L’IA agentique comme nouvelle surface d’attaque : sécuriser les agents autonomes en entreprise

L’essor de l’agent autonome — et son ombre

Le paysage logiciel de l’entreprise connaît sa transformation la plus radicale depuis l’ère de la migration vers le cloud. Les systèmes d’IA agentique — des agents autonomes capables de raisonner, planifier et exécuter des tâches en plusieurs étapes avec une supervision humaine minimale — sont passés des démonstrations de recherche aux déploiements en production à une vitesse fulgurante. Selon le rapport Cyber Pulse de Microsoft publié en février 2026, plus de 80 % des entreprises du Fortune 500 utilisent désormais des agents IA actifs, nombre d’entre eux construits avec des outils low-code et no-code, avec une activité de production réelle enregistrée au cours des 28 derniers jours.

Mais cette vélocité a créé une crise sécuritaire que l’industrie commence à peine à appréhender. Un sondage des lecteurs de Dark Reading a révélé que 48 % des professionnels de la cybersécurité identifient l’IA agentique et les systèmes autonomes comme le principal vecteur d’attaque pour 2026 — devançant les menaces liées aux deepfakes et les préoccupations relatives à l’adoption de l’authentification sans mot de passe. L’inquiétude n’est pas théorique. La surface d’attaque introduite par les agents autonomes est fondamentalement différente de tout ce que les équipes de sécurité ont défendu auparavant : il ne s’agit pas d’applications statiques avec des schémas d’entrée/sortie prévisibles, mais de systèmes dynamiques qui prennent des décisions, invoquent des outils, accèdent à des bases de données et interagissent avec des services externes de leur propre initiative.

L’écart entre la vitesse de déploiement et la maturité sécuritaire est frappant. Selon le rapport State of AI Agent Security 2026 de Gravitee, qui a interrogé 919 participants occupant des postes de direction et techniques, seulement 3,9 % des organisations déclarent surveiller plus de 80 % de leurs agents IA déployés. En moyenne, seuls 47,1 % de la flotte d’agents d’une organisation sont activement surveillés ou sécurisés. Les agents restants opèrent avec d’importants angles morts — effectuant des appels API, accédant à des bases de données et générant des résultats qu’aucun humain ne vérifie en temps réel.

Anatomie d’une surface d’attaque de l’IA agentique

Comprendre pourquoi les systèmes d’IA agentique sont particulièrement vulnérables nécessite d’examiner leur architecture. Contrairement aux logiciels traditionnels, un système d’IA agentique se compose généralement de plusieurs composants interconnectés, chacun présentant des vecteurs d’attaque distincts.

Le noyau de raisonnement

Au cœur de chaque agent se trouve un grand modèle de langage (LLM) qui interprète les instructions, raisonne sur les tâches et génère des plans. Ce noyau de raisonnement est susceptible à l’injection de prompt — la pratique consistant à intégrer des instructions malveillantes dans des données apparemment inoffensives que le modèle traite. Contrairement à l’injection SQL, qui exploite des failles d’analyse bien comprises, l’injection de prompt exploite l’incapacité fondamentale des LLM actuels à distinguer de manière fiable les instructions de confiance des données non fiables. Le Top 10 OWASP pour les applications LLM classe l’injection de prompt comme le risque numéro un (LLM01), reflétant sa gravité et sa prévalence.

Accès aux outils et API

Les systèmes agentiques tirent leur puissance de l’utilisation d’outils — la capacité d’appeler des API, d’interroger des bases de données, d’exécuter du code, de lire et écrire des fichiers, et d’interagir avec des services externes. Chaque liaison d’outil crée un chemin potentiel d’escalade de privilèges. Si un attaquant peut manipuler le raisonnement de l’agent pour invoquer un outil qu’il ne devrait pas utiliser, ou pour transmettre des paramètres malveillants à un outil légitime, les conséquences peuvent être graves. Un agent disposant d’un accès en écriture à une base de données qui se fait piéger pour exécuter une requête destructrice n’est pas un scénario hypothétique ; c’est un domaine d’exploitation actif.

