Un agent n'est utile que s'il peut agir, et il ne peut agir que si vous lui donnez des accès. Ces mêmes accès sont exactement ce qu'un attaquant obtient s'il parvient à le détourner. Il n'existe pas de configuration à la fois puissante et sans risque. La question est donc toujours la même : quel est le minimum qui rend l'outil utile pour ce que j'en attends ?
Nous rapportions ce matin un agent destiné à couvrir messagerie, calendrier et paiement. Voici comment raisonner avant d'accorder quoi que ce soit.
La règle du moindre privilège
Elle vient de la sécurité informatique et date de cinquante ans : n'accordez que ce qui est nécessaire à la tâche, et rien de plus.
Appliquée aux agents, elle se décline en quatre dimensions qu'on confond souvent.
Le périmètre. Quels services, quels dossiers, quelles boîtes. Un agent qui organise votre agenda professionnel n'a pas besoin de vos messages personnels.
Le type d'action. Lire n'est pas écrire, écrire n'est pas supprimer, et rien de tout cela n'est payer. La plupart des usages utiles se contentent de la lecture.
La durée. Un accès accordé pour une tâche devrait expirer avec elle. Un accès permanent accordé pour un besoin ponctuel est le cas le plus fréquent et le plus évitable.
Le plafond. Pour tout ce qui engage de l'argent, un montant maximal par opération et par période. Nous avons relevé à propos de l'ouverture du trading aux agents qu'une absence de plafond signifie littéralement la perte possible de tout ce qui est dans le compartiment.
L'erreur la plus répandue consiste à connecter un agent avec son compte principal, celui qui a tous les droits. C'est rapide et cela revient à lui donner vos clés plutôt qu'une clé. La bonne pratique est de créer un compte dédié avec des droits restreints, qu'on peut révoquer sans perturber le reste. Nous l'écrivions à propos des jetons à périmètre limité : on ne donne pas la ressource, on donne une permission délimitée et traçable.
Les cinq vérifications concrètes
Inventoriez ce qui est déjà connecté. La plupart des gens découvrent à cette occasion des autorisations accordées il y a des mois pour un essai, jamais révoquées. C'est le point de départ de tout le reste.
Séparez les univers. Professionnel et personnel, documents sensibles et documents courants. Un agent qui a accès à l'un ne devrait pas avoir accès à l'autre.
Exigez une confirmation pour l'irréversible. Supprimer, envoyer, payer, partager. Ces actions devraient demander une validation explicite, même si c'est moins fluide. C'est le critère que nous proposions dans notre article sur la délégation : ce qui est réversible peut être automatisé, le reste demande un humain.
Regardez la mémoire. Un agent qui conserve des informations d'une session à l'autre peut être empoisonné durablement, comme nous l'avons documenté avec une faille exploitant précisément ce mécanisme. Vérifiez ce qui est retenu, et purgez si nécessaire.
Traitez le contenu extérieur comme hostile. Un agent qui lit des courriels, des pages web ou des documents reçus traite du contenu que quelqu'un d'autre a écrit. Nous avons montré qu'un texte invisible suffit à le manipuler. Si votre agent lit de l'extérieur et peut agir, c'est la combinaison à surveiller en priorité.
Le bon réflexe avant d'accorder
Une question suffit, et elle remplace une analyse de risque : si quelqu'un prenait le contrôle de cet agent demain, que pourrait-il faire ?
Pas « est-ce probable », mais « qu'est-ce qui serait possible ». Si la réponse comprend des choses que vous ne pourriez pas rattraper — de l'argent parti, un message envoyé, un document partagé — le périmètre est trop large pour l'usage.
Ce qu'il faut retenir
Ces précautions n'ont rien de spécifique à l'IA : ce sont les principes de la gestion des accès, appliqués à un nouveau type d'utilisateur.
Ce qui est nouveau, c'est la facilité avec laquelle on accorde. Connecter un service prend deux clics, et l'écran qui liste les permissions demandées est celui que personne ne lit. C'est exactement là que se joue la sécurité de ces outils, bien plus que dans la robustesse du modèle.