SécuritéMIT Technology Review6sem

Accompagner l'IA agentique au-delà de ses premiers pas

Résumé IASource uniqueImpact UE

L'intelligence artificielle agentique a franchi un cap décisif entre décembre 2025 et janvier 2026 avec l'émergence d'outils no-code chez plusieurs éditeurs et la publication sur GitHub d'OpenClaw, un agent personnel open source. Finie l'ère du chatbot où chaque interaction humaine servait de garde-fou naturel — les agents autonomes opèrent désormais à la vitesse machine, enchaînant des décisions en flux continu, souvent sans aucune validation humaine intermédiaire.

Ce changement de paradigme redistribue radicalement les responsabilités. L'objectif affiché des entreprises est de faire tourner leurs processus métier à rythme machine en automatisant les tâches répétitives avec des règles de décision claires. Mais le glissement vers l'autonomie remet en cause les modèles de gouvernance traditionnels, bâtis pour un monde où un humain validait chaque étape sensible — approbation de crédit, recrutement, décisions réglementaires. La formule de CX Today résume l'enjeu : "L'IA fait le travail, les humains portent le risque."

Sur le plan juridique, la Californie a franchi le pas avec la loi AB 316, entrée en vigueur le 1er janvier 2026, qui supprime explicitement l'argument "c'est l'IA qui a décidé, pas moi". Concernant OpenClaw, si l'outil offrait une expérience proche d'un assistant humain, les experts en sécurité ont rapidement relevé qu'il exposait les utilisateurs non avertis à des compromissions sérieuses. Les agents autonomes héritent en effet de credentials de comptes de service persistants, de tokens API longue durée et de droits d'accès étendus sur des systèmes critiques — des vecteurs de risque sans commune mesure avec ceux d'un simple utilisateur humain.

La gouvernance doit donc évoluer : passer de politiques définies en comité à des garde-fous opérationnels codés directement dans les workflows, capables de s'adapter en temps réel aux niveaux de risque et de responsabilité de chaque action. Sans cette refonte structurelle, les bénéfices de l'automatisation agentique risquent d'être annulés par les dommages qu'elle engendre.

Impact France/UE

Les entreprises européennes font face aux mêmes enjeux de gouvernance des agents IA, directement encadrés par le Règlement IA européen (AI Act) qui impose une supervision humaine pour les systèmes à haut risque.

Dans nos dossiers

Agents IA Open weight & Open source

Vu une erreur factuelle dans cet article ? Signalez-la. Toutes les corrections valides sont publiées sur /corrections.

À lire aussi

1ZDNET FR

IA pratique : cessez de confier vos secrets aux services d’IA

OpenAI, Google, Microsoft et d'autres géants du cloud proposent des services d'intelligence artificielle capables d'analyser des documents, rédiger des emails et automatiser des tâches complexes — mais à quel prix pour la confidentialité ? Chaque texte soumis à ces plateformes transite par des serveurs distants, où il peut être stocké, analysé par des ingénieurs pour améliorer les modèles, ou exposé lors de violations de données. Des entreprises comme Samsung ont déjà subi des fuites après que des employés ont collé du code source propriétaire dans ChatGPT, illustrant concrètement ce risque souvent sous-estimé. Pour les professionnels manipulant des données sensibles — contrats juridiques, dossiers médicaux, informations financières ou secrets industriels — utiliser des services d'IA cloud sans précautions revient à confier ses dossiers à un tiers inconnu. Les conditions d'utilisation de la plupart des plateformes autorisent explicitement l'usage des données soumises pour entraîner ou améliorer leurs modèles, sauf opt-out explicite. Les risques sont amplifiés dans les secteurs régulés : une fuite peut entraîner des sanctions RGPD pouvant atteindre 4 % du chiffre d'affaires annuel mondial, voire engager la responsabilité pénale. Des alternatives existent : déploiement de modèles en local via des outils comme Ollama ou LM Studio, utilisation d'offres cloud avec garanties de confidentialité renforcées (Azure OpenAI avec data residency, Mistral AI en souverain européen), ou anonymisation systématique avant soumission. La montée en puissance des modèles locaux performants — Llama 3, Mistral, Gemma — rend désormais viables ces approches pour de nombreux cas d'usage professionnels, réduisant la dépendance aux services cloud tout en préservant la confidentialité des données critiques.

UELes entreprises françaises et européennes sont directement exposées aux sanctions RGPD (jusqu'à 4 % du CA mondial) en cas de fuite de données via des services IA cloud, et peuvent se tourner vers Mistral AI comme alternative souveraine européenne.

