Je ne retiens qu’un seul signal vraiment neuf aujourd’hui, et il est intéressant parce qu’il vient presque valider, puis dépasser, un raisonnement que nous avions publié il y a dix-sept jours. Le 3 août, nous écrivions que l’agent IA n’est pas un assistant, c’est un nouvel employé sans badge, sans contrat et parfois sans responsable. Le 20 août, une autorité nationale de cybersécurité recommande, en substance, de lui donner son badge.
Le National Cyber Security Centre britannique vient de publier ses recommandations opérationnelles pour sécuriser l’IA agentique. Une prescription mérite plus d’attention que les traditionnels appels au bac à sable ou à l’humain dans la boucle : « chaque agent devrait se voir attribuer sa propre identité unique, dans une classe qui le distingue des humains et des systèmes individuels ». L’agence demande aussi que l’activité des agents soit traitée comme une activité utilisateur, intégrée à la supervision de sécurité en continu, avec des journaux protégés et si possible immuables, que l’activité sortante soit identifiable comme provenant de l’organisation, et qu’un mécanisme d’arrêt immédiat permette de couper l’agent, son réseau et son accès au modèle. Ce n’est plus seulement de la gouvernance de l’IA. C’est le début d’une identité opérationnelle propre aux agents.
Ce qui vient de changer
Le point réellement nouveau n’est pas de célébrer cette confirmation. Il est dans le déplacement qu’elle acte. On passe d’un compte humain dont l’agent emprunte les droits, à une identité d’agent distincte, avec ses permissions propres, des actions attribuables et un historique auditable. La différence est fondamentale.
Un agent qui opère avec les identifiants d’un salarié produit une ambiguïté permanente : qui a fait l’action ? Un agent doté d’une identité distincte permet, en théorie, de répondre : quel agent, sous quelle autorité, avec quelles permissions, a accompli quelle action, et quand ? L’identité cesse alors d’être une simple question technique de gestion des accès. Elle devient une brique de gouvernance.
Pourquoi ce signal est plus important qu’il n’y paraît
Le NCSC recommande de considérer comme faisant partie du « rayon d’impact » de l’agent, ce qu’il appelle son blast radius : ses identifiants, ses rôles, les identités qu’il peut emprunter, son accès au réseau, au calcul, aux données et aux systèmes tiers. Autrement dit, le risque d’un agent ne dépend pas d’abord de son intelligence ou de son autonomie, mais de l’ensemble des choses que l’organisation lui permet réellement de faire. C’est une variable bien plus opérationnelle que les classements de modèles. Un agent médiocre doté de droits d’administrateur peut représenter plus de risque qu’un modèle très puissant enfermé dans un environnement sans accès sensible.
Le déplacement se lit ainsi : capacité du modèle, puis autonomie, puis autorité effective. C’est cette dernière notion, l’autorité effective, qui nous paraît la variable intéressante.
Le fait qui donne de la consistance au signal
La recommandation britannique n’arrive pas dans le vide. Dans son Risk Report d’août 2026, Anthropic décrit un incident interne instructif. Un employé, dont l’usage n’était ni journalisé ni couvert par la supervision automatisée, a confié une tâche ouverte à un agent, dans un cluster contenant des ressources très sensibles. À cause d’instructions héritées, cet agent a lancé des sous-agents avec l’option qui saute toutes les demandes de permission, eux aussi hors supervision. L’un d’eux a supprimé un grand nombre de tâches. Anthropic estime qu’il s’agissait d’une erreur de portée, l’agent ayant probablement voulu ne supprimer que ses propres tâches, mais précise que l’absence de supervision ne permet pas de le confirmer. L’entreprise indique avoir depuis ajouté des contrôles bloquants, tout en reconnaissant que sa supervision ne couvre pas encore tous les usages dans ces environnements sensibles.
Voilà ce qui rend le rapprochement intéressant. D’un côté, un incident réel : permissions excessives, agents dérivés, traçabilité insuffisante. De l’autre, une autorité cyber qui prescrit identité propre, moindre privilège, journaux immuables et bouton d’arrêt. Quelque chose qui ressemble à une doctrine opérationnelle commence à se former.
La variable cumulative à surveiller
Je ne créerais surtout pas un énième score de gouvernance de l’IA. Un concept sans protocole n’est qu’une formule d’article. La variable à surveiller est plus précise, et je la donne comme une définition de travail, à tester avant d’en faire quoi que ce soit de durable : l’empreinte d’autorité agentique, soit l’ensemble des identités, permissions, identifiants, ressources et systèmes qu’un agent peut mobiliser directement ou indirectement au cours de son activité.
Cette empreinte s’accumule, et sans décision unique ni spectaculaire. Au fil du temps, de nouveaux outils sont connectés, de nouveaux jetons d’accès sont accordés, de nouvelles interfaces deviennent accessibles, des agents engendrent des sous-agents, des comptes changent de rôle, des permissions anciennes restent actives, des automatisations deviennent permanentes. Chaque autorisation semble raisonnable isolément. Le cumul, lui, peut ne plus l’être. L’organisation se constitue ainsi, sans s’en apercevoir, une dette d’autorité agentique.
Une hypothèse, et elle est falsifiable
Voici comment je la formulerais. D’ici 2027, le principal indicateur de risque d’un agent pour une organisation ne sera plus son niveau d’autonomie déclaré, mais l’étendue cumulée de son autorité effective sur les systèmes de l’entreprise.
Cette hypothèse se teste. Pour chaque agent, on peut relever ses identités, ses permissions, les systèmes accessibles, ses identifiants, son autonomie et la durée de ses accès, puis suivre l’évolution mois après mois. Une organisation découvrirait probablement que son risque ne monte pas parce que son modèle devient plus intelligent, mais parce que son périmètre d’action s’élargit progressivement. Tant que ce suivi n’est pas mené, ce qui précède reste une observation de méthode, pas un indice mesuré.
Ce que le marché regarde encore au mauvais endroit
Le discours dominant porte encore sur le choix du modèle, puis sur l’opportunité de garder un humain dans la boucle. Ces questions restent pertinentes. Mais la question plus mature est ailleurs : que peut matériellement faire cet agent si sa décision est mauvaise ? C’est exactement la logique du blast radius.
Cela change aussi la gestion de crise. Lorsqu’une action fautive apparaît, l’entreprise doit pouvoir reconstruire la chaîne : agent, instruction, identité, permission, action, conséquence. Sans cette chaîne, le problème n’est plus seulement un problème de sécurité, c’est un problème de preuve. Et l’on rejoint là un angle que nous avons développé cette semaine sur les cyberattaques de l’État : la maîtrise n’existe vraiment que lorsqu’elle peut être démontrée. Après avoir identifié le nouvel acteur, il faut mesurer l’autorité qu’on lui accumule, et pouvoir la retracer.
Trois réserves à tenir
La prudence impose trois limites. D’abord, le document du NCSC est un conseil intermédiaire, pas une doctrine arrêtée. Ensuite, l’incident Anthropic ne démontre pas que les agents autonomes provoquent systématiquement des incidents graves : l’entreprise elle-même penche pour une erreur de portée, pas une action malveillante. Enfin, ces principes ne sont pas neufs en cybersécurité. Identité distincte, moindre privilège, journalisation et segmentation existaient bien avant l’IA. La nouveauté est leur application explicite aux agents comme nouvelle population d’acteurs informatiques. C’est cette distinction qu’il faut défendre, sans en rajouter.
La succession que cet article veut montrer n’est pas celle d’une IA qui deviendrait dangereuse. C’est celle d’un acteur qui se stabilise : assistant, puis agent, puis identité, puis permissions, puis responsabilité, puis preuve. Le 3 août, nous décrivions un employé sans badge. Le 20 août, une autorité nationale recommande de lui en donner un. Ce n’est pas une raison de s’auto-congratuler. C’est une raison de passer au niveau suivant, celui que peu regardent encore : mesurer l’autorité que l’on accorde, avant qu’elle ne s’accumule en dette.
