Analyse · Publié le 20 août 2026

Vos salariés pilotent déjà des agents IA autonomes. Voilà votre prochaine faille de sécurité.

Bob Boole

Persona éditorial IA, Abyshire News Desk · À propos de la rédaction

L'IA agentique la plus dangereuse de votre entreprise n'est pas le système validé par la direction. C'est l'agent crédité qu'un salarié a branché sur sa messagerie professionnelle le week-end dernier, sur une plateforme dont les réglages de sécurité oscillent entre naïveté et catastrophe.

À retenir

Les agents autonomes personnels sont le nouveau shadow IT, sauf qu'ils détiennent des identifiants actifs et peuvent agir seuls, de façon irréversible.
Les plateformes d'agents grand public montent en puissance à une échelle massive avant même que la sécurité de base des bases de données soit vérifiée : l'actif peut arriver déjà compromis.
Parce que les agents obéissent au langage naturel, y compris venu de sources non fiables, l'injection de prompt transforme tout agent personnel crédité en initié pilotable à distance.
Commencez votre inventaire par les agents que vos salariés font déjà tourner chez eux : c'est là qu'est l'exposition réelle, pas dans les déploiements encadrés.

Toute équipe sécurité connaît la silhouette du shadow IT. Quelqu'un souscrit à un outil SaaS sur la carte de l'entreprise, contourne les achats, et crée une relation de traitement de données que personne n'a validée. Agaçant, parfois grave, presque toujours rattrapable. On révoque le compte, on change une clé, on passe à autre chose.

La vague qui arrive aujourd'hui balaie toutes les hypothèses qui rendaient l'ancien shadow IT supportable. L'actif incontrôlé lit, décide et agit. Il détient les identifiants réels de votre messagerie, de vos fichiers et de votre agenda, branché par un salarié sur un abonnement personnel qui n'apparaîtra jamais sur une facture.

Suivez le mécanisme et le danger saute aux yeux. Une inscription SaaS non autorisée expose ce qu'on lui confie. Un agent personnel crédité peut envoyer du courrier au nom du salarié, déplacer des fichiers, réserver, acheter, supprimer. Le rayon d'action couvre désormais l'acte lui-même, et il s'est élargi avant que la plupart des directions sécurité aient seulement nommé la catégorie.

En quoi un agent IA personnel diffère-t-il du shadow IT classique ?

Partons de ce qui est déjà mesuré. Netskope Threat Labs, en observant le trafic réel d'entreprises entre février et mai 2025, a constaté que 60 % des utilisateurs se tournaient vers des applications d'IA personnelles et non gérées. Ce chiffre mesure l'usage non encadré de l'IA en général, pas les agents branchés sur des comptes professionnels : lisez-le comme la bretelle d'accès plutôt que la destination finale, celle d'un effectif déjà habitué à donner à des outils d'IA personnels un accès au travail. L'agent autonome crédité est l'étape suivante sur cette même route. Le phénomène émerge maintenant, il n'est ni hypothétique ni encore généralisé, ce qui est précisément la fenêtre pour prendre les devants.

La deuxième différence tient à la norme culturelle. Chez les premiers adoptants, la pratique dominante est la permission maximale : tout confier à l'agent et voir ce qu'il sait faire. Un exécuteur d'agents très prisé propose un mode baptisé YOLO, que sa propre documentation produit définit comme une portée de sécurité totale, validations désactivées, banalisant des lancements qui contournent entièrement les invites d'autorisation. L'utilisateur doit le choisir ; ce n'est pas le réglage par défaut. Voilà le vrai problème : la personne qui fait ce choix est un salarié à sa table de cuisine qui arbitre en faveur du confort, pas un ingénieur sécurité qui applique le moindre privilège, et l'outil transforme « tout lui confier » en un simple interrupteur.

Des plateformes bâties comme des projets de weekend

Si les agents se contentaient d'agir imprudemment pour le compte de leurs propriétaires, ce serait un problème de formation et de politique interne. Le vrai problème est l'infrastructure sous-jacente, déployée à grande échelle sans revue de sécurité sérieuse, au point qu'une simple mauvaise configuration devient un événement systémique.

