AgentCore Gateway et sa compatibilité avec la spécification MCP 2026-07-28

Configurer un flux de code d'autorisation sécurisé avec AgentCore Gateway et des clients MCP

Amazon vient de détailler comment sécuriser les échanges entre les assistants de développement basés sur l'IA et les serveurs d'outils d'entreprise, à travers une configuration OAuth reposant sur son service Amazon Bedrock AgentCore. Le composant central de cette architecture est l'AgentCore Gateway, un point d'entrée géré qui centralise le routage et la sécurisation des communications entre agents IA et serveurs MCP (Model Context Protocol). La démonstration s'appuie sur Kiro, l'environnement de développement intégré d'Amazon orienté IA, qui joue le rôle de client OAuth. Côté fournisseur d'identité, l'exemple utilise Amazon Cognito, mais le schéma s'applique à tout IdP compatible, Okta, Microsoft Entra ID, ou tout autre système émettant des jetons de sécurité standards. Le flux fonctionne en plusieurs étapes : Kiro tente de se connecter au point d'accès MCP de la Gateway, reçoit un challenge HTTP 401 accompagné d'un en-tête pointant vers les métadonnées OAuth de la ressource protégée, puis récupère auprès de l'IdP un jeton d'identité valide avant que la requête ne soit enfin autorisée et transmise au serveur MCP sous-jacent. L'enjeu est concret : dans les environnements professionnels, les équipes cherchent à exposer des outils internes (bases de données, API métier, services cloud) à leurs assistants IA, sans sacrifier le contrôle d'accès. Sans mécanisme d'authentification robuste, n'importe quel agent pourrait interroger ces serveurs MCP sans vérification d'identité. Avec ce schéma, chaque requête émise par un assistant IA est associée à l'identité réelle de l'utilisateur qui a lancé la session, ce qui permet d'appliquer des politiques d'accès fines et d'auditer précisément qui a accédé à quoi. Pour les équipes de sécurité, c'est un changement de paradigme : l'IA cesse d'être un trou dans le périmètre de sécurité et devient un canal traçable comme n'importe quel autre. Ce tutoriel s'inscrit dans un mouvement plus large autour du protocole MCP, standardisé par Anthropic fin 2024 et rapidement adopté par l'ensemble de l'industrie comme lingua franca entre les agents IA et leurs outils. Amazon Bedrock AgentCore, lancé récemment, positionne AWS comme infrastructure d'hébergement de référence pour les agents en production, en ajoutant gestion du cycle de vie, monitoring et sécurité d'entreprise par-dessus les serveurs MCP. L'introduction d'un proxy OAuth optionnel dans l'architecture illustre la fragmentation encore existante entre les clients IA, les IdPs et les serveurs MCP : les standards évoluent vite, mais les implémentations concrètes nécessitent encore des couches d'adaptation. La prochaine étape probable est une intégration native de ces flux d'authentification directement dans les spécifications MCP, réduisant le besoin de proxies intermédiaires.

Amazon Bedrock AgentCore Gateway permet désormais de connecter des serveurs MCP via le flux Authorization Code

