Les agents IA ont besoin de leurs propres mécanismes de contrôle de l'identité

Les équipes de sécurité ont passé des années à déterminer quels employés et quelles applications pouvaient accéder aux systèmes de l'entreprise. Aujourd'hui, les agents d'IA accèdent à ces mêmes systèmes avec suffisamment d'autonomie pour ouvrir des fichiers, lancer des outils, écrire du code et agir en fonction de ce qu'ils y trouvent.

La question de la sécurité des données d'identité n'a pas encore été résolue, alors que des incidents récents impliquant des systèmes d'IA avancés ont donné une dimension concrète à ce problème. Anthropic a signalé quatre cas dans lesquels des modèles Claude ont obtenu un accès non autorisé à de véritables systèmes tiers lors de tests. OpenAI a quant à elle fait l'objet d'une enquête distincte après que des agents ont trouvé des moyens de communiquer via des sites web externes, malgré des instructions visant à les en empêcher.

L'équipe de renseignement sur les menaces de Google a également identifié des cybercriminels utilisant des flux de travail automatisés pour rationaliser certaines étapes de leurs cyberopérations qui nécessitaient auparavant davantage d'intervention humaine.

Les entreprises qui déploient des agents doivent donc cesser de considérer le modèle comme un simple employé utilisant un chatbot. Un employé a une identité. L'entreprise sait généralement à quels systèmes cette personne a accès, quel rôle lui a conféré cet accès et quand elle quitte l'entreprise. Les applications, quant à elles, se voient attribuer des comptes de service et des autorisations API. Un agent autonome se situe dans une zone grise entre ces deux catégories.

Il agit pour le compte d'un utilisateur, mais effectue ses actions de manière autonome. Il accède aux logiciels via des API, des connecteurs et des protocoles tels que MCP. Un agent peut en appeler un autre. Une tâche qui commence par l'autorisation de lire un document se termine par plusieurs décisions intermédiaires prises par le logiciel avant de renvoyer une réponse.

Le fait de communiquer l'intégralité des identifiants de l'utilisateur confère à l'agent des pouvoirs plus étendus que ne l'exige la tâche.

La création d'un seul compte de service général pour chaque agent pose un autre problème. Les journaux de sécurité indiquent alors qu'un système d'IA a effectué une action sans préciser quel utilisateur l'a demandée, quel agent l'a exécutée ni quelle tâche justifiait cette autorisation.

Un agent chargé de vérifier les factures n'a pas besoin d'autorisation pour modifier les coordonnées bancaires d'un fournisseur. Un agent chargé du codage qui effectue des tests n'a pas besoin des identifiants d'accès à l'environnement de production. Un agent du service client qui recherche une commande n'a pas besoin d'un accès illimité à la base de données clients sous-jacente.

Autorisations spécifiques à une tâche limiter les dégâts lorsque le modèle prend une mauvaise décision ou que quelqu'un le manipule à l'aide de données d'entrée malveillantes.

L'injection de prompts rend le problème moins théorique. Un agent qui lit du contenu externe peut tomber sur des instructions dissimulées dans une page web, un document ou un message. Le modèle doit alors distinguer l'objectif de l'utilisateur du texte destiné à orienter son comportement.

Les contrôles d'accès constituent une limite lorsque le raisonnement échoue. Le système n'a pas besoin de se fier au modèle pour déterminer si un virement d'argent sort du cadre de la tâche, si l'agent n'a jamais reçu l'autorisation d'effectuer de virement.

Les identifiants à durée de vie limitée renforcent encore davantage la sécurité. Au lieu de fournir à un agent un secret réutilisable, le système d'identité accorde un accès pour une seule tâche ou pour une durée limitée. Les journaux conservent la chaîne reliant l'utilisateur, l'agent, l'identifiant et l'action.

L'intervention humaine doit intervenir à des étapes bien précises plutôt qu'à chaque étape ; ainsi, exiger une validation pour chaque fichier lu va à l'encontre de l'intérêt même de l'automatisation. Permettre à un agent de modifier la paie, d'effectuer des virements importants ou de déployer du code en production sans intervention humaine revient à confier trop de pouvoir à un logiciel basé sur des algorithmes probabilistes.

Les entreprises doivent définir où se situe la limite en fonction des conséquences. Les équipes de sécurité connaissent déjà ce principe grâce à la gestion des accès privilégiés. Les administrateurs n’utilisent pas leurs privilèges les plus élevés pour leurs tâches courantes. Les entreprises ont désormais besoin d’un modèle opérationnel équivalent pour les travailleurs non humains qui prennent des décisions entre deux appels d’API.

L'inventaire est la priorité absolue. Une entreprise doit savoir quels agents existent, à quels outils ils ont accès et de qui ils tirent leurs droits d'accès. Sans cet inventaire, le déploiement de l'IA crée une nouvelle catégorie d'identités privilégiées avant même que l'équipe de sécurité ne sache de combien d'identités elle dispose.