L’Explosion des Credentials que Personne n’a Planifiée
Les programmes de sécurité d’entreprise ont été construits autour d’une prémisse simple : un utilisateur se connecte, s’authentifie et obtient un accès. Pendant des décennies, ce modèle a fonctionné. Mais quelque part entre la migration vers les microservices, l’explosion des charges de travail cloud-natives et la prolifération des agents IA et des bots d’automatisation, l’hypothèse selon laquelle « utilisateur » signifie « humain » s’est silencieusement effondrée.
Aujourd’hui, l’entreprise type gère 82 identités machine pour chaque employé humain. Ce chiffre provient du rapport Identity Security Landscape 2025 de CyberArk, basé sur une enquête auprès de 2 600 décideurs en cybersécurité dans 15 pays. Les identités machine concernées incluent les comptes de service, les clés API, les tokens OAuth, les certificats, les clés SSH, les bots de robotic process automation (RPA) et — de plus en plus — les credentials d’agents IA qui doivent s’authentifier auprès de dizaines de services en aval pour accomplir une seule tâche.
L’ampleur de cette prolifération est stupéfiante. Une entreprise de 10 000 employés peut gérer 820 000 credentials machine. Une PME de 500 collaborateurs peut en avoir 41 000. La plupart ont été provisionnés avec un contrôle minimal, dotés de permissions larges « par commodité » et jamais renouvelés. Beaucoup sont totalement non documentés. La mesure d’Entro Security en 2025 a même donné un ratio de 144 identités machine par humain — suggérant que le chiffre de CyberArk est conservateur pour les environnements cloud-natifs matures.
Pourquoi les Credentials Machine Sont le Vecteur d’Attaque à Croissance la Plus Rapide
Les attaquants l’ont remarqué. Quand 42 % des identités machine détiennent un accès privilégié ou sensible — et que 61 % des organisations manquent de contrôles de sécurité des identités pour l’infrastructure cloud — les credentials machine représentent une catégorie de cible à la fois haute valeur et faible risque de détection.
Trois facteurs structurels rendent les credentials machine particulièrement dangereux :
1. Pas de MFA, pas de référentiel comportemental. Les comptes humains peuvent être protégés par l’authentification multi-facteurs et la détection d’anomalies. Les identités machine ne peuvent généralement pas s’inscrire dans des workflows MFA et ont rarement des comportements de référence établis. Une clé API volée dans un pipeline CI/CD peut être utilisée depuis n’importe quelle adresse IP sans déclencher d’alerte.
2. Prolifération des credentials et accès fantômes. Selon l’enquête CyberArk, 70 % des organisations identifient les silos d’identité — des référentiels de credentials fragmentés entre fournisseurs cloud, répertoires on-premise et plateformes SaaS — comme cause première du risque cybersécurité. Cette fragmentation rend pratiquement impossible le maintien d’un inventaire complet des credentials machine actifs.
3. Les agents IA multiplient le problème. Chaque agent IA déployé en entreprise nécessite des credentials — typiquement plusieurs clés API, des chaînes de connexion à des bases de données et des tokens de comptes de service. Un cas d’étude CyberArk Labs a illustré comment un agent IA conçu pour une tâche restreinte (lister des commandes) avait été provisionné avec un accès aux factures non nécessaire. Une seule attaque par injection de prompt a permis à un attaquant d’extraire des données sensibles de fournisseurs.
Publicité
La Réalité des Violations : 87 % Déjà Touchés Deux Fois
Les conséquences de cette lacune en matière de credentials ne sont pas théoriques. L’enquête CyberArk a révélé que 87 % des organisations ont subi au moins deux violations liées aux identités au cours des 12 derniers mois. La moitié des répondants ont signalé des incidents de sécurité provenant spécifiquement de credentials machine compromis. Et 72 % des organisations ont connu au moins une panne liée aux certificats sur la même période.
L’IBM X-Force 2026 Threat Intelligence Index renforce ce tableau du côté des attaquants : la collecte de credentials représente 26 % des impacts d’attaques observés, et 32 % de tous les incidents impliquaient des credentials volés ou mal utilisés comme vecteur d’accès initial. Sur les marchés criminels, plus de 300 000 credentials ChatGPT ont été mis en vente en 2025 — incluant des clés API et des tokens de service intégrés dans des outils de développement.
Ce que les Équipes de Sécurité d’Entreprise Doivent Faire
1. Construire un Inventaire Complet des Identités Machine Avant Tout
Vous ne pouvez pas gouverner ce que vous ne voyez pas. La première étape est un exercice de découverte complet qui énumère chaque compte de service, clé API, certificat, clé SSH et token OAuth dans tous les environnements — cloud, on-premise, SaaS et chaînes d’outils de développement. Les équipes de sécurité doivent s’attendre à trouver des credentials dont elles ignoraient l’existence : anciens scripts d’automatisation, tokens de pipeline désaffectés encore actifs dans le fournisseur d’identité, certificats gérés hors de l’informatique centrale. Les plateformes NHI comme CyberArk Privilege Cloud peuvent automatiser la découverte via des intégrations API, mais le processus doit également inclure une revue manuelle des configurations CI/CD et des gestionnaires de secrets (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault).
