Comment les agents IA transforment la gestion des identités et des accès en entreprise

La gestion des identités et des accès en entreprise a traditionnellement été conçue autour des personnes.

Un employé se connecte, prouve son identité, obtient des accès en fonction de son rôle et les utilise pour effectuer une tâche. Les équipes chargées des identités gèrent les autorisations de l'utilisateur, les équipes de sécurité surveillent l'activité et les accès sont réévalués périodiquement.

Ce modèle fonctionnait relativement bien lorsque les humains étaient les principaux acteurs d'une organisation.

Les agents IA remettent cette hypothèse en question.

Les agents IA modernes peuvent faire bien plus que générer du texte ou répondre à des questions. Ils peuvent interagir avec des applications, appeler des API, récupérer des informations, utiliser des outils d'entreprise et exécuter des processus en plusieurs étapes.

Dans certains environnements, ils peuvent fonctionner en continu avec une intervention humaine limitée.

Cela crée un nouveau problème d'identité.

La question n'est plus seulement « Qui a accès ? »

Les organisations doivent également se demander : ce que l'agent IA est autorisé à faire, pourquoi il le fait, quelle identité il utilise et combien de temps cet accès doit rester disponible ?

NIST a récemment mis en lumière ce défi, en soulignant que les entreprises déploient rapidement des systèmes d'IA agentique alors que les garde-fous de sécurité traditionnels pourraient ne pas suffire face aux nouveaux risques créés par les systèmes autonomes.

Cela ne signifie pas que la gestion traditionnelle des identités et des accès devient obsolète. Les entreprises doivent plutôt étendre la sécurité des identités pour tenir compte d'une nouvelle catégorie d'acteurs numériques.

Les agents IA ne sont pas des comptes de service traditionnels

Les organisations gèrent depuis des années des identités non humaines.

Les comptes de service, les clés API, les identités d'application et les identités de charge de travail accèdent déjà aux systèmes d'entreprise sans qu'une personne se trouve derrière chaque requête.

Les agents IA introduisent une différence importante.

Un compte de service traditionnel exécute généralement une fonction définie. Un agent IA peut interpréter des instructions, choisir des outils, récupérer des informations et potentiellement décider des actions à entreprendre pour atteindre un objectif.

Cela crée davantage de variabilité.

Prenons par exemple un agent IA interne conçu pour aider une équipe financière.

L'agent pourrait être autorisé à :

• Lire des rapports financiers
• Rechercher dans un référentiel documentaire interne
• Récupérer des informations sur les clients
• Créer des rapports
• Envoyer des informations à une autre application

La question de la sécurité se complique si ce même agent peut également modifier des enregistrements, approuver des transactions ou accéder à des données sensibles sur les clients.

Accorder à l'agent de larges autorisations simplement parce qu'il doit accomplir ses tâches peut créer un risque inutile.

C'est pourquoi les agents IA ne doivent pas simplement hériter du même modèle d'accès que celui utilisé pour les applications traditionnelles.

La gestion traditionnelle des identités et des accès répond à la question « qui ? », mais les agents ajoutent la question « pourquoi ? »

La gestion traditionnelle des identités et des accès met fortement l'accent sur l'identité et les accès.

Un utilisateur s'authentifie, le système détermine les ressources auxquelles il est autorisé à accéder et les règles définissent ce qu'il peut faire.

Les agents IA nécessitent une couche de contexte supplémentaire.

Imaginons qu'un agent ait l'autorisation d'accéder à une base de données clients.

Cela ne signifie pas nécessairement que toutes les opérations sur la base de données devraient être autorisées.

Le système de sécurité peut également devoir comprendre :

• Qui a lancé la tâche ?
• Qu'essaie d'accomplir l'agent ?
• Quelle application ou quel outil est utilisé ?
• Quelles informations sont demandées ?
• Quel est le niveau de sensibilité de ces informations ?
• La requête est-elle cohérente avec le comportement habituel de l'agent ?
• Combien de temps l'autorisation doit-elle rester active ?

Cela fait évoluer la sécurité des identités vers des décisions d'accès tenant compte du contexte et de l'intention.

Des recherches récentes sur l'identité agentique ont également mis en évidence l'écart entre les modèles traditionnels de gestion des identités et des accès et les agents qui fonctionnent à la vitesse des machines en utilisant des identités non humaines et des autorisations déléguées.

La croissance des identités non humaines transforme le paysage de la gestion des identités et des accès

Les équipes chargées des identités en entreprise doivent déjà gérer un nombre croissant d'identités non humaines.

Charges de travail cloud, applications, API, plateformes d'automatisation et comptes de service peuvent tous nécessiter des identifiants.

