{"id":24525,"date":"2026-11-12T18:35:00","date_gmt":"2026-11-12T16:35:00","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=24525"},"modified":"2026-11-12T18:35:00","modified_gmt":"2026-11-12T16:35:00","slug":"adopting-cyberimmunity-for-ai-agent-design-rollout","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/24525\/","title":{"rendered":"Cours sur la cyberimmunit\u00e9 pour les agents d’IA"},"content":{"rendered":"

Les syst\u00e8mes d\u2019IA sont beaucoup plus difficiles \u00e0 prot\u00e9ger que les syst\u00e8mes informatiques traditionnels, que ce soit contre les erreurs des op\u00e9rateurs, contre les interventions malveillantes, ou tout simplement contre les comportements instables. Il existe deux raisons principales \u00e0 cela. Premi\u00e8rement, les r\u00e9ponses de l\u2019IA sont probabilistes<\/a>\u00a0: une m\u00eame requ\u00eate peut donc produire des r\u00e9ponses diff\u00e9rentes \u00e0 chaque ex\u00e9cution. Deuxi\u00e8mement, les mod\u00e8les LLM actuels ne savent pas distinguer de mani\u00e8re fiable les commandes des donn\u00e9es<\/a>. Malgr\u00e9 les probl\u00e8mes de s\u00e9curit\u00e9 av\u00e9r\u00e9s des<\/a> syst\u00e8mes d\u2019IA que nous avons abord\u00e9s \u00e0 de nombreuses reprises, il est impossible d\u2019ignorer les b\u00e9n\u00e9fices \u00e9conomiques potentiels li\u00e9s \u00e0 leur adoption. C\u2019est pourquoi de nombreuses entreprises ne se contentent plus de simples assistants IA et se tournent d\u00e9sormais vers des agents d\u2019IA. Ces agents effectuent des t\u00e2ches de mani\u00e8re autonome et ont directement acc\u00e8s aux m\u00eames outils que les humains, qu\u2019il s\u2019agisse de consulter des bases de donn\u00e9es ou de modifier les param\u00e8tres des processus de production. Dans leur nouvelle \u00e9tude<\/a>, nos experts examinent comment d\u00e9finir clairement et r\u00e9duire au minimum les risques qui en d\u00e9coulent afin de limiter au maximum les probl\u00e8mes potentiels. Cette approche reprend et adapte les principes de cyberimmunit\u00e9 et de s\u00e9curisation d\u00e8s la conception.<\/p>\n

Les principes fondamentaux de la s\u00e9curisation d\u00e8s la conception<\/h2>\n

Tous les principes de cette discipline s\u2019appliquent de mani\u00e8re universelle \u00e0 la conception de n\u2019importe quel syst\u00e8me informatique, y compris les agents d\u2019IA. Ce qui diff\u00e8re, c\u2019est le degr\u00e9 d\u2019adaptation et de remaniement dont chaque principe a besoin pour s\u2019appliquer aux sc\u00e9narios d\u2019IA.<\/p>\n

