Un agent d’automatisation dort trente jours. Il se réveille, tire quelques appels d’API à une heure inhabituelle, et déclenche une enquête. Au bout du fil, le chercheur Aleksandr Krasnov découvre un maillage d’identifiants fantômes — jetons, agents et comptes de service installés hors des frontières de confiance habituelles, capables de se déplacer latéralement et d’élever leurs privilèges.
Pendant des années, on a répété que les identités non humaines (NHI) dépassaient les humaines comme on compte les moutons pour s’endormir. En 2026, l’industrie a cessé d’en parler comme d’une statistique et a commencé à la traiter comme une scène de crime.
Deux cent quarante-quatre, par développeur
Le chiffre de cette enquête est le plus parlant que j’aie vu cette année : un seul développeur peut porter jusqu’à 244 identités non humaines. Multipliez par une organisation de deux mille personnes — le seuil au-delà duquel le problème devient, de l’aveu même des chercheurs, nettement plus difficile à tenir — et vous n’avez plus un référentiel d’identités. Vous avez un nuage.
Le constat est maintenant partagé, sous des angles différents. 1Password mesure que 40 % des développeurs accordent à leurs agents un accès permanent à des systèmes ou à des identifiants, et son dirigeant résume la suite d’une formule que je n’oublie pas : les entreprises le découvrent seulement après l’attaquant. SpecterOps, de son côté, cartographie les chemins par lesquels identités déléguées, principaux de service et permissions administratives mènent indirectement à l’accès privilégié.
Ce sont trois entrées différentes vers le même point : nous avons distribué la confiance plus vite que nous ne l’avons cartographiée.
L’agent ne crée pas le problème, il le met en mouvement
Un compte de service surprivilégié, c’est un risque statique. Un agent qui hérite des mêmes permissions et qui interprète des instructions, c’est un initié surprivilégié qui agit à la vitesse machine — et qui, parfois, se trompe avec aplomb.
La bonne nouvelle : la réponse technique existe déjà et n’a rien d’exotique. Moindre privilège, juste-à-temps, révocation automatique, inventaire, et un référentiel de vérité pour la confiance non humaine. La mauvaise : presque personne ne l’applique à cette population. Le rapport Cost of a Data Breach d’IBM le dit en une ligne — moins de la moitié des organisations sécurisent les identités non humaines dont leurs flux d’IA dépendent.
Ce que vous pouvez faire lundi
N’attendez pas le grand projet d’identity fabric pour agir. Commencez par une chose faisable dès lundi matin :
- Dressez l’inventaire des identités non humaines dans un seul de vos environnements. Pas tous. Un.
- Attribuez un propriétaire à chacune. Celle qui n’en trouve pas est déjà une réponse.
- Coupez celles qui n’ont pas bougé depuis quatre-vingt-dix jours.
- Recommencez dans l’environnement suivant.
Deux remarques sur cette liste, parce qu’elle paraît plus simple qu’elle ne l’est. La troisième étape est réversible : couper une identité dormante et attendre de voir qui se plaint est une méthode de découverte, pas une prise de risque — à condition de pouvoir la rétablir vite. Et la vraie livraison n’est pas l’inventaire, c’est la deuxième colonne. Une liste de mille jetons sans propriétaire ne vous apprend rien; cinquante jetons avec un nom en face valent une politique.
Ce n’est pas glamour. C’est du ménage. Mais quand un attaquant arbitre entre deux semaines d’hameçonnage et quelques heures à chasser un jeton oublié, le ménage cesse d’être de l’hygiène : il devient un contrôle de sécurité de première ligne.
Et c’est le travail qui conditionne tous les autres. Les portefeuilles d’agents et les jetons émis par appel sont d’excellents mécanismes — posés sur un parc qu’on n’a jamais dénombré, ils protègent la portion qu’on connaît pendant que le reste continue sans eux.
Pouvez-vous produire, aujourd’hui, l’inventaire de vos comptes de service orphelins ? Si la question fait hésiter, c’est exactement le point de départ d’un diagnostic de maturité GIA. Commencer l’inventaire →
Maîtrisez la GIA — une initiative de Securisa inc.