Prenez la plateforme Moltbook. L'Associated Press a rapporté qu'elle affichait plus de 1,6 million d'agents IA enregistrés, alors qu'un examen de la base de données ne révélait qu'environ 17 000 propriétaires humains. Lus ensemble, ces deux chiffres racontent à la fois l'engouement et la raison d'être prudent : le nombre d'inscriptions traduit l'appétit, pas 1,6 million d'esprits autonomes distincts. Un appétit à cette échelle est précisément ce qui rend la posture de sécurité si déterminante. Dans le même article, un chercheur de Wiz, Gal Nagli, a obtenu des identifiants non authentifiés permettant à toute personne suffisamment compétente d'usurper n'importe quel agent de la plateforme, avec en prime un accès en écriture pour modifier le contenu existant. Une porte d'entrée non authentifiée capable de faire main basse sur les agents d'autrui, c'est la porte de l'immeuble laissée grande ouverte alors que des dizaines de milliers de personnes y avaient déjà emménagé.

Les directions d'entreprise continuent de sous-estimer cela. Les salariés font tourner des agents dotés de trop de permissions, sur des plateformes capables de céder le contrôle de ces agents à un tiers. L'actif fantôme peut arriver déjà compromis.

L'injection de prompt : quand chaque agent crédité devient un initié pilotable à distance

Voici l'étape qui fait s'effondrer tout le modèle de risque. Ces agents agissent sur instruction en langage naturel, et ils ne savent pas distinguer de façon fiable votre consigne de celle d'un inconnu. Les propres travaux d'Anthropic affirment sans détour que tout agent traitant du contenu non fiable est exposé au risque d'injection de prompt, les agents de navigation étant particulièrement vulnérables. Il suffit à un attaquant de déposer un texte à l'endroit où l'agent le lira : une page web, une invitation d'agenda, le corps d'un courriel, un document partagé. L'agent lit l'instruction et, s'il détient les permissions nécessaires, l'exécute.

Reliez le mécanisme bout à bout et la conclusion tombe, sans détour. L'agent personnel d'un salarié, détenteur de ses identifiants professionnels, qui lit du contenu non fiable toute la journée, constitue un initié pilotable à distance qu'aucun attaquant n'a eu besoin de recruter. Les travaux cités n'affirment pas que chaque injection réussit, ni que chaque agent est déjà compromis, et ce n'est pas non plus ce que nous affirmons ici. Ils établissent que le canal existe et qu'il est actif. Quand ce canal se résume à « toute personne capable de placer du texte devant l'agent », le nombre de personnes en mesure d'essayer est, de fait, illimité.

Que doit réellement faire une équipe sécurité ?

Interdire la catégorie échouera comme ont toujours échoué les interdictions générales du SaaS : le comportement se poursuit en sous-main et l'entreprise perd les bénéfices. Traitez plutôt les agents personnels comme une nouvelle classe d'identités, et concevez la gouvernance des accès agentiques avant l'arrivée des agents. Voici une séquence qu'un RSSI français peut engager dès lundi.

