Les agents d'IA créent une nouvelle catégorie de risques liés aux employés

Points clés à retenir 

• Les agents d’IA créent une nouvelle main-d’œuvre numérique, augmentant rapidement le nombre d’identités non humaines accédant à des données sensibles. 

• À mesure que l’IA gagne en autonomie, la sécurité passe du contrôle des accès au contrôle des actions et des intentions. 

• Les entreprises ont besoin d’une couche de sécurité axée sur les données qui garantisse le respect des politiques, réduise les risques et permette une adoption sécurisée de l’IA.

Les agents IA : le nouveau risque lié aux employés numériques

L’erreur humaine a toujours été le principal risque en matière de cybersécurité, favorisant les fuites de données par le biais d’identités compromises et d’un accès excessif à des données sensibles. Imaginez maintenant un employé qui travaille 24 heures sur 24 sans surveillance, qui a accès à des bases de données contenant des informations confidentielles et qui agit sans autorisation. Bienvenue dans l’ère de l’IA agentique — une nouvelle catégorie d’employés numériques qui modifie activement le paysage des menaces internes.

Les agents IA transforment profondément la manière dont les risques se créent. Prenons l’exemple de PocketOS. Un matin, le fondateur s’est réveillé pour découvrir que Cursor, un outil de programmation, avait effacé l’entreprise, y compris la base de données et toutes les sauvegardes. Il n’agissait pas par malveillance. Il avait simplement détecté une anomalie lors de l’exécution d’une tâche de routine et avait eu à la fois l’initiative et l’autonomie nécessaires pour prendre une décision aux conséquences désastreuses.

La sécurisation de l’IA nécessite une approche fondamentalement différente, qui consiste à mettre en place des garde-fous supplémentaires, à assurer la visibilité sur l’accès aux données et à déterminer si une action doit être entreprise ou non. Pour bien comprendre les risques que présentent les agents d’IA, il est important d’analyser en détail leur comportement dans les environnements d’entreprise.

Les agents d’IA agissent de manière autonome sur les données 

Les agents IA sont plus intelligents que les modèles précédents et plus autonomes. Ayant accès aux systèmes de données de l’entreprise, ils décident eux-mêmes comment les exploiter et quelles mesures prendre ensuite. Cela ne se contente pas d’accélérer l’apparition des risques : cela modifie la manière même dont ces risques se créent.

Lorsque les actions sont exécutées à la vitesse et à l’échelle d’une machine, même les plus petites erreurs ou les mauvaises configurations peuvent avoir des conséquences démesurées. C’est pourquoi les contrôles classiques et statiques s’avèrent insuffisants dans un environnement piloté par l’IA.

Les agents d’IA agissent sans suffisamment de garde-fous 

Les agents IA exécutent les tâches de manière fiable. Cependant, ils ne comprennent pas intrinsèquement les risques ni les politiques. En l’absence de garde-fous cohérents, les agents agiront sur la base d’un contexte incomplet ou erroné, en particulier lorsqu’ils interagissent avec de grands volumes de données d’entreprise et externes.

Il ne suffit pas de se fier uniquement aux mesures de sécurité intégrées aux modèles. Les organisations ont besoin de contrôles au niveau des données qui garantissent le respect des politiques pour toutes les identités et tous les systèmes en temps réel, quel que soit le comportement des agents.

Il est impossible d’évaluer les risques liés à l’IA sans avoir accès aux données

Sans visibilité sur l’accès aux données, il est impossible d’évaluer pleinement les risques liés à l’IA — ni de comprendre l’impact potentiel des actions d’un agent. Protéger les données d’entreprise à l’ère de l’IA agentique implique de passer de questions axées sur l’accès à des questions axées sur l’action. En d’autres termes, il s’agit de savoir comment les données sont utilisées et si ces actions sont appropriées dans un contexte donné.

La sécurité doit évoluer de l’accès à l’intention

Les systèmes d’IA agentique fonctionnent de manière dynamique, prenant des décisions et agissant à une vitesse sans précédent. Les politiques statiques et les contrôles prédéfinis ne suffisent plus. La sécurisation de l’IA nécessite une approche centrée sur les données qui relie la sensibilité des données, les autorisations, l’identité et l’activité afin de déterminer si une action doit être autorisée. Sans ce contexte, les organisations ne peuvent pas évaluer les risques de manière fiable ni mettre fin à des comportements dangereux avant que des données sensibles ne soient exposées. C’est pourquoi la sécurité doit se rapprocher des données elles-mêmes.

Les organisations qui réussiront dans cette nouvelle ère seront celles qui veilleront à ce que l’adoption de l’IA soit sécurisée, conforme et fiable.

 Veuillez noter que cet article a été traduit avec l'aide de l'IA et révisé par un traducteur humain.