if ( !emtpy($headline_subheadline ) ) : ?>
La confiance zéro suppose que tout le monde est un attaquant jusqu’à preuve du contraire. Mais lorsque votre entreprise fourmille d’agents autonomes inconnus, cela s’avère délicat, voire impossible.
endif; ?>
Bien qu’ils chantent depuis de nombreuses années les louanges du Zero Trust, de nombreux RSSI ont du mal à mettre pleinement en œuvre ce cadre. Et maintenant vient ce qui pourrait être le dernier clou : l’IA agentique.
La confiance zéro peut-elle coexister avec des agents autonomes dans des environnements d’entreprise typiques ? Techniquement, oui. En pratique, cela est peu probable, étant donné l’urgence au niveau du PDG et du conseil d’administration d’accélérer la fourniture d’un retour sur investissement agentique. Et c’est un problème important étant donné les récentes démonstrations d’agents autonomes qui se comportent mal et le manque de clarté quant à savoir qui est responsable lorsque les agents d’IA deviennent voyous.
Une partie du problème réside dans une narration familière aux RSSI qui font rapport aux conseils d’administration : « Zéro confiance » est un terme de sécurité ; Le « risque commercial catastrophique » est ce à quoi le conseil d’administration et le PDG réagiront.
« L’entreprise est mesurée en fonction de ce que l’agent a économisé ou produit. La sécurité est mesurée en fonction de tout ce qui se passe en cas de problème », souligne Nik Kale, membre de la Coalition for Secure AI (CoSAI) et du comité du programme AI Security (AISec) d’ACM. « Ils examinent le même agent à travers deux bilans complètement différents. »
Selon Kale, la nature même de l’IA agentique est à l’opposé de la confiance zéro.
« La confiance zéro a été conçue pour évaluer les demandes une par une, ce qui est bien lorsque l’auteur des demandes ne les rassemble pas stratégiquement dans quelque chose de plus grand. Les agents changent cela. Un agent peut être autorisé à lire un document, à interroger une autre source de données, à résumer ce qu’il a trouvé, à l’écrire dans un fichier, à envoyer un e-mail externe, et chacune de ces décisions est correcte en soi. Mettez-les dans cet ordre et vous venez d’autoriser un chemin d’exfiltration », note Kale.
« Un agent peut franchir cinq portes parfaitement légales et se retrouver dans un endroit que l’entreprise n’a jamais autorisé », ajoute-t-il. « En finance, vous pouvez avoir 10 transactions dont chacune se situe en dessous du seuil d’escalade et un total que personne n’aurait signé. »
Selon Kale, la question la plus difficile est de savoir « si la chose qui utilise cette identité aujourd’hui est toujours celle que vous avez approuvée ».
« Mettez à jour le modèle, ajoutez un outil derrière la même interface, laissez la mémoire se remplir de contexte que personne n’a examiné, donnez-lui un délégué, et rien de tout cela ne touche à l’identité », explique-t-il. « La liste indique toujours approuvé. Vous pouvez avoir vendredi une machine sensiblement différente portant le badge que celle que vous avez approuvée lundi. »
Le manque de cette connaissance contextuelle est critique. « Vous devez savoir ce qu’est devenue cette identité, quelle autorité elle véhicule, quelle séquence elle met en place et si le prochain système reconnaît que l’autorité est valide », explique Kale. « Sinon, nous avons pris une liste blanche, lui avons donné un meilleur marketing et l’avons appelé zéro confiance. »
Pourquoi le problème des agents est plus grave
Le zéro confiance a été proposé comme modèle de sécurité pour une ère distribuée et risquée. Son principe fondamental « ne jamais faire confiance, toujours vérifier » s’applique à chaque utilisateur et appareil accédant au réseau d’entreprise, qu’ils se trouvent à l’intérieur ou à l’extérieur de son périmètre.
Mais l’IA agentique complique cette situation d’une manière qui aggrave encore le problème des agents autonomes. Les agents autorisés peuvent générer des sous-agents qui peuvent hériter de tous les privilèges de l’expéditeur mais sans identité reconnue. Les agents peuvent également communiquer avec d’autres agents, leur donnant potentiellement des instructions malveillantes. Bien que cette faille de sécurité soit largement connue depuis au moins un an, aucun fournisseur n’a proposé de mécanisme permettant de percer ce secret d’agent à agent. Au mieux, les systèmes peuvent détecter qu’une communication a eu lieu, mais pas ce qui est dit.
La manière habituelle de contrôler l’activité des agents consiste à exiger que les agents soient intégrés par les équipes informatiques ou de sécurité. Chaque agent reçoit une identité et seules ces identités peuvent effectuer une action.
