Nous avons passé quinze ans à bâtir des processus de départ pour les humains. Formulaire de fin d’emploi, désactivation du compte, récupération du portable, recertification trimestrielle. Imparfait, souvent lent, mais le réflexe existe.
Pour les machines, nous ne l’avons jamais pris. Le rapport 2026 Identity Security Report de Delinea le chiffre sans détour : 42 % des responsables TI et sécurité déclarent n’avoir aucun moyen automatique de retirer un accès d’IA à la fin d’une session.
Les agents IA obtiennent un accès en une seconde. Et ils le gardent.
Le privilège excessif est un héritage, pas une décision
Ce qui m’agace, c’est que le problème n’a rien de nouveau. Un agent hérite des droits accumulés sur des années par la personne qui l’a lancé — et personne ne sait plus pourquoi ces droits existent. J’ai vu cette scène dans chaque programme de certification des accès que j’ai accompagné : on ne décide pas d’un privilège excessif, on en hérite.
La différence, aujourd’hui, c’est qu’on confie cet héritage à un système qui agit à la vitesse de la machine. Le défaut de retrait ne se contente plus de dormir dans un référentiel : il s’exécute.
Un frein à main ne remplace pas un conducteur
L’industrie commence à répondre. Okta a présenté en septembre 2026 un interrupteur d’urgence pour agents : les jetons actifs sont révoqués immédiatement et toutes les sessions en cours sont coupées, y compris automatiquement au franchissement d’un seuil de risque.
Ça m’encourage et ça m’inquiète à la fois. Révoquer des jetons en cours de session, c’est utile — et c’est mieux que l’interrupteur manuel qui existait avant. Mais l’article le dit lui-même, et c’est l’essentiel : l’interrupteur ne corrige rien de ce que l’agent a déjà fait.
C’est un frein à main. Un frein à main est un bon équipement. Il ne remplace pas un conducteur.
Côté humain, la MFA n’est pas une fin en soi
La même semaine a rappelé une vérité inconfortable. Le groupe suivi sous le nom de TA419 a mené des campagnes de vol d’identifiants contre des spécialistes des politiques de l’IA, en dessinant une fausse fenêtre de connexion à l’intérieur de sa propre page — la technique dite du navigateur dans le navigateur.
Les identifiants saisis dans cette fenêtre sont relayés vers les vrais serveurs. Le mot de passe passe, le code d’authentification multifacteur passe, les contrôles d’accès conditionnel passent. L’attaquant voit la session en direct et soumet le code à usage unique dès qu’il est valide. Et l’outil est conçu pour capturer ce qui est produit au bout de la chaîne : le témoin de session.
Si votre stratégie s’arrête à « MFA activée partout », vous protégez la porte pendant que l’attaquant repart avec la clé de la session. Une authentification multifacteur qui ne résiste pas à l’hameçonnage est une formalité de conformité, pas un contrôle.
Le même réflexe manque côté machine
Et puis il y a les failles corrigées par Dell dans ses modules de stockage pour Kubernetes. Le détail mérite d’être lu lentement : une clé de signature codée en dur et publiquement connue, permettant de forger des jetons d’authentification cryptographiquement valides et d’obtenir les privilèges d’administration. Sans authentification préalable. La remédiation recommandée inclut la rotation des secrets de signature, et il n’existe aucun contournement.
Un jeton forgé est parfaitement valide. C’est le même angle mort que du côté humain, déplacé d’un cran : personne n’a inventorié ce qui signe, ce qui vérifie, et ce qui expire.
La question banale
Le cycle de vie des identités est le chantier que notre industrie contourne depuis toujours. On aime l’arrivée — le provisionnement, l’intégration, la première connexion. On néglige le départ, parce qu’il ne produit rien de visible. Les agents rendent ce contournement intenable, non parce qu’ils sont dangereux, mais parce qu’ils sont nombreux, rapides et silencieux.
Les organisations qui s’en sortiront ne seront pas celles qui achèteront le meilleur outil d’agents. Ce seront celles qui sauront répondre à une question banale, pour n’importe quel accès, humain ou machine :
Qui a autorisé cet accès, jusqu’à quand, et qui l’a retiré ?
Si la troisième partie de la question reste sans réponse, les deux premières ne valent pas grand-chose.
Savez-vous qui retire les accès dans votre organisation — et si quelqu’un le fait ? Un diagnostic de maturité GIA mesure votre cycle de vie des identités de bout en bout, départ compris. Évaluer ma maturité GIA →
Maîtrisez la GIA — une initiative de Securisa inc.
