Instructions système de l’agent
RÔLE Tu es la vigie des vulnérabilités de [organisation]. Tu lis les bulletins publics chaque jour et tu ne signales que ce qui touche un composant présent dans le parc. CE QUE TU SAIS FAIRE - Chaque jour à [heure], sans qu'on te le demande, lire : les avis et alertes du CERT-FR, les bulletins de sécurité des éditeurs présents dans le parc [liste : Microsoft, Cisco, VMware, Fortinet, Oracle, SAP, éditeurs métier], les bases publiques (CVE, NVD) et, si le fichier existe, le bulletin de [prestataire de sécurité]. - Lire l'inventaire du parc [export CMDB ou fichier : produit, éditeur, version, criticité du système, exposition interne ou internet, responsable]. - Ne retenir que les vulnérabilités dont le produit et la version (ou la plage de versions) correspondent à une ligne de l'inventaire. Pour chacune : la référence (CVE, avis CERT-FR), la criticité publiée (score et vecteur), les systèmes concernés d'après l'inventaire, leur exposition, l'existence d'un correctif ou d'une mesure de contournement publiée, l'exploitation active signalée, et le lien source. - Déposer les alertes dans [canal du SOC ou de l'équipe sécurité] et créer une fiche de suivi par vulnérabilité retenue dans [outil de tickets], assignée au responsable du système, avec le délai de traitement cible selon [politique : critique 72 h, haute 15 jours, moyenne 30 jours]. - Une vulnérabilité déjà suivie est mise à jour (nouvelle version du bulletin, correctif publié, exploitation constatée), jamais dupliquée. - Produire le vendredi un tableau de la semaine : alertes retenues, par criticité et par système, fiches ouvertes, en retard, closes. - Répondre à la demande : « sommes-nous concernés par [CVE] ? », « quels systèmes exposés sur internet ont une vulnérabilité critique ouverte ? ». RÈGLES DE SÉCURITÉ - Tu ne fournis jamais de code d'exploitation ni de mode opératoire d'attaque ; tu cites le bulletin et la mesure de correction ou de contournement publiée par l'éditeur ou le CERT-FR. - Tu n'appliques aucun correctif, ne modifies aucun système, ne lances aucun scan : tu alertes et tu suis. - Une correspondance incertaine (version non renseignée dans l'inventaire) est signalée « à vérifier », jamais écartée en silence. - Les alertes et l'inventaire restent dans les espaces de l'équipe sécurité ; tu ne les diffuses pas ailleurs. - Si un bulletin, une base publique ou l'export de l'inventaire est inaccessible, signale-le en tête de l'alerte du jour plutôt que de conclure qu'aucune vulnérabilité ne vous concerne. FORMAT Alerte : référence, criticité, produit et versions, systèmes concernés et exposition, correctif ou contournement, exploitation active, source, délai cible. Cinq lignes maximum par alerte.
Quand l’utiliser, quand s’en passer
Ce que vous y gagnez : Les bulletins arrivent tous les jours, par dizaines, et personne ne fait le tri entre ce qui concerne l'entreprise et le reste : l'équipe lit tout ou ne lit rien. L'agent lit chaque matin les avis du CERT-FR, les bulletins des éditeurs du parc et les bases publiques de vulnérabilités, les croise avec l'inventaire applicatif (produits et versions), et n'alerte que sur les vulnérabilités qui touchent un composant présent, avec la criticité, les systèmes concernés, le correctif ou le contournement publié et la source. Le RSSI reçoit trois alertes utiles au lieu de trente bulletins.
À utiliser
- Quand l'équipe reçoit chaque jour des dizaines de bulletins et ne sait plus lesquels concernent réellement le parc.
- Quand le parc compte de nombreux éditeurs et que leurs bulletins sont publiés à des rythmes différents.
- Quand les délais de traitement par criticité sont fixés par une politique interne et doivent être suivis.
À éviter
- Pour qualifier une alerte de sécurité en cours dans le SIEM : utilisez « Agent de triage des alertes ».
- Si l'inventaire ne renseigne pas les versions : la vigie classera presque tout « à vérifier ».
- Pour remplacer un scanner de vulnérabilités : l'agent compare des bulletins à un inventaire déclaratif, il ne sonde aucun système.
Mettre l’agent en service
Ouvrez Microsoft 365 Copilot › onglet « Cowork » › « Automatisations » › « Créer » › « Décrire dans la conversation ».
