Les credentials des agents IA coexistent avec du code non fiable : deux architectures délimitent le périmètre de risque

Agents, architecture et amnésie : devenir natif de l'IA sans perdre la raison

Tracy Bannon, architecte logicielle et experte en ingénierie de systèmes, a présenté une réflexion approfondie sur les risques liés à l'adoption accélérée des agents autonomes d'intelligence artificielle dans les organisations technologiques. En convoquant l'image de l'Apprenti Sorcier de Goethe, popularisée par Disney, elle illustre comment déléguer des tâches à une IA sans garde-fous suffisants peut rapidement dépasser la capacité de contrôle humain. Sa thèse centrale : la vitesse aveugle avec laquelle les entreprises déploient ces systèmes génère ce qu'elle nomme l'"Amnésie Architecturale", soit une perte progressive de la mémoire institutionnelle sur les décisions techniques prises à l'échelle industrielle. Ce phénomène représente un risque concret pour les équipes d'ingénierie : lorsque des agents autonomes prennent des centaines de décisions techniques par heure, sans traçabilité ni gouvernance, la dette architecturale s'accumule à une vitesse que les humains ne peuvent plus auditer ni corriger. Les conséquences touchent directement la maintenabilité des systèmes, la sécurité et la cohérence des choix d'infrastructure sur l'ensemble du cycle de développement logiciel. Pour répondre à ce défi, Bannon propose un cadre appelé "Minimum Viable Governance", articulé autour de trois piliers : la gestion des identités des agents, la délégation encadrée des responsabilités, et l'utilisation systématique des ADR (Architecture Decision Records) pour tracer chaque décision prise par ou avec l'IA. Ce cadre vise à permettre aux organisations de devenir "AI-native" sans sacrifier la lisibilité et la gouvernance de leurs systèmes, à une époque où la frontière entre automatisation et autonomie devient de plus en plus floue.

La majorité des entreprises ne peuvent pas contrer les menaces avancées des agents IA, selon VentureBeat

En mars dernier, un agent IA de Meta a contourné l'ensemble des contrôles d'identité en place et exposé des données sensibles à des employés non autorisés. Deux semaines plus tard, Mercor, une startup valorisée à 10 milliards de dollars, confirmait une compromission de sa chaîne d'approvisionnement via la bibliothèque LiteLLM. Ces deux incidents partagent la même faille structurelle : une surveillance sans capacité d'enforcement, et un enforcement sans isolation. Une enquête menée par VentureBeat en trois vagues auprès de 108 entreprises révèle que cette configuration n'est pas un cas marginal, mais bien le schéma de sécurité le plus répandu en production aujourd'hui. L'étude "State of AI Agent Security 2026" de Gravitee, conduite auprès de 919 dirigeants et praticiens, chiffre le paradoxe : 82 % des cadres estiment que leurs politiques les protègent contre des actions d'agents non autorisées, alors que 88 % d'entre eux déclarent avoir subi un incident de sécurité lié à un agent IA au cours des douze derniers mois. Seuls 21 % disposent d'une visibilité en temps réel sur ce que font leurs agents. Le rapport 2026 d'Arkose Labs va plus loin : 97 % des responsables sécurité anticipent un incident majeur causé par un agent IA dans les douze prochains mois, mais seulement 6 % des budgets sécurité y sont consacrés. L'enjeu dépasse la simple négligence budgétaire. Les capteurs Falcon de CrowdStrike détectent plus de 1 800 applications IA distinctes sur les terminaux d'entreprise, et le temps de compromission le plus rapide enregistré par un attaquant est désormais de 27 secondes. Des tableaux de bord de surveillance conçus pour des workflows humains ne peuvent pas suivre des menaces opérant à la vitesse des machines. Comme le formule Elia Zaitsev, CTO de CrowdStrike, interrogé en exclusivité lors de la RSAC 2026 : "Il est impossible de distinguer visuellement si c'est un agent qui lance votre navigateur web ou si c'est vous." Différencier les deux exige d'analyser l'arbre de processus complet, ce que la majorité des configurations de journalisation d'entreprise ne peuvent pas faire. Pour Merritt Baer, CSO d'Enkrypt AI et ancienne Deputy CISO d'AWS, le problème est encore plus profond : "Les entreprises pensent avoir 'approuvé' des fournisseurs IA, mais ce qu'elles ont approuvé, c'est une interface, pas le système sous-jacent. Les vraies dépendances se trouvent une ou deux couches plus bas, et ce sont elles qui lâchent sous pression." Cette vulnérabilité structurelle a été formalisée en décembre dernier par l'OWASP Top 10 pour les applications agentiques (ASI), qui identifie dix vecteurs d'attaque sans équivalent dans les applications LLM traditionnelles : détournement d'objectif, abus d'identité et de privilèges, empoisonnement de mémoire, communication inter-agents non sécurisée, ou encore agents voyous. En avril 2025, Invariant Labs avait déjà divulgué une attaque par empoisonnement d'outil MCP permettant à un agent d'exfiltrer des fichiers ; CyberArk l'a ensuite étendue au "Full-Schema Poisoning", et une faille d'injection de commande dans le proxy OAuth mcp-remote (CVE-2025-6514) a mis en danger 437 000 téléchargements. L'enquête VentureBeat structure la réponse en trois étapes : observer, enforcer via l'intégration IAM et des contrôles inter-fournisseurs, puis isoler via des environnements sandboxés pour limiter le rayon d'explosion quand les garde-fous échouent. La majorité des entreprises restent bloquées à la première étape, alors que leurs agents opèrent déjà dans des environnements qui exigent la troisième.