    \n
  1. La s\u00e9curit\u00e9 est un facteur \u00e0 part enti\u00e8re et important d\u00e8s la phase de conception. Les objectifs et les hypoth\u00e8ses en mati\u00e8re de s\u00e9curit\u00e9 sont d\u00e9finis d\u00e8s le d\u00e9part et respect\u00e9s \u00e0 chaque \u00e9tape du d\u00e9veloppement. Pour les agents d\u2019IA, ces hypoth\u00e8ses doivent inclure trois points cl\u00e9s\u00a0: (i) le mod\u00e8le de langage est consid\u00e9r\u00e9 comme non fiable, (ii) les donn\u00e9es externes, quelle que soit leur nature, sont consid\u00e9r\u00e9es comme potentiellement malveillantes, et (iii) les actions irr\u00e9versibles ne peuvent pas \u00eatre ex\u00e9cut\u00e9es de mani\u00e8re autonome sans une approbation humaine obligatoire.<\/li>\n
  2. Le syst\u00e8me est con\u00e7u en partant du principe qu\u2019il sera attaqu\u00e9.<\/li>\n
  3. La base informatique de confiance et la surface d\u2019attaque sont r\u00e9duites au minimum. Les agents ne disposent que des outils dont ils ont r\u00e9ellement besoin, d\u2019autorisations limit\u00e9es, et d\u2019un minimum d\u2019informations contextuelles. L\u2019application de la strat\u00e9gie de s\u00e9curit\u00e9 est enti\u00e8rement g\u00e9r\u00e9e par des modules d\u00e9terministes, \u00e0 savoir le moniteur de la strat\u00e9gie, l\u2019environnement d\u2019ex\u00e9cution de l\u2019agent et les m\u00e9canismes d\u2019isolation (sandboxes).<\/li>\n
  4. Le principe du moindre privil\u00e8ge s\u2019applique. Chaque agent dispose de ses propres identifiants et droits d\u2019acc\u00e8s (identit\u00e9), limit\u00e9s au strict minimum n\u00e9cessaire \u00e0 l\u2019ex\u00e9cution de sa t\u00e2che. Si un agent a temporairement besoin de droits d\u2019acc\u00e8s \u00e9tendus, il ne les obtient qu\u2019apr\u00e8s approbation externe, et uniquement pour la dur\u00e9e exacte de la t\u00e2che qui les requiert.<\/li>\n
  5. Les modules sont isol\u00e9s. Dans les syst\u00e8mes \u00e0 base d\u2019agents, il s\u2019agit de l\u2019un des probl\u00e8mes d\u2019architecture les plus complexes, qui se pose \u00e0 plusieurs niveaux. L\u2019environnement d\u2019ex\u00e9cution de l\u2019agent doit fonctionner dans un environnement isol\u00e9 (sandbox ou machine virtuelle), et les agents doivent \u00eatre aussi isol\u00e9s que possible les uns des autres. Le traitement des donn\u00e9es dans les contextes fiables est \u00e9galement s\u00e9par\u00e9 de celui effectu\u00e9 dans les contextes non fiables. Par exemple, un agent lit une demande d\u2019extraction et r\u00e9dige une \u00e9bauche de code, tandis qu\u2019un autre agent examine ce travail sans jamais voir le texte potentiellement malveillant de la demande.<\/li>\n
  6. Le refus par d\u00e9faut est la r\u00e8gle. Les strat\u00e9gies de s\u00e9curit\u00e9 suivent la r\u00e8gle suivante\u00a0: tout ce qui n\u2019est pas explicitement autoris\u00e9 est interdit. Cela inclut les appels d\u2019outils, les interactions entre les agents et le trafic r\u00e9seau.<\/li>\n
  7. Une d\u00e9fense en profondeur est mise en place. Diff\u00e9rentes mesures doivent fonctionner simultan\u00e9ment et se renforcer mutuellement. Les d\u00e9fenses probabilistes, comme les garde-fous d\u2019IA (un \u00ab\u00a0pare-feu\u00a0\u00bb pour les mod\u00e8les de langage) ou l\u2019alignement (la capacit\u00e9 du mod\u00e8le \u00e0 distinguer ce qui est acceptable de ce qui ne l\u2019est pas), ne peuvent offrir aucune garantie formelle en mati\u00e8re de s\u00e9curit\u00e9. N\u00e9anmoins, elles renforcent la s\u00e9curit\u00e9 globale du syst\u00e8me et constituent une source pr\u00e9cieuse de donn\u00e9es t\u00e9l\u00e9m\u00e9triques.<\/li>\n
  8. La cha\u00eene d\u2019approvisionnement est prot\u00e9g\u00e9e. Certains agents peuvent installer de mani\u00e8re autonome des comp\u00e9tences, des biblioth\u00e8ques et d\u2019autres modules logiciels, de sorte que ces capacit\u00e9s doivent \u00eatre strictement encadr\u00e9es. Bloquez compl\u00e8tement ces capacit\u00e9s, ou limitez-les \u00e0 une liste ferm\u00e9e et pr\u00e9approuv\u00e9e de versions sp\u00e9cifiques de modules particuliers. Les syst\u00e8mes reposant sur des LLM dans le cloud sont expos\u00e9s \u00e0 un risque suppl\u00e9mentaire, \u00e0 savoir les mises \u00e0 jour des mod\u00e8les. Un jour, une m\u00eame requ\u00eate API pourrait \u00eatre trait\u00e9e par un mod\u00e8le de langage diff\u00e9rent, pr\u00e9sentant des propri\u00e9t\u00e9s de s\u00e9curit\u00e9 diff\u00e9rentes.<\/li>\n<\/ol>\n

