Agents IA : la délégation, clé du passage à l'échelle et angle mort des droits d'accès

Pour passer à l'échelle, les agents IA se délèguent des tâches. Chaque appel est autorisé, la chaîne ne l'est plus. Pourquoi les droits s'étendent, et trois vérifications à demander à la DSI.

Le 8 octobre, à l'occasion d'une conférence à Toronto, des chercheurs en sécurité spécialisés dans les agents IA ont publié leur analyse de la plateforme d'agents d'un grand fournisseur de cloud. Il leur a suffi de demander, en langage courant, à un agent ouvert au public d'interroger le service de métadonnées de sa machine, et l'agent leur a rapporté les identifiants temporaires de son rôle. Or le rôle que la plateforme attachait par défaut aux agents donnait des droits sur tous les agents du même compte et de la même région. Dans leur démonstration, les chercheurs ont ainsi pu appeler des agents internes, lire des conversations privées d'utilisateurs, récupérer des secrets ouvrant d'autres services et inscrire dans la mémoire d'un agent une fausse instruction durable.

Le fournisseur conteste qu'il s'agisse d'une vulnérabilité : il juge ce comportement documenté et attendu, et recommande des rôles limités au besoin de chaque agent. Sa déclaration à la presse porte sur l'accès à un autre compte, alors que la démonstration restait dans un seul. Selon les chercheurs, qui l'avaient signalé en janvier, le rôle par défaut était encore inchangé en juin, et ils l'ont trouvé nettement resserré fin septembre. Il est peu probable qu'un client ait décidé, en connaissance de cause, qu'un agent exposé au public pourrait commander ses agents internes. Ce droit d'appeler les autres agents venait d'un réglage par défaut, et chaque appel, pris isolément, était authentifié et autorisé. L'épisode ne montre pas une chaîne de délégations successives, mais révèle la même difficulté de fond : un droit accordé à un agent peut lui permettre d'agir bien au-delà de la tâche qui justifiait son accès.

Par délégation, j'entends qu'un agent sollicité par une personne confie une partie de sa tâche à un autre agent ou à un outil, avec de quoi agir. C'est par elle que les agents passent à l'échelle : un agent seul traite une demande, une chaîne d'agents spécialisés peut traiter un processus entier. Une enquête de la Cloud Security Alliance, menée en janvier auprès de 228 professionnels de l'informatique et de la sécurité, financée par un éditeur, donne un ordre de grandeur. Près des trois quarts jugent que les agents reçoivent souvent plus d'accès que nécessaire. Plus de la moitié disent que leurs agents héritent au moins parfois d'accès prévus pour une personne ou un autre système. Moins d'un sur cinq indique que l'accès d'un agent repose d'ordinaire sur ses propres permissions.

Périmètre, durée, identité

La première dérive touche le périmètre, par exemple quand un droit accordé sur les dossiers de la direction financière couvre, après une réorganisation, le nouveau sous-dossier des contrats juridiques, que personne n'a examiné.

La deuxième porte sur la durée, car un jeton qui expire au bout d'une heure, mais que l'agent peut renouveler pendant des semaines, vit en réalité des semaines. La troisième dérive touche l'identité, c'est-à-dire le "au nom de qui". Quand une requête franchit une frontière entre systèmes, il arrive que l'agent abandonne les droits de l'utilisateur pour reprendre les siens. Il agit alors avec tout son périmètre, et l'action finale ne se rattache plus à la décision de départ.

Pourquoi chaque maillon passe les tests

Le piège tient à la composition, car chaque maillon, vérifié seul, respecte ses règles. Un test d'intrusion qui examine les délégations une par une peut donc toutes les valider. L'extension n'apparaît qu'au bout de la chaîne, quand on compare ce que fait le dernier agent à ce que la personne avait demandé au premier.

Entre humains, une délégation se joue en heures ou en jours, et un responsable a le temps de rattraper une erreur. Une chaîne de quelques agents peut s'exécuter en quelques secondes, sans personne pour la relire. La révocation souffre du même écart, car si elle doit remonter la chaîne maillon par maillon, un agent intermédiaire éteint ou compromis suffit pour que la suite continue d'honorer un droit retiré. La norme de l'IETF sur l'échange de jetons se contente d'ailleurs de suggérer de limiter la portée et la durée des droits délégués.

Trois règles, un reçu et un responsable

À chaque maillon, l'agent qui reçoit une délégation n'obtient qu'une partie de ce que détient celui qui la donne, jamais un domaine nouveau. L'échéance d'un maillon ne dépasse jamais celle du précédent, sans délai de grâce, et aucun renouvellement ne rachète du temps en aval. La révocation passe enfin par un canal extérieur à la chaîne, une liste que chaque service consulte ou des droits assez courts pour s'éteindre seuls, de sorte qu'un maillon défaillant ne puisse pas la bloquer.

Chaque maillon laisse en outre un reçu signé, qui rattache l'action finale à la décision humaine de départ. Pour les données personnelles, la note exploratoire publiée en juillet par la CNIL et le Conseil de l'IA et du numérique formule une recommandation voisine. Selon elle, l'utilisateur devrait pouvoir retrouver, pour chaque tâche, les agents intervenus, les services tiers sollicités et la chronologie des échanges, afin d'établir une chaîne de responsabilité.

Reste la propriété du risque, souvent répartie entre trois équipes. Les équipes applicatives fixent le périmètre des agents sans voir la chaîne. L'équipe chargée des identités garantit les jetons sans porter l'audit, et la supervision de sécurité gère la révocation sans savoir qui a délégué quoi. Chacune fait son travail, et personne ne répond de la composition. À mon sens, un responsable nommé doit porter ce risque de bout en bout, même si l'exploitation reste partagée.

Trois vérifications à demander

La première prend une chaîne réelle, sur la plateforme d'agents la plus exposée, et contrôle à chaque maillon que les droits rétrécissent. La deuxième relève les échéances de cette chaîne et cherche tout renouvellement qui la prolonge au-delà de la délégation d'origine. La troisième, en environnement de test, révoque le droit à la racine, avec un agent intermédiaire volontairement coupé, et mesure le temps que met le refus à atteindre le dernier maillon. Avant même ces tests, l'épisode d'octobre invite à relire les rôles que les plateformes d'agents ont attribués par défaut, y compris aux agents déjà déployés. On peut alors poser la question à la DSI : "Pour nos agents qui en appellent d'autres, qui a décidé des droits du dernier maillon ?"

Sources

• Zenity Labs, "AgentCorruption", analyse de la plateforme d'agents Amazon Bedrock AgentCore, 8 octobre 2026 : labs.zenity.io
• The Next Web, 8 octobre 2026, avec la déclaration d'AWS : thenextweb.com
• Cloud Security Alliance, enquête auprès de 228 professionnels IT et sécurité, communiqué du 24 mars 2026 et billet du 20 avril 2026 : cloudsecurityalliance.org
• IETF, RFC 8693 (échange de jetons OAuth), 2020, section 5 : rfc-editor.org
• CNIL et Conseil de l'IA et du numérique, note exploratoire sur l'IA agentique, 20 juillet 2026 : cnil.fr