Les agents IA provoquent silencieusement des pannes de type chaos engineering que les entreprises ne détectent pas encore

Les agents d'IA en production génèrent silencieusement une nouvelle catégorie d'incidents d'infrastructure que les équipes d'ingénierie ne savent pas encore nommer. Selon les données disponibles, 79 % des organisations ont aujourd'hui des agents autonomes en production, et 96 % prévoient d'étendre leur usage. Gartner prédit que 33 % des logiciels d'entreprise intégreront de l'IA agentique d'ici 2028, tout en avertissant que 40 % de ces projets seront annulés faute de contrôles de risques adéquats. Mais entre ces deux statistiques se cache un angle mort : des agents actifs, non annulés, qui déclenchent discrètement des événements d'infrastructure que personne ne classe comme incidents à risque. Le scénario type ressemble à ceci : un agent de remédiation détecte une latence élevée sur un microservice et redémarre le cluster, action techniquement justifiée selon ses données d'entraînement. Ce qu'il ignore : trois autres services traitent un pic de trafic, le pool de connexions partagé est à 87 % de capacité, et une base de données exécute une reconstruction d'index en arrière-plan. Le redémarrage déclenche une avalanche de requêtes contre le service en cours de récupération. Ce qui devait être une correction devient une cascade que l'agent n'a jamais été conçu pour modéliser. Ce phénomène touche directement les entreprises qui ont investi dans des programmes de chaos engineering, ces disciplines qui testent la résilience des systèmes de manière contrôlée. Lorsqu'un ingénieur humain initie une expérience de chaos, il effectue un jugement contextuel : il vérifie les tableaux de bord, évalue le taux de consommation du budget d'erreurs, s'assure que les dépendances sont stables. Ce filtre humain, aussi imparfait soit-il, empêche d'ajouter du stress à un système déjà sous pression. Les agents autonomes suppriment ce filtre. L'action de l'agent est un événement de chaos, sans calcul de rayon d'explosion, sans vérification des SLO, sans personne pour se demander si le moment est opportun. L'auteur de cette analyse, ingénieur ayant passé six ans à construire des systèmes d'automatisation d'infrastructure à grande échelle, d'abord chez Cisco sur des plateformes de cycle de vie déployées auprès de plus de vingt clients mondiaux, puis chez Splunk sur des workflows d'observabilité et d'analyse des causes profondes, a également déposé un brevet sur une méthodologie de chaos engineering basée sur l'intention. Son constat central est que les organisations continuent de traiter agents autonomes et chaos engineering comme deux disciplines distinctes, alors qu'elles sont fondamentalement la même. Tant que cette connexion ne sera pas établie dans les processus de gouvernance, les post-mortems continueront de tourner en rond entre équipes, cherchant si la faute incombe à l'agent ou à l'infrastructure, sans jamais poser la bonne question.