Mémoire et contexte

De nombreux systèmes agentiques maintiennent une mémoire persistante — historiques de conversations, documents récupérés, résultats mis en cache — qui influence les décisions futures. Les attaques par empoisonnement de mémoire injectent des informations fausses ou malveillantes dans la fenêtre de contexte ou le stockage de mémoire à long terme d’un agent, l’amenant à prendre des décisions corrompues lors d’interactions futures. Comme la mémoire empoisonnée persiste d’une session à l’autre, une seule injection réussie peut avoir des effets cumulatifs au fil du temps.

Communication multi-agents

Les déploiements d’entreprise les plus sophistiqués utilisent des architectures multi-agents où des agents spécialisés collaborent — un agent de recherche transmet ses résultats à un agent d’analyse, qui les remet ensuite à un agent de reporting. Chaque point de transfert constitue une frontière de confiance que les attaquants peuvent exploiter. Un agent compromis en amont peut propager des instructions malveillantes à travers toute la chaîne, et les agents en aval n’ont aucun moyen fiable de vérifier l’intégrité de ce qu’ils reçoivent. Le Top 10 OWASP pour les applications agentiques, publié fin 2025, identifie spécifiquement ce risque sous le nom ASI08 — Défaillances en cascade — où de faux signaux se propagent à travers des pipelines automatisés avec un impact croissant.

La chaîne d’approvisionnement des agents IA : exploitation dans le monde réel

Les risques théoriques d’exploitation de l’IA agentique ont été validés par une série d’incidents réels ciblant l’écosystème des agents IA. La surface d’attaque ne se limite pas aux agents eux-mêmes — elle s’étend aux outils, protocoles et services tiers dont ils dépendent.

Fin 2025, OpenAI a révélé qu’un attaquant avait obtenu un accès non autorisé via son fournisseur d’analyses tiers Mixpanel, exportant un ensemble de données contenant des informations limitées sur les clients de l’API — incluant noms, adresses e-mail, localisations approximatives et détails de navigateur. Bien qu’aucun contenu de conversation ni clé API n’ait été exposé, l’incident a démontré comment le maillon le plus faible de la chaîne d’approvisionnement IA peut compromettre les données utilisateurs à grande échelle. OpenAI a ensuite retiré Mixpanel de ses services de production.

La prolifération du Model Context Protocol (MCP) — le protocole qui permet aux agents IA d’interagir avec des sources de données et des outils externes — a introduit une autre classe de vulnérabilité. Des chercheurs en sécurité ont identifié que les développeurs, pressés de déployer des serveurs MCP, omettent souvent l’authentification et l’autorisation appropriées, créant des portes ouvertes pour les attaquants. Une vulnérabilité répertoriée sous CVE-2025-53773 a démontré que VS Code et GitHub Copilot Agent pouvaient être manipulés pour créer des fichiers sans autorisation de l’utilisateur, pouvant potentiellement mener à la compromission totale de la machine.

Ces incidents exposent des faiblesses systémiques : l’inadéquation des examens de sécurité ponctuels pour des composants qui se mettent à jour dynamiquement, les permissions excessives accordées de façon routinière aux agents, l’absence de surveillance en temps réel des interactions agent-outil, et le manque de cadres de sécurité standardisés pour les écosystèmes d’agents. Le rapport de Gravitee a constaté que 88 % des entreprises déclarent avoir déjà subi ou suspecté un incident de sécurité ou de confidentialité des données lié aux agents IA au cours des douze derniers mois.

Le déficit de surveillance : naviguer à l’aveugle à grande échelle

La dimension peut-être la plus alarmante de la crise de sécurité de l’IA agentique est le déficit de surveillance. La sécurité applicative traditionnelle bénéficie de décennies d’évolution des outils — systèmes SIEM, plateformes EDR, surveillance réseau et normes de journalisation bien établies. Le monde de l’IA agentique ne dispose pratiquement d’aucune de ces infrastructures.

Le chiffre de 3,9 % — la part des organisations surveillant plus de 80 % de leurs agents déployés — reflète non pas seulement de la négligence, mais un déficit fondamental d’outillage. La plupart des plateformes d’observabilité n’ont pas été conçues pour suivre le comportement non déterministe et dépendant du contexte des agents autonomes. Un agent qui interroge une base de données clients peut effectuer une tâche légitime ou répondre à une attaque par injection de prompt, et distinguer ces deux cas nécessite de comprendre l’intégralité de la chaîne de raisonnement qui a conduit à l’action.

