Un agent d'IA qui lit des documents, ouvre l'e-mail, interroge une base et parcourt une application métier terminera certains travaux plus vite qu'une personne qui copie d'un onglet à l'autre. La même portée explique l'inquiétude des équipes de sécurité. L'agent est un nouvel utilisateur de systèmes que l'entreprise a déjà. S'il peut voir des fichiers sensibles ou agir dans plusieurs produits, il est aussi un chemin qu'un attaquant, ou une simple erreur, peut utiliser.
Le modèle n'est pas tout le système. Le risque est dans ce que l'agent a le droit de lire, quels outils il peut appeler, de quelle identité il hérite, et si quelqu'un remarque quand il fait quelque chose d'étrange. Une instruction soignée ne remplace pas ces contrôles.
Ce qui peut mal tourner quand un agent agit
Les risques 2026 de l'OWASP pour les applications agentiques comprennent le détournement d'objectif, le mauvais usage des outils et l'exécution de code inattendue. Le détournement d'objectif peut arriver quand un agent suit des instructions malveillantes glissées dans un contenu qu'il lit, comme une page web ou un document. L'utilisateur a demandé un résumé. La page a demandé à l'agent de faire autre chose, et l'agent a traité ce texte caché comme une partie de la tâche. Le mauvais usage d'outil est le cas où l'agent utilise une application légitime de façon dangereuse : envoyer, supprimer ou modifier un dossier parce que la tâche a été lue trop largement. L'exécution de code inattendue est le cas où l'agent est poussé à lancer quelque chose qu'il n'aurait jamais dû pouvoir lancer.
L'OWASP GenAI Security Project parcourt cette liste 2026 dans son propre exposé. La vidéo couvre le top 10 plus large, pas seulement les trois risques ci-dessus. Ce qu'elle ajoute ici, c'est la raison de ces risques : un agent qui appelle des outils pose un problème différent d'un chatbot qui se contente d'écrire une réponse. La vidéo est en anglais.
La fiche de sécurité des agents d'IA de l'OWASP est le compagnon pratique de cette liste. Le texte de Microsoft sur ces risques dans Copilot Studio montre comment un fournisseur reporte les mêmes soucis sur un produit. Le schéma n'est pas propre à une marque. Tout agent qui récupère un contenu non fiable puis appelle des outils a la même forme de problème.
Une phrase dans l'instruction ne tient pas
Dire à un agent « ne partage pas de données confidentielles » n'est pas une application de la règle. L'agent peut quand même coller un dossier client dans un brouillon, appeler un outil externe avec le contenu d'un fichier, ou suivre une instruction plus tardive qui contredit la première. Les organisations doivent placer la protection dans le système. Limiter chaque agent aux données et aux outils dont un seul flux a besoin. Garder les essais séparés de la production. Exiger un accord avant une action sensible. Journaliser ce que l'agent a lu et ce qu'il a appelé.
Traiter les documents externes, les messages, les pages web et les réponses d'API comme des entrées non fiables. C'est la même habitude que les développeurs ont déjà pour les champs de formulaire, appliquée au matériau que l'agent va chercher lui-même. Un guide interne dans un dossier approuvé n'est pas la même source qu'une page web trouvée en cours de tâche. Des droits excessifs aggravent chacun de ces échecs, parce qu'un agent confus ou compromis peut atteindre des systèmes dont la tâche n'avait pas besoin.
- Un agent, une tâche, et une liste d'outils que cette tâche exige.
- Pas de données de production dans un essai encore piloté à la main.
- Un accord avant d'envoyer, payer, supprimer, publier ou modifier un dossier client.
- Un journal qui montre l'instruction, les outils et le résultat.
- Un contenu externe traité comme hostile tant qu'une personne ne l'a pas accepté.
Évaluer le flux, puis tester les mauvais cas
Une entreprise qui introduit des agents devrait commencer par une analyse de risque de tout le flux. Quelles informations entrent ? Quels outils peuvent être appelés ? Quelle identité l'agent utilise-t-il, et cette identité est-elle un super-utilisateur partagé ou un compte étroit ? Que se passe-t-il s'il suit une instruction incorrecte ? Ces questions appartiennent à la sécurité, au développement et aux responsables du processus, ensemble. Une fiche modèle du fournisseur n'y répond pas.
Les essais doivent inclure des échecs réalistes. Une page récupérée qui contient une instruction cachée. Une réponse d'outil qui demande à l'agent une seconde action, plus large. Un document qui a l'air interne et ne l'est pas. Si le seul essai est une démonstration heureuse sur des données propres, le pilote n'a pas rencontré les risques que l'OWASP nomme. La gouvernance de l'IA agentique est la version managériale du même essai : qui peut approuver l'action, et qui lit le journal. L'agent Gemini de Google est un produit qui propose maintenant ce travail en plusieurs étapes, avec ses propres contrôles de droits. Ces contrôles doivent encore être réglés.
Empêcher l'agent de devenir un trousseau de rechange
Avec ces limites, une entreprise peut essayer l'automatisation sans laisser une voie non surveillée vers le courrier, les fichiers et les applications métier. L'agent devrait être moins privilégié que la personne qu'il aide, pas plus. Quand ses outils ou sa tâche changent, la revue doit changer avec eux. Un droit accordé pour un pilote en octobre n'est pas automatiquement juste en mars.
Le RGPD britannique s'applique quand le contenu identifie quelqu'un. Les journaux d'instructions et de fichiers récupérés peuvent aussi être des données personnelles. Savoir où ils sont stockés fait partie de l'activation. Le rapport de défense 2026 de Microsoft rappelle que les comptes valides et les droits excessifs sont déjà une voie d'entrée courante. Une identité d'agent est un compte de plus.
Construire la limite dans le produit
Le développement IA qu'une entreprise britannique peut assumer part du flux et des droits, pas d'un assistant général avec chaque connecteur activé. Le développement logiciel est l'endroit où ces limites deviennent quelque chose que le système applique, plutôt qu'une ligne dans une instruction.
Web Works Rise est une équipe menée depuis le Royaume-Uni, à Birmingham, avec un hub de développement en Tunisie pour la livraison. Si vous allez laisser un agent lire des fichiers d'entreprise ou appeler un outil métier, parlez à l'équipe de la plus petite version de cette tâche et des contrôles devant toute action qui sort de l'entreprise.