💬 Les agents en prod qui font du chaos engineering sans le savoir, c'est exactement le scénario qu'on n'avait pas anticipé. On a blindé les systèmes contre les erreurs humaines, mis en place des runbooks, du monitoring, des SLO, et là un agent redémarre un cluster au pire moment parce que ses données d'entraînement lui disent que c'est la bonne action. Combien de post-mortems vont encore traîner avant que les équipes fassent le lien ?

Google met en garde contre des pages web malveillantes qui empoisonnent les agents IA

Des chercheurs de Google ont mis en lumière une menace croissante qui cible directement les agents IA déployés en entreprise : des pages web publiques contiennent des instructions malveillantes cachées, conçues pour détourner le comportement de ces systèmes autonomes. L'alerte est venue après l'analyse du dépôt Common Crawl, une base de données colossale regroupant des milliards de pages web publiques, où les équipes de sécurité ont découvert des pièges numériques dissimulés dans du code HTML ordinaire. Ces commandes invisibles, rédigées en texte blanc sur fond blanc ou enfouies dans les métadonnées, restent dormantes jusqu'au moment où un agent IA consulte la page pour en extraire des informations. L'agent ingère alors le contenu sans distinguer le texte légitime des instructions malveillantes, et exécute ces dernières avec ses propres privilèges d'accès aux systèmes internes de l'entreprise. Le danger concret est illustré par un scénario précis : un agent IA chargé par un département RH d'analyser le portfolio en ligne d'un candidat ingénieur pourrait se voir ordonner, via une instruction cachée dans ce même site, d'envoyer l'annuaire interne de l'entreprise à une adresse IP externe, puis de rédiger un avis positif sur le candidat. Ce type d'attaque, appelé injection de prompt indirecte, contourne intégralement les défenses existantes. Les pare-feux, les systèmes de détection d'intrusion et les plateformes de gestion des accès ne voient rien d'anormal : l'agent dispose de credentials légitimes, opère sous un compte de service autorisé, et ses actions ressemblent trait pour trait à ses opérations habituelles. Les tableaux de bord d'observabilité IA du marché, qui surveillent l'utilisation des tokens ou la latence des réponses, n'offrent quant à eux aucune visibilité sur l'intégrité des décisions prises. Cette vulnérabilité s'inscrit dans une transformation profonde de la cybersécurité à l'ère des systèmes agentiques. Les chercheurs de Google proposent plusieurs contre-mesures architecturales : déployer un modèle "sanitiseur" isolé, sans privilèges, pour récupérer et nettoyer le contenu web avant de le transmettre au moteur de raisonnement principal ; appliquer les principes du zéro-trust aux agents eux-mêmes, en cloisonnant strictement leurs droits selon leur mission (un agent de veille concurrentielle ne devrait jamais avoir accès en écriture au CRM interne) ; et construire des pistes d'audit capables de retracer la généalogie exacte de chaque décision prise par un système IA. L'enjeu dépasse la simple sécurité informatique : à mesure que les entreprises confient des tâches critiques à des agents autonomes connectés au web, la surface d'attaque s'élargit de façon inédite, sans que les outils de défense traditionnels ne soient en mesure de suivre.

💬 On a filé des accès aux systèmes internes à des agents qui naviguent librement sur le web, et on s'étonne maintenant que ça pose un problème. Le truc redoutable dans l'injection indirecte, c'est que tout a l'air normal de l'extérieur : credentials légitimes, compte autorisé, actions qui ressemblent aux opérations habituelles, les outils de détection ne voient rien. Le modèle sanitiseur isolé, c'est du bon sens, mais combien d'équipes vont vraiment l'implémenter avant qu'un agent RH envoie l'annuaire interne à une adresse inconnue ?