Plusieurs facteurs aggravent le défi de la surveillance. Premièrement, les agents opèrent souvent à travers de multiples systèmes et API, générant des journaux dans des formats disparates difficiles à corréler. Deuxièmement, le processus de raisonnement lui-même — la chaîne de pensée qui mène un agent de l’instruction à l’action — n’est généralement pas journalisé d’une manière pertinente pour la sécurité. Troisièmement, de nombreuses organisations ont déployé des agents via des canaux d’IA non autorisée (shadow AI) — Microsoft rapporte que 29 % des employés ont déjà recours à des agents IA non sanctionnés pour leurs tâches professionnelles — avec des équipes ou développeurs individuels déployant des agents sans supervision centralisée.

Le résultat est un environnement où la plupart des entreprises ont une visibilité limitée sur ce que font leurs agents, quelles données ils consultent, quels outils ils invoquent, et si leur comportement dévie des schémas prévus. C’est l’équivalent sécuritaire du déploiement de centaines de nouveaux employés avec un accès administrateur et sans piste d’audit.

Stratégies de défense : construire la pile de sécurité agentique

La sécurisation des systèmes d’IA agentique nécessite une nouvelle approche combinant les principes de la sécurité applicative, de la gestion des identités et des accès, et de la recherche en sûreté de l’IA. Plusieurs cadres émergent, bien qu’aucun n’ait atteint la maturité ou l’adoption que le paysage des menaces exige.

Le principe du moindre privilège par défaut

La mesure défensive la plus impactante est de restreindre les permissions des agents au strict minimum requis pour leur tâche désignée. Cela signifie abandonner le schéma courant d’accorder aux agents un large accès aux API et plutôt mettre en œuvre des périmètres de permission granulaires et spécifiques à chaque tâche. Un agent qui résume les retours clients ne devrait pas avoir d’accès en écriture à la base de données clients, quelle que soit la commodité que cela pourrait offrir pour une future extension fonctionnelle.

Assainissement des entrées et application des limites

Traiter toutes les entrées externes aux agents comme potentiellement hostiles est essentiel. Cela inclut non seulement les saisies directes des utilisateurs, mais aussi les documents récupérés, les réponses API, les contenus d’e-mails et les données de toute source traitée par l’agent. Les mécanismes d’application des limites — souvent appelés « garde-fous » — devraient valider les actions de l’agent par rapport à des politiques prédéfinies avant leur exécution. Si un agent tente d’accéder à une ressource en dehors de son périmètre autorisé, l’action devrait être bloquée et signalée pour examen.

Surveillance comportementale en temps réel

L’industrie a besoin d’outils de surveillance spécialement conçus capables de suivre le comportement des agents en temps réel et de détecter les anomalies. Cela inclut la journalisation de toutes les invocations d’outils avec les détails complets des paramètres, le suivi des schémas d’accès aux données, la surveillance des séquences d’actions inhabituelles, et le signalement des écarts par rapport aux lignes de base comportementales établies. Les principaux fournisseurs de cybersécurité ont investi massivement dans ce domaine par le biais d’acquisitions : Palo Alto Networks a acquis Protect AI pour un montant estimé entre 650 et 700 millions de dollars en 2025, Cisco a acquis Robust Intelligence pour 400 millions de dollars, et Check Point a acquis Lakera pour environ 300 millions de dollars — une vague de consolidation qui signale à la fois l’urgence du problème et l’immaturité des solutions autonomes.

Identité et authentification des agents

Chaque agent devrait disposer d’une identité unique et auditable avec des identifiants associés suivant les mêmes pratiques de gestion du cycle de vie appliquées aux utilisateurs humains. Cela signifie une rotation régulière des identifiants, des délais d’expiration de session, et la capacité de révoquer instantanément l’accès d’un agent en cas de compromission suspectée. Les systèmes multi-agents devraient mettre en œuvre une authentification mutuelle à chaque point de transfert.

