Microsoft ajoute des agents Guardian à Project Perception pour contrer les risques liés aux menaces internes impliquant l’IA

Le 19 octobre 2026, Microsoft a annoncé de nouvelles fonctionnalités de sécurité dans Project Perception et Microsoft 365 E7. Celles-ci considèrent les agents d’IA d’entreprise comme des menaces internes potentielles et introduisent des agents Guardian qui supervisent en continu leurs actions, ainsi que des contrôles stratégiques qui adaptent les actions autorisées à chaque agent en fonction de l’évolution de son niveau de risque.

Nadim Abdo, vice-président d’entreprise chargé de l’identité et de l’accès réseau chez Microsoft, a écrit que les agents d’IA prennent en charge une part croissante des tâches quotidiennes et ont souvent besoin d’accéder aux données, aux applications, aux outils et aux autres agents de l’entreprise pour être utiles. Il a ajouté que ces mêmes accès, qui rendent les agents utiles, créent aussi des risques liés aux menaces internes : les agents peuvent être manipulés, commettre des erreurs ou être compromis, et fonctionner en continu à la vitesse des machines.

Abdo a déclaré que Microsoft étend Project Perception — lancé en juillet 2026 avec des équipes d’agents rouges, bleus et verts destinées à contrer les attaques pilotées par l’IA provenant de l’extérieur de l’entreprise — afin de sécuriser les agents qui fonctionnent désormais en son sein. Project Perception et Microsoft Agent 365 partagent des signaux, du contexte et un registre unifié, afin que les équipes informatiques et de sécurité aient la même vision des agents et des risques qu’ils présentent. Microsoft décrit quatre responsabilités permanentes pour le système : savoir quels agents existent, limiter ce à quoi chaque agent peut accéder et ce qu’il peut faire avant qu’il agisse, protéger les données, les outils et les systèmes sur son parcours, et adapter les protections à l’évolution de son comportement, du contexte et des risques.

Dans un article complémentaire publié sur The Official Microsoft Blog, Hayete Gallot, dont les responsabilités chez Microsoft couvrent l’identité, la protection contre les menaces, la conformité et la sécurité des données, a écrit que les entreprises déploient des agents en interne et leur font donc implicitement confiance, alors même que ces agents disposent souvent de privilèges excessifs et ont accès à des données, à des outils et à des systèmes. Elle les a qualifiés d’« initiés autonomes » et a déclaré que leur confinement nécessitera des agents Guardian chargés de superviser et de modérer chaque action des agents, 24 heures sur 24 et avant qu’elle ne se produise. Elle a ajouté que la même pile de cybersécurité que celle qui sous-tend Project Perception peut aussi être utilisée en interne pour gérer et gouverner les agents fonctionnant au sein de l’entreprise, en encadrant par des règles l’intelligence des modèles, dont le comportement est imprévisible.

Découverte, identité et confinement

Microsoft étend la découverte des agents à 35 types supplémentaires d’agents locaux, portant à 60 le nombre total d’agents locaux pris en charge, notamment Claude Code, OpenAI Codex et GitHub Copilot. Les organisations peuvent intégrer ces agents à un registre unifié, quelle que soit la manière dont ils ont été découverts, afin de comprendre leur propriété, leur activité et les risques qu’ils présentent.

Microsoft étend également Microsoft Entra Agent ID en ajoutant des types d’identité pour d’autres catégories d’agents, notamment les agents locaux et ceux, jusqu’alors inconnus, détectés par les capteurs de sécurité. Un agent peut ainsi devenir une cible des règles, même s’il n’a pas été initialement intégré à Microsoft Security. Abdo a écrit qu’une identité d’agent de première classe permet d’ancrer l’attribution, l’autorisation, le cycle de vie, la propriété, les permissions, les règles et l’évaluation des risques, afin que l’entreprise puisse distinguer les actions d’une personne de celles d’un agent agissant pour son compte.

Pour le confinement, Microsoft a indiqué que les environnements isolés, comme Microsoft Execution Container (MXC), donnent aux agents un accès aux ressources nécessaires à une tâche, contrôlé par des règles, et créent une frontière d’application des contrôles située hors de portée de l’agent. Ainsi, un agent ou un environnement d’exécution compromis ne peut pas désactiver les contrôles qui le surveillent. De même, les agents ne devraient pas pouvoir appeler librement n’importe quel outil, API, serveur Model Context Protocol, ressource ou autre agent qu’ils trouvent, a écrit Abdo. Des contrôles locaux, réseau et de données doivent encadrer ces accès, surveiller les appels et faire appliquer les règles de l’entreprise.

