AI Pilot

Le cœur d'Aether365 est l'analyse de sécurité Microsoft 365 en lecture seule : la plateforme analyse votre tenant, affiche les problèmes détectés et vous fournit les étapes de remédiation à exécuter vous-même. AI Pilot prolonge cela par une remédiation assistée. Après une analyse, AI Pilot peut proposer des correctifs précis, vous laisser examiner chacun d'eux, puis appliquer les modifications que vous approuvez directement dans votre tenant Microsoft 365 via Microsoft Graph.

AI Pilot est optionnel et utilise une connexion Microsoft distincte avec consentement d'écriture. L'analyse en lecture seule reste le mode par défaut pour chaque tenant, et rien n'est écrit dans votre tenant sans votre approbation.

En quoi AI Pilot diffère de l'analyse en lecture seule

	Analyse en lecture seule (par défaut)	AI Pilot (optionnel)
Ce qu'il fait	Lit la configuration du tenant, lance les analyses, affiche les problèmes et la remédiation	Tout ce que fait l'analyse, plus l'application des correctifs approuvés
Qui applique	Vous, en suivant les étapes de remédiation	AI Pilot, après votre approbation élément par élément
Consentement	Consentement Microsoft en lecture seule (accordé à la connexion d'un tenant)	Un consentement d'écriture distinct, accordé uniquement à l'activation d'AI Pilot
Forfaits	Tous les forfaits	Forfaits payants

L'analyse en lecture seule est toujours le mode par défaut. AI Pilot ne change jamais cette posture de lui-même : il ajoute une connexion d'écriture distincte et optionnelle que vous configurez explicitement.

Disponibilité

AI Pilot est disponible sur les forfaits payants. Si votre forfait ne l'inclut pas, la section AI Pilot vous invite à passer à un forfait supérieur. L'analyse en lecture seule continue de fonctionner sur tous les forfaits.

Le flux AI Pilot

L'utilisation d'AI Pilot suit cinq étapes :

1. Connecter un tenant AI Pilot : accordez le consentement d'écriture Microsoft distinct pour le tenant que vous souhaitez activer.
2. Lancer une analyse AI Pilot : Aether365 analyse le tenant et identifie les contrôles échoués.
3. Examiner les problèmes : AI Pilot génère un plan de remédiation qui présente chaque modification proposée, avec la valeur actuelle et la nouvelle valeur proposée côte à côte.
4. Approuver les correctifs élément par élément : vous approuvez chaque correctif individuellement. Rien n'est appliqué tant que vous ne l'avez pas fait.
5. AI Pilot applique et vérifie : les correctifs approuvés sont appliqués via Microsoft Graph, et le nouvel état est vérifié.

Activer AI Pilot pour un tenant

AI Pilot nécessite un consentement administrateur Microsoft distinct, qui accorde des autorisations d'écriture ciblées en plus des autorisations de lecture utilisées pour l'analyse. Il s'agit d'une étape unique par tenant, et elle n'affecte pas la connexion en lecture seule que vous possédez déjà.

Administrateur général requis

Le consentement AI Pilot doit être approuvé par un administrateur général (Global Administrator) pour le tenant que vous souhaitez activer. Les autorisations d'écriture permettent à Aether365 d'appliquer dans ce tenant les correctifs que vous approuvez.

Étapes :

1. Ouvrez la page Connect Tenant.
2. Repérez la section AI Pilot Connection.
3. Choisissez le tenant connecté sur lequel vous souhaitez activer AI Pilot, puis cliquez sur Enable AI Pilot.
4. Vous êtes redirigé vers l'écran de consentement Microsoft. Connectez-vous avec un compte administrateur général (Global Administrator) de ce tenant.
5. Examinez les autorisations d'écriture ciblées affichées sur l'écran de consentement, puis cliquez sur Accept.
6. Microsoft vous redirige vers Aether365. Le tenant affiche désormais un badge AI Pilot, confirmant que le consentement d'écriture est actif.

Votre connexion en lecture seule existante pour le même tenant n'est pas affectée. AI Pilot se connecte comme une connexion distincte et indépendante en parallèle, et non comme une mise à niveau qui la remplace. L'analyse se poursuit sans changement.

