Mois de la sensibilisation à la cybersécurité : les agents IA sont eux aussi des identités à gouverner
En se multipliant dans les entreprises, les agents IA créent une nouvelle catégorie d'identités numériques, trop souvent déployées sans gouvernance.
Le Mois de la sensibilisation à la cybersécurité s’est traditionnellement concentré sur le comportement humain : repérer les tentatives d’hameçonnage, protéger les identifiants et prendre de meilleures décisions concernant l’accès au réseau, aux données et aux comptes d’une organisation. Ce débat doit désormais s’élargir. À mesure que les organisations déploient rapidement des agents d’IA dans leurs environnements, elles créent une toute nouvelle catégorie d’utilisateurs numériques, souvent sans appliquer les mêmes règles de gouvernance des identités que celles attendues des employés, des prestataires ou des administrateurs.
Des agents IA devenus des identités à part entière
L’IA est en train de passer du statut d’intelligence à celui d’infrastructure d’entreprise incontournable. Les agents IA peuvent désormais s’authentifier sur des systèmes, récupérer des informations sensibles, interagir avec des applications, exécuter des workflows et prendre des décisions critiques – le tout à la vitesse d’une machine. Si un agent dispose d’identifiants et d’autorisations, il représente une identité, et toute identité génère un risque lorsque son accès est excessif, persistant ou mal surveillé.
L’échelle, premier facteur de risque
Le principal problème réside dans l’échelle. Les organisations peuvent déployer des centaines, voire des milliers d’identités non humaines bien plus rapidement qu’elles n’intègrent des employés humains. Si ces agents reçoivent des identifiants permanents, des autorisations étendues ou des secrets à longue durée de vie sans gouvernance appropriée, la surface d’attaque s’étend tout aussi rapidement. Un agent d’IA compromis disposant d’un accès privilégié peut offrir à un attaquant un accès direct aux systèmes et données critiques.
Appliquer le zero trust aux machines
Les principes de sécurité nécessaires pour protéger ces identités ne sont pas nouveaux. Les organisations doivent appliquer aux agents d’IA la même discipline zero trust qu’aux personnes : vérifier chaque identité, appliquer le principe du moindre privilège, éliminer les accès permanents inutiles, surveiller en permanence les activités privilégiées, et protéger et renouveler régulièrement les identifiants et les secrets. L’accès ne doit être accordé qu’aux ressources requises pour une tâche spécifique et uniquement pendant la durée nécessaire.
La sensibilisation à la cybersécurité doit évoluer au rythme de la technologie. Nous avons passé des années à enseigner aux entreprises que chaque identité d’employé nécessite une gouvernance. Nous devons désormais étendre cette compréhension aux machines.
La prochaine étape de la sensibilisation à la cybersécurité consiste à reconnaître que les agents d’IA sont eux aussi des utilisateurs. Les entreprises qui les régissent en conséquence seront bien mieux placées pour tirer parti des avantages de l’IA agentique sans créer une couche non gérée d’accès privilégiés.