La sécurité des agents IA signifie que les agents ne peuvent utiliser que les données, outils et actions approuvés pour leur tâche.
Éditorial : mAItflow · Éditeur : Masterplan Tech Solutions GmbH · Mis à jour : 2026-08-26
La sécurité décide si les agents restent des pilotes ou deviennent productifs.
Un agent IA est un logiciel qui lit des contenus non fiables puis exécute des actions. Aucune des deux moitiés n'est nouvelle ; c'est leur combinaison qui modifie le modèle de menace.
Des accès trop larges. On raccorde généralement les agents à tout ce qui rendra la démonstration impressionnante, et le périmètre est rarement resserré ensuite. Un seul agent surdoté transforme n'importe quelle faiblesse de traitement des prompts en accès à tout ce qu'il peut atteindre.
Des instructions qui arrivent comme des données. L'agent lit des documents, des e-mails et des pages web. Tout ce qui s'y trouve peut être rédigé pour ressembler à une instruction.
Des actions non imputables. Quand un agent s'exécute sous des identifiants partagés ou humains, le journal ne distingue plus ce qu'a fait l'agent de ce qu'a fait la personne.
Des effets de bord non journalisés. Lire est réversible. Envoyer, publier, écrire et supprimer ne le sont pas — et ce sont précisément les actions les moins susceptibles d'apparaître dans un journal applicatif générique.
L'injection de prompt consiste à placer, dans un contenu que l'agent va lire — un PDF, une invitation d'agenda, une page web, une note CRM — un texte conçu pour que le modèle le traite comme une instruction et non comme de la matière. Elle ne requiert aucun accès à vos systèmes : il suffit que ce que lit l'agent ait été rédigé par quelqu'un d'autre.
La parade tentante consiste à entraîner ou à instruire le modèle pour qu'il ignore de telles injonctions. Cela en réduit la fréquence ; cela ne supprime pas la classe d'attaque, et un contrôle qui fonctionne la plupart du temps n'est pas un contrôle pour une action irréversible.
Les défenses durables sont architecturales : traiter tout contenu récupéré comme une entrée non fiable ; restreindre l'agent pour qu'une injection réussie n'atteigne pas grand-chose ; placer les actions irréversibles et sortantes derrière une validation humaine, de sorte que le pire résultat soit une proposition rejetée plutôt qu'un e-mail envoyé ; et tout journaliser pour qu'une injection reste détectable a posteriori.
Donnez à l'agent sa propre identité. Un agent opérant sous les identifiants d'un utilisateur est indiscernable de cet utilisateur dans tous les journaux en aval, ce qui détruit l'imputabilité et réduit toute analyse d'incident à des conjectures.
Attribuez les droits par workflow, pas par plateforme. Ce dont a besoin un agent de synthèse de réunion et ce dont a besoin un agent qui écrit dans le CRM n'ont presque rien en commun ; accorder l'union des deux à chacun est la manière dont un modèle de droits devient ornemental.
Séparez explicitement lecture et écriture. L'essentiel de la valeur agentique tient à la lecture et à la rédaction ; l'essentiel du risque tient à l'écriture et à l'envoi. Les traiter comme un seul droit revient à renoncer à une réduction d'exposition simple et considérable.
Revérifiez le périmètre périodiquement. Les droits d'agents s'accumulent : un connecteur ajouté pour un workflow reste disponible pour tous les autres tant que personne ne le retire.
Un journal d'agent utile répond, des mois plus tard : quel agent a agi, pour le compte de qui, quelles données il a lues, quelle action externe il a exécutée, ce qu'il a produit et qui a validé. En deçà, il ne permet ni de répondre à un audit ni d'étayer une analyse d'incident.
Ce n'est pas seulement une bonne pratique. Lorsqu'un agent traite des données personnelles, le RGPD en fait des obligations de l'organisation qui déploie : l'article 5 impose la minimisation, l'article 30 le registre des activités de traitement, l'article 32 une sécurité adaptée au risque. Lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes, l'article 35 impose une analyse d'impact — et cette obligation pèse sur l'organisation qui déploie, non sur le fournisseur de la plateforme.
La durée de conservation compte autant que le contenu. Un journal écrasé au bout de sept jours ne peut pas répondre à une question posée le trimestre suivant, moment où ces questions se posent réellement.
Tous les liens vérifiés le 26 août 2026. Les prix sont les tarifs catalogue des fournisseurs à cette date et évoluent ; la page du fournisseur fait foi.
Utilisez droits, audit et contrôle européen des données.