Procédé (300) de détection d’intrusion réseau par anomalie basé sur un modèle de trafic normal appris dans une phase d’apprentissage en mode non-supervisé, le procédé étant mis en œuvre par un processeur d’un système de détection d’intrusion réseau par anomalie et comprenant pendant une phase d’inférence au moins des étapes consistant à déterminer des échantillons de données contenant des données anormales et des échantillons de données contenant des données normales, le procédé comprenant de plus des étapes consistant à : recevoir (302) une notification selon laquelle un échantillon de données E n désigné comme contenant des données normales est un faux négatif, et aurait dû être désigné comme contenant des données anormales ; construire (306) un échantillon factice F n tel que l’échantillon factice F n est l’opposé dudit échantillon de données E n ; et mettre à jour (310) ledit modèle de trafic normal en exécutant (308) au moins une fois une routine d’algorithme d’apprentissage sur faux négatif avec ledit échantillon factice F n . Le procédé selon la revendication 1 dans lequel l’étape de recevoir une notification consiste à recevoir par le système de détection d’intrusion réseau par anomalie, une notification d’un système tiers de détection d’intrusion réseau. Le procédé selon la revendication 1 dans lequel l’étape de recevoir une notification consiste à recevoir par le système de détection d’intrusion réseau par anomalie, une notification d’un module logiciel de détection de faux négatif intégré au système de détection d’intrusion réseau par anomalie. Le procédé selon l’une quelconque des revendications 1 à 3 dans lequel le système de détection d’intrusion réseau par anomalie comprend des moyens de détection basés sur une technologie de prédiction, et l’étape de mettre à jour le modèle de trafic normal consiste à exécuter au moins une fois une routine d’algorithme d’apprentissage sur faux négatif avec ledit échantillon factice F n selon la même technologie de prédiction. Le procédé selon l’une quelconque des revendications 1 à 3 dans lequel le système de détection d’intrusion réseau par anomalie comprend des moyens de détection basés sur une technologie de reconstruction, et l’étape de mettre à jour le modèle de trafic normal consiste à exécuter au moins une fois une routine d’algorithme d’apprentissage sur faux négatif avec ledit échantillon factice F n selon la même technologie de reconstruction. Le procédé selon l’une quelconque des revendications 1 à 5 dans lequel l’étape de construire un échantillon factice F n d’un échantillon E n consiste à inverser chaque valeur des composantes d’un vecteur représentatif de l’échantillon E n . Le procédé selon l’une quelconque des revendications 1 à 5 dans lequel l’étape de construire un échantillon factice F n d’un échantillon E n consiste en une mise à zéro de chaque valeur des composantes d’un vecteur représentatif de l’échantillon E n . Le procédé selon l’une quelconque des revendications 1 à 7 dans lequel l’étape d’exécuter une routine d’algorithme d’apprentissage sur faux négatif consiste à remplacer lors de l’invocation de l’algorithme d’apprentissage, l’échantillon incorrectement reconnu E n par l’échantillon factice F n qui a été construit. Le procédé selon l’une quelconque des revendications 1 à 8 dans lequel l’étape d’exécuter une routine d’algorithme d’apprentissage sur faux négatif est accomplie plusieurs fois. Le procédé selon l’une quelconque des revendications 1 à 9 comprenant après l’étape de réception d’une notification, une étape consistant à récupérer ledit échantillon de données E n . Le procédé selon l’une quelconque des revendications 1 à 10 dans lequel le système de détection d’intrusion réseau par anomalie met en œuvre plusieurs primitives d’intelligence artificielle pour procéder à l'analyse d'un échantillon, et où les étapes de construction d’un échantillon factice et d’exécution d’une routine d'algorithme d'apprentissage sur anomalie sont répétées au plus autant de fois que le nombre de primitives. Un produit programme d’ordinateur, ledit programme d’ordinateur comprenant des instructions de code permettant d’effectuer les étapes du procédé selon l'une quelconque des revendications 1 à 11, lorsque ledit programme est exécuté sur un ordinateur. Un dispositif de détection d’intrusion réseau par anomalie basé sur un modèle de trafic normal appris dans une phase d’apprentissage en mode non-supervisé, le dispositif comprenant des moyens configurés pour déterminer pendant une phase d’inférence des échantillons de données contenant des données anormales et des échantillons de données contenant des données normales, le dispositif comprenant de plus des moyens pour mettre en œuvre les étapes du procédé de l’une quelconque des revendications 1 à 11. Le dispositif selon la revendication 13 dans lequel le modèle de trafic normal a été appris sur un réseau de neurones opérant par prédiction ou sur un réseau de neurones opérant par reconstruction.