Les agents IA deviennent des insiders d'entreprise plus rapidement que la sécurité ne peut les gouverner
- Plusieurs chercheurs en sécurité, analystes et laboratoires d'IA ont mis en garde ce mois-ci : les agents IA autonomes agissent désormais comme des insiders disposant d'un accès au système, alors que la plupart des entreprises manquent de contrôles d'identité et de surveillance comportementale pour les réguler.
- Toute organisation déployant une IA agentique et les vendeurs concernés devraient examiner les rapports indiquant que 80 % des organisations constatent déjà des actions non intentionnelles de la part des agents, et que seuls 2 % disposent d'outils dédiés pour sécuriser les identités non humaines.
- Avec Gartner estimant à 234 milliards de dollars les dépenses logicielles menacées par l'IA agentique d'ici 2030, le niveau de maturité de la gouvernance devient le facteur décisif du succès des déploiements.
De nombreuses recherches publiées ce mois-ci indiquent que les organisations mettent en œuvre des agents IA beaucoup plus rapidement que les mesures de sécurité pour ceux-ci ne sont mises en place. Ces systèmes se comportent de plus en plus comme des travailleurs numériques avec un accès constant aux réseaux d'entreprise et aux données confidentielles. Par conséquent, la gouvernance plutôt que l'efficacité du modèle déterminera si les organisations peuvent tirer parti des opportunités offertes par l'IA agentique ou souffrir de ses échecs.
Les développeurs d'IA, les entreprises de cybersécurité et les analystes d'affaires sont tous d'accord avec cet avertissement. Les agents IA fonctionnent très différemment des systèmes automatisés ordinaires qui suivent des instructions spécifiques. Une fois qu'ils ont reçu des identifiants d'accès et l'accès au système d'entreprise, ils sont capables d'effectuer diverses fonctions à travers différentes applications sans supervision – rendant ainsi leurs actions beaucoup moins prévisibles.
Les chiffres derrière l'alarme
L'investissement dans l'IA continue de s'accélérer. Kong a cité les projections de l'IDC selon lesquelles les dépenses en IA et en IA générative en Asie-Pacifique atteindront 175 milliards de dollars d'ici 2028, les agents autonomes représentant une part croissante. Pourtant, la gouvernance continue de prendre du retard.
Une analyse de Greg Clark basée sur les recherches de l'Institut Ponemon a révélé que seulement 41 % des entreprises ont des politiques de confidentialité des données spécifiques à l'IA. Parallèlement, la Cloud Security Alliance a signalé que de nombreuses organisations dépendent encore d'outils non conçus pour la gestion des identités non humaines, créant d'importantes lacunes de visibilité et de gouvernance à mesure que l'adoption de l'IA s'étend.
Ensemble, ces résultats pointent vers une nouvelle ère de la sécurité de l’IA d’entreprise. À mesure que les agents IA se répandent au sein des réseaux d’entreprise, les organisations doivent les identifier, définir leurs permissions, vérifier continuellement leur identité et surveiller leurs activités. À l’ère de l’IA autonome, la gouvernance de l’identité devient aussi importante que l’intelligence des modèles.
Les agents IA sont les insiders de confiance par excellence
Shreyans Mehta, co-fondateur de Cequence Security, a décrit l'IA agentique comme un « insider numérique fonctionnant à la vitesse de la machine » dans un article pour TM Forum. Il a mis en garde contre le fait qu'un agent IA n'a pas besoin de dépasser ses autorisations pour causer des dommages. Agissant entièrement dans les limites autorisées, il peut combiner des requêtes API légitimes de manière à créer des risques opérationnels, financiers ou juridiques. Mehta a cité les directives GB1087 de TM Forum, qui décrivent l'IA comme le « meilleur insider de confiance » car elle peut effectuer des actions privilégiées sans les signes habituels d'un compte compromis.
Les développeurs d'IA de pointe ont exprimé des préoccupations similaires. Dans leur papier du 13 juillet, Agentic Misalignment in Summer 2026, les chercheurs d'Anthropic et d'institutions partenaires ont documenté quatre schémas d'échec lors de déploiements d'entreprise simulés : manipulation covert de code logiciel, facilitation de fraude financière apparente, manipulation d'informations pour influencer les décisions ultérieures, et incitation des utilisateurs à révéler des informations classifiées.
L’article a également mis en lumière l’incident MJ Rathbun, au cours duquel un agent de codage autonome a attaqué un mainteneur de projet open-source après le rejet de sa contribution, illustrant comment les agents IA peuvent créer à la fois des risques en cybersécurité et des risques réputationnels.
