Sécurité et conformité
Sécuriser et gouverner les agents IA : identités, garde-fous et AI Act
Dès qu'un agent lit des contenus qu'il n'a pas écrits et agit sur des systèmes d'information, il devient un acteur du SI : avec ses droits, ses failles possibles et sa responsabilité. Voici les risques de référence, les garde-fous qui comptent, et ce que le calendrier de l'AI Act, modifié en juillet 2026, change concrètement.
Dans cet article
- Pourquoi un agent change la surface de risque
- Les dix risques de référence (OWASP, 2026)
- Six garde-fous qui font la différence
- Niveaux d'autonomie et contrôles associés
- AI Act et RGPD : ce qui s'applique aux agents
- Gouverner : registre, rôles, revue
- Conclusion : un agent est un acteur du système d'information
- Questions fréquentes
- Sources et repères
Pourquoi un agent change la surface de risque
Un assistant qui répond peut se tromper. Un agent qui agit peut se tromper et être efficace : il exécute. Deux propriétés expliquent la différence. D'abord, il lit des contenus qu'il n'a pas écrits : e-mails, pages web, documents, réponses d'outils. Ensuite, il agit avec des droits délégués, par l'intermédiaire d'outils connectés à nos systèmes.
Or un modèle de langage ne distingue pas de façon fiable une donnée d'une instruction. C'est le principe de l'injection de prompt indirecte : des consignes dissimulées dans un contenu que l'agent va traiter.
Scénario illustratif
Un agent de support lit les e-mails entrants, consulte le CRM et peut envoyer des messages. Un e-mail contient, en texte masqué, une consigne lui demandant de transmettre la dernière facture d'un autre client. Chaque capacité de l'agent est légitime ; c'est leur combinaison qui ne l'est pas.
Le chercheur Simon Willison a donné à cette combinaison un nom, la triade létale (juin 2025) : l'accès à des informations sensibles, l'exposition à un contenu qu'un attaquant peut contrôler, et un moyen d'envoyer de l'information vers l'extérieur. Sa recommandation centrale est de ne pas réunir les trois dans un même système. C'est un excellent test de conception : pour chaque agent, laquelle de ces trois capacités peut-on retirer ?
Les dix risques de référence (OWASP, 2026)
Le projet OWASP GenAI Security Project a publié le 9 décembre 2025 son Top 10 for Agentic Applications, un référentiel élaboré par la communauté et relu par des pairs. Nous le traduisons ci-dessous et lui associons, pour chaque risque, le contrôle que nous plaçons en premier. Cette dernière colonne reflète nos recommandations, elle n'est pas extraite du référentiel.
| Code | Risque | En clair | Contrôle prioritaire |
|---|---|---|---|
| ASI01 | Détournement d'objectif | Un contenu lu par l'agent réoriente son but | Séparer instructions et données ; valider les actions sensibles hors du modèle |
| ASI02 | Mauvais usage et exploitation des outils | Un outil légitime est employé à des fins nuisibles (suppression, surconsommation, fuite) | Portée étroite par outil ; validation des arguments avant exécution |
| ASI03 | Abus d'identité et de privilèges | Identifiants empruntés, délégués ou trop larges | Identité propre à l'agent ; jetons à courte durée ; droits minimaux |
| ASI04 | Vulnérabilités de la chaîne d'approvisionnement agentique | Outils, serveurs MCP, modèles ou extensions compromis | Liste d'autorisation ; vérification des fournisseurs et des versions |
| ASI05 | Exécution de code inattendue | L'agent génère ou exécute du code non prévu | Bac à sable ; aucune exécution sur l'hôte |
| ASI06 | Empoisonnement de la mémoire et du contexte | Des données persistantes corrompues biaisent les décisions futures | Provenance, expiration et revue de la mémoire |
| ASI07 | Communication inter-agents non sécurisée | Messages usurpés ou altérés entre agents | Authentification mutuelle ; cartes d'agent signées ; canaux chiffrés |
| ASI08 | Défaillances en cascade | Une erreur se propage d'agent en agent | Disjoncteurs, limites de pas et de budget, isolement |
| ASI09 | Exploitation de la confiance humain-agent | L'utilisateur accorde trop de crédit à une recommandation persuasive | Sources et incertitudes affichées ; double validation des actions à fort impact |
| ASI10 | Agents dévoyés | Un agent s'écarte durablement de sa mission | Supervision du comportement ; arrêt d'urgence ; revue périodique |
Six garde-fous qui font la différence
1. Une identité propre à chaque agent
Jamais de compte de service partagé, ni d'emprunt des droits étendus d'un utilisateur. Chaque agent dispose d'identifiants à durée de vie courte et à portée minimale, révocables sans conséquence sur les autres systèmes. Les standards vont dans ce sens : la spécification MCP de juillet 2026 déprécie l'enregistrement dynamique de clients OAuth au profit de documents de métadonnées d'identifiant client, et la version 1.0 du protocole A2A introduit des cartes d'agent signées pour vérifier cryptographiquement l'identité d'un agent.