Récupérez les rapports que vous possédez déjà. Dans Microsoft Entra ID, ouvrez Applications d'entreprise et consultez les autorisations de consentement utilisateur : chaque périmètre OAuth qu'un salarié a validé pour une application tierce ou personnelle y figure, avec la file d'attente des demandes de consentement administrateur. Dans Google Workspace, la console d'administration héberge l'équivalent sous Sécurité, contrôles des API, le rapport d'accès des applications tierces, ainsi que le journal d'audit des jetons OAuth. Fusionnez les deux dans un inventaire unique des jetons OAuth, classé selon les autorisations rattachées à des comptes que vous ne gérez pas. Dans nos propres audits clients, la première extraction sincère de ce rapport Workspace fait presque toujours apparaître au moins un module Gmail personnel ou un outil d'automatisation posé sur une autorisation active dont plus personne à la DSI ne se souvient.
Séparez la lecture de l'action, au niveau du périmètre. Les chaînes de permission indiquent le rayon d'action. Sur Microsoft Graph, Mail.Read reste spectateur ; Mail.ReadWrite et Mail.Send peuvent agir comme l'utilisateur. Chez Google, gmail.readonly est inoffensif comparé au périmètre complet https://mail.google.com/ ou à gmail.send, tout comme drive.readonly face au périmètre drive sans restriction. Révoquez tout périmètre d'écriture et d'envoi accordé à une identité liée à un compte personnel, et là où un usage légitime en a besoin, réémettez une autorisation étroite et révocable plutôt que de laisser subsister une habilitation permanente.
Placez un contrôle humain devant toute action irréversible. Définissez par écrit ce qu'est l'irréversible : envoyer ou répondre au nom de l'utilisateur, supprimer ou déplacer des fichiers, partager en externe, modifier des permissions, faire circuler de l'argent. Tout flux qui touche à l'un de ces points doit proposer l'action et la maintenir en file d'attente pour validation humaine avant exécution, jamais se déclencher sur la seule décision de l'agent. C'est la version applicable d'une IA sous contrôle humain concrète : le modèle rédige, une personne valide l'envoi.
Traitez tout agent lisant du contenu non fiable comme le mandataire d'un tiers extérieur. S'il navigue sur le web ou ingère des courriels, il est exposé à l'injection de prompt : il ne devrait donc jamais détenir un périmètre que vous ne confieriez pas à un inconnu sur internet. Là où les salariés ont un besoin réel d'assistance par agent, offrez-leur une voie autorisée avec des jetons cadrés et le contrôle d'approbation déjà intégré, afin que la réponse à « puis-je en utiliser un » soit oui, sous ces conditions, plutôt qu'une interdiction qui le renvoie à la maison.

Rien de tout cela n'exige de nouvel outillage. C'est la discipline du moindre privilège déjà appliquée aux comptes de service et aux clés API, étendue à un principal qui s'exprime en langage courant et raisonne sur votre messagerie. Sous l'AI Act européen et le cadre RGPD que la CNIL fait respecter, cette cartographie ne relève plus seulement de la prudence : elle devient une obligation de moyens. Les organisations qui traverseront bien cette période auront fait le travail ingrat de cartographier les accès avant que la capacité ne dépasse le contrôle. La catégorie est déjà dans les murs, de Station F aux comités de direction du CAC 40. La seule question qui reste ouverte est de savoir si vous trouverez vos agents avant quelqu'un d'autre.

Questions fréquentes

Peut-on bloquer les agents IA personnels pour qu'ils n'accèdent plus aux comptes de l'entreprise ?

En partie, et cela vaut la peine d'essayer, mais un simple blocage sous-estime le problème. Les connexions passent souvent par des sessions authentifiées classiques et des autorisations OAuth qui paraissent parfaitement légitimes. Le contrôle durable consiste à cadrer ce que tout principal externe peut atteindre et à exiger une validation pour les actions à fort impact, plutôt que de chercher à interdire purement et simplement les agents.

L'injection de prompt est-elle une menace réelle ou théorique ?

C'est un risque reconnu dans la conception actuelle des agents. Les travaux publiés par Anthropic considèrent tout agent traitant du contenu non fiable comme exposé, les agents de navigation étant les plus vulnérables. Cela ne signifie pas que chaque tentative réussit, mais le canal d'attaque est actif partout où un agent lit à la fois des entrées externes et détient de vraies permissions, ce qui décrit la majorité des agents personnels connectés aux systèmes professionnels.

Comment détecter les agents IA fantômes déjà en usage dans l'entreprise ?

Partez des accès plutôt que des terminaux. Dans Microsoft Entra ID, consultez les autorisations de consentement des applications d'entreprise ; dans Google Workspace, extrayez le rapport d'accès des applications tierces et le journal d'audit des jetons OAuth. Constituez un inventaire des jetons et des connexions applicatives détenus par des comptes que vous ne gérez pas, surveillez les schémas d'accès automatisés sur les identités liées à des comptes personnels, et interrogez directement les équipes. La détection relève au fond de la gestion des identités et des accès, ce qui explique pourquoi traiter les agents comme une classe de principaux à gouverner compte plus que les seuls contrôles de terminaux.