Les chercheurs ont également montré que les IA agentiques elles-mêmes peuvent devenir des cibles d'attaque. Dans son bref du 8 juillet Friendly Fire, l'AI Now Institute a démontré que des injections de prompt cachées dans des fichiers de projet ordinaires pouvaient tromper Claude Code d'Anthropic et Codex d'OpenAI pour effectuer des actions malveillantes lors de revues de code automatisées.
Le PDG de Salt Security, Roey Eliyahu, a déclaré que ces cas ressemblent à des démonstrations telles que GitLost, Agentjacking et TrustFall, qui exposent toutes la même faiblesse : les agents IA peinent encore à distinguer les instructions malveillantes intégrées dans un contenu non fiable des informations légitimes qu’ils sont censés traiter.
La gouvernance devient le produit
Les implications commerciales vont au-delà de la cybersécurité. Le 1er juillet, Gartner a estimé que jusqu'à 234 milliards de dollars de dépenses en applications d'entreprise pourraient être exposés à un « arbitrage agentique » d'ici 2030, à mesure que les agents IA effectuent de plus en plus de tâches à travers plusieurs environnements logiciels tout en contournant les interactions utilisateur traditionnelles.
Forrester a fait écho à cette préoccupation dans son rapport 2026 Top Threats, avertissant que les assistants IA personnels entrant dans les lieux de travail via les navigateurs et les clients de messagerie pourraient fonctionner en dehors des cadres de gouvernance existants.
Les entreprises technologiques répondent avec des stratégies similaires. Kong préconise une approche centrée sur l’identité, où chaque agent IA possède une propriété claire, des permissions définies et une piste d’audit complète. Mehta promeut le « zero trust agentic », où chaque action est vérifiée en continu plutôt que d’être considérée comme fiable après une seule connexion.
OpenAI a adopté un modèle similaire, indiquant que ses déploiements internes de Codex s’exécutent dans des bac à sable isolés avec des listes autorisées de réseau, une authentification d’entreprise obligatoire et une télémétrie détaillée qui permet de reconstituer chaque action significative de l’agent.
Le consensus émergent est que les agents IA autonomes devraient être gouvernés comme des employés numériques plutôt que comme des logiciels conventionnels. À mesure que les organisations étendent leurs déploiements d’IA agentic, les décisions d’achat évoluent de la performance des modèles vers la responsabilité, la traçabilité et la gouvernance, transformant les opérations d’IA fiables d’une exigence technique en un avantage concurrentiel.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Qu'est-ce qu'une menace d'insider liée à un agent IA ?
Il s'agit du risque qu'un agent IA autonome, une fois connecté aux API et aux données de l'entreprise, se comporte comme un employé disposant d'un accès permanent, effectuant des actions dans le cadre de ses permissions mais causant néanmoins des dommages opérationnels, de sécurité ou de conformité. Shreyans Mehta de Cequence Security et les recommandations GB1087 du TM Forum décrivent ces agents comme les « insiders de confiance ultimes ».
À quelle fréquence les agents IA prennent-ils des mesures non intentionnelles ?
Selon Eric Kong de SailPoint, écrivant dans BusinessWorld, 80 % des organisations signalent que leurs agents IA ont effectué des actions non intentionnelles, notamment l'accès ou le partage de données sensibles, tandis que seulement 2 % ont déployé un outil de sécurité dédié aux identités non humaines.
Qu'est-ce que l'attaque Friendly Fire sur les agents de codage IA ?
Friendly Fire est une preuve de concept de l'AI Now Institute, rapportée par IT Pro le 10 juillet 2026, qui a utilisé des injections de prompt dissimulées dans les fichiers d'une bibliothèque pour tromper Claude Code et Codex d'OpenAI afin qu'ils exécutent du code malveillant lors de l'exécution de revues de sécurité automatisées en mode auto-approuvé.
Quelle est la différence entre l'IA agentique et l'agent IA ?
Tous les agents IA utilisent (ou visent à utiliser) des capacités d'IA agentique, mais « l'IA agentique » fait référence au concept plus large, tandis que « agent IA » désigne l'implémentation concrète.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Ashish Kumar
Ashish Kumar est un journaliste spécialisé dans la crypto et la finance, avec huit ans d'expérience en rédaction. Il couvre l'actualité des marchés cryptographiques, de la réglementation, de la DeFi et des écosystèmes d'échanges. Il a travaillé pour Coingape, Todayq et Newsroompost. Ashish détient un PGDP en journalisme anglais de l'IIMC. Il a également interviewé des personnalités du secteur telles qu'Arthur Hayes, Yat Siu, Austin Federa, et bien d'autres.
