Gouvernance de l’IA axée sur l’identité : Sécuriser la main-d’œuvre agentique
Les agents d’IA opèrent désormais au sein des systèmes de production, interrogeant des bases de données, mettant à jour des systèmes de gestion et executant des logiques commerciales de manière autonome. Dans de nombreuses entreprises, ils s’authentifient en utilisant des clés API statiques ou des identifiants partagés plutôt que des identités distinctes dans le système d’identité de l’entreprise.
Risques de gouvernance liés aux identifiants partagés
L’authentification des systèmes autonomes par des identifiants partagés entraîne de réels risques de gouvernance. Lorsqu’un agent exécute une action, les journaux attribuent souvent cette action à une clé de développeur ou à un compte de service au lieu d’un acteur autonome clairement défini. Cela rend l’attribution ambiguë et affaiblit le principe du moindre privilège. La révocation peut nécessiter de faire tourner des identifiants ou de modifier du code, plutôt que de désactiver une identité gouvernée. Dans un environnement non déterministe, ce délai ralentit l’enquête et la maîtrise.
Les identifiants partagés transforment les systèmes autonomes en « identités fantômes » : des acteurs opérant dans la production sans une identité distincte et gouvernée dans le répertoire de l’entreprise.
Considérations de gouvernance pour les systèmes autonomes
La plupart des organisations disposent de mécanismes de surveillance et de garde-fous en place. Cependant, le problème est structurel. Les systèmes autonomes fonctionnent en dehors de la gouvernance d’identité de premier plan au sein du même plan de contrôle qui sécurise les utilisateurs humains. Pour combler cette lacune, il est nécessaire d’aligner les agents avec le modèle d’identité qui gouverne la main-d’œuvre, en veillant à ce que chaque acteur autonome soit traçable, avec des permissions définies et révoquées de manière centralisée.
Le changement stratégique : Gouvernance axée sur l’identité
La lacune de gouvernance créée par les identités fantômes ne peut pas être résolue par une surveillance supplémentaire. Cela nécessite un changement structurel dans la manière dont les systèmes autonomes sont gouvernés. Lorsque les systèmes peuvent récupérer des données de manière dynamique, générer des résultats probabilistes et exécuter des actions sur des plateformes d’entreprise, ils ne sont plus simplement des applications. Ils deviennent des acteurs opérationnels. La gouvernance doit en tenir compte.
La gouvernance axée sur l’identité considère les systèmes autonomes comme des identités de premier plan au sein du même répertoire qui gouverne les utilisateurs humains. Chaque agent reçoit une identité distincte, des permissions clairement définies et une attribution d’activité auditable.
Principes de gouvernance pour l’IA agentique
À mesure que les systèmes autonomes entrent dans les environnements de production, la gouvernance doit devenir explicite. Au minimum, trois principes sont essentiels :
1. Éliminer les identifiants statiques
Les systèmes autonomes ne doivent pas s’authentifier par des clés API à long terme ou des comptes de service partagés. Les agents de production doivent utiliser des identifiants à durée de vie courte, contrôlés par des politiques, liés à une identité gouvernée.
2. Auditer l’acteur, pas la plateforme
Les journaux de sécurité doivent attribuer les actions à des identités autonomes spécifiques, et non à des services génériques ou des clés de développeur. Dans les systèmes non déterministes, la visibilité au niveau de la plateforme est insuffisante.
3. Centraliser l’autorité de révocation
Les équipes de sécurité doivent pouvoir restreindre ou désactiver un système autonome par le biais du plan de contrôle d’identité principal. La maîtrise ne doit pas dépendre de modifications de code, de rotation d’identifiants ou de redéploiements.
Conclusion
Les systèmes autonomes deviennent des acteurs visibles au sein du même plan d’identité qui sécurise les utilisateurs humains. Plutôt que d’introduire une pile de sécurité IA parallèle, les organisations peuvent étendre les contrôles qu’elles opèrent déjà pour inclure les systèmes autonomes. L’identité devient le fondement de l’attribution, du moindre privilège, de la surveillance et de la révocation centralisée. Lorsque les agents opèrent au sein du répertoire de l’entreprise, la supervision évolue avec l’innovation.
