions » › « + » pour coller les instructions, puis « Contexte » › « + » pour ajouter les référentiels.
Depuis le projet, ouvrez le panneau « Planifié » › « Add scheduled task » (ou barre latérale › « Planifié » › « Nouvelle tâche » › « Set up manually ») : Name, Instructions (« Exécute les instructions du projet »), « Work in a project » = ce projet, « Default model » tel quel.
Réglez « Frequency » sur « Hourly » ; « Permissions » sur « Manually approve » (Claude s'arrête avant chaque action pour votre accord). Si les instructions de l'agent prévoient un envoi, une création ou une modification dans un outil, gardez ce réglage ; sinon, vous pouvez passer en « Automatically approve » après un mois sans écart. Cliquez sur « Save ».
Suivez les exécutions dans la section « Planifié » de la barre latérale (pastille non lue, « More options » pour mettre en pause ou modifier). Fréquence minimale horaire ; aucun déclencheur sur événement : l'agent lit à chaque passage les alertes nouvelles depuis le passage précédent, enrichit, crée les fiches et n'escalade immédiatement que sur les critères listés.
Ouvrez « Contexte » › « Connecteurs » › « Ajouter un connecteur » › « Catalogue » › fiche du connecteur › « Connecter » (authentification OAuth) : Atlassian, SharePoint ou Google Drive, Slack ou Outlook. La recherche web est intégrée, rien à connecter.
Sur la fiche du connecteur, pré-autorisez les fonctions de lecture (« Toujours autoriser ») et gardez l'approbation manuelle sur les fonctions d'écriture.
Ouvrez la barre latérale › « Planifiées » › « Créer une tâche » : collez les instructions dans la fenêtre « Nouvelle tâche ».
Réglez la planification sur « Quotidienne » avec l'heure (HH:MM) (Vibe n'exécute pas de tâche infra-quotidienne : réservez-le au périmètre des alertes de faible sévérité, ou utilisez un autre outil pour le triage horaire) ; « Permissions » sur « Suivre les réglages des connecteurs » (recommandé) ou « Exécuter les connecteurs automatiquement » ; cochez les connecteurs autorisés pour cette tâche ; cliquez sur « Planifier ».
Consultez les résultats dans la barre latérale avec un point non lu ; utilisez « Modifier », « Pause » ou « Supprimer » sur la tâche. Une tâche planifiée tourne sans surveillance : ne pré-autorisez l'écriture que sur les fonctions listées dans les instructions.
Chemins vérifiés en septembre 2026 dans Microsoft 365 Copilot, ChatGPT Business, Claude et Vibe (Mistral).
Coût : les exécutions planifiées consomment les crédits de l’outil. Temps humain : prévoyez 30 à 60 minutes de calibrage initial, puis 10 à 20 minutes par passage pour contrôler les brouillons et traiter les exceptions.
Erreurs fréquentes et comment les corriger
Des alertes liées au même événement donnent plusieurs fiches séparées.
Consigne à ajouter aux instructions :
Avant de créer une fiche, cherche les fiches ouvertes sur le même actif ou le même indicateur dans la même fenêtre ; s'il y en a, rattache l'alerte et signale le regroupement.
L'astreinte est sollicitée pour des alertes qui ne remplissent pas les critères d'escalade.
Consigne à ajouter aux instructions :
N'alerte l'astreinte que si l'alerte remplit un critère de la liste d'escalade immédiate, et nomme ce critère dans le message.
Une réputation d'indicateur ancienne est présentée comme actuelle.
Consigne à ajouter aux instructions :
Indique pour chaque enrichissement la source et son horodatage ; si l'information a plus de sept jours, signale-la comme possiblement périmée.
Questions fréquentes
Comment automatiser le triage de niveau 1 dans un SOC ?
Un agent lit la file d'alertes à intervalle régulier, enrichit chaque alerte (actif, utilisateur, indicateurs, historique) et rédige une fiche avec hypothèses et priorité proposée. Il ne ferme ni ne bloque rien. L'option la plus sûre est un agent construit dans l'outil de l'éditeur, par exemple Copilot Studio avec Sentinel.
Un agent IA peut-il conclure qu'une alerte est un faux positif ?
Non. Il écrit « faux positif probable » avec les indices pour et contre, et l'analyste conclut. Fermer une alerte sur la seule foi de l'agent ferait perdre la trace d'un vrai incident ; c'est pourquoi l'interdiction est écrite dans ses instructions.
Quelles données de sécurité peut-on confier à un agent de triage ?
Celles que le RSSI a validées, dans un environnement qu'il a approuvé. Aucun indicateur ni extrait de journal ne doit partir vers une source externe qui ne figure pas dans la liste autorisée. Un outil grand public n'est pas un environnement SOC.