Au-delà de l’humain : la sécurisation de l’IA agente et des identités non humaines dans un monde dominé par les failles

Si vous avez été près d’un SOC d’entreprise au cours des 18 derniers mois, vous l’avez vu. Les alertes qui ne correspondent pas à une personne. Les informations d’identification qui appartiennent à « quelque chose », et non à « quelqu’un ». L’automatisation qui se déplace plus rapidement que votre livre de jeu IR peut suivre.

Et récemment, ce n’est pas seulement du bruit, c’est la cause profonde des plus gros titres de notre industrie. De l’incident de cybersécurité de Victoria’s Secret qui a perturbé les ventes et déclenché un recours collectif, aux compromissions de systèmes de cloud multi-locataires qui ont exposé des données sensibles à travers les clients, un nombre croissant de failles proviennent maintenant d’identités que nous ne pouvons pas voir, que nous ne suivons pas ou que nous comprenons à peine.

L’essor de l’IA agente, des systèmes autonomes qui peuvent agir sur des applications, des API et des infrastructures, a collided avec l’explosion des identités non humaines (INH), notamment les comptes de service, les bots, les clés API et les informations d’identification de machine. Ensemble, ils ont créé une nouvelle surface d’attaque qui s’étend plus rapidement que la plupart des organisations ne peuvent la sécuriser.

Ce que nous entendons par « IA agente »

L’IA agente fait référence à des « agents » d’IA qui peuvent prendre des objectifs et exécuter des tâches multétapes de manière autonome, souvent sur plusieurs systèmes, sans surveillance humaine.

• Peut appeler des API, mettre à jour des bases de données ou déclencher des flux de travail.

• Fonctionne à la vitesse de la machine – en secondes, et non en minutes.

• Risques : injection de prompt, données de formation empoisonnées, informations d’identification volées.

L’échelle à laquelle nous sommes confrontés

Les identités de machine dépassent déjà en nombre les humains dans la plupart des entreprises, dans certains cas dans un rapport de 20:1 ou plus. D’ici 2026, ce ratio devrait pratiquement doubler. Ces INH se trouvent dans vos charges de travail cloud, vos pipelines CI/CD et vos intégrations API, et elles alimentent maintenant l’automatisation basée sur les LLM.

Le défi : la plupart des systèmes IAM ont été conçus pour gérer les personnes, et non les machines.

• Comptes sans propriétaire clair.

• Informations d’identification statiques qui n’expirent jamais.

• Privilèges bien au-delà de ce qui est nécessaire.

Ce n’est pas hypothétique. Les failles chez Uber et Cloudflare ont été retracées jusqu’à des comptes de machine compromis – le type qui n’a jamais de simulations de phishing mais peut déverrouiller des infrastructures critiques.

IA agente : un multiplicateur de force pour les risques

D’une part, l’IA agente est un changement de jeu opérationnel. D’autre part, si son accès est compromis, vous avez une automatisation qui fonctionne pour l’adversaire.

Considérez :

• Un agent d’IA avec des droits de lecture/écriture sur les applications SaaS pourrait automatiser le vol de données sans déclencher la détection d’anomalies centrée sur l’humain.

• Si cet agent peut modifier les rôles IAM ou déployer des ressources cloud, vous avez une escalade de privilèges en pilotage automatique.

• Les attaques par injection de prompt et l’empoisonnement de modèle signifient que les attaquants peuvent rediriger un agent d’IA sans voler ses informations d’identification.

Nous avons vu à quel point un compte de service mal géré peut être dangereux. Maintenant, donnez à ce compte la capacité de prendre des décisions, et les enjeux sont multipliés.

Études de cas : analyse des failles dans l’ère de l’IA + INH

Victoria’s Secret (mai 2025)
Au cours du week-end de la fête des Mères, Victoria’s Secret a fermé son site Web américain et certains services en magasin dans ce qui semblait être un incident de type rançongiciel (The Hacker News, Bitdefender). La panne a duré des jours et a contribué à une baisse estimée de 20 millions de dollars du chiffre d’affaires du deuxième trimestre. Un recours collectif subséquent allègue que le détaillant a omis de chiffrer les données sensibles, a sauté des audits de sécurité critiques et a négligé la formation à la cybersécurité des employés (Top Class Actions), tous des lacunes qui reflètent les faiblesses souvent observées dans les identités non humaines (INH) ayant un accès privilégié.