2. Appliquer le Moindre Privilège aux Identités Machine Comme aux Humains
Une fois l’inventaire établi, appliquez la même discipline de moindre privilège aux credentials machine que les programmes de sécurité matures appliquent aux comptes humains privilégiés. L’étude de cas CyberArk est instructive : l’agent IA devait lister des commandes. Il n’aurait dû avoir que la permission de lister des commandes. Le principe semble évident, mais 75 % des organisations dans l’enquête CyberArk admettent prioriser l’efficacité opérationnelle sur la sécurité robuste — ce qui signifie que les permissions sont systématiquement sur-provisionnées parce que les restreindre nécessite une coordination avec les développeurs.
3. Effectuer une Rotation Automatique des Credentials — Traiter les Secrets Statiques Comme une Dette Technique
Les clés API statiques et les mots de passe de comptes de service de longue durée sont l’équivalent en credentials des mots de passe par défaut. La rotation automatisée — où les credentials sont renouvelés selon un calendrier défini et injectés dynamiquement dans les applications via un gestionnaire de secrets — élimine entièrement cette classe d’exposition. La fréquence de rotation cible dépend de la sensibilité du credential : les comptes de service privilégiés devraient être renouvelés toutes les 24 à 72 heures ; les tokens d’application moins sensibles tous les 30 à 90 jours.
4. Instrumenter les Credentials des Agents IA avec une Surveillance Comportementale
À mesure que les agents IA passent des pilotes à la production, ils doivent être traités comme des identités privilégiées avec une visibilité comportementale complète. Cela signifie journaliser chaque appel API effectué par un credential d’agent, établir à quoi ressemble un modèle d’appel normal, et alerter sur les déviations. Les 68 % d’organisations qui manquent actuellement de contrôles de sécurité des identités pour l’IA ont une fenêtre étroite pour construire cette capacité.
5. Mettre en Place la Gestion du Cycle de Vie des Certificats
Les pannes liées aux certificats — signalées par 72 % des organisations — ne sont pas de simples nuisances opérationnelles. Elles signalent que l’organisation n’a pas une visibilité complète sur son paysage d’identités machine. Les outils de gestion du cycle de vie des certificats (CLM) suivent l’émission, l’expiration et le renouvellement automatiquement, offrant à la fois fiabilité et sécurité.
La Vision d’Ensemble : l’Identité comme Nouveau Périmètre
Le ratio 82 pour 1 représente un changement architectural fondamental dans ce que ressemble le périmètre de sécurité d’entreprise. Les architectures de confiance zéro ont étendu la logique de vérification aux humains : vérifier chaque utilisateur, à chaque fois, indépendamment de l’emplacement réseau. Les identités machine nécessitent la même extension, mais la maturité des outils est en retard de cinq à sept ans. Palo Alto Networks a finalisé son acquisition de CyberArk en 2026 précisément pour consolider la sécurité des identités machine dans sa plateforme de sécurité pilotée par l’IA — un signal que le marché considère la protection des NHI comme une couche de sécurité fondamentale. Les organisations qui traitent la gouvernance des credentials machine comme un problème pour 2027 construisent leurs programmes de confiance zéro sur une fondation avec un trou structurel.
Questions Fréquemment Posées
Qu’est-ce qu’une identité non humaine (NHI) exactement ?
Une identité non humaine est tout credential ou token d’authentification utilisé par un logiciel plutôt que par une personne — incluant les clés API, les comptes de service, les tokens OAuth, les clés SSH, les certificats TLS et les credentials d’agents IA. Contrairement aux identités humaines, les NHI ne peuvent généralement pas s’inscrire à l’authentification multi-facteurs, n’ont pas de comportements de référence et sont souvent provisionnées puis oubliées. Selon les recherches de CyberArk en 2025, les NHI surpassent les identités humaines dans l’entreprise type avec un ratio de 82 pour 1.
Pourquoi les credentials machine non gérés sont-ils plus dangereux que les credentials humains ?
Les credentials machine sont dangereux parce qu’ils sont invisibles par défaut. Les comptes humains apparaissent dans les systèmes RH, nécessitent des renouvellements réguliers de mots de passe et déclenchent des alertes lors d’utilisations depuis des emplacements inhabituels. Les credentials machine peuvent rester dans un pipeline CI/CD ou un fichier de configuration cloud — non renouvelés pendant des années — et fonctionner silencieusement depuis n’importe quel emplacement sans déclencher les contrôles de sécurité standard. L’IBM X-Force 2026 a révélé que 32 % des vecteurs d’accès initiaux aux violations impliquaient des credentials volés ou mal utilisés.
Comment une PME avec peu de personnel de sécurité doit-elle prioriser la gouvernance des NHI ?
Commencez par la découverte, pas par les outils. Avant d’acquérir une plateforme NHI dédiée, effectuez un inventaire manuel de vos catégories de credentials les plus risquées : comptes de service administratifs, clés API avec accès en écriture aux systèmes de production, et certificats expirant dans les 90 jours. Traitez ces trois catégories en priorité avec rotation automatisée et application du moindre privilège. Cette approche par phases délivre une réduction du risque immédiate sans nécessiter un cycle d’acquisition de plateforme complet.
—
Sources et lectures complémentaires
- Les Identités Machine Surpassent les Humains 80 pour 1 : Rapport CyberArk — CyberArk
- IBM X-Force 2026 : La Collecte de Credentials à 26 % des Impacts — Industrial Cyber
- Agents IA et Risques d’Identité : Comment la Sécurité va Évoluer en 2026 — CyberArk
- Le Marché de la Cybersécurité Indique Où Il Va en 2026 — Aegis Intel
- 9 Prédictions sur la Sécurité des Identités pour 2026 — The Hacker News
- Palo Alto Networks Finalise l’Acquisition de CyberArk — Palo Alto Networks