Amazon a enrichi son service Bedrock AgentCore Gateway d'une nouvelle capacité majeure : la prise en charge du flux OAuth 2.0 Authorization Code, permettant aux agents d'IA de se connecter de manière sécurisée à des serveurs MCP protégés par authentification déléguée. Cette fonctionnalité, disponible via Amazon Bedrock AgentCore Identity, s'adresse aux organisations qui déploient des agents à grande échelle et qui doivent gérer des dizaines de connexions vers des serveurs tiers, dont ceux d'AWS, GitHub, Salesforce et Databricks. Concrètement, AgentCore Gateway joue le rôle de point d'entrée unique : les équipes configurent une seule URL Gateway au lieu de paramétrer chaque serveur MCP individuellement dans chaque IDE ou environnement de développement. L'authentification, l'observabilité et l'application des politiques de sécurité sont désormais centralisées en un seul plan de contrôle. Pour les organisations qui adoptent des agents d'IA en production, cette évolution résout un problème concret de gouvernance : jusqu'ici, chaque connexion à un serveur MCP devait être configurée et sécurisée séparément, ce qui devenait ingérable à mesure que le nombre de serveurs augmentait. Avec le flux Authorization Code, un agent peut agir au nom d'un utilisateur réel, obtenir un jeton d'accès via une authentification humaine, sans que les développeurs aient besoin d'embarquer des identifiants en dur dans le code applicatif ni de gérer manuellement le cycle de vie des tokens. Deux méthodes de création de cibles sont proposées : une synchronisation implicite où l'administrateur complète le flux d'autorisation lors de la création de la cible, et une méthode où le schéma d'outils est fourni directement à l'avance, recommandée quand une intervention humaine n'est pas possible en phase de déploiement. L'émergence du protocole MCP (Model Context Protocol) comme standard de connexion entre agents et outils externes a multiplié le nombre de serveurs que les équipes doivent orchestrer. Les grandes entreprises se retrouvent désormais à gérer des accès vers des systèmes hétérogènes, certains protégés par des fournisseurs d'identité fédérés, d'autres par leurs propres serveurs d'autorisation. AWS positionne AgentCore Gateway comme la réponse d'infrastructure à cette fragmentation, en apportant une couche de centralisation comparable à ce qu'une API Gateway classique fait pour les services REST. La prise en charge de l'Authorization Code flow, distincte des méthodes machine-à-machine comme Client Credentials, signale que Bedrock vise désormais des scénarios où des utilisateurs humains délèguent explicitement leurs droits à des agents, un cas d'usage clé pour les assistants d'entreprise qui accèdent à des outils SaaS au nom de leurs utilisateurs.

Les meilleures plateformes d'authentification pour agents IA et serveurs MCP en 2026

Le Model Context Protocol (MCP), lancé par Anthropic en novembre 2024, s'est imposé en moins d'un an comme le standard de facto de l'écosystème agentique. OpenAI l'a adopté en mars 2025, Microsoft a annoncé son support dans Copilot Studio le même mois, et fin 2025 les téléchargements cumulés des SDK Python et TypeScript dépassaient 97 millions par mois. En décembre 2025, Anthropic a cédé le protocole à l'Agentic AI Foundation, hébergée par la Linux Foundation, pour en faire un bien commun de l'industrie. Gartner projette que 40 % des applications d'entreprise intégreront des agents IA spécialisés d'ici fin 2026, contre moins de 5 % aujourd'hui. Cette explosion soulève un problème central resté sans solution robuste : l'authentification. Quand un agent IA se contente de répondre à des questions, la sécurité d'accès reste anecdotique. Quand il lit des e-mails, met à jour des CRM, écrit dans des bases de données et appelle des API externes de façon autonome, l'authentification devient une infrastructure critique, et le coût d'une faille peut être considérable. La spécification MCP pour les déploiements HTTP protégés est précise : OAuth 2.1 avec PKCE est obligatoire, tous les endpoints doivent fonctionner en HTTPS, les métadonnées du serveur d'autorisation doivent être découvrables par les clients, et les mécanismes Protected Resource Metadata (RFC 9728) ainsi que Resource Indicators (RFC 8707) doivent être implémentés pour éviter la confusion d'audience des tokens. Plusieurs fournisseurs connus ne répondent pas encore à toutes ces exigences. C'est dans ce contexte que deux plateformes se distinguent : WorkOS, ciblant les équipes d'ingénierie enterprise, combine OAuth 2.1 compatible MCP avec SSO, SCIM, journaux d'audit et une autorisation granulaire (Fine-Grained Authorization) permettant de restreindre un agent à des outils précis plutôt qu'à un service entier. Stytch, filiale de Twilio, s'adresse aux équipes SaaS B2B déployant sur Cloudflare Workers et souhaitant ajouter l'authentification MCP sans migrer toute leur stack existante. L'enjeu dépasse le simple choix d'une bibliothèque. L'émergence des agents autonomes redéfinit la granularité des droits d'accès : il ne s'agit plus de savoir si un utilisateur peut accéder à une application, mais si un agent peut appeler un outil spécifique dans un service donné, dans un contexte précis, avec une traçabilité complète. Les acteurs comme Okta, Microsoft Entra ou des annuaires internes restent en jeu, mais les nouvelles plateformes comme WorkOS visent à s'y connecter plutôt qu'à les remplacer. Avec 40 % des applications enterprise concernées d'ici dix-huit mois, la fenêtre pour standardiser ces pratiques est courte, et les choix d'architecture faits aujourd'hui conditionneront la sécurité des systèmes agentiques pour les années à venir.

💬 L'auth pour agents, c'était le truc qu'on remettait à plus tard tant que les agents répondaient juste à des questions. Là, avec des systèmes qui lisent des mails, poussent dans des CRM et appellent des API externes sans supervision, c'est de l'infrastructure critique, et WorkOS a bien vu que le vrai sujet c'est l'autorisation à l'outil (pas à l'application, à l'outil spécifique). Reste à voir si les équipes qui déploient aujourd'hui vont s'y plier avant le premier incident sérieux.

Commandes omnicanales avec Amazon Bedrock AgentCore et Amazon Nova 2 Sonic

Amazon a présenté une architecture complète pour construire des systèmes de commande vocale omnicanaux en s'appuyant sur deux de ses services cloud : Amazon Bedrock AgentCore, une plateforme dédiée au déploiement d'agents IA en production, et Amazon Nova 2 Sonic, un modèle de fondation speech-to-speech disponible via Amazon Bedrock. La solution permet à une application de traiter des commandes vocales en temps réel sur plusieurs points de contact simultanément, application mobile, site web et interface vocale, tout en maintenant le contexte conversationnel entre les échanges. L'infrastructure s'appuie sur AWS CDK pour le déploiement, le protocole MCP (Model Context Protocol) pour connecter l'agent IA aux services métier, et une série de services managés : Amazon Cognito pour l'authentification OAuth 2.0, API Gateway pour exposer les endpoints REST, AWS Lambda pour la logique métier, DynamoDB pour le stockage des profils et commandes, et AWS Location Services pour les recommandations géolocalisées de points de retrait. L'intérêt principal de cette architecture réside dans sa capacité à isoler chaque composant pour les faire évoluer indépendamment. AgentCore Runtime exécute chaque session utilisateur dans une microVM isolée, ce qui garantit qu'un pic de charge sur une session n'affecte pas les autres, un problème classique des systèmes vocaux en production. Le MCP standardise la communication entre l'agent et les services backend, ce qui permet de modifier ou d'étendre la logique métier sans réécrire le code d'intégration. Pour les équipes qui construisent des expériences de commande vocale à grande échelle, restauration rapide, retail, logistique, cette séparation claire entre la couche IA, le frontend et le backend réduit significativement la complexité opérationnelle et les risques de régression lors des mises à jour. La publication de cette solution s'inscrit dans une compétition intense autour des agents IA en production. Google, Microsoft et des acteurs comme Anthropic proposent leurs propres infrastructures agentiques, mais AWS mise sur l'intégration native avec son écosystème de services cloud existants comme différenciateur clé. Nova 2 Sonic, le modèle speech-to-speech au coeur du système, représente l'entrée d'Amazon dans les interfaces vocales conversationnelles en temps réel, un segment où OpenAI s'est imposé avec GPT-4o Voice. En publiant ce tutoriel complet avec une architecture de restaurant fictive comme backend d'exemple, Amazon cherche à accélérer l'adoption par les développeurs et à établir AgentCore comme standard de fait pour le déploiement d'agents IA sur AWS. Les prochaines étapes logiques incluront probablement l'extension à d'autres modalités et l'intégration avec des systèmes de caisse et d'inventaire existants.