La lecture seule reste le mode par défaut

Activer AI Pilot sur un tenant ne change rien pour vos autres tenants. Chaque tenant reste en lecture seule jusqu'à ce que vous y activiez AI Pilot spécifiquement.

Lancer une analyse AI Pilot et examiner le plan

Une fois AI Pilot activé sur un tenant, vous pouvez transformer les résultats d'analyse en plan de remédiation :

1. Lancez une analyse pour le tenant (manuellement ou selon sa planification), ou utilisez une analyse terminée.
2. Dans la zone AI Pilot, générez un plan de remédiation à partir de l'analyse. Le plan répertorie les contrôles échoués disposant d'un correctif automatisé.
3. Le plan présente chaque modification proposée sous forme de ligne :
   • Le contrôle qui a échoué
   • La valeur de paramètre actuelle
   • La nouvelle valeur proposée
   • La sévérité du problème

Examinez chaque élément avant d'approuver quoi que ce soit. Chaque ligne vous indique exactement ce qui va changer.

Niveaux de risque

Chaque correctif automatisé porte un niveau de risque qui reflète l'ampleur de la perturbation que la modification pourrait causer si elle ne correspond pas à votre intention :

• Faible : renforcement de routine au impact négligeable, comme le blocage des inscriptions en libre-service par e-mail ou l'activation d'une méthode d'authentification plus robuste.
• Moyen : restrictions plus strictes qui peuvent affecter l'usage quotidien si elles sont mal ciblées, comme la limitation de l'accès des invités ou du partage externe.
• Élevé : modifications susceptibles de verrouiller l'accès des utilisateurs en cas de mauvaise configuration, comme les politiques Conditional Access. Les modifications à risque élevé ne sont jamais appliquées automatiquement et requièrent toujours votre approbation explicite.

Le plan de remédiation marque chaque élément de son niveau de risque afin que vous puissiez prioriser votre examen. L'auto-remédiation (ci-dessous) n'applique que les correctifs à risque faible et moyen ; les modifications à risque élevé attendent toujours votre intervention.

Approuver les correctifs élément par élément

AI Pilot applique les correctifs élément par élément. Rien n'est appliqué automatiquement, et il n'existe aucune action globale de type « tout appliquer » qui contournerait votre examen.

1. Dans le plan de remédiation, cliquez sur Approve pour chaque élément que vous souhaitez voir AI Pilot appliquer.
2. Les éléments approuvés sont appliqués un par un via Microsoft Graph.
3. Après chaque modification, Aether365 vérifie le nouvel état et marque l'élément comme appliqué.
4. Les éléments que vous n'approuvez pas restent inchangés. Vous pouvez revenir au plan plus tard pour approuver d'autres éléments.

Confirmez avec une nouvelle analyse

Après avoir appliqué des correctifs, lancez une nouvelle analyse pour confirmer que les contrôles passent désormais. L'analyse lit l'état réel du tenant de façon indépendante : c'est donc le contrôle de référence pour vérifier qu'un correctif a bien pris effet.

Annuler un correctif

Si un correctif appliqué a un effet imprévu, vous pouvez l'annuler. Chaque élément appliqué dans la vue d'activité d'AI Pilot dispose d'une action Annuler qui rétablit le paramètre à sa valeur précédente et en vérifie le résultat, de la même manière que le correctif a été appliqué.

L'annulation est encadrée : elle ne s'exécute que si le paramètre conserve encore la valeur définie par AI Pilot. Si quelque chose (ou quelqu'un) a modifié ce paramètre après l'application du correctif, l'annulation refuse plutôt que d'écraser la modification plus récente, de sorte que vos modifications ultérieures ne sont jamais écrasées.

Correctifs automatisés et manuels dans le détail d'une analyse

Tous les contrôles échoués ne disposent pas d'un correctif automatisé. Lorsque vous ouvrez le détail d'une analyse et examinez un problème échoué, AI Pilot vous indique de quel type il s'agit :

• Les problèmes disposant d'un correctif automatisé affichent une case à cocher AI Pilot. Cochez-la pour qu'AI Pilot applique ce correctif à votre place.
• Les problèmes sans correctif automatisé affichent un marqueur Manual ainsi que les étapes de remédiation manuelle à suivre vous-même. Pour une approche pas à pas afin de les traiter, consultez Remédiation des problèmes.