Les agents IA ajoutent une nouvelle catégorie.

Une organisation pourrait à terme compter des centaines ou des milliers d'agents remplissant différentes fonctions dans des applications SaaS, des environnements cloud et des systèmes internes.

Cela crée plusieurs problèmes pratiques.

1. Inventaire des identités

Les équipes de sécurité doivent savoir quels agents IA existent.

Cela semble simple, mais les systèmes d'IA peuvent être créés par différentes unités opérationnelles, équipes de développement et employés individuels.

Une organisation ne peut pas sécuriser efficacement des identités dont elle ignore l'existence.

2. Propriété

Chaque agent doit avoir un responsable désigné.

Si un agent IA a accès à des informations sensibles, quelqu'un doit être chargé d'approuver cet accès et de vérifier qu'il reste nécessaire.

3. Gestion des autorisations

Les agents doivent recevoir uniquement les autorisations dont ils ont besoin.

Un agent qui lit des dossiers clients ne doit pas automatiquement obtenir l'autorisation de les supprimer.

4. Gestion des identifiants

Les identifiants à longue durée de vie créent un risque supplémentaire.

Lorsque cela est possible, les organisations devraient envisager des identifiants à courte durée de vie, des identités de charge de travail et d'autres mécanismes qui réduisent les accès permanents inutiles.

5. Surveillance de l'activité

La gestion des identités ne peut pas s'arrêter à l'authentification.

Les équipes de sécurité doivent savoir ce que font réellement les agents après avoir obtenu un accès.

Le principe du moindre privilège devient encore plus important

Le principe du moindre privilège a toujours été un principe de sécurité important.

Les agents IA le rendent encore plus important, car ils peuvent fonctionner rapidement et de manière répétée.

Un utilisateur humain peut commettre une erreur en effectuant une tâche. Un système autonome pourrait potentiellement répéter la même erreur sur des centaines ou des milliers d'enregistrements.

Prenons le cas d'un agent IA ayant accès au CRM d'une entreprise.

S'il doit uniquement mettre à jour des coordonnées, lui donner l'autorisation d'exporter l'intégralité de la base clients crée une exposition inutile.

Un meilleur modèle limiterait l'agent aux :

• Applications précises
• Données précises
• Actions précises
• Périodes précises
• Finalités professionnelles précises

Cela peut réduire considérablement l'impact potentiel si un agent est compromis ou se comporte de manière inattendue.

Les privilèges permanents créent un nouveau risque

Un autre point important concerne la durée pendant laquelle un agent IA conserve son accès.

Les environnements traditionnels contiennent souvent des comptes de service dont les autorisations restent actives pendant des mois ou des années.

Ce modèle devient de plus en plus préoccupant lorsque l'identité appartient à un système autonome.

Au lieu de se demander uniquement :

« Cet agent doit-il avoir accès ? »

les équipes de sécurité devraient également se demander :

« Cet agent a-t-il besoin d'un accès maintenant ? »

Un accès temporaire ou juste-à-temps peut réduire la durée pendant laquelle un attaquant ou un agent compromis peut exploiter un identifiant.

Il établit également une relation plus claire entre la tâche effectuée et les autorisations nécessaires pour l'accomplir.

L'identité humaine reste importante

La montée en puissance des agents IA ne fait pas disparaître les humains de la chaîne des identités.

Dans de nombreux environnements d'entreprise, un agent agira toujours au nom d'une personne, d'une équipe ou d'un processus métier.

Cette relation doit rester visible.

Par exemple :

Employé → Tâche approuvée → agent IA → Application → Données

Idéalement, les équipes de sécurité devraient pouvoir retracer une action importante tout au long de cette chaîne.

Si un agent IA télécharge des informations sensibles, l'organisation doit pouvoir déterminer quel agent a effectué l'action, ce qui l'a déclenchée, quelles autorisations il a utilisées et, le cas échéant, quelle personne ou quel processus métier a lancé la tâche.

Cela améliore la responsabilisation et facilite l'enquête sur les incidents.

La gestion des identités et les opérations de sécurité doivent fonctionner de concert

L'identité des agents IA ne peut pas être traitée comme un problème relevant uniquement de la gestion des identités et des accès.

Les systèmes d'identité peuvent établir les autorisations, mais les équipes chargées des opérations de sécurité doivent comprendre ce qui se passe lorsque ces autorisations sont utilisées.

C'est là que la télémétrie des identités et la surveillance de la sécurité deviennent de plus en plus connectées.

Une séquence inhabituelle pourrait ressembler à ceci :

1. Un agent IA s'authentifie normalement.
2. Il accède à une application qu'il a déjà utilisée.
3. Il demande soudainement un volume important de données sensibles.
4. Il tente d'accéder à un autre système en dehors de son flux de travail habituel.
5. Ce comportement déclenche une alerte de sécurité.

Aucun des événements d'authentification pris individuellement ne semble suspect.

La séquence pourrait être.

C'est pourquoi les organisations doivent disposer d'une visibilité sur les données relatives aux identités, aux applications, au cloud et aux opérations de sécurité.

Ce que les entreprises devraient faire dès maintenant

Les organisations n'ont pas besoin de repenser entièrement leur architecture IAM du jour au lendemain.

Un point de départ concret consiste à établir des fondations claires.

1. Constituer un inventaire des agents IA

Identifiez les agents IA qui opèrent actuellement dans l'organisation.

Incluez les agents créés par les équipes informatiques, de sécurité, d'ingénierie et métier.

2. Identifier l'identité de chaque agent

Documentez les comptes de service, les identifiants d'API, les identités de charge de travail et les autres mécanismes d'authentification utilisés par chaque agent.

3. Cartographier les autorisations

Déterminez précisément ce à quoi chaque agent peut accéder.

Recherchez spécifiquement les autorisations excessives et les privilèges permanents inutiles.

4. Attribuer la responsabilité

Chaque agent IA en production doit avoir un responsable métier et technique clairement identifié.

5. Réduire les accès permanents

Lorsque cela est possible, utilisez des autorisations à courte durée de vie ou propres à une tâche plutôt qu'un accès permanent et étendu.

6. Surveiller le comportement des agents

Les équipes de sécurité doivent surveiller les authentifications, les accès aux données, les appels d'API et les activités inhabituelles associés aux agents IA.

7. Relier les identités à la réponse aux incidents

Lorsqu'une activité suspecte se produit, les équipes de sécurité doivent pouvoir identifier rapidement l'agent concerné, révoquer ou restreindre son accès et enquêter sur l'activité associée.

8. Examiner les agents IA comme les autres technologies privilégiées

Un agent IA connecté à des systèmes d'entreprise sensibles doit bénéficier du même niveau d'attention en matière de sécurité que les autres identités privilégiées et applications critiques.

L'avenir de la gestion des identités et des accès en entreprise sera plus contextuel

Les agents IA ne remplacent pas nécessairement la gestion traditionnelle des identités et des accès.

Ils en révèlent certaines hypothèses.

Pendant des années, les systèmes d'identité ont été conçus principalement autour d'un comportement humain prévisible. Les utilisateurs se connectent, effectuent des tâches, puis se déconnectent. Les applications ont des fonctions définies. Les comptes de service exécutent des tâches relativement précises.

Les agents IA peuvent fonctionner différemment.

Ils peuvent interpréter des instructions, interagir avec plusieurs systèmes et effectuer des actions à la vitesse des machines.

Par conséquent, la gestion des identités en entreprise devra de plus en plus comprendre non seulement qui ou quoi demande un accès, mais aussi ce que l'acteur tente de faire, ce qu'il est autorisé à faire et si ce comportement reste digne de confiance au moment de l'action.

Les organisations qui s'attaqueront tôt à ce problème seront mieux placées pour adopter l'IA sans transformer les systèmes autonomes en identités privilégiées incontrôlées.

L'objectif ne doit pas être de ralentir l'adoption de l'IA.

Il doit être de veiller à ce que chaque agent IA dispose d'une identité appropriée, d'un accès limité, d'un responsable clairement désigné et d'une surveillance suffisante pour maintenir ses actions dans des limites acceptables.

Dernières réflexions

Les agents IA représentent un changement important dans le paysage des technologies d'entreprise.

Ils peuvent améliorer la productivité et automatiser des flux de travail complexes, mais leur capacité à accéder aux systèmes et à agir de manière autonome introduit une nouvelle dimension à la sécurité des identités.

Les principes traditionnels de la gestion des identités et des accès, tels que l'authentification, l'autorisation et le principe du moindre privilège, restent essentiels. La différence est que les organisations doivent désormais appliquer ces principes à une population croissante d'acteurs pilotés par des machines.

La prochaine étape de la gestion des identités et des accès consistera donc moins à simplement contrôler les connexions qu'à contrôler les identités numériques, les autorisations, l'intention et le comportement dans toute l'entreprise.

À lire également : La veille stratégique sur les menaces à l'ère de l'IA commence par ce que vous avez déjà explique pourquoi les équipes de sécurité devraient donner la priorité aux informations exploitables, aux processus reproductibles et à une automatisation efficace avant d'adopter l'IA agentique dans leurs opérations de sécurité.