La réalité est cependant bien différente. L’écrasante majorité des agents dans les environnements d’entreprise ne sont pas enregistrés, soit parce qu’ils ont été envoyés par des travailleurs qui n’ont pas pris la peine de remplir les formalités administratives (c’est-à-dire le shadow IT), soit parce que des tiers accrédités ont lancé des agents dans votre environnement sans demander d’autorisation. Et cela sans même tenir compte du fait que, comme pour toute identité, des attaquants, et notamment des acteurs étatiques, peuvent la détourner. Comme un agent de sécurité chargé de protéger une zone réglementée, armé uniquement d’une liste de plaques d’immatriculation approuvées, le service informatique ne sait pas qui conduit réellement les agents de ses réseaux.
« Votre modèle de gouvernance s’adresse souvent au mauvais niveau. Environ 80 % de vos agents ne figurent pas sur votre liste. Ce n’est pas un contrôle. C’est un inventaire de la minorité conforme », explique Krti Tallam, membre principal du personnel technique chargé de l’ingénierie de sécurité chez Kamiwaza.ai. « Ce modèle d’inventaire n’a jamais survécu à un contact réel au sein d’une entreprise. Nous devons cesser de prétendre que nous contrôlons l’environnement. (Agentic) n’a pas tué la confiance zéro. Il a tué un mensonge commode, un mensonge confortable. »
Quant au problème de communication entre agents, les agents tentent souvent de brouiller leurs messages, parfois en intégrant des instructions dans des images ou des fichiers audio/vidéo.
L’énigme de la visibilité d’agent à agent
Tallam est sceptique quant à la possibilité pour les RSSI d’obtenir un jour une visibilité sur ces messages d’agent à agent, mais elle s’attend à ce que les attaquants deviennent plus sophistiqués et nuancés dans leurs méthodes d’attaque.
Les agents détournés limitent déjà le nombre d’agents qu’ils contactent et contaminent avec des instructions malveillantes pour éviter des chiffres suspects. La tactique consiste à laisser l’agent initialement détourné être capturé et arrêté, la véritable attaque se produisant quelques jours plus tard, lorsque les agents infectés exécutent leurs instructions empoisonnées.
La défense traditionnelle consiste à surveiller le comportement de tous les agents afin que les agents infectés soient également arrêtés dès qu’ils adoptent un comportement malveillant. Tallam, cependant, s’attend à ce que les agents détournés commencent à apprendre ce que leurs agents victimes sont censés faire et ce qu’ils sont autorisés à faire. Cela pourrait être aussi simple que de simplement demander ces informations aux agents.
« L’astuce consiste à répartir les instructions d’attaque entre plusieurs agents de telle manière qu’aucun d’entre eux ne s’écarte de manière significative de ses instructions légitimes », explique Tallam.
Mike Wilkes, RSSI d’entreprise chez Aikido Security, suggère que les RSSI s’inspirent de GPG/OpenPGP, où un utilisateur « conserve une identité principale fortement protégée et délègue des sous-clés de signature limitées et de courte durée ou des informations d’identification signées cryptographiquement à un agent, avec des informations d’identification déléguées encore plus étroites pour les sous-agents ».
Cela signifie que les agents bénéficieront d’un mélange de « limites de débit, limites de transactions, budgets de dépenses et de données, sandboxing, portes d’approbation pour les actions à conséquences élevées et pistes d’activité immuables », explique Wilkes. « Plus important encore, les systèmes autonomes ont besoin de boutons d’annulation rapides et fiables. Les décisions de type 2, dont les conséquences sont réversibles, sont beaucoup plus sûres à déléguer que les décisions de type 1, telles que la suppression de données de production, la modification de la politique IAM, le transfert de fonds ou la réalisation de modifications irréversibles de l’infrastructure. »
Brian Vecci, directeur technique de terrain chez Varonis, affirme que la situation des agents est pire que ce que la plupart des gens pensent.
Les RSSI d’entreprise « sont terriblement sous-préparés au NHI avec leurs actions non déterministes. Vous devez supposer que l’identité est un niveau de contrôle terriblement inadéquat », déclare Vecci.
Recueillir autant d’informations que possible sur l’activité des agents est un bel objectif, mais l’exactitude et la faisabilité de la collecte d’une telle télémétrie sont difficiles, note Vecci, ajoutant que de nombreux efforts de télémétrie des agents d’entreprise reviennent à « essayer de trouver une aiguille dans une botte de foin en y jetant plus de foin ».