Cette distinction est la même que vous examiniez une analyse pour approuver les correctifs à la main ou que vous laissiez l'auto-remédiation traiter ceux qui peuvent l'être. Les problèmes manuels restent toujours à votre charge.

Auto-remédiation à la fin d'une analyse

Au-delà de l'examen des correctifs un par un, AI Pilot peut appliquer automatiquement les problèmes échoués corrigibles dès qu'une analyse AI Pilot se termine, puis vérifier chaque modification. C'est pratique pour les tenants que vous laissez à AI Pilot le soin de maintenir en bon état sans étape d'examen manuel après chaque analyse.

L'auto-remédiation ne se déclenche que lorsque ces deux conditions sont réunies :

• Le tenant dispose d'une connexion AI Pilot avec consentement d'écriture accordé.
• L'auto-remédiation est activée pour votre compte. Il s'agit d'un commutateur distinct de la connexion AI Pilot : avoir simplement une connexion AI Pilot ne déclenche donc pas de lui-même l'application automatique des correctifs.

Lorsque les deux conditions sont réunies, une analyse AI Pilot terminée déclenche l'application puis la vérification des problèmes échoués corrigibles, de la même manière qu'un correctif que vous approuvez à la main est appliqué et vérifié. Les problèmes ne disposant pas de correctif automatisé sont laissés à votre traitement manuel, exactement comme dans le détail d'analyse décrit ci-dessus.

L'auto-remédiation n'applique que les correctifs à risque faible et moyen. Les modifications à risque élevé - comme les politiques Conditional Access - ne sont jamais appliquées automatiquement ; elles attendent toujours votre approbation explicite, que l'auto-remédiation soit activée ou non.

L'auto-remédiation ne s'exécute jamais que sur une analyse AI Pilot que vous lancez vous-même. Les analyses planifiées sont toujours en lecture seule : une planification ne lance jamais AI Pilot et n'applique jamais de correctif, même sur un tenant où l'auto-remédiation est activée. L'automatisation n'écrit jamais dans votre tenant de sa propre initiative.

Vous gardez le contrôle

L'auto-remédiation est désactivée tant que vous ne l'activez pas. Désactivée, AI Pilot fait tout le reste : vous approuvez simplement les correctifs que vous voulez, quand vous le voulez. Activée, les problèmes corrigibles sont traités pour vous à chaque analyse, et les problèmes manuels restent à votre charge.

Comptes break-glass

Les comptes break-glass sont des comptes d'accès d'urgence que vous conservez pour ne jamais être verrouillé hors de votre propre tenant. Vous pouvez les désigner pour une connexion AI Pilot, et AI Pilot les exclut des modifications à fort impact - en particulier de toute politique Conditional Access qu'il crée.

Désignez-les sur la connexion AI Pilot par nom principal d'utilisateur ou identifiant d'objet. Si aucun compte break-glass n'est désigné, AI Pilot vous avertit avant que vous n'appliquiez une modification à fort impact, car en appliquer une sans compte d'urgence exclu risque de verrouiller tout le monde - vous compris - hors du tenant. Il est fortement recommandé d'en désigner au moins un avant d'appliquer Conditional Access.

Conditional Access

Les politiques Conditional Access comptent parmi les contrôles à plus fort impact dans Microsoft 365 : elles déterminent qui peut se connecter et dans quelles conditions. AI Pilot peut créer pour vous un petit ensemble de politiques Conditional Access recommandées, avec des garde-fous stricts :

• Bloquer l'authentification héritée : bloque les protocoles hérités qui ne peuvent pas imposer le MFA.
• Exiger le MFA pour les administrateurs : exige l'authentification multifacteur pour les rôles d'annuaire privilégiés.
• Exiger le MFA pour tous les utilisateurs : exige l'authentification multifacteur pour l'ensemble des utilisateurs et des applications.