Décrivez la tâche et son horaire en langage naturel (« chaque jour à 7 h 30 »), puis collez le bloc « Instructions système de l'agent ». Copilot lit déjà, sans réglage, vos mails, votre agenda, OneDrive, SharePoint, Teams et Planner (Work IQ). Dans la description, nommez les sources que l'agent doit utiliser : la liste SharePoint de l'inventaire du parc (export CMDB : produit, version, criticité, exposition, responsable), le Planner ou la liste de suivi des vulnérabilités et le canal Teams du SOC. Si l'une d'elles est un fichier ou un dossier précis, joignez-le avec « + » › « Joindre des fichiers et dossiers cloud ». La recherche web est intégrée, rien à connecter.
Aucun outil tiers à installer : tout est natif Microsoft 365.
Choisissez « Activer et exécuter maintenant » pour un premier passage immédiat (l'agent reste en brouillon et demande une approbation avant tout envoi), puis laissez l'automatisation active. Suivez chaque exécution dans « Automatisations » › « Exécutions ».
Respectez la limite de 25 automatisations par utilisateur, exécutées avec vos droits et journalisées. Pour ouvrir l'agent à d'autres utilisateurs ou brancher un outil sans plugin, la DSI le construit dans Copilot Studio et le publie dans « Agents ».
Ouvrez la barre latérale › « Agents » › « Create » › « Create agent » › « Start blank » (ou « Browse templates » si un modèle proche existe).
Nommez l'agent « Vigie des vulnérabilités appliquée au parc » et collez les instructions dans « Instructions ».
Ouvrez « Browse apps » : connectez SharePoint ou Google Drive (inventaire), Atlassian Rovo (Jira : fiches de suivi) ou Linear, Microsoft Teams ou Slack (alertes) (les actions d'écriture restent en « Always ask ») ; utilisez « Upload files » pour les modèles et référentiels. La recherche web est intégrée, rien à connecter.
Ouvrez l'onglet « Automations » › « Add automation » : « Daily » en ne cochant que les jours ouvrés (jours Su…Sa), canal « ChatGPT » ou « Slack », instructions complémentaires si besoin. Les automatisations ne démarrent qu'après la création de l'agent.
Cliquez sur « Create » : l'agent est disponible dans « Agents » › « Built by me » ; publiez-le dans l'annuaire des agents de votre workspace ou branchez un canal Slack (« Channels » › « Add channel »). Si un bandeau « Workspace out of credits » s'affiche, prévenez votre administrateur : sans crédits, l'agent ne tourne pas.
Ouvrez « Customize » › « Connectors » › « Add » › « Browse connectors » › « Connect » : Microsoft 365 ou Google Drive (inventaire), Atlassian Rovo ou Linear (fiches), Slack. La recherche web est intégrée, rien à connecter.
Ouvrez « Projects » › « New project » et nommez le projet « Vigie des vulnérabilités appliquée au parc ». Dans le panneau de droite, ouvrez « Instructions » › « + » pour coller les instructions, puis « Context » › « + » pour ajouter les référentiels.
Nouvelle interface Claude (zone de saisie sans options « Chat » et « Cowork ») : dans une conversation du projet, demandez d'exécuter les instructions du projet en précisant la fréquence, vérifiez le nom, la fréquence et les instructions que Claude propose, puis cliquez sur « Schedule » et passez à l'étape 5. Ancienne interface : depuis le projet, ouvrez le panneau « Scheduled » › « Add scheduled task » (ou barre latérale › « Scheduled » › « New task » › « Set up manually ») : Name, Instructions (« Exécute les instructions du projet »), « Work in a project » = ce projet, « Default model » tel quel.
Réglez « Frequency » sur « Weekdays » ; « Permissions » sur « Manually approve » (Claude s'arrête avant chaque action pour votre accord). Si les instructions de l'agent prévoient un envoi, une création ou une modification dans un outil, gardez ce réglage ; sinon, vous pouvez passer en « Automatically approve » après un mois sans écart. Cliquez sur « Save ».
Suivez les exécutions dans la section « Scheduled » de la barre latérale (pastille non lue, « More options » pour mettre en pause ou modifier). Fréquence minimale horaire ; aucun déclencheur sur événement : la vigie lit à chaque passage les bulletins publiés depuis le passage précédent et le dernier inventaire déposé.
Ouvrez « Contexte » › « Connecteurs » › « Ajouter un connecteur » › « Catalogue » › fiche du connecteur › « Connecter » (authentification OAuth) : SharePoint ou Google Drive, Atlassian ou ServiceNow ou Linear (fiches), Slack. La recherche web est intégrée, rien à connecter.
Sur la fiche du connecteur, pré-autorisez les fonctions de lecture (« Toujours autoriser ») et gardez l'approbation manuelle sur les fonctions d'écriture.
Ouvrez la barre latérale › « Planifiées » › « Créer une tâche » : collez les instructions dans la fenêtre « Nouvelle tâche ».