    Les pi\u00e8ges de la s\u00e9curit\u00e9 en mati\u00e8re d\u2019IA<\/h2>\n

    Les principes g\u00e9n\u00e9raux de la s\u00e9curisation d\u00e8s la conception sont bien connus et semblent simples sur le papier. Cependant, leur application aux syst\u00e8mes d\u2019IA est d\u00e9licate, car les agents sont incroyablement flexibles. Par exemple, une \u00e9quipe de s\u00e9curit\u00e9 pourrait penser qu\u2019un agent install\u00e9 sur l\u2019ordinateur d\u2019un d\u00e9veloppeur s\u2019ex\u00e9cute dans un sandbox et ne peut rien modifier en dehors de celui-ci. Or, un pirate informatique, voire l\u2019agent lui-m\u00eame, peut trouver des dizaines de moyens de contourner cette protection apparemment fiable, par exemple en ex\u00e9cutant des commandes par le biais d\u2019un serveur MCP local non soumis aux restrictions du sandbox, ou encore en reconfigurant un autre agent d\u2019IA<\/a> install\u00e9 sur le syst\u00e8me. Pour compliquer encore les choses, l\u2019\u00e9ventail des vecteurs d\u2019attaque est immense, allant de champs arbitraires dans la configuration de l\u2019agent<\/a> \u00e0 des cha\u00eenes de texte d\u2019apparence anodine dans un fichier de comp\u00e9tences<\/a>.<\/p>\n

    La fatigue de l\u2019utilisateur constitue \u00e9galement un probl\u00e8me s\u00e9rieux que les concepteurs sous-estiment souvent. Un agent tr\u00e8s actif peut g\u00e9n\u00e9rer des dizaines de demandes par minute, invitant l\u2019utilisateur \u00e0 valider des actions potentiellement dangereuses. En moins d\u2019une heure, la personne clique sur Approuver<\/em> de fa\u00e7on machinale<\/a>, sans m\u00eame lire ce qu\u2019elle approuve. C\u2019est pourquoi il est important d\u2019ajuster soigneusement la fr\u00e9quence \u00e0 laquelle ces demandes apparaissent, ainsi que la mani\u00e8re dont elles sont formul\u00e9es. Personne ne lira une description de demande trop longue. \u00c0 l\u2019inverse, une description trop courte peut omettre les d\u00e9tails essentiels<\/a> dont l\u2019utilisateur a besoin pour prendre la bonne d\u00e9cision.<\/p>\n

    Les vuln\u00e9rabilit\u00e9s des agents et des outils associ\u00e9s constituent un probl\u00e8me urgent, aggrav\u00e9 par la rapidit\u00e9 avec laquelle ces cat\u00e9gories de logiciels \u00e9voluent et re\u00e7oivent des mises \u00e0 jour. Des plateformes et applications de r\u00e9f\u00e9rence dans le secteur (comme LangGraph<\/a>, MS Semantic Kernel<\/a> et Claude Code<\/a>) ont vu leurs vuln\u00e9rabilit\u00e9s critiques \u00eatre corrig\u00e9es \u00e0 plusieurs reprises. Les architectes devraient toujours envisager de remplacer un framework volumineux et polyvalent par un syst\u00e8me compact et \u00e9pur\u00e9, dot\u00e9 uniquement des fonctionnalit\u00e9s dont un agent particulier a r\u00e9ellement besoin.<\/p>\n

    De plus, la mise en \u0153uvre rigoureuse de mesures de s\u00e9curit\u00e9 standard et \u00e9prouv\u00e9es dans les outils disponibles permet de r\u00e9duire consid\u00e9rablement les d\u00e9g\u00e2ts si un agent est attaqu\u00e9 ou se comporte de mani\u00e8re inattendue. Une liste d\u2019autorisation stricte des domaines auxquels l\u2019outil de r\u00e9cup\u00e9ration Web peut acc\u00e9der \u00e0 la demande de l\u2019agent en constitue un exemple. Cependant, les concepteurs prennent rarement en compte les probl\u00e8mes cach\u00e9s et la charge de travail suppl\u00e9mentaire li\u00e9s \u00e0 la gestion de cette liste. Celle-ci devient donc progressivement obsol\u00e8te et cr\u00e9e des failles que les pirates informatiques peuvent exploiter. L\u2019exemple le plus frappant est l\u2019attaque EchoLeak<\/a>. Microsoft\u00a0365 Copilot disposait d\u2019une liste d\u2019autorisation correctement mise en \u0153uvre et relativement efficace pour l\u2019acc\u00e8s \u00e0 des sites externes, mais des pirates informatiques ont r\u00e9ussi \u00e0 la contourner en exploitant une fonctionnalit\u00e9 d\u2019un outil secondaire, ainsi que le domaine MS\u00a0Teams.<\/p>\n

