Cybersécurité face à l’IA : les métiers qui résistent (et ceux qui se réinventent)

Pendant que les éditeurs SOC vendent un Niveau 1 « augmenté » par l’IA et que Roman Yampolskiy prédit un effondrement des métiers d’ici 2027, les équipes cyber, elles, regardent leurs tableaux d’effectifs. Et se posent la vraie question : qu’est-ce qui reste, qu’est-ce qui bascule, et où faut-il se positionner maintenant ? La réponse n’a rien de binaire. Certaines strates entières du métier sont en train de fondre. D’autres deviennent plus rares, plus chères, plus stratégiques. Et de nouveaux rôles, hybrides, émergent à la frontière entre cyber, ML et gouvernance.

L’IA en cybersécurité, un séisme déjà en cours

Inutile de parler de « rupture à venir ». Elle est là, sous vos yeux. Dans les SOC, l’IA trie déjà les alertes, classe les phishings, corrèle les logs, déclenche des playbooks SOAR sans qu’un humain lève le petit doigt. 

Côté offensif, les attaquants ne sont pas en reste : ils industrialisent le spear phishing, génèrent du code malveillant polymorphe, automatisent la reconnaissance. La cybersécurité est devenue, dans les faits, le terrain le plus dense d’usage opérationnel de l’IA en entreprise.

Les chiffres confirment la bascule. Selon le rapport State of Cybersecurity Resilience 2025 d’Accenture, seules 13 % des organisations disposent de capacités d’IA en cybersécurité réellement avancées, et 34 % s’inscrivent dans une stratégie de maturité. Traduction : deux tiers des entreprises subissent encore le sujet plutôt qu’elles ne le pilotent. La fenêtre de repositionnement est ouverte. 

Le mouvement est double, et c’est ce qui le rend si déstabilisant. 

L’IA défensive grignote par le bas, en automatisant les tâches répétitives du niveau 1. 

L’IA offensive amplifie par le haut, en abaissant la barrière technique d’attaques sophistiquées. 

Vous saisissez le piège ? Ce ne sont pas « les métiers cyber » qui sont menacés en bloc. Ce sont des strates précises de la chaîne de valeur, identifiables, nommables, qu’il faut quitter ou réinventer.

Les fonctions cyber réellement menacées (et pourquoi il faut le dire)

Soyons directs. Plusieurs fonctions cyber, encore largement dotées en effectifs aujourd’hui, n’ont pas d’avenir à dix ans dans leur forme actuelle. Le dire n’a rien d’anxiogène. C’est juste réaliste.

Le SOC L1 d’abord. Le tri d’alertes, le triage initial, la classification de tickets, la corrélation simple : tout ce qui fait le quotidien d’un analyste L1 est, par construction, ce que l’IA fait le mieux. 

Les plateformes SIEM modernes (Splunk, Sentinel, Chronicle) intègrent déjà des couches de tri assisté qui absorbent 60 à 80 % du volume d’alertes sans escalade humaine. À horizon 24 à 36 mois, dans la plupart des grandes organisations, le métier d’analyste L1 sera une fonction d’orchestration, plus une fonction de traitement.

La compliance « checklist » suit la même trajectoire. Cocher des contrôles ISO 27001 ou SOC 2 sur des environnements documentés, croiser des matrices de conformité, générer des rapports d’audit standards : autant de tâches que des agents IA bien configurés exécutent déjà mieux, plus vite, et sans la fatigue du vendredi 18h.

Même logique pour le pentest scripté, le vulnerability management opérationnel (scan, priorisation CVSS basique, ticketing), l’awareness training générique. 

Ces tâches reposent sur des règles, des patterns connus, des référentiels stables. Elles sont automatisables.

La conclusion opérationnelle est rude, mais nécessaire : le SOC L1 n’est plus un point d’entrée viable pour une carrière cyber sur dix ans. 

Les juniors qui s’y forment aujourd’hui ont besoin d’un plan de pivot dès dix-huit mois. Quant aux recruteurs qui publient encore des fiches de poste figées sur des tâches de tri, ils préparent à leurs candidats de belles erreurs de carrière.

Le critère qui change tout : l’adversarialité contextuelle

Pourquoi certains métiers cyber tiennent et d’autres s’effacent ? La réponse intuitive (« la complexité technique ») est fausse. 

Un agent IA peut analyser des logs DNS bien plus vite qu’un humain, et un LLM produit une analyse statique de binaire tout à fait honorable. La vraie ligne de fracture passe ailleurs : l’adversarialité contextuelle.

Trois dimensions d’irréductibilité, à tenir ensemble : 

1. Un adversaire qui apprend. Le threat hunting senior, le red teaming avancé, le blue team de niveau 3 ne traitent pas des signaux. Ils traitent des intentions humaines, mouvantes, retorses. L’attaquant change de tactique dès qu’il vous voit changer de défense. L’IA est excellente pour reconnaître des patterns ; mais elle s’écroule face à un adversaire qui se contre-adapte en temps réel et joue l’asymétrie informationnelle.

