Cloud et agents IA : pourquoi l'identité devient le nouveau socle de la cybersécurité

Avec l'essor du Cloud et des agents IA, les identités non humaines se multiplient. Leur sécurisation impose de repenser l'authentification et les accès autour du Zero Trust et de la cryptographie.

Ces dernières années, les entreprises ont consacré des efforts considérables à la protection des identités humaines. Mais à mesure que le Cloud se généralise, elles doivent aujourd’hui faire face à un autre défi, bien moins visible et tout aussi stratégique : la sécurisation des applications, des services, des machines et désormais des agents d’intelligence artificielle. Ces identités non humaines se multiplient rapidement et les mécanismes d’authentification traditionnellement utilisés ne permettent pas toujours de garantir que l’entité qui accède aux ressources et bien celle qu’elle prétend être. Dans ce contexte, protéger les identifiants ne suffit plus : les entreprises doivent pouvoir vérifier l’identité de chaque entité et maîtriser les accès qui lui sont accordés.

La multiplication des identités non humaines fragilise les modèles de sécurité traditionnels

Chaque application, conteneur, machine virtuelle, API, service automatisé ou encore agent IA repose sur un nombre croissant d’entités logicielles qui communiquent entre elles et accèdent parfois à des données sensibles. Le plus souvent, sans aucune intervention humaine.

Cette automatisation est devenue indispensable au fonctionnement des infrastructures numériques. Mais elle révèle aussi les limites des modèles d’authentification traditionnels. Les entreprises utilisent encore largement des clés API, des comptes de service ou des jetons d’accès pour permettre aux applications de communiquer. Si ces mécanismes sont indispensables, ils présentent certaines limites : ils permettent de vérifier qu’une entité possède un identifiant est valide, mais pas nécessairement qu’elle est bien autorisée à les utiliser.

Ainsi, lorsqu’un identifiant est volé, copié ou partagé, une entité malveillante peut potentiellement s’en servir pour accéder à des ressources auxquelles elle ne devrait pas avoir accès. Le système sollicité peut alors avoir des difficultés à distinguer une application autorisée d’un acteur malveillant utilisant les mêmes identifiants.

Le problème est amplifié par la multiplication de ces identifiants dans les environnements Cloud. Présents dans les applications, les plateformes, les outils de développement ou les processus de déploiement, ils deviennent de plus en plus difficiles à inventorier et à contrôler. Certains restent actifs plus longtemps que nécessaire, d’autres ne sont pas renouvelés suffisamment régulièrement. Cette situation complique le travail des équipes informatiques et de sécurité, tout en multipliant les risques de compromission.

Passer de la gestion des secrets à la vérification cryptographique des identités

Face à ces limites, les entreprises doivent faire évoluer leur approche de l’authentification. Il ne s’agit plus uniquement de protéger les mots de passe, les clés API et les autres secrets, mais de disposer de moyens plus fiables pour authentifier les applications et les services qui les utilisent.

Pour y parvenir, elles peuvent s’appuyer sur des identités numériques vérifiables par cryptographie. Attribuées à chaque application, service ou charge de travail (workload). Ces identités s’appuient sur des mécanismes cryptographiques pour authentifier les entités logicielles. Elles peuvent être délivrées par une infrastructure de confiance, associées à une durée de validité limitée et renouvelées automatiquement, réduisant ainsi les risques liés à l’utilisation prolongée d’identifiants compromis.

L’enjeu est particulièrement important dans les environnements Cloud natifs, où les applications et les services sont créés, modifiés ou supprimés en permanence. Dans ces infrastructures en constante évolution, gérer manuellement des milliers d’identités devient rapidement impossible. L’automatisation permet alors d’attribuer, de renouveler et de révoquer les identités en fonction du cycle de vie des applications, sans multiplier les interventions humaines.

Mais cette automatisation doit s’accompagner de règles de sécurité et de gouvernance adaptées. La confiance ne doit pas être accordée une fois pour toutes. Les droits doivent rester limités aux besoins réels de chaque service et pouvoir être réévalués selon son contexte d’exécution.

