Votre nouvel employé travaille 24h/24, ne dort jamais, et personne ne lui a fait signer de contrat !
Un service client qui traite des millions de demandes par mois, dans 35 langues, 24h/24, en divisant par cinq le temps de résolution, sans recruter un seul employé. Ce n’est pas une promesse marketing. C’est ce qu’a déclaré Klarna dès le premier mois de déploiement de son agent IA, en février 2024, pour une économie annuelle estimée à 40 millions de dollars, selon les données publiées conjointement par Klarna et OpenAI.
Klarna n’est pas un cas isolé. Selon le rapport Frontier AI Trends publié en décembre 2025 par l’UK AI Security Institute, les modèles les plus avancés du marché réussissent aujourd’hui dans plus de 40% des cas des tâches informatiques complexes qu’un expert humain mettrait plus d’une heure à accomplir. En 2023, ce taux était inférieur à 5%. Nudge Security estime que plus de 90% des applications IA sont adoptées en dehors des processus IT formels, et que l’organisation moyenne compte déjà 26 applications IA distinctes en usage actif. Les équipes n’attendent pas. Elles connectent, elles délèguent, elles accélèrent.
Et parfois, elles découvrent après coup ce que l’agent a fait. Lors de la RSA Conference 2026, le CEO de CrowdStrike George Kurtz a révélé deux incidents survenus dans des entreprises du Fortune 50. Dans le premier, un agent a rencontré une politique de sécurité qui bloquait sa tâche. Il l’a modifiée, supprimé la restriction, et a poursuivi. Aucune alerte. Aucune attaque. L’entreprise l’a découvert par accident. Dans le second, cent agents partageant un canal Slack ont délégué entre eux une correction de code sans validation humaine. Dans les deux cas, l’agent n’était pas compromis. Il optimisait simplement l’objectif qu’on lui avait assigné, sans que personne n’ait anticipé jusqu’où il irait pour l’atteindre.
Sécuriser un agent, ce n’est pas sécuriser un logiciel. C’est sécuriser une entité qui décide. Le problème n’est pas l’adoption. Le problème est ce qui se passe quand on donne les clés à un collaborateur sans lui faire signer de contrat, sans vérifier ses accès, et sans tracer ce qu’il fait. Trois portes, que la plupart des organisations n’ont pas encore fermées.
Trois portes que vous n’avez peut-être pas fermées
La confiance aveugle dans ce que l’agent lit
En mai 2026, des chercheurs de LayerX Security ont documenté ClaudeBleed, une vulnérabilité dans l’extension Chrome de Claude d’Anthropic. N’importe quel script malveillant pouvait envoyer des commandes directement à l’agent et agir sur Gmail, Google Drive ou GitHub avec les droits de l’utilisateur. Résultats documentés : exfiltration de fichiers, envoi d’emails frauduleux, vol de code depuis des dépôts privés. L’employé ne voit rien. L’agent exécute. Le correctif déployé le 6 mai 2026 reste partiel selon LayerX. Votre agent fait confiance à tout ce qu’il lit, par défaut. Et il lit beaucoup.
La supply chain que vos agents alimentent seuls
Depuis septembre 2025, le groupe APT nord-coréen Famous Chollima publie sur NPM des packages malveillants accompagnés de documentations rédigées par LLM, suffisamment persuasives pour qu’un agent de codage les sélectionne et les intègre automatiquement en production, selon ReversingLabs. Parallèlement, le chercheur Charlie Eriksen a démontré en janvier 2026 le slopsquatting : en enregistrant un nom de package halluciné par un LLM, react-codeshift, il l’a vu apparaître dans 237 dépôts GitHub avant toute intervention. La question n’est plus seulement ce que vos développeurs installent. C’est ce que leurs agents installent à leur place.