Sécurité de la chaîne d’approvisionnement pour les écosystèmes d’agents

Les incidents réels de 2025 ont démontré que la chaîne d’approvisionnement des agents nécessite la même rigueur que celle appliquée aux chaînes d’approvisionnement logicielles traditionnelles. Cela inclut la signature de code pour les plugins et les outils, les nomenclatures logicielles (SBOM) pour les dépendances des agents, l’analyse de sécurité continue des composants tiers y compris les serveurs MCP, et des environnements d’exécution isolés (sandboxed) qui limitent le rayon d’impact d’un plugin compromis.

Humain dans la boucle pour les actions à forts enjeux

Pour les actions à conséquences significatives — transactions financières, suppressions de données, modifications de permissions, communications externes — le maintien d’une étape d’approbation humaine constitue un filet de sécurité critique. Le défi est de concevoir ces points de contrôle de manière à ne pas annuler les gains d’efficacité qui ont motivé le déploiement des agents. Les approches basées sur le risque, qui n’exigent l’approbation humaine que pour les actions dépassant certains seuils de sensibilité, offrent un compromis pratique.

La route à suivre : normes, réglementation et course aux armements

Le paysage de la sécurité de l’IA agentique évolue avec la même vitesse et imprévisibilité que la technologie elle-même. Plusieurs développements façonneront la trajectoire à court terme.

Les organismes de normalisation, dont le NIST et l’OWASP, ont commencé à développer des cadres spécifiquement dédiés à la sécurité de l’IA agentique. L’OWASP a publié son Top 10 dédié aux applications agentiques fin 2025, identifiant des risques allant des défaillances en cascade aux agents malveillants. Séparément, le NIST a lancé une initiative de normalisation des agents IA axée sur les garde-fous, la gestion des risques et les méthodes d’évaluation des systèmes autonomes, avec une période de commentaires publics ouverte jusqu’en mars 2026 et un premier projet public attendu peu après.

Sur le front réglementaire, le système de classification basé sur le risque du Règlement européen sur l’IA (AI Act) traite de nombreux déploiements d’IA agentique comme étant à haut risque lorsqu’ils servent de composants de sécurité ou opèrent dans des domaines répertoriés tels que l’emploi, l’application de la loi ou les infrastructures critiques. La désignation à haut risque déclenche des exigences de supervision humaine, de journalisation exhaustive, de documentation technique et de transparence. Les implications pratiques de ces exigences pour les déploiements d’agents en entreprise sont encore en cours d’élaboration, mais elles stimuleront inévitablement l’investissement dans les capacités de surveillance et de gouvernance actuellement déficientes.

La dimension adversariale ne peut être ignorée. Le rapport Global Threat Report 2026 de CrowdStrike a constaté que les attaques alimentées par l’IA ont augmenté de 89 % en glissement annuel, les adversaires utilisant l’IA comme arme dans la reconnaissance, le vol d’identifiants et l’évasion. Les mêmes capacités d’IA agentique que les entreprises utilisent pour la productivité sont accessibles aux acteurs de la menace pour l’automatisation des attaques et l’ingénierie sociale à grande échelle. Ce n’est pas un problème qui sera résolu une fois pour toutes — c’est une course aux armements permanente qui nécessite un investissement soutenu dans la recherche, l’outillage et les talents.

Pour les entreprises déployant de l’IA agentique aujourd’hui, l’impératif est clair : traiter la sécurité des agents avec le même sérieux que la sécurité du cloud, investir dans la visibilité et la surveillance avant de mettre à l’échelle les déploiements, et accepter que la commodité des agents autonomes s’accompagne de la responsabilité de les gouverner. Les organisations qui construisent cette discipline maintenant seront celles les mieux positionnées pour bénéficier du potentiel transformateur de l’IA agentique sans en devenir les victimes.

Sources et lectures complémentaires

• 2026 CrowdStrike Global Threat Report: AI Accelerates Adversaries and Reshapes the Attack Surface — CrowdStrike
• State of AI Agent Security 2026 Report: When Adoption Outpaces Control — Gravitee
• 80% of Fortune 500 Use Active AI Agents: Observability, Governance, and Security Shape the New Frontier — Microsoft Security Blog
• OWASP Top 10 for Agentic Applications for 2026 — OWASP GenAI Security Project
• 2026: The Year Agentic AI Becomes the Attack-Surface Poster Child — Dark Reading
• OWASP Top 10 for LLM Applications — OWASP Foundation