Breach de Salesforce de Google (juin 2025)
En juin, des attaquants liés au groupe ShinyHunters (UNC6040) ont accédé à une instance CRM Salesforce d’entreprise via des techniques de vishing (ITPro). Une fois à l’intérieur, ils ont exfiltré des données de contact appartenant à des clients PME. Même si cela a commencé par une ingénierie sociale ciblant les humains, le point de pivot a été une application connectée – une forme d’identité de machine – qui a permis aux intrus de se déplacer latéralement sans déclencher les analyses de comportement des utilisateurs.

Pannes de détaillants et de marques de luxe (M&S, Cartier, The North Face)
Une vague d’attaques contre de grands détaillants, notamment The North Face et Cartier, a exposé les noms de clients, les adresses e-mail et des métadonnées de compte sélectionnées (Sangfor, WSJ). Marks & Spencer a été particulièrement touché, une attaque de rançongiciel et de chaîne d’approvisionnement attribuée au groupe « Scattered Spider » a perturbé les services de retrait en magasin pendant plus de 15 semaines et est estimée avoir coûté au détaillant jusqu’à 300 millions de livres sterling. Dans chaque cas, les intégrations de tiers et les connexions API, souvent soutenues par des INH, sont devenues des facilitateurs silencieux pour les attaquants.

Qu’est-ce qu’une identité non humaine (INH) ?

Les INH sont des informations d’identification et des comptes utilisés par des machines, et non par des personnes. Exemples :

• Comptes de service pour les bases de données ou les applications.

• Clés API pour l’intégration cloud-à-cloud.

• Informations d’identification de bot pour les scripts d’automatisation.

Risques : Sur-privilegiés, sous-surveillés et souvent laissés actifs longtemps après utilisation.

Pourquoi la gouvernance est en retard

Même les programmes IAM matures rencontrent des obstacles ici :

• Lacunes de découverte – De nombreuses organisations ne peuvent pas produire un inventaire complet d’INH.

• Négligence du cycle de vie – Les INH persistent souvent pendant des années, sans examen régulier.

• Vides de responsabilité – Sans propriétaire humain, le nettoyage passe entre les mailles du filet.

• Crépitation des privilèges – Les autorisations s’accumulent à mesure que les rôles changent, mais la révocation est en retard.

Ceci est le même problème que nous avons combattu avec les comptes humains pendant des décennies – seulement maintenant, chaque INH peut fonctionner 24 heures sur 24, à l’échelle, sans déclencher les contrôles de risque « humains ».

Un livre de jeu neutre pour la sécurisation des INH et des agents d’IA

1. Découverte complète – Cartographiez chaque INH et agent d’IA, y compris les privilèges, les propriétaires et les intégrations.

2. Attribuez des propriétaires humains – Rendez quelqu’un responsable du cycle de vie de chaque INH.

3. Enforcez le principe du moindre privilège – Faites correspondre les autorisations à l’utilisation réelle ; supprimez l’excès.

4. Automatisez l’hygiène des informations d’identification – Faites pivoter les clés, utilisez des jetons à durée de vie courte, expirez automatiquement les comptes inactifs.

5. Surveillance continue – Détection d’anomalies comme des appels d’API inattendus ou des escalades de privilèges.

6. Intégration de la gouvernance de l’IA – Traitez les agents d’IA comme des administrateurs à privilèges élevés : enregistrez l’activité, appliquez les politiques, activez l’accès juste-à-temps.

(Ces étapes sont conformes au NIST CSF, CIS Control 5, et les meilleures pratiques émergentes Gartner IVIP.)

Pourquoi cela doit se produire maintenant

Ce n’est pas juste à propos de la poursuite d’une tendance de l’IA. C’est à propos de la reconnaissance du fait que le périmètre d’identité est passé des personnes aux processus. Les attaquants le savent. Si nous continuons à traiter les identités de machine comme une après-pensée, nous donnons aux adversaires le point aveugle dont ils ont besoin pour opérer sans être détectés.

Les équipes qui resteront en tête sont celles qui font de la gouvernance des INH et des agents une composante de premier plan de la sécurité des identités, avec une visibilité, une propriété et une discipline de cycle de vie en place avant que la prochaine faille ne force la question.