Capsule ITSécuriser vos agents IA : diagnostic de maturité et accompagnement
Cette capsule mesure votre maîtrise de vos agents au regard de cinq principes, puis vous accompagne jusqu’au palier de maturité suivant.
Le constat
Un agent IA ne se contente plus de répondre. Il dispose d’identités, d’accès et d’une autonomie pour agir sur vos systèmes : c’est un risque d’une autre nature.
Notre approche
Pour progresser dans la maîtrise de vos agents, nous conduisons un diagnostic de maturité au regard de cinq principes, identifions les actions à prioriser, puis vous accompagnons jusqu’au palier suivant.
Des agents qui agissent : les enjeux
Une surface d’attaque nouvelle
- Détournement d’objectif et injection d’instructions : l’agent exécute ce qu’on lui glisse, pas ce qu’on lui a demandé
- Abus d’outils : les accès légitimes de l’agent deviennent le moyen de l’attaque
- Chaîne d’approvisionnement des modèles : l’agent est à la fois une cible et un point d’entrée vers vos systèmes
Des agents qui peuvent dériver
- L’agent comme vecteur d’incident : des agents déployés peuvent devenir eux-mêmes l’origine de la compromission, comme l’a montré le cas Hugging Face de juillet 2026
- Les agents « fantômes » : mis en service hors de tout circuit officiel, ils échappent à la gouvernance
Un cadre encore en construction
- Des normes qui courent après les menaces : référentiels et exigences se construisent encore
- Attendre, c’est rester exposé : la maîtrise des agents se travaille dès maintenant
Ce que disent les études
Sources : Kiteworks, 2026 ; Cloud Security Alliance, avril 2026.
63 %
des organisations ne peuvent pas faire respecter le périmètre d’un agent
95 %
doutent de pouvoir détecter ou contenir un agent compromis
92 %
des RSSI et DSI n’ont pas de visibilité complète sur les identités de leurs agents
Cinq principes pour reprendre la maîtrise de vos agents
Cinq questions à poser pour chaque agent déployé, de sa mise en service jusqu’à son arrêt.
Identité agentique et moindre privilège
Chaque agent est une identité à part entière, avec les seuls droits nécessaires, jamais hérités automatiquement de l’utilisateur.
La question : qui est l’agent et à quoi a-t-il accès ?
Policy Enforcement externe
Le modèle propose, la politique décide : un point de décision indépendant de l’agent, déterministe et auditable.
La question : qui décide réellement si l’action est autorisée ?
Défense Zero Trust du contexte
Documents, outils, mémoire : tout ce que lit l’agent est traité comme non fiable tant qu’il n’a pas été contrôlé.
La question : peut-on faire confiance aux informations qu’il consomme ?
Calibration de l’autonomie par niveau de risque
Plus une action est irréversible ou critique, moins l’agent est autonome : la validation humaine est dosée par le risque.
La question : jusqu’où peut-il agir sans intervention humaine ?
Observabilité et containment
Ce qui ne peut pas être observé et arrêté ne devrait pas agir de manière autonome. Détecter, puis suspendre et révoquer.
La question : peut-on voir, comprendre et arrêter ce qu’il fait ?
Un diagnostic de maturité, augmenté par Revelio
Une évaluation conçue par Lucernys au regard des cinq principes. Revelio, l’outil d’audit augmenté d’agenuity, conduit la campagne de recueil des réponses et aide à l’évaluation. Référentiels dont elle s’inspire : AIUC-1, OWASP Top 10 for Agentic Applications, MITRE ATLAS, Cloud Security Alliance.
Cadrer
Périmètre des agents à évaluer, interlocuteurs à mobiliser, agents déjà en service ou en projet.
Livrable : périmètre et plan de campagne
Recueillir
Campagne de recueil des réponses au référentiel de questions, organisé par principe, preuves à l’appui.
Livrable : réponses et preuves collectées
Évaluer
Niveau de maturité noté de 0 à 3 pour chaque principe, au regard de chacun des deux paliers, avec l’aide de Revelio.
Livrable : scores par principe
Restituer
Lecture de l’état de situation par principe, avec les écarts au palier Fondation et au palier Avancé.
Livrable : rapport de maturité
Où vous en êtes, et les deux paliers de mesure
Le diagnostic mesure votre maîtrise des mécanismes de sécurité de vos agents, preuves à l’appui. Il contribue ainsi à vos certifications, mais l’objectif reste l’action : réduire le risque et améliorer la maîtrise de vos agents.
Aujourd’hui
Le niveau réellement mesuré par le diagnostic, principe par principe.
Palier Fondation
Le socle minimal de sécurisation recommandé avant d’accroître l’autonomie des agents.
Palier Avancé
Le niveau d’ambition au-delà du socle, au fil de votre stratégie agentique.
Du diagnostic au prochain palier de maturité
Diagnostic de maturité
Où en êtes-vous sur chacun des cinq principes ?
Recommandations priorisées
Ce qui compte d’abord, selon vos agents et vos risques.
Feuille de route
Une trajectoire vers le prochain palier, principe par principe, lue en taux de couverture des fonctionnalités actives, avant et après.
Deux leviers pour atteindre ce palier, menés de front
Les fonctionnalités à déployer sont choisies parmi les 54 de notre référentiel, selon les principes concernés et le palier visé pour chacun.
Gouvernance
Poser le cadre qui rend la sécurité des agents applicable.
- Registre des agents et circuit de validation de tout nouvel agent
- Évaluation des risques agentiques propre à votre contexte
- Politique de sécurité enrichie en conséquence
- Sensibilisation et formation des équipes concernées
Solutions outillées
Déployer les fonctionnalités prioritaires issues du diagnostic, en s’appuyant au besoin sur l’Agentic Factory d’agenuity.
- Outils déjà en place chez vous, étendus à vos agents
- Briques agenuity Shield, développées sur mesure ou déjà dans l’AI Tool Box, comme PreLLM
- Briques du marché, sélectionnées, paramétrées et intégrées quand elles sont le bon choix
Les cas d’usage types d’une feuille de route
Liste indicative : le portefeuille réel se construit à partir de votre diagnostic et de vos priorités.
Cadre et inventaire
- Inventaire et classification des agents : tout agent déployé est connu, rattaché à un usage et à un responsable
- Portes de validation humaine : les actions sensibles sont arrêtées tant qu’un humain n’a pas tranché
Confinement
- Confinement des agents : familles d’outils autorisées, secrets, cloisonnement des données par agent
Surveillance et preuve
- Détection d’usages déviants : injections d’instructions, exfiltration, dérive de périmètre
- Journal de preuve : chaque action d’agent tracée et rejouable pour l’audit