Les nouvelles autorisations dynamiques ne confèrent aucun droit à un agent au départ et ne lui accordent que des permissions limitées à une tâche et à une durée déterminées. Les règles de l’organisation fixent les limites générales, notamment en empêchant un agent d’obtenir des pouvoirs dont son utilisateur ne dispose pas. Les actions ayant des conséquences importantes peuvent nécessiter l’approbation vérifiée d’une personne.

Évaluation dynamique des risques et agents Guardian

L’évaluation dynamique des risques liés aux agents combine les signaux provenant de l’activité de l’agent lui-même avec ceux de l’identité, des données, des terminaux, du cloud, du réseau et de l’environnement d’exécution. Elle tient compte de la configuration de l’agent, des ressources auxquelles il peut accéder, des dommages qu’une défaillance pourrait causer et de tout écart entre ses actions et les intentions de l’utilisateur ou de l’organisation. Microsoft a décrit le résultat comme une évaluation constamment actualisée du niveau de risque auquel l’agent est exposé, qui indique si les pouvoirs dont il dispose restent adaptés à ce niveau.

L’accès conditionnel dynamique étend Microsoft Entra Conditional Access aux agents, de sorte qu’une évolution du niveau de risque puisse déclencher une action coordonnée à plusieurs points d’application. La réponse est graduée : une règle peut maintenir l’accès en lecture d’un agent tout en bloquant les écritures, restreindre les données et les ressources auxquelles il peut accéder, limiter les connexions réseau, réduire la durée ou révoquer les accès temporaires, diminuer ses permissions ou exiger une approbation humaine vérifiable avant qu’une étape lourde de conséquences puisse être exécutée. Aux niveaux de risque les plus élevés, le système peut isoler l’environnement d’exécution de l’agent ou interrompre complètement son exécution. Abdo a donné l’exemple d’un agent chargé d’approuver des notes de frais qui rencontre une injection de prompt dans un document externe : de nouveaux éléments font augmenter son niveau de risque dynamique, et les règles préservent alors son accès en lecture tout en lui retirant la possibilité d’approuver ou d’écrire. Une approbation humaine vérifiable par des moyens cryptographiques est exigée pour toute étape à fort impact.

Microsoft introduit également des Playbooks et une équipe de Guardian Agents dans Project Perception : les personnes définissent les politiques, les limites d’approbation et les règles de délégation ; les Playbooks déterminent les résultats de sécurité souhaités et coordonnent les mesures de protection ; les Guardian Agents exécutent les tâches à la vitesse des machines. Terrell Cox, vice-président d’entreprise de Microsoft et directeur adjoint de la sécurité des systèmes d’information chargé de la sécurité des clients, a déclaré que Microsoft évolue déjà, en tant que Customer Zero, dans un monde comptant des centaines de milliers d’agents, et que les enseignements tirés de cette expérience éclairent directement les fonctionnalités actuellement déployées.

Microsoft a indiqué qu’elle intégrait le raisonnement étape par étape et d’autres signaux issus des modèles à Dynamic Agent Risk, afin de contribuer à repérer les dérives d’intention, à détecter quand des informations non fiables influencent le raisonnement d’un agent et à déterminer quand les actions prévues s’écartent de la tâche assignée, tout en maintenant l’application des mesures indépendante du modèle. « Le système agentique le plus digne de confiance ne sera pas celui dont nous jugeons le modèle le plus digne de confiance », a écrit le président-directeur général Satya Nadella dans des remarques citées dans l’annonce publiée sur le blog Microsoft Security. « Ce sera celui qui est conçu de façon à nous permettre de faire le moins confiance au modèle. »

Présentation de Microsoft 365 E7 et d’Agent 365

Le blog Microsoft Security présente l’annonce du 19 octobre comme l’ajout de nouvelles fonctionnalités à Microsoft 365 E7 et Project Perception. Microsoft a détaillé cette offre groupée dans un article publié en mars 2026 sur le blog Security. Microsoft 365 E7: The Frontier Suite est passé en disponibilité générale le 1er mai 2026, au prix public de 99 $ par utilisateur et par mois. Il comprend Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite et Microsoft 365 E5, avec les fonctionnalités avancées de Defender, Entra, Intune et Purview. Microsoft Agent 365, le plan de contrôle permettant d’observer, de gouverner et de sécuriser les agents à l’échelle d’une organisation, est passé en disponibilité générale le même jour, au prix de 15 $ par utilisateur et par mois.