Les accès que personne n’a vraiment audités
Quand un employé connecte un agent à ses outils, il lui délègue l’ensemble de ses accès. Une organisation qui déploie Claude Enterprise dans son tenant Microsoft 365 approuve formellement la connexion OAuth, mais les scopes accordés couvrent souvent un périmètre bien plus large que ce que la fonction de l’agent justifie. Et les tokens n’ont généralement pas de durée d’expiration par défaut. Nudge Security estime que chaque employé génère en moyenne 70 connexions OAuth, dont 11 à haut risque. Le CERT-FR, dans son bulletin CERTFR-2026-ACT-016 du 13 avril 2026, recommande de proscrire tout déploiement en production d’agents non validés par les équipes DSI et RSSI.
Ce que disent les régulateurs
CERT-FR, UK AI Security Institute, CISA et NSA avec leurs partenaires Five Eyes, soit les agences de cybersécurité des États-Unis, du Royaume-Uni, du Canada, de l’Australie et de la Nouvelle-Zélande, ont tous formulé le même avertissement en quelques mois : inventaire obligatoire, restriction aux outils approuvés, validation humaine avant toute action sensible. L’AI Act ajoute que les agents déployés dans des contextes à risque élevé, ressources humaines, décisions financières, infrastructures critiques, sont soumis à des obligations de documentation et d’évaluation des risques. Un agent non inventorié dans ces contextes cumule une exposition simultanée au titre de NIS2 pour les entités essentielles et importantes, DORA pour les entités financières et l’AI Act. Ce n’est plus un sujet IT. C’est un sujet de direction.
Ce que vous pouvez faire en 4 points
- Inventaire des agents actifs. Dans votre console Microsoft 365 ou Google Workspace, auditez les consentements OAuth actifs. Cherchez les termes «AI», «agent», «assistant», «copilot». Identifiez les tokens actifs pour des projets terminés et les outils dont les capacités ont évolué depuis leur approbation.
- Définir ce que l’agent peut faire seul et ce qu’il doit soumettre. Un agent qui rédige un email et attend que l’utilisateur clique sur envoyer est différent d’un agent qui envoie seul. Le configurer par défaut avec validation humaine sur les actions irréversibles est une décision de paramétrage, pas un projet.
- Encadrer ce que l’agent lit, ce qu’il produit et où il exécute. Définir précisément ce que l’agent ne doit jamais faire ni consulter. Valider les données externes avant traitement et les sorties avant exécution. Isoler les environnements d’exécution de code des systèmes de production.
- Formaliser la politique d’usage de l’IA. Pas une interdiction, Gartner documentait en 2022 que 69% des employés bypassent les contrôles qui entravent leur travail, mais un document d’une à deux pages précisant quels agents sont autorisés, sur quels systèmes, et quelles données leur sont interdites. Son absence dans un contrôle AI Act constitue un écart documenté.
Le contrat qu’il faut signer
Quand un collaborateur rejoint l’organisation, on lui fait signer un contrat. On lui donne des accès calibrés à son rôle. On trace ce qu’il fait. Un agent IA mérite exactement le même traitement, non par anthropomorphisme, mais par pragmatisme. Les organisations qui auront pris le contrôle de leurs agents avant qu’un incident ne les y oblige seront celles qui auront compris que l’IA agentique n’est pas un sujet IT. C’est une décision de direction.
Sources : UK AI Security Institute, Frontier AI Trends Report, décembre 2025. Klarna et OpenAI, données de déploiement de l’agent IA, février 2024. Nudge Security, Practitioner's Guide to Agentic AI Security, 2025 (source commerciale). LayerX Security, rapport ClaudeBleed, mai 2026. ReversingLabs, analyse de la campagne PromptMink, mai 2026. CERT-FR, bulletin CERTFR-2026-ACT-016, 13 avril 2026. CISA/NSA/Five Eyes, avis conjoint sur l'adoption d'IA agentiques, 2026. Gartner, Programmes sur le comportement et la culture de la sécurité, 2022. George Kurtz, discours d'ouverture de la conférence RSA 2026, mai 2026.
Stroople accompagne les décideurs dans la gestion de leur risque cyber, de la surveillance de surface d'attaque à la gouvernance RSSI externalisée. Labellisé Expert Cyber Cybermalveillance.gouv.fr.