SécuritéOpinion

1 source

2The Verge AI

Le PDG d'Okta mise sur l'identité des agents IA

Todd McKinnon, co-fondateur et PDG d'Okta, a accordé une interview approfondie au podcast Decoder de The Verge pour expliquer comment il réoriente sa stratégie face à l'essor de l'IA. Okta, valorisée à 14 milliards de dollars, est l'une des principales plateformes de gestion des identités et de la sécurité en entreprise — ce système qui oblige les employés à se reconnecter plusieurs fois par jour avant chaque réunion. Lors du dernier appel aux investisseurs, McKinnon a admis être « paranoïaque » face à ce que l'industrie appelle désormais la « SaaSpocalypse » : la menace que les entreprises construisent elles-mêmes leurs outils grâce au vibe-coding et aux LLMs, plutôt que de payer des abonnements SaaS coûteux à des acteurs comme Okta. L'enjeu est considérable. Si des milliers d'entreprises clientes décident de développer en interne ce qu'Okta leur vend, le modèle économique de tout un pan du secteur logiciel est remis en cause. Mais McKinnon identifie une opportunité stratégique précisément là où la menace est la plus forte : la gestion des identités des agents IA. Là où Okta gérait jusqu'ici les accès des humains — employés, sous-traitants, partenaires — il faut désormais faire de même pour les agents autonomes déployés au sein des organisations. Ces agents accèdent à des données sensibles, exécutent des tâches critiques, et peuvent agir au nom d'un utilisateur avec ses propres identifiants. La question de sécurité est immédiate : que se passe-t-il quand un employé achète un Mac Mini, y transfère ses credentials, et laisse un agent IA faire ce qu'il veut avec eux ? McKinnon propose d'intégrer un « kill switch » au niveau de l'agent — un mécanisme d'interruption d'urgence — mais reconnaît que l'identité d'un agent se situe quelque part entre celle d'une personne et celle d'un système informatique classique, un espace conceptuel encore largement à définir. Le contexte est celui d'une mutation structurelle de l'industrie logicielle. L'émergence d'outils comme OpenClaw — une plateforme d'agents IA qui s'est accompagnée de nombreuses failles de sécurité — illustre l'urgence du problème. Les entreprises commencent à déployer des équipes hybrides, mélangeant salariés humains et agents autonomes, sans cadre clair pour gouverner les droits d'accès de ces derniers. Okta, qui a construit sa position dominante sur la gestion des identités humaines, ambitionne de devenir la référence pour cette nouvelle couche d'identité machine. McKinnon mise sur cette transition pour transformer la menace existentielle de la SaaSpocalypse en avantage compétitif — à condition de se réinventer assez vite.

UELes entreprises européennes déployant des agents IA autonomes font face au même vide de gouvernance sur les droits d'accès, sans cadre réglementaire ni standard technique établi pour gérer les identités machine.

SécuritéOpinion

1 source

301net

Une cyberattaque en chaîne au coeur de l’IA sème la panique

Une cyberattaque d'envergure a frappé l'écosystème de l'intelligence artificielle, ciblant une brique logicielle partagée par de nombreux développeurs. Les pirates ont exploité cette dépendance commune pour déclencher une réaction en chaîne, aboutissant à un vol massif de données. L'impact est particulièrement sérieux car la compromission d'un composant central affecte simultanément tous les projets qui en dépendent — un effet multiplicateur redoutable. Ce type d'attaque sur la chaîne d'approvisionnement logicielle (supply chain) permet aux attaquants d'atteindre des cibles nombreuses en ne frappant qu'un seul point d'entrée. Les attaques visant la chaîne logicielle sont en forte hausse depuis plusieurs années, ciblant de plus en plus les infrastructures d'IA, devenues critiques pour les entreprises technologiques.

UELes entreprises européennes utilisant des dépendances logicielles IA partagées sont potentiellement exposées à cette compromission de chaîne d'approvisionnement et doivent auditer leurs dépendances.

SécuritéOpinion

1 source

4MIT Technology Review

Exclusif : Sommes-nous prêts à confier les rênes aux agents IA ?

Les agents IA gagnent en autonomie réelle, soulevant des questions critiques sur notre préparation à en assumer les conséquences. Selon l'experte Grace Huckins, "si nous continuons sur cette voie, nous jouons essentiellement à la roulette russe avec l'humanité." Ce livre blanc explore les risques et les enjeux liés à la délégation de contrôle aux systèmes d'IA autonomes.

UELes débats sur l'autonomie des agents IA alimentent les réflexions réglementaires en Europe, notamment dans le cadre de l'AI Act qui encadre les systèmes à haut risque.

SécuritéOpinion

1 source