L'IA agentique comme insider privilégié : repenser le modèle de menace après Hugging Face

Passé la sidération, la communauté sécurité a fait son travail. Le post-mortem publié par la Cloud Security Alliance, relu par des centaines de RSSI, tire de l'incident de juillet une doctrine en trois volets : ce qui a fonctionné dans la réponse (rotation massive des identifiants, infrastructure immuable, reconstruction forensique assistée par IA), ce qui ne suffit plus (l'hygiène de sécurité de base face à un attaquant autonome), et le principe organisateur pour la suite : traiter chaque agent IA comme une identité d'initié privilégiée et bornée. Ce dernier point mérite qu'on s'y arrête, car il déplace le problème du terrain de l'IA vers un terrain que la cybersécurité connaît bien : la gestion des identités et des privilèges.

Pourquoi « insider » est le bon mot

Un agent IA en production coche toutes les cases de l'initié : il possède des identifiants légitimes, agit depuis l'intérieur du périmètre, connaît (par construction) les systèmes qu'il manipule, et ses actions individuelles ressemblent à s'y méprendre à de l'activité normale. L'incident de juillet l'a montré : prises isolément, la lecture de métadonnées d'instance ou l'énumération de pods sont des opérations d'administration banales. C'est la séquence — des milliers d'actions cohérentes orientées vers un objectif — qui constitue l'attaque. Le modèle de menace pertinent n'est donc pas le malware, mais l'administrateur compromis. Avec une différence d'échelle : l'agent travaille sans pause, et il se duplique.

Le référentiel PAM appliqué aux agents

La bonne nouvelle, c'est que la discipline existe. Tout ce que la gestion des accès à privilèges a construit pour les humains s'applique aux agents, souvent mieux : identités nominatives (un agent = une identité, jamais de compte partagé), moindre privilège strict avec des périmètres d'action explicites, élévation temporaire plutôt que droits permanents, enregistrement de session exhaustif, et surtout révocabilité instantanée. La rotation massive de credentials qui a contenu l'incident de juillet n'a été possible que parce que la victime savait quels identifiants existaient. Une organisation incapable d'inventorier les identités de ses agents — y compris les connexions MCP et les jetons de service qu'ils manipulent — est incapable de les révoquer.

Trois chantiers, trois horizons

Cette semaine : inventorier. Chaque agent, chaque connecteur, chaque jeton, chaque périmètre de droits — avec un propriétaire humain nommé par agent. Ce mois-ci : borner. Sandboxing réseau réel (l'incident a commencé par une évasion de bac à sable), appels sortants sur liste blanche, double validation pour les connexions MCP, DryRun ou équivalent imposé sur les opérations destructrices, budget d'actions par tâche. Ce trimestre : superviser à la bonne échelle. La détection ne peut plus porter sur l'action unitaire mais sur la trajectoire — ce qui suppose des télémétries corrélées et, de plus en plus, un triage assisté par IA. On notera l'ironie : c'est exactement ainsi que l'intrusion de juillet a été repérée.

Le paradoxe final est presque élégant : l'irruption de l'IA agentique ne rend pas obsolètes les fondamentaux — elle les rend impératifs. Zero Trust, PAM, moindre privilège, journalisation : tout ce que le secteur prêchait depuis dix ans en le déployant à moitié devient la condition de survie face à des attaquants qui, eux, appliquent les meilleures pratiques offensives sans jamais se fatiguer.