En août 2026, Cloudflare a donné un portefeuille aux agents IA. Ce n’est pas une image : chaque compte reçoit une adresse web qui sert d’identifiant stable, et les portefeuilles virtuels attribués à un agent précis portent un plafond de dépense, une liste de marchands autorisés et un montant maximal par transaction. Rubrik, de son côté, autorise les agents un appel d’outil à la fois, avec un jeton à courte durée de vie émis pour chaque appel.
Techniquement, c’est du bon travail. Des jetons éphémères qui remplacent les permissions permanentes héritées du monde humain, c’est exactement la direction que je défends depuis des années.
Dans le propre sondage de Rubrik, 23 % des responsables de la sécurité affirment avoir une visibilité complète sur les agents qui tournent déjà chez eux. Vingt-trois pour cent. On construit l’infrastructure d’autorisation des agents avant même de savoir combien il y en a.
Nous avons bâti nos programmes autour de la mauvaise population
Il y a une mesure, publiée la même semaine, qui devrait déranger plus qu’elle ne l’a fait. En observant des environnements AWS et Google Cloud, ClearVector a établi que 91 % des identités actives en production ne sont pas des humains. Et que seulement 20 % de l’activité de ces identités non humaines (NHI) tombe dans les heures normales de bureau.
Le détail qui complète le tableau : 99 % de l’activité humaine observée se résume à lire — décrire, lister, consulter. Le profil d’ingénieurs qui déboguent et regardent des tableaux de bord. Les suppressions, les destructions et les modifications privilégiées, elles, viennent d’ailleurs.
Nos tableaux de bord d’accès sont conçus pour surveiller les gens. Or en production, les gens regardent. Ce sont les comptes de service, les rôles d’exécution et les identités fournisseurs qui agissent. On sécurise ce qu’on voit, et on ne voit presque rien de ce qui agit vraiment.
L’erreur des comptes de service, rejouée en accéléré
Je reconnais cette séquence. D’abord on déploie, ensuite on gouverne, jamais on ne rattrape. C’est l’histoire des comptes de service, étalée sur vingt ans — sauf que cette fois elle se joue en quelques trimestres, sur une population qui se crée toute seule.
Un portefeuille avec plafond de dépense est une excellente idée. Posé sur un parc d’agents qu’on n’a jamais dénombré, c’est un contrôle appliqué à la portion qu’on connaît, pendant que le reste continue sans lui. La sophistication du mécanisme ne compense jamais l’absence d’inventaire — c’est la même erreur de fondation, avec un vernis plus récent.
Et pendant ce temps, un coup de téléphone
Le contraste de cette semaine-là était brutal. D’un côté, l’industrie raffine pour les machines des mécanismes d’identité d’une élégance croissante. De l’autre, le groupe UNC6671 démontait des organisations entières avec un appel sur le cellulaire personnel d’un employé, une fausse page de connexion imitant son fournisseur d’identité, et l’interception du jeton d’authentification multifacteur.
Aucune architecture zero trust ne protège contre un humain qu’on convainc de s’authentifier au mauvais endroit. Une fois le fournisseur d’identité compromis, l’attaquant n’a plus besoin de s’en prendre aux applications une à une : il se déplace dans tout l’écosystème infonuagique avec une seule session authentifiée. C’est le paradoxe permanent de notre discipline — plus on centralise l’identité, plus la compromission d’une seule coûte cher.
Le vrai travail de 2026 n’est pas glamour
Il n’est pas technologique non plus. C’est de l’inventaire. Savoir qui — humain, machine, agent — existe, à qui il appartient, ce qu’il a le droit de faire, et quand son comportement dévie de la normale.
Les portefeuilles d’agents et les jetons par appel ne sont utiles que posés sur cette fondation. Sans elle, on ajoute des couches sophistiquées par-dessus un sol qu’on n’a jamais cartographié. Et un sol qu’on n’a jamais cartographié, c’est exactement là où les attaquants aiment marcher à trois heures du matin.
Combien d’agents tournent en ce moment dans votre organisation ? Si la réponse demande une enquête, c’est l’inventaire qu’il faut faire avant la plateforme. Un diagnostic de maturité GIA vous dit où vous en êtes. Évaluer ma maturité GIA →
Maîtrisez la GIA — une initiative de Securisa inc.
