Un agent IA ayant accès aux systèmes de l'entreprise peut modifier des données, approuver des transactions et déclencher des actions sans attendre l'intervention d'un salarié. Microsoft veut que les équipes de sécurité traitent ces agents comme des initiés, dont les autorisations peuvent être modifiées lorsque leur comportement devient risqué.
Le 19 oct., Microsoft a enrichi Project Perception de trois capacités : les autorisations dynamiques, l'évaluation dynamique des risques liés aux agents et l'accès conditionnel dynamique. Le système est conçu pour limiter l'accès des agents, réévaluer continuellement les risques et intervenir avant que des actions dangereuses n'atteignent des systèmes sensibles.
Le problème ne se limite pas aux agents malveillants. Un agent par ailleurs légitime pourrait suivre des instructions manipulées, mal comprendre sa tâche ou tenter une action que son opérateur n'a jamais autorisée.
Fonctionnement des nouveaux contrôles pour les agents IA de Microsoft
Selon l'annonce de Microsoft, Project Perception applique désