Sécurité des agents IA : où elle s’intègre dans la pile

Qu’est-ce que la sécurité des agents IA ?

La sécurité des agents IA est l’ensemble des contrôles qui limitent ce à quoi un agent IA peut accéder et ce qu’il peut faire, et qui l’arrêtent lorsqu’il est détourné. Elle couvre le modèle, les outils et les serveurs MCP que l’agent appelle, l’identité sous laquelle il agit et l’hôte sur lequel il s’exécute.

La campagne C0062 de MITRE ATT&CK documente un acteur d’espionnage probablement lié à la Chine utilisant des agents Claude Code et des outils MCP pour la reconnaissance, l’exploitation, la collecte d’identifiants et l’exfiltration contre environ 30 organisations, avec une implication humaine minimale. Si vos développeurs exécutent des agents de codage ou si vos équipes connectent des agents à Salesforce, ces contrôles déterminent jusqu’où un agent détourné peut aller. S’ils sont bien mis en place, sa progression s’arrête rapidement.

Quels sont les principaux risques de sécurité des agents IA ?

Les principaux risques de sécurité des agents IA sont le détournement d’objectif, l’usage abusif des outils, l’abus d’identité et de privilèges, la compromission de la chaîne d’approvisionnement, et les agents malveillants, toutes des entrées du OWASP Top 10 for Agentic Applications 2026.

EchoLeak (ASI01) montre un détournement d’objectif sans un seul clic : l’enregistrement de la National Vulnerability Database (NVD) pour CVE-2025-32711 décrit une injection de commandes IA qui a permis à un attaquant non autorisé de divulguer des informations depuis un assistant IA d’entreprise via un réseau, sans interaction utilisateur requise. L’assistant détenait des données privées, lisait du contenu non fiable et pouvait envoyer des données vers l’extérieur. Supprimez l’une quelconque de ces capacités, et la voie d’exfiltration se referme.

Dans la violation de Salesloft Drift, un exemple d’abus d’identité et de privilèges (ASI03) à grande échelle, le FBI a signalé que UNC6395 utilisait des jetons OAuth compromis pour l’application Salesloft Drift application pour atteindre les instances Salesforce des victimes et exfiltrer des données. La Financial Industry Regulatory Authority (FINRA) a confirmé que la violation a touché plus de 700 organisations, et les jetons volés ont permis aux attaquants d’usurper l’identité de Drift dans Salesforce et Google Workspace.

Tout agent détenant des jetons OAuth pour des applications SaaS est exposé au même risque, car les attaquants ont utilisé des jetons volés, et non une prompt injection. Cette distinction détermine à quel endroit de la pile de sécurité des agents IA vous placez des contrôles applicables.

Où la sécurité doit-elle se situer dans la pile des agents IA ?

La sécurité repose sur deux types de contrôles dans l’ensemble de la pile de sécurité des agents IA : les contrôles comportementaux façonnent ce que votre agent tente de faire, tandis que les contrôles d’infrastructure imposent ce qu’il peut faire. Construisez la couche d’infrastructure comme la frontière qui tient lorsque les directives comportementales échouent.

La règle est la même à chaque couche : le contrôle doit se trouver quelque part où l’agent ne peut ni l’atteindre ni le réécrire, même avec ses propres identifiants.

Le billet du NIST sur l’identité agentique explique pourquoi une seule couche ne peut pas supporter la charge. Les garde-fous reposant uniquement sur le modèle ne sont pas encore équipés pour relever les défis de sécurité agentique, et un agent poursuivant un objectif peut explorer plusieurs chemins, atteindre des outils ou des données inattendus, ou trouver des identifiants orphelins pour élever ses privilèges.

Les contrôles comportementaux guident ce qu’un agent tente de faire

Les contrôles comportementaux réduisent la fréquence à laquelle votre agent tente quelque chose de nuisible. Les options incluent des prompts système renforcés, filtrage des injections de prompt à la frontière d’ingestion, des étapes d’approbation pour les actions à fort impact, et une politique de gouvernance écrite. Ils ne peuvent pas garantir un comportement sûr, car le modèle lit les instructions et les données comme un seul flux de jetons. 

L’ enquête OpenClaw de MITRE ATLAS montre le coût d’une étape manquante : les opérations destructrices, y compris l’utilisation d’identifiants et la transmission externe de données, ne nécessitaient aucune approbation même lorsque de la mémoire ancienne et non fiable influençait l’agent. Conservez une approbation humaine pour ces actions, mais liez l’identité de l’approbateur à celle de l’agent, un problème ouvert que le document conceptuel du National Cybersecurity Center of Excellence (NCCoE) soulève.

Les contrôles d’infrastructure déterminent ce qu’un agent peut faire

Les contrôles d’infrastructure définissent la portée réelle de l’agent dans toute la pile d’infrastructure des agents IA. Donnez à chaque agent une identité non humaine unique avec des identifiants à durée de vie courte et à portée limitée. Limitez-le aux outils et API autorisés. Confinez-le à une exécution en bac à sable avec un réseau sortant refusé par défaut. Exigez que les serveurs MCP valident l’audience du jeton, et conservez des journaux d’actions signés et liés à l’identité. Même un agent entièrement compromis ne peut pas dépasser ces limites.

Le projet de Cyber AI Profile du NIST, NIST IR 8596, donne à votre équipe la règle d’identité : « Attribuez à chaque agent IA une identité et des identifiants uniques et traitez-les avec les mêmes précautions de sécurité que les utilisateurs privilégiés. » NIST IR 8587 applique ses recommandations de protection des jetons chaque fois que des agents utilisent des jetons signés pour accéder à des systèmes, des données, des outils ou des API.

Au niveau des outils, la sécurité MCP commence par la spécification d’autorisation MCP, qui exige que chaque serveur MCP valide que les jetons d’accès ont été émis spécifiquement pour lui en tant qu’audience visée. Ignorer cette vérification expose le serveur aux attaques de confused deputy couvertes par les exigences de sécurité de la spécification.

Les étapes d’approbation ont besoin de la même protection contre les manipulations : dans CVE-2026-25253, documentée dans l’enquête OpenClaw, une falsification de requête intersites contre la passerelle locale de l’agent a entraîné un changement de configuration qui a désactivé la confirmation de l’utilisateur. Les étapes d’approbation ne comptent comme infrastructure que lorsque l’agent, et toute personne qui le compromet, ne peuvent pas atteindre l’interrupteur. Cartographiez ces limites sur votre architecture d’agents IA avant de décider comment sécuriser individuellement les agents IA. Chaque agent hérite de la limite la plus faible parmi les couches qu’il touche.

Comment sécuriser les agents IA ?

Sécurisez vos agents IA en les inventoriant, en définissant la portée de chaque identité, en autorisant explicitement les outils, en isolant l’exécution en bac à sable, en journalisant les actions et en plaçant des étapes d’approbation sur les étapes irréversibles. Ces bonnes pratiques de sécurité des agents IA s’alignent sur les recommandations de mai 2026 de la CISA, rédigées avec l’Australian Cyber Security Centre (ACSC) de l’Australian Signals Directorate (ASD) et des partenaires internationaux : « Commencez par des cas d’usage d’IA agentique à faible risque et non sensibles » et « Évitez d’accorder un accès large ou non restreint, en particulier aux données sensibles ou aux systèmes critiques. »

1. Inventorier et identifier : Commencez par la découverte, car les agents déployés localement ou en dehors de l’examen IT apparaissent rarement dans un référentiel central d’identités. Incluez les postes de travail des développeurs dont les fichiers de configuration MCP accordent l’accès à des services internes, puis provisionnez une identité par agent avec des jetons à durée de vie courte et à portée limitée.
2. Restreindre l’exécution: Autorisez explicitement les outils et API requis, supprimez les capacités inutiles avant la production, isolez l’exécution en bac à sable, refusez par défaut le trafic sortant et injectez les identifiants uniquement pour la session.
3. Enregistrer et contrôler les actions : Activez des journaux signés et liés à l’identité des prompts, du contexte récupéré, des appels d’outils et des sorties avant d’accorder un accès en écriture. Exigez une confirmation explicite pour les actions destructrices ou irréversibles et utilisez des suppressions par étapes ou réversibles.
4. Rejouer avant d’élargir la portée : Réexécutez les actions enregistrées dans un clone isolé de production, et n’élevez l’autorité d’un agent qu’après la mise en place des trois premières étapes et si le rejeu reste dans les limites du rayon d’impact.

Tous les agents n’ont pas besoin de ces contrôles à leur niveau maximal. La profondeur appropriée dépend de l’autorité détenue par chaque agent.

Adapter les contrôles à l’autorité de chaque agent

Adaptez la profondeur des contrôles à l’autorité portée par chaque classe d’action. La matrice Agentic AI Security Scoping Matrix d’AWS, telle que la Cloud Security Alliance (CSA) l’a étendue en décembre 2025, classe les agents selon leur capacité d’action et leur autonomie.

L’extension de la CSA évalue chaque agent selon son niveau d’autorisation et son exposition au risque, de la lecture seule et faible risque à la lecture-écriture et risque élevé. Un agent en lecture seule qui agit de lui-même présente des risques différents de ceux d’un agent capable d’écrire nécessitant une approbation. 

Appliquez le modèle par classe d’action dans toute votre architecture d’agents IA, afin qu’un agent puisse lire les journaux indépendamment et que toute opération d’écriture, d’envoi, de dépense ou de suppression attende une personne. Le confinement dépend de la connaissance exacte de ce à quoi un agent compromis pourrait accéder ; consignez donc dès maintenant la portée de chaque agent.

Comment trouver et contenir un agent IA compromis ?

Identifiez les agents compromis à l’aide d’indicateurs sémantiques, d’infrastructure et d’identité, puis contenez-les dans un ordre qui préserve les preuves. Détruire le pod avant la capture fait perdre le reste de la chaîne.

Les indicateurs sémantiques incluent des incohérences entre la requête d’origine et les paramètres d’appel d’outil, ou entre un appel d’outil déclaré et ce qui a été exécuté. Une tâche de synthèse se terminant par un appel sortant constitue un autre indicateur. Les indicateurs d’infrastructure proviennent de la pile d’infrastructure de l’agent IA : un conteneur d’inférence lançant un shell, installant un package, écrivant dans des chemins non familiers ou ouvrant des connexions sortantes inattendues. Les indicateurs d’identité incluent des identifiants générés en dehors de la chaîne d’approbation autorisée, des appels bloqués réessayés via un autre connecteur, la journalisation désactivée ou des approbations arrivant en masse.

Une fois qu’un indicateur se déclenche, exécutez les phases de réponse à incident dans cet ordre :

1. Geler et capturer : Révoquez les autorisations de l’agent et arrêtez l’exécution simultanément. Avant le démantèlement, capturez l’historique des prompts avec horodatages, le contexte récupéré avec sa provenance, la séquence d’appels d’outils, les hypothèses d’identité, les invocations d’agents en aval, ainsi que la trace de sortie du large language model (LLM). Maintenez la capture au niveau du noyau en cours d’exécution.
2. Révoquer et isoler : Révoquez les jetons, clés API et certificats pour l’ensemble de l’identité, car les sessions concurrentes et les connexions MCP nécessitent une coupure simultanée. Isolez l’hôte, le conteneur ou la charge de travail et délimitez le rayon d’impact via le graphe d’identité. 
3. Mettre la confiance en quarantaine : Supprimez l’accès de l’agent aux outils et aux protocoles tout en préservant l’enregistrement d’identité. Informez les systèmes en aval qui entretiennent avec lui des relations de confiance.
4. Éradiquer et reprovisionner : Restaurez des versions et configurations de modèle saines connues, corrigez la limite défaillante et n’émettez de nouveaux identifiants qu’après avoir vérifié que l’environnement est propre. Exigez une validation humaine pour les cas de gravité élevée.

Répétez le confinement avant d’en avoir besoin : les directives d’urgence de la CSA CISO Community recommandent des exercices sur table relatifs à l’IA agentique, y compris un agent malveillant attaquant un tiers. Associez chaque étape à l’un des cadres ci-dessous afin qu’un incident impliquant un agent soit traité de la même manière à chaque fois.