2. Un contexte business non documenté. L’architecture réelle d’un système d’information n’existe nulle part en intégralité. Elle vit dans les têtes, dans les compromis politiques, dans les dettes techniques jamais écrites. Un architecte sécurité ou un risk manager arbitre sur ce non-écrit. Un agent IA, par construction, n’a pas accès à ce qui n’est pas explicité. Limite ontologique, pas retard technologique.

3. Une responsabilité juridique et politique. Le RSSI, le DPO, le CISO portent une responsabilité personnelle, parfois pénale. Vous voyez un agent IA convoqué devant un régulateur ou signer une attestation de conformité NIS2 ? Non. La responsabilité reste indélégable.

Le corollaire est puissant : les métiers cyber qui résistent sont les plus situés. Ceux qui exigent jugement, négociation, arbitrage, responsabilité assumée. Pas les plus techniques au sens du débit, mais les plus contextuels au sens du discernement.

D’où un contre-pied direct à la thèse Yampolskiy : l’automatisation fonctionne magnifiquement sur des tâches. Beaucoup moins sur des rôles adversariaux situés.

Cartographie des métiers cyber les plus résilients

Six fonctions sortent renforcées de la bascule, à une condition : absorber l’IA dans leur pratique au lieu de la subir.

Le threat intelligence senior combine adversarialité et contexte. Analyser un groupe APT, attribuer une campagne, modéliser des TTP, c’est lire des intentions et raconter une histoire crédible à un comité de direction. Un LLM aide à digérer le volume. Il ne décide pas.

L’incident response lead mobilise contexte et responsabilité. En pleine crise, il faut décider sous pression incomplète, coordonner DSI, juridique, communication, autorités. Personne ne signera une procédure de containment à la place d’un humain qualifié, et c’est très bien comme ça.

Le red teaming senior et l’adversary emulation, eux, jouent l’adversarial pur. L’IA équipe le red teamer (outils, scaffolding, génération de payloads), elle ne remplace pas la créativité offensive d’un opérateur qui a vu passer dix campagnes.

La security architecture travaille sur le contexte le plus dense : legacy, dette, contraintes business, arbitrages politiques internes. Et porte une responsabilité technique structurante.

La GRC stratégique, celle qui négocie la mise en conformité NIS2, DORA, AI Act, n’a plus grand-chose à voir avec la GRC checklist. Elle arbitre entre exigences réglementaires, modèle économique et tolérance au risque.

Le RSSI / CISO, enfin, reste le métier le plus situé de l’écosystème. Et donc le plus protégé.

Une nuance, et elle est centrale : « moins menacé » ne veut pas dire « immuable ». Tous ces métiers sont augmentés par l’IA, pas remplacés. 

Le RSSI qui refuse de comprendre comment piloter un SOC orchestré sera remplacé. Pas par un agent. Par un autre RSSI qui, lui, sait.

Les nouveaux rôles que l’IA fait émerger

À la frontière cyber/IA, des fonctions inédites apparaissent. Elles n’ont rien de marginal, elles tirent déjà la demande sur les jobboards spécialisés.

L’AI security engineer sécurise les pipelines LLM en production : prompt injection, data poisoning, model extraction, secrets qui se baladent dans les contextes. Les référentiels comme OWASP LLM Top 10 structurent un corpus technique encore peu maîtrisé sur le terrain.

L’AI red teamer teste les modèles en adversarial : jailbreaking, contournement de garde-fous, exfiltration via prompts. Un métier neuf, à mi-chemin entre psychologie linguistique et offensive security. Curieux mélange, et passionnant.

Le MLSecOps sécurise les chaînes ML/MLOps : intégrité des datasets, supply chain des modèles, signatures d’artefacts, isolation des environnements d’entraînement. Beaucoup de DevSecOps senior y migrent en ce moment.

L’AI governance officer porte la conformité AI Act, l’auditabilité des modèles, les processus d’évaluation des risques. Profil hybride, juridique et technique, encore rare et déjà demandé.

Le SOC AI orchestrator, pour finir, est le successeur naturel du SOC L2/L3. Il ne traite plus les alertes, il pilote les agents qui les traitent, conçoit les playbooks, supervise la qualité des décisions automatisées.

Point commun à tous ces rôles : ce sont des profils hybrides (cyber + ML + gouvernance) qui n’existaient pas comme métiers structurés en 2023. Hier, ils étaient des intitulés de conférence. Aujourd’hui, ce sont des fiches de poste.

Repositionnement : checklist pour chaque profil

À chaque profil, sa trajectoire. Pas de plan unique. Des arbitrages contextuels. Reconnaissez-vous votre situation dans l’une des colonnes ?

La transition cyber n’est plus une question de certifications empilées les unes sur les autres. C’est une question de positionnement sur les axes qui résistent : adversarialité, contexte, responsabilité. 

Les profils qui le comprennent maintenant prennent quatre à cinq ans d’avance sur un marché qui va se polariser violemment entre fonctions résiduelles et fonctions stratégiques. 

Le SOC L1 n’est pas une fatalité. Le RSSI déconnecté de l’IA non plus. Entre les deux, une recomposition complète, dont les contours se dessinent déjà sur les fiches de poste. À vous de choisir votre versant.

👉 Les équipes qui recrutent des profils cyber capables d’absorber l’IA sans céder sur la rigueur publient leurs missions sur Free-Work, du red teaming senior au MLSecOps.