Faire de l’identité le véritable pilier du Zero Trust

Le modèle Zero Trust repose sur un principe simple : aucun accès ne doit être considéré comme fiable et légitime sans vérification préalable. Si cette approche est désormais bien connue pour sécuriser les accès des utilisateurs, elle doit également s’appliquer aux échanges entre applications et services, de plus en plus nombreux dans les environnements Cloud.

Traditionnellement, la confiance reposait en partie sur la localisation réseau ou l’utilisation d’identifiants partagés. Mais ces méthodes montrent leurs limites lorsque les applications communiquent entre différents Clouds, plateformes et environnements hybrides. La confiance ne peut plus dépendre de l’endroit où se trouve une application. Elle doit reposer sur ce qu’elle est, ce qu’elle peut prouver et ce qu’elle est autorisée à faire.

L’identité doit ainsi devenir un point de contrôle essentiel des échanges entre workloads. Avant d’autoriser une connexion, il convient de s’assurer que l’entité qui en fait la demande est bien identifiée et que l’accès sollicité correspond aux politiques de sécurité en vigueur. Dans cette perspective, les infrastructures à clés publiques (PKI) jouent un rôle essentiel. Elles permettent de délivrer et valider des certificats, d’établir des relations de confiance et d’en encadrer le cycle de vie.

L’adoption de standards ouverts, tels que SPIFFE, contribue également à répondre aux enjeux d’interopérabilité, en proposant un cadre commun pour identifier les workloads, indépendamment de leur environnement d’exécution, ils facilitent l’interopérabilité entre infrastructures et limitent la dépendance à des mécanismes d’identité propres à chaque plateforme. L’objectif n’est pas de multiplier les mécanismes de sécurité, mais de construire une infrastructure de confiance commune.

Agents IA : quand l’autonomie impose de nouvelles règles de confiance

L’essor de l’IA agentique renforce encore les enjeux de sécurité. Contrairement aux applications traditionnelles, qui exécutent généralement des tâches prédéfinies, ces agents peuvent prendre certaines décisions et agir de manière autonome. Ils sont notamment capables d’interroger des bases de données, d’utiliser des API, de déclencher des opérations ou de communiquer avec d’autres agents, parfois sans intervention humaine. Cette autonomie introduit de nouveaux risques.

Pour sécuriser ces échanges, chaque agent doit pouvoir disposer d’une identité numérique fiable et vérifiable. Les identités cryptographiques à durée de vie limitée constituent à cet égard un moyen de renforcer l’authentification et de réduire les risques liés à la compromission d’identifiants. Elles facilitent également l’application de règles d’accès propres à chaque agent et le suivi de leurs interactions avec les autres systèmes.

Mais identifier un agent ne signifie pas lui donner carte blanche. Ses actions doivent rester encadrées par des autorisations précises et des contrôles adaptés, afin d’éviter qu’il n’accède à des ressources ou n’exécute des opérations dépassant son périmètre d’intervention. Cette maîtrise est d’autant plus importante que les agents IA sont appelés à prendre une place croissante dans les processus métiers des entreprises. L’enjeu est de bénéficier de leur autonomie tout en conservant un contrôle sur leurs accès et leurs actions, afin de ne pas créer de nouvelles vulnérabilités.

La sécurisation des identités non humaines n’est plus seulement une question technique réservée aux équipes informatiques. Elle devient une priorité stratégique de cybersécurité, au même titre que la protection des utilisateurs et des données sensibles. Les entreprises doivent désormais construire une approche cohérente, combinant des mécanismes d’authentification fiables, une gestion automatisée des identités et une gouvernance adaptée à l’évolution de leurs infrastructures.

A mesure que le Cloud et l’IA transforment les infrastructures numériques, les entreprises doivent trouver le juste équilibre entre l’autonomie croissante de leurs systèmes et les exigences de sécurité, sans freiner l’innovation ni alourdir leur gestion quotidienne. Cette démarche leur permettra de tirer pleinement parti de technologies, tout en conservant le contrôle de leurs systèmes d’information.