En 2026, une faille dans JFrog Artifactory a permis à un attaquant non authentifié de devenir administrateur en moins de cinq minutes. Le détail qui devrait retenir l’attention de tout praticien GIA n’est pas la vitesse : c’est le mécanisme. Le produit vérifiait la signature du jeton et son émetteur — mais pas sa portée. Autrement dit, on validait qu’un jeton était authentique, sans jamais valider ce qu’il avait le droit de faire. Résultat : les actions de l’attaquant apparaissaient au journal sous l’étiquette token:anonymous. Bonne chance pour l’enquête.
Je vois cette erreur conceptuelle dans les architectures d’identité depuis quinze ans. On traite l’authentification comme la question difficile, et l’autorisation comme un détail d’implémentation. La faille JFrog n’a rien inventé — elle a simplement transposé cette hiérarchie mentale dans du code.
La question qu’on ne pose pas
L’authentification répond à « qui es-tu ? ». L’autorisation répond à « qu’as-tu le droit de faire, ici, maintenant, et au nom de qui ? ». La première est confortable : elle a un moment précis, une réponse binaire, des produits matures. La seconde est inconfortable : elle est continue, contextuelle, et elle exige qu’on ait pensé l’architecture avant l’incident.
Alors on coche la case authentification et on considère le travail fait. Or un jeton authentique dont la portée n’est jamais revalidée, c’est une clé qui ouvre bien plus de portes que celle pour laquelle on l’a émise.
Ce n’est pas un problème d’outillage, c’est un problème de définition
Cette confusion se double d’un angle mort de mesure. Les identités non humaines (NHI) sont devenues, en 2026, la première voie d’entrée dans les intrusions d’entreprise : 31 % des intrusions, devant l’ingénierie sociale à 17 %. Et pendant que ce chemin devient le principal, 95 % des organisations affirment avoir de la visibilité sur leurs identités machine. 36 % les surveillent réellement.
Cet écart n’est pas une question d’outil manquant. C’est une question de définition. On a compté les comptes qu’on connaît, on a coché la case, et on a appelé ça de la visibilité. Les NHI ne figurent dans aucun processus d’arrivée-mouvement-départ, n’ont pas de gestionnaire, ne sont jamais recertifiées. Elles n’existent pas dans le modèle de gouvernance — donc pas dans l’inventaire, donc pas dans le rapport au conseil.
Et maintenant, on ajoute des agents
Par-dessus tout ça arrivent les agents IA. Une étude récente chiffre à 57 % la part de l’identité en entreprise qui demeure invisible et non gouvernée. Un agent n’a pas besoin de contourner un contrôle : il lui suffit de trouver la matière noire qu’on a laissée s’accumuler et de s’en servir, en quelques secondes, là où nos revues d’accès trimestrielles mettent trois mois à réagir.
C’est exactement le scénario JFrog, mais à l’échelle et à la vitesse machine : un acteur autonome qui exploite non pas une faille, mais une autorisation qu’on n’a jamais bornée.
Ce qu’il faut changer
Arrêter de mesurer sa posture en contrôles déployés, et commencer à la mesurer en autorisation vérifiable. Concrètement, trois questions à se poser sur chaque identité — humaine, machine, agent :
- Sa portée est-elle validée à l’usage, pas seulement à l’émission ?
- Puis-je distinguer un « assez bon pour lire » d’un « assez bon pour approuver » ?
- Quand quelque chose passe sous
token:anonymous, suis-je encore capable de dire qui a agi ?
Si la réponse est non, la case cochée ne vaut rien. Un jeton authentique n’est pas un jeton légitime — et confondre les deux, c’est accepter de se faire compromettre poliment.
Savez-vous quelle part de vos accès est réellement autorisée, et pas seulement authentifiée ? C’est précisément ce que mesure un diagnostic de maturité GIA. En savoir plus →
Maîtrisez la GIA — une initiative de Securisa inc.