Réglez la planification sur « Quotidienne » avec l'heure (HH:MM) ; réglez les permissions pour suivre les réglages des connecteurs (recommandé) ou exécuter les connecteurs automatiquement ; cochez les connecteurs autorisés pour cette tâche ; cliquez sur « Planifier ».
Consultez les résultats dans la barre latérale avec un point non lu ; utilisez « Modifier », « Pause » ou « Supprimer » sur la tâche. Une tâche planifiée tourne sans surveillance : ne pré-autorisez l'écriture que sur les fonctions listées dans les instructions.
Connecteurs et sources : bulletins publics par recherche web (CERT-FR, éditeurs, CVE et NVD : lecture), inventaire du parc (export CMDB dans un fichier ou une liste : lecture), outil de tickets (création et mise à jour des fiches de suivi), canal de l'équipe sécurité (alertes, tableau hebdomadaire).
Par outil : Copilot : la liste SharePoint de l'inventaire du parc (export CMDB : produit, version, criticité, exposition, responsable), le Planner ou la liste de suivi des vulnérabilités et le canal Teams du SOC. ChatGPT : SharePoint ou Google Drive (inventaire), Atlassian Rovo (Jira : fiches de suivi) ou Linear, Microsoft Teams ou Slack (alertes). Claude : Microsoft 365 ou Google Drive (inventaire), Atlassian Rovo ou Linear (fiches), Slack. Vibe : SharePoint ou Google Drive, Atlassian ou ServiceNow ou Linear (fiches), Slack.
Repli : Les scanners de vulnérabilités et les plateformes de veille payantes n'ont pas de connecteur : leurs exports (CSV) déposés dans le dossier sont lus comme l'inventaire. Sans outil de tickets connecté (Copilot : ni Jira ni ServiceNow en plugin), les fiches sont créées dans une liste SharePoint ou un Planner de l'équipe sécurité.
Rythme : chaque jour.
Conditions de réussite : l'inventaire est exportable avec les versions, sinon la moitié des correspondances seront « à vérifier » ; la liste des éditeurs à surveiller et la politique de délais sont écrites par le RSSI ; un membre de l'équipe qualifie chaque alerte dans la journée (l'agent filtre, il ne décide pas) ; le dispositif complète le scanner de vulnérabilités, il ne le remplace pas ; validation du RSSI sur l'environnement utilisé.
Validation humaine : conservez l'approbation manuelle sur toute action irréversible (envoi, création, modification dans un outil).
Chemins vérifiés en septembre 2026 dans Microsoft 365 Copilot, ChatGPT Business, Claude et Vibe (Mistral).
Coût : les exécutions planifiées consomment les crédits de l’outil. Temps humain : prévoyez 30 à 60 minutes de calibrage initial, puis 10 à 20 minutes par passage pour contrôler les brouillons et traiter les exceptions.
Erreurs fréquentes et comment les corriger
Une CVE déjà suivie réapparaît en nouvelle fiche à chaque mise à jour du bulletin.
Consigne à ajouter aux instructions :
Avant de créer une fiche, cherche la référence CVE dans l'outil de tickets ; si elle existe, ajoute la nouvelle version du bulletin à la fiche existante.
Le canal du SOC est noyé sous des alertes de criticité faible.
Consigne à ajouter aux instructions :
Ne dépose dans le canal que les criticités critique et haute ; regroupe les autres dans le tableau du vendredi.
Une plage de versions est mal lue et un système vulnérable est écarté.
Consigne à ajouter aux instructions :
Recopie dans l'alerte la plage de versions exacte du bulletin à côté de la version de l'inventaire ; au moindre doute sur la comparaison, classe « à vérifier ».
Questions fréquentes
Comment filtrer les bulletins du CERT-FR sur son propre parc informatique ?
Il faut un inventaire à jour qui donne, pour chaque composant, le produit, l'éditeur et la version. L'agent compare chaque bulletin à ces lignes et ne retient que les correspondances. Sans version renseignée, il ne peut pas trancher : il signale la ligne « à vérifier » plutôt que de l'écarter.
Peut-on confier l'inventaire du parc à un agent IA sans risque ?
Avec des précautions : un environnement professionnel validé par le RSSI, une résidence des données conforme et un inventaire limité au produit et à la version. Les adresses IP, comptes et configurations n'ont rien à faire dans l'export : ils n'apportent rien au filtrage et augmentent l'exposition.
L'agent applique-t-il les correctifs de sécurité ?
Non. Il n'applique aucun correctif, ne modifie aucun système et ne lance aucun scan. Il alerte, ouvre la fiche de suivi assignée au responsable du système avec le délai cible, puis met à jour cette fiche quand un correctif ou une exploitation active est publié.