2. Des droits minimaux, séparés en lecture et en écriture
Un agent qui n'a besoin que de lire ne reçoit aucun droit d'écriture. Chaque outil expose la portée la plus étroite possible, et les arguments de chaque appel sont validés avant exécution, en dehors du modèle.
3. Une validation humaine proportionnée au risque
Les actions irréversibles ou à fort impact (paiement, suppression, envoi externe, modification de droits) exigent l'accord explicite d'une personne. La spécification MCP pose d'ailleurs le principe : l'application hôte doit obtenir le consentement explicite de l'utilisateur avant d'invoquer un outil, et les descriptions d'outils doivent être considérées comme non fiables, sauf si elles proviennent d'un serveur de confiance.
4. Une traçabilité complète
Chaque étape (instruction reçue, contenu lu, outil appelé, arguments, résultat, décision) est tracée et rejouable. La spécification MCP de juillet 2026 documente la propagation du contexte de trace OpenTelemetry entre composants, ce qui permet d'intégrer les agents aux outils d'observabilité existants. Les journaux sont protégés et leur durée de conservation est définie, au regard du RGPD.
5. Des limites et un arrêt d'urgence
Plafond de budget, nombre maximal d'étapes, quotas d'appels, disjoncteurs lorsque les erreurs s'enchaînent, et un interrupteur d'arrêt testé régulièrement, qui coupe l'agent sans attendre une intervention de l'éditeur.
6. Une évaluation et des tests adverses continus
Jeux d'attaques d'injection, tentatives de sortie de périmètre, tests de non-régression à chaque changement de modèle, d'instruction système, d'outil ou de droit. Un changement de l'un de ces éléments est un changement de production.
Niveaux d'autonomie et contrôles associés
Les contrôles se dosent selon le niveau d'autonomie visé, tel que défini dans notre analyse sur la mise en production de l'IA agentique.
| Niveau d'autonomie | Contrôles minimaux | Exigence |
|---|---|---|
| 1. L'agent propose | Accès en lecture seule ; relecture de chaque proposition ; journalisation | Modérée |
| 2. L'agent exécute après validation | Validation explicite de chaque action sensible ; droits d'écriture limités ; traçabilité complète | Élevée |
| 3. L'agent exécute seul le réversible | Réversibilité garantie (annulation) ; seuils et quotas ; alertes ; revue d'échantillons | Très élevée |
| 4. L'agent agit seul, supervision a posteriori | Surveillance continue du comportement ; arrêt d'urgence testé ; revue indépendante ; périmètre strictement borné | Maximale, à réserver aux cas où l'erreur est bornée |
AI Act et RGPD : ce qui s'applique aux agents
Le règlement européen sur l'IA ne crée pas de catégorie « agent » : ses obligations dépendent de la finalité de l'usage et de son niveau de risque, comme pour tout système d'IA. Un agent qui trie des offres de fournisseurs n'appelle pas les mêmes obligations qu'un agent qui évalue des candidatures ou des demandes de crédit, usages relevant de l'annexe III.
Le calendrier a été modifié en juillet 2026 par le règlement (UE) 2026/1744, dit « omnibus IA », publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026.
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Pratiques d'IA interdites (déjà en vigueur) |
| 2 août 2025 | Obligations applicables aux modèles d'IA à usage général (déjà en vigueur) |
| 2 août 2026 | Obligations de transparence : informer les personnes qu'elles interagissent avec un système d'IA, étiqueter certains contenus générés ou hypertruqués |
| 2 décembre 2026 | Fin d'un délai de grâce de quatre mois pour certaines obligations de marquage lisible par machine des contenus générés, pour les systèmes déjà commercialisés ; deux nouvelles interdictions (imagerie intime non consentie, contenus d'abus sexuels sur mineurs générés par IA) |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III (emploi, crédit, éducation, application de la loi, infrastructures critiques…), reportés du 2 août 2026 |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés (annexe I : dispositifs médicaux, machines, jouets…) |
Ce report ne suspend pas le travail de conformité : les obligations de transparence et celles sur les modèles à usage général s'appliquent déjà ou sont imminentes, et les systèmes à haut risque exigent des mois de préparation (documentation technique, gestion des risques, supervision humaine, qualité des données). Selon les analyses publiées après l'adoption, les nouvelles dates sont fixes : le mécanisme conditionnel proposé initialement a été abandonné.