Parce qu'une politique Conditional Access mal configurée peut verrouiller tout le monde, AI Pilot n'en active jamais une directement. Il suit un modèle en deux temps délibéré :

1. Créer en report-only. AI Pilot crée la politique dans le mode report-only de Microsoft, avec vos comptes break-glass exclus. Le mode report-only ne bloque ni n'accorde rien : il enregistre seulement ce qui se serait produit, ce que vous pouvez examiner dans vos journaux de connexion Entra sous l'onglet Conditional Access.
2. Examiner l'impact. Confrontez les résultats du mode report-only aux connexions réelles pour confirmer que la politique se comporte comme prévu et ne capture personne qu'elle ne devrait pas.
3. Appliquer. Une fois seulement que vous êtes satisfait, vous appliquez explicitement la politique, ce qui la fait passer de report-only à activée. AI Pilot vous avertit à ce moment-là si aucun compte break-glass n'est exclu.

Conditional Access n'est jamais appliqué automatiquement ni imposé sans votre action explicite. AI Pilot ne touche jamais qu'aux politiques qu'il a créées - elles portent un préfixe de nom Aether365 - - et ne modifie jamais vos politiques Conditional Access existantes.

Désignez d'abord un compte break-glass

Avant d'appliquer une politique Conditional Access, désignez au moins un compte break-glass afin de conserver un accès d'urgence. AI Pilot l'exclut automatiquement de la politique.

Le modèle de sécurité

AI Pilot est conçu pour que l'accès en écriture soit délibéré et vérifiable :

• Optionnel. AI Pilot est désactivé par défaut. L'analyse en lecture seule est la posture par défaut pour chaque tenant.
• Consentement distinct. L'accès en écriture utilise son propre consentement Microsoft, distinct du consentement d'analyse en lecture seule. Son octroi requiert un administrateur général (Global Administrator).
• Approbation élément par élément. Chaque correctif est examiné et approuvé individuellement avant que quoi que ce soit ne soit écrit dans votre tenant. Aucun correctif n'est appliqué automatiquement à l'aveugle.
• Vérifié. Après l'application de chaque correctif, le nouvel état est vérifié, et vous pouvez confirmer le résultat par une analyse indépendante. Cela vaut aussi pour l'auto-remédiation : chaque correctif appliqué automatiquement est vérifié avant d'être marqué comme terminé.
• L'auto-remédiation est optionnelle. L'application automatique des correctifs à la fin d'une analyse ne se produit que si vous l'activez, en complément d'une connexion AI Pilot. Elle n'applique jamais de correctifs dépourvus de remédiation automatisée, et les problèmes manuels restent à votre charge.
• Hiérarchisé par risque. Chaque correctif est classé à risque faible, moyen ou élevé. L'auto-remédiation n'applique que les correctifs à risque faible et moyen ; les modifications à risque élevé requièrent toujours une approbation explicite.
• Réversible. Les correctifs appliqués peuvent être ramenés à leur valeur précédente, de façon encadrée pour qu'une annulation n'écrase jamais une modification plus récente intervenue depuis.
• Conscient du break-glass. Les comptes d'accès d'urgence que vous désignez sont exclus des modifications à fort impact et de toute politique Conditional Access créée par AI Pilot.
• Conditional Access en deux temps. Les politiques à fort impact sont d'abord créées en mode report-only et ne sont appliquées qu'après votre examen et votre action explicites - jamais automatiquement.
• Ciblé. Les autorisations d'écriture couvrent uniquement les domaines de remédiation pris en charge par Aether365.

Révoquer le consentement AI Pilot

Pour retirer l'accès en écriture d'AI Pilot pour un tenant :

1. Dans votre tenant Microsoft, ouvrez le centre d'administration Entra (portal.azure.com > Enterprise Applications > Aether365).
2. Retirez les autorisations d'écriture, ou supprimez l'entrée de l'application d'entreprise.

Votre connexion en lecture seule dans Aether365 continue de fonctionner pour l'analyse après la révocation du consentement d'écriture. Si vous souhaitez réactiver AI Pilot par la suite, réactivez-le depuis la section AI Pilot Connection de la page Connect Tenant.

Voir aussi

• Connecter un tenant : configurer la connexion en lecture seule et la connexion AI Pilot
• Remédiation des problèmes : traiter les problèmes manuellement
• Alertes de menaces : risque d'identité en temps réel et réponse à compromission en un clic
• Gestion des politiques : examiner et renforcer les politiques clés du tenant
• Lecture des résultats d'analyse : comprendre les résultats d'analyse
• Modèle de sécurité : lecture seule par défaut et accès en écriture optionnel
• Autorisations Microsoft : les autorisations demandées par Aether365