Un agent authentifié n’est pas un agent maîtrisé. Il peut utiliser un compte valide et un outil autorisé tout en dépassant sa mission. Avec leur partenariat, Ariovis et AccuKnox associent expertise des identités et des accès, sécurité des agents IA et accompagnement au déploiement et au support de la plateforme.

L’enjeu dépasse le filtrage des prompts : encadrer ce que l’agent peut consulter, décider et exécuter. L’OWASP relève notamment le détournement d’objectif, l’abus d’outils, l’exploitation des privilèges et la contamination de la mémoire. Trop de fonctionnalités, de permissions ou d’autonomie peuvent transformer une erreur en action dommageable.

Une consigne ne remplace pas un contrôle

Dans un scénario illustratif, un agent prépare des propositions pour une concession automobile. Il consulte le logiciel de gestion client et le catalogue, sans devoir exporter le fichier clients ni modifier les remises. Une instruction hostile dans un document peut pourtant le pousser à transmettre des données confidentielles : c’est une injection de prompt indirecte. Même si le filtre ne la détecte pas, les restrictions d’accès et d’envoi doivent empêcher l’effet interdit.

Six contrôles à articuler

Définir le mandat. Chaque agent doit avoir un propriétaire, une mission et des limites. L’inventaire inclut comptes techniques, outils et usages non déclarés. La délégation ne transmet pas automatiquement tous les droits de l’utilisateur. Les secrets doivent être stockés de manière sécurisée, renouvelés et révocables, avec des accès limités au nécessaire.

Faire contrôler les actions indépendamment du modèle. Les services et API appliquent les décisions à partir de sources fiables. Selon le besoin, les règles reposent sur des attributs (ABAC), des relations (ReBAC) ou des politiques (PBAC). Ces approches se complètent.

Limiter les outils accessibles. Le Model Context Protocol (MCP) relie les agents aux outils et ressources. Une connexion autorisée ne suffit pas. Fonctions, paramètres, ressources et enchaînements doivent être maîtrisés côté serveur. Les jetons doivent être validés pour leur destinataire, sans transmission aveugle à une autre ressource.

Filtrer les documents transmis au modèle. Le RAG enrichit les réponses avec des contenus documentaires. Leurs permissions doivent être contrôlées avant leur transmission au modèle. Leur synchronisation doit intégrer les retraits de droits, y compris dans les index et caches.

Encadrer le fonctionnement de l’agent. Les protections runtime restreignent les processus, les accès aux fichiers et les flux réseau, sans remplacer l’autorisation métier. Il faut vérifier composants, provenance des modèles et configurations, limiter consommation, durée et tentatives, et prévoir l’arrêt. Pour un service hébergé par un fournisseur, les contrôles disponibles et ses responsabilités doivent être explicites.

Conserver des traces sans exposer les données. Les journaux relient demande, identité, ressource, action, autorisation, approbation et résultat, en protégeant données sensibles et secrets. Une procédure désigne les responsables de la suspension et du retrait des accès.

Vérifier les contrôles avant la mise en production

La validation humaine doit être adaptée au risque et liée à une action, ses paramètres et sa durée de validité. Le tableau suivant propose des essais à adapter au projet, sans constituer une certification ni garantir l’absence de vulnérabilité.

Situation à tester	Preuve attendue
Dossier d’un autre établissement demandé	Accès refusé malgré une connexion valide.
Instruction parasite demandant un export	Effet interdit empêché, même sans détection initiale.
Droit retiré pendant une session	Délai mesuré ; comportement des jetons, index et caches connu.
Paramètres modifiés après validation	Approbation initiale inapplicable à l’action modifiée.
Service d’autorisation indisponible	Opération sensible bloquée ou secours défini, sans contournement silencieux.
Opération système ou flux hors périmètre	Restriction appliquée et trace exploitable.
Arrêt de l’agent déclenché	Arrêt et retrait des capacités vérifiés, délai mesuré.

Les usages légitimes doivent rester possibles. Mieux vaut mesurer la couverture des actions sensibles, les refus, les délais de révocation et la capacité d’investigation que compter les alertes. Commencer par une mission limitée permet d’élargir l’autonomie après démonstration des contrôles, avec les équipes métier, IAM, sécurité, applicatives et d’exploitation.

Le rôle du partenariat Ariovis et AccuKnox

Ariovis articule découverte des usages, analyse des dépendances et des risques, protection des interactions et de l’exécution, et traçabilité. Cette approche complète la gestion des identités et des accès (IAM), celle des accès à privilèges (PAM) et l’autorisation fine.

La plateforme AI Security d’AccuKnox propose l’inventaire des actifs IA, la découverte des usages non déclarés (Shadow AI), la protection des prompts, le contrôle des outils et le confinement à l’exécution. Ariovis accompagne son intégration, son déploiement et son support. Les capacités retenues doivent être validées dans l’architecture du client. L’entreprise reste responsable du mandat, des exceptions et des preuves attendues.

Pour identifier les premiers écarts, le diagnostic gratuit IA Authorization d’Ariovis évalue la maturité de l’autorisation dynamique autour de MCP, du RAG et des approches ABAC/PBAC. Il ne remplace ni un audit complet, ni des tests de sécurité, ni la vérification des protections à l’exécution.