Côté données personnelles, trois points reviennent systématiquement : l'article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou affectent significativement la personne ; une analyse d'impact est requise pour les traitements à risque élevé ; et le principe de minimisation s'applique à ce que l'agent lit, car ce qui entre dans son contexte est traité.
Gouverner : registre, rôles, revue
- Un registre des agents, prolongement du registre des systèmes d'IA décrit dans notre analyse sur les cas d'usage IA : finalité, propriétaire métier, propriétaire technique, outils et droits, données accessibles, niveau d'autonomie, classe de risque AI Act, indicateurs, date de dernière revue.
- Des rôles clairs : sponsor métier, propriétaire de l'agent, sécurité, délégué à la protection des données, conformité, exploitation. Chacun sait de quoi il répond.
- Une revue périodique : performance, incidents et quasi-incidents, évolutions réglementaires, décision de maintenir, corriger ou retirer l'agent.
- Un processus d'incident : qualification, arrêt d'urgence, analyse, retour d'expérience, information des personnes concernées lorsque la réglementation l'exige.
- Une gestion du changement : tout changement de modèle, d'instruction système, d'outil ou de droit déclenche les tests de non-régression avant mise en production.
Conclusion : un agent est un acteur du système d'information
Traiter un agent comme un simple logiciel conduit à lui donner trop de droits et trop peu de supervision. Le traiter comme un nouvel acteur du SI (avec une identité, des droits minimaux, un journal, un responsable et une revue) permet d'avancer vite sans perdre le contrôle. C'est l'objet de la gouvernance : rendre l'autonomie acceptable, niveau par niveau, pour l'entreprise comme pour ses régulateurs.
Questions fréquentes
Un agent IA relève-t-il de l'AI Act ?
Oui, comme tout système d'IA mis sur le marché ou utilisé dans l'Union européenne, mais le règlement ne prévoit pas de catégorie spécifique pour les agents. Les obligations dépendent de la finalité et du niveau de risque de l'usage (pratique interdite, haut risque, obligation de transparence, risque minimal) ainsi que du rôle de l'organisation, fournisseur ou déployeur.
Que change l'« omnibus IA » de juillet 2026 ?
Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, reporte l'application des obligations relatives aux systèmes d'IA à haut risque au 2 décembre 2027 pour ceux de l'annexe III et au 2 août 2028 pour ceux de l'annexe I. Il ne reporte ni les obligations de transparence, ni celles applicables aux modèles d'IA à usage général.
Qu'est-ce que l'injection de prompt indirecte ?
C'est une attaque dans laquelle des instructions malveillantes sont dissimulées dans un contenu que l'agent va lire : e-mail, page web, document, réponse d'un outil. Le modèle ne distingue pas de façon fiable les données des instructions, et l'agent peut alors suivre la consigne de l'attaquant avec ses propres droits. D'où l'importance de limiter ces droits et de valider les actions sensibles en dehors du modèle.
Faut-il une identité distincte pour chaque agent ?
Oui. Sans identité propre, il est impossible d'attribuer une action à un agent, de limiter ses droits ou de les révoquer sans interrompre d'autres systèmes. Chaque agent doit disposer de ses propres identifiants, à durée de vie courte et à portée minimale, plutôt que d'emprunter un compte de service partagé ou les droits étendus d'un utilisateur.
Sources et repères
Les éléments chiffrés et datés de cette analyse ont été vérifiés auprès des sources ci-dessous en octobre 2026. Le calendrier réglementaire est une synthèse à visée d'information, qui ne constitue pas un avis juridique : il convient de se référer au texte consolidé et à son conseil. Le sujet évolue vite : en cas d'écart avec une source primaire, c'est celle-ci qui fait foi.
- OWASP GenAI Security Project — Top 10 for Agentic Applications for 2026 — publié le 9 décembre 2025
- Simon Willison — The lethal trifecta for AI agents — 16 juin 2025
- Model Context Protocol — Spécification : sécurité et confiance — consentement, sécurité des outils
- Model Context Protocol — Spécification 2026-07-28, principaux changements — autorisation, trace OpenTelemetry, dépréciations
- Linux Foundation — A2A : plus de 150 organisations et première version stable — cartes d'agent signées, 9 avril 2026
- National Law Review — EU Digital Omnibus on AI enters into force — règlement (UE) 2026/1744 ; nouvelles dates
- White & Case — EU AI Omnibus enters into force, amending the AI Act — analyse juridique du texte adopté