Quels cadres de sécurité des agents IA s’appliquent ?

Associez chaque cadre à la question à laquelle il répond : l’OWASP Top 10 for Agentic Applications 2026 désigne ce qui peut mal tourner, MITRE ATLAS montre comment les attaquants s’y prennent, CSA MAESTRO structure le modèle de menace, NIST IR 8596 et IR 8587 définissent les règles d’identité et de jetons, et les directives de mai 2026 de la CISA délimitent le risque d’adoption. Pour sécuriser l’IA agentique dans un programme de conformité, ISO/IEC 42001 et l’EU AI Act fournissent l’enveloppe de gouvernance.

OWASP Top 10 for Agentic Applications et Agent Control Standard

L’OWASP Top 10 for Agentic Applications 2026, publié le 9 décembre 2025, fournit aux équipes d’ingénierie de la sécurité et de plateforme IA un vocabulaire commun pour les dix risques liés aux agents cartographiés plus tôt, du détournement d’objectif aux agents malveillants. En septembre 2026, l’OWASP GenAI Security Project a ajouté l’ Agent Control Standard, qui étend ces directives vers l’application à l’exécution.

MITRE ATLAS

MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) est la base de connaissances des tactiques, techniques et études de cas des adversaires contre les systèmes d’IA, structurée comme ATT&CK et couvrant désormais des techniques spécifiques aux agents telles que l’empoisonnement du contexte des agents IA et la collecte d’identifiants via les outils des agents. Les threat hunters l’utilisent pour associer les incidents impliquant des agents à des techniques nommées. MITRE publie des mises à jour de contenu mensuelles, et v2026.09 est la version en vigueur en septembre 2026.

CSA MAESTRO et l’AI Controls Matrix

Publié par la Cloud Security Alliance le 6 février 2025, CSA MAESTRO est un cadre de modélisation des menaces conçu pour l’IA agentique qui décompose un système d’agents en sept couches, des modèles de base à l’écosystème des agents. Les architectes sécurité l’associent à la AI Controls Matrix v1.1, publiée le 22 juin 2026, et à ses 247 objectifs de contrôle répartis sur 18 domaines pour la cartographie de la gouvernance, du risque et de la conformité (GRC).

NIST IR 8596 and IR 8587

Les directives du NIST sur les agents se concentrent sur l’identité et les jetons, et les deux documents en sont à des stades différents. IR 8596, le Cyber AI Profile à l’origine de la règle d’identité ci-dessus, reste un projet préliminaire initial datant de décembre 2025. IR 8587 sur la protection des jetons est devenu définitif en septembre 2026. Le NCCoE a proposé un projet sur l’identité et l’autorisation des agents qui applique IR 8587 aux côtés de NIST SP 800-207 et SP 800-63-4.

CISA Agentic AI Guidance

Le guide Careful Adoption of Agentic Artificial Intelligence (AI) Services de la CISA, publié le 1er mai 2026 avec l’ACSC de l’ASD et d’autres partenaires, fournit aux développeurs, aux fournisseurs et aux opérateurs des bonnes pratiques pour l’adoption de systèmes agentiques. Il cite l’accumulation progressive de privilèges, le mauvais alignement comportemental et les enregistrements d’événements obscurs comme les risques supplémentaires apportés par les systèmes agentiques, et il demande aux organisations de prendre en compte l’IA agentique dans leur modèle de sécurité et leur posture de risque.

ISO/IEC 42001

ISO/IEC 42001 est une norme certifiable pour les systèmes de management de l’IA, publiée pour la première fois en décembre 2023, qui fournit aux équipes GRC et aux RSSI la structure de gouvernance dans laquelle s’inscrit un programme d’agents. Elle ne contient aucun contrôle spécifique aux agents, associez-la donc à l’un des cadres techniques ci-dessus.

EU AI Act

Le EU AI Act, règlement (UE) 2024/1689, est obligatoire pour les fournisseurs et les déployeurs de systèmes d’IA entrant dans son champ d’application, mais il ne définit aucune catégorie d’agent IA. Un agent relève du règlement en tant que système d’IA. Le Digital Omnibus 2026 a reporté au 2 décembre 2027 les obligations applicables aux systèmes autonomes à haut risque. Choisissez un cadre de sécurité des agents IA comme base de référence de vos contrôles, mappez-y les obligations du règlement et reliez les deux aux outils qui gouvernent les prompts, les identités, les actifs cloud, les investigations et la réponse.

Sécurisez les agents IA avec SentinelOne

Les agents agissent à la vitesse de la machine. Les contrôles qui les entourent doivent suivre le rythme, depuis un endroit que l’agent ne peut pas atteindre. SentinelOne Prompt Security gouverne les agents, les serveurs MCP et les prompts, tandis que Singularity™ Identity bloque le vol d’identifiants et l’élévation de privilèges à l’exécution. Singularity Endpoint protège les hôtes sur lesquels les agents s’exécutent, et Purple AI avec Singularity Hyperautomation accélère l’investigation et la réponse.

Prompt Security trouve chaque agent IA et serveur MCP dans votre environnement via une passerelle MCP, une extension de navigateur, des plugins de sécurité et des intégrations API, puis cartographie chaque connecteur, outil et plugin avec lequel chaque agent interagit. Il évalue le risque de chaque agent et serveur MCP, protège contre les tentatives de jailbreak, applique des politiques sur ce à quoi les agents peuvent accéder et ce qu’ils peuvent faire, et conserve un journal consultable et horodaté de chaque session, action et outil. Singularity Identity bloque les mouvements latéraux, automatise la remédiation qui désactive les identités compromises et analyse en continu les identifiants faibles, exposés ou compromis dans Active Directory et chez les fournisseurs d’identité cloud, notamment Entra ID, Okta, Ping, Duo et SecureAuth.

Singularity Endpoint applique Behavioral AI sur les postes de travail et les charges de travail cloud où s’exécutent les agents de bureau et de développement. Il bloque les malwares sans fichier, les attaques de la chaîne d’approvisionnement et les exploits zero-day en temps réel, en ligne ou hors ligne. Il peut contenir un hôte compromis de manière autonome, sans attendre une étape d’isolation manuelle, et 1-Click rollback annule les modifications non autorisées. AI Security Posture Management dans Singularity Cloud Security découvre les pipelines et les modèles d’IA dans les comptes cloud.

Purple AI™ Agentic Investigation exécute l’analyse des alertes, met en évidence les preuves et indique à votre centre des opérations de sécurité (SOC) quoi faire ensuite. L’étude Business Value d’IDC a révélé que les clients identified threats 63% faster et les ont remédiées 55% plus rapidement. Singularity Hyperautomation, intégré à la Singularity Platform, exécute des workflows de réponse no-code, y compris les étapes de confinement ci-dessus.

Demander une démo SentinelOne pour voir comment votre équipe peut donner à chaque agent IA une limite qu’il ne peut pas franchir.

Une cybersécurité alimentée par l'IA

Améliorez votre posture de sécurité grâce à la détection en temps réel, à une réponse à la vitesse de la machine et à une visibilité totale de l'ensemble de votre environnement numérique.

Obtenir une démonstration

Conclusion

Chaque contrôle de sécurité des agents IA suit une règle : il doit exister quelque part que l’agent ne peut ni atteindre ni réécrire, même avec ses propres identifiants. Les contrôles comportementaux réduisent la fréquence à laquelle un agent tente quelque chose de nuisible. Les contrôles d’infrastructure fixent la limite stricte de ce qu’un agent détourné peut faire. Commencez par l’inventaire, car vous ne pouvez ni délimiter, ni filtrer, ni contenir un agent dont vous ignorez l’existence.

À partir de là, faites correspondre les contrôles de chaque agent à l’autorité qu’il détient, consignez son périmètre avant même d’avoir besoin de le contenir et répétez la réponse avant qu’un incident ne l’impose. Les cadres nomment déjà les risques, et les contrôles qui les contiennent existent déjà. Mettez en place les limites dès maintenant, et un agent compromis se heurtera aux restrictions que votre équipe aura définies à l’avance.