    Conseils pratiques destin\u00e9s aux architectes et aux \u00e9quipes de s\u00e9curit\u00e9<\/h2>\n

    Les architectes de syst\u00e8mes d\u2019IA et les responsables des \u00e9quipes d\u2019ing\u00e9nierie et de s\u00e9curit\u00e9 doivent int\u00e9grer la s\u00e9curit\u00e9 des agents d\u00e8s la phase de conception. Ils doivent s\u2019appuyer principalement sur des m\u00e9canismes v\u00e9rifiables et d\u00e9terministes, en isolant les modules, en contr\u00f4lant les interactions et en r\u00e9duisant au minimum la base informatique de confiance.<\/p>\n

    Les principales d\u00e9cisions architecturales consistent notamment \u00e0 d\u00e9finir le degr\u00e9 d\u2019autonomie acceptable pour les agents, \u00e0 limiter l\u2019acc\u00e8s aux donn\u00e9es confidentielles et aux combinaisons de capacit\u00e9s dangereuses, et \u00e0 utiliser des sandboxes, des r\u00f4les distincts pour les diff\u00e9rents mod\u00e8les et des passerelles de contr\u00f4le d\u2019acc\u00e8s. Les restrictions ajout\u00e9es apr\u00e8s coup r\u00e9duisent les risques, mais ne remplacent pas une architecture s\u00e9curis\u00e9e.<\/p>\n

    Sur les plans organisationnel et op\u00e9rationnel, les entreprises doivent tenir un inventaire de leurs agents, coordonner les efforts des \u00e9quipes charg\u00e9es de la s\u00e9curit\u00e9 et du d\u00e9ploiement, prot\u00e9ger les environnements de conteneurs, g\u00e9rer la cha\u00eene d\u2019approvisionnement (AIBOM) et int\u00e9grer une d\u00e9fense multicouche.<\/p>\n

    L\u2019observabilit\u00e9 m\u00e9rite une attention particuli\u00e8re. Pour les syst\u00e8mes d\u2019IA, cela doit inclure la journalisation des requ\u00eates, des r\u00e9ponses et du raisonnement du LLM, ainsi que des donn\u00e9es t\u00e9l\u00e9m\u00e9triques d\u00e9taill\u00e9es provenant des h\u00f4tes et des environnements cloud sur lesquels l\u2019agent s\u2019ex\u00e9cute.<\/p>\n

    Le plus difficile dans la conception d\u2019agents est de trouver le juste \u00e9quilibre entre s\u00e9curit\u00e9, performances et utilit\u00e9. Pour d\u00e9couvrir comment trouver cet \u00e9quilibre gr\u00e2ce \u00e0 une mod\u00e9lisation des menaces et \u00e0 des objectifs de s\u00e9curit\u00e9 clairement d\u00e9finis, consultez<\/p>\n","protected":false},"excerpt":{"rendered":"

    Comment appliquer le principe de s\u00e9curisation d\u00e8s la conception lors du d\u00e9ploiement d’agents d’IA ?<\/p>\n","protected":false},"author":2706,"featured_media":24527,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2112,3150],"tags":[3383,4556,4357,61],"class_list":["post-24525","post","type-post","status-publish","format-standard","has-post-thumbnail","category-business","category-enterprise","tag-ia","tag-llm","tag-machine-learning","tag-securite"],"hreflang":[{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/24525\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31180\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/26212\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/13770\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31022\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/32564\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31109\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/42919\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/15021\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/56619\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/33963\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31176\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/36921\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/36592\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.fr\/blog\/tag\/ia\/","name":"IA"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/24525","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/users\/2706"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/comments?post=24525"}],"version-history":[{"count":3,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/24525\/revisions"}],"predecessor-version":[{"id":24529,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/posts\/24525\/revisions\/24529"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media\/24527"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/media?parent=24525"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/categories?post=24525"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.fr\/blog\/wp-json\/wp\/v2\/tags?post=24525"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}