Ce que les agents IA peuvent nous apprendre sur la gouvernance des identités non humaines
L’intelligence artificielle (IA) est un domaine vaste avec de nombreuses applications pratiques. Au cours des dernières années, nous avons observé une croissance explosive de l’IA générative, propulsée par des systèmes interactifs qui aident les développeurs à écrire du code et les utilisateurs à créer du contenu. Plus récemment, nous avons également vu l’émergence de l’« IA agentique », où des orchestrateurs coordonnent des actions à travers un ou plusieurs agents IA pour effectuer des tâches au nom d’un utilisateur.
Une réalité plus simple
Les systèmes IA, peu importe leur déploiement, sont simplement des processus exécutés sur des machines. Ils peuvent vivre sur un ordinateur portable, dans un conteneur, à l’intérieur d’une machine virtuelle ou profondément dans un environnement cloud. Fondamentalement, ils sont des logiciels exécutant des instructions, même si ces instructions sont probabilistes plutôt que codées de manière déterministe. Comme tout autre sous-système que nous avons construit, ils nécessitent un moyen de communiquer en toute sécurité.
Les défis de la sécurité
En adoptant rapidement l’IA agentique, nous répétons une erreur familière. Nous nous concentrons sur la capacité et la vitesse tout en laissant la sécurité et la gouvernance des identités non humaines (INH) comme une réflexion après coup. Cela crée une lacune qui existe depuis des années avec les systèmes d’intégration continue, les tâches en arrière-plan et les comptes de service. L’IA agentique n’invente pas cette lacune, mais elle l’élargit rapidement.
La confiance décide de tout
La sécurité dans tout système, qu’il s’agisse d’un chatbot ou d’un agent d’intégration continue, se résume finalement à la confiance. Qui fait la demande ? Que peut-il faire ? Et sous quelles conditions spécifiques ? Les architectures modernes se concentrent sur le « zéro confiance », mais beaucoup de ces systèmes s’appuient encore sur un facteur fragile pour l’accès : des secrets à long terme, souvent sous forme de clés API ou de certificats non expirants.
La gouvernance des INH
Les INH sont définies comme tout ce qui n’est pas humain mais qui s’authentifie et se connecte à d’autres systèmes en fonctionnement. Cela inclut des bots, des scripts et des comptes de service. L’IA agentique ne change pas cette réalité fondamentale. Chaque entité accédant à un système doit être prouvable, attribuable et contrainte.
Les agents dans les pipelines CI
Les pipelines d’intégration continue ne sont plus de simples scripts de construction. Ils sont devenus complexes, reliant des dépendances et passant par des processus de test et de révision. Si un agent peut lire un échec de construction, modifier du code et ouvrir une demande de tirage, il a besoin d’accès à des dépôts et à des journaux de construction, ce qui présente des risques de sur-autorisation.
Les agents dans le terminal
Dans les terminaux, le risque est moins glamour mais plus commun. Les terminaux sont pleins de confiance implicite, ce qui peut mener à des fuites de secrets. Les agents peuvent agir rapidement, ce qui augmente les chances d’exposition accidentelle à moins que des garde-fous soient en place.
Les agents dans le navigateur
Dans les navigateurs, les enjeux sont plus élevés car les agents peuvent agir au sein de sessions authentifiées. Cela soulève des questions sur l’identité utilisée, les permissions accordées et la possibilité de reconstruire les actions réalisées.
Gouvernance et inventaire
Traiter les INH avec rigueur semble évident jusqu’à ce que l’on essaie de le faire. Cela commence par comprendre ce que l’on a déjà. L’inventaire est incontournable. Il n’y a pas de raccourci autour de la comptabilité des identifiants, services, agents et automatisations existants.
Responsabilité et accès
Si un agent peut accéder à un système, cet accès a été provisionné par quelqu’un. Le défi de gouvernance est de garantir que chaque chemin d’accès dispose d’un propriétaire nommé, d’une portée de moindre privilège, d’une auditabilité et d’un processus de rotation/révocation.
Conclusion
L’IA agentique est une fonction de pression. Elle met en lumière les échecs d’identité que nous avons tolérés pendant des années. Toute entité capable d’agir en votre nom doit être traitée avec le même sérieux que l’accès humain. La transformation nécessitera du temps, mais elle doit être planifiée et alignée sur une stratégie partagée pour éviter d’accélérer les mêmes échecs que nous avons connus.
