Les agents d’intelligence artificielle bouleversent les règles établies de la gouvernance des identités. Ces entités hybrides, ni tout à fait humaines ni purement machines, échappent aux cadres traditionnels de gestion des accès. Une situation qui crée autant d’opportunités que de risques sécuritaires.
Un paradoxe organisationnel
Alors que les directeurs des systèmes d’information (DSI) imaginent avec enthousiasme des agents IA personnalisés pour leurs équipes, les responsables de la sécurité (CISO) expriment une inquiétude croissante. Le problème ? Les agents IA ne rentrent dans aucune case des systèmes d’identité existants.
Les identités humaines bénéficient de processus bien établis : cycles de revue, hiérarchies claires. Les comptes de service pour les machines offrent une approche plus technique mais tout aussi rigide. Les agents IA, eux, combinent les deux approches sans en adopter pleinement aucune.
L’explosion des identités non humaines
Un phénomène déjà observable : les requêtes automatisées dépassent désormais les interactions humaines sur le web, selon Cloudflare. Dans l’entreprise, cette tendance s’accentue avec les agents IA capables de générer des activités à vitesse machine.
Le vrai défi apparaît quand plusieurs agents s’enchaînent pour accomplir une tâche. Chaque niveau de délégation crée une chaîne de permissions potentiellement incontrôlée, bien au-delà des autorisations initiales.
L’aveuglement organisationnel
Le problème persiste car les identités non humaines restent abstraites. Contrairement à un employé, on ne peut pas interroger un agent IA sur ses besoins d’accès. Cette invisibilité conduit à sous-estimer leur nombre et leur portée.
La gouvernance, point de rupture
Les systèmes d’authentification évoluent bien (multi-factor, least privilege), mais c’est la gouvernance qui pose problème. La visibilité des accès existe, l’attribution des responsabilités aussi - mais que faire de ces informations ?
La vraie question n’est plus seulement l’accès, mais l’autorité : jusqu’où un agent peut-il décider pour le compte de l’entreprise ? Une question que beaucoup d’organisations ne peuvent encore répondre, faute de cadre adapté.
Vers une nouvelle approche
Les identités éphémères à portée limitée représentent une piste, mais insuffisante. Les agents IA nécessitent un cadre de gouvernance repensé de fond en comble, capable d’intégrer leur comportement dynamique et leurs chaînes de délégation.
Le défi est immense mais urgent : les agents IA sont déjà là, et leur nombre ne cesse de croître. Les entreprises qui prendront ce problème à bras-le-corps auront un avantage concurrentiel certain en matière de sécurité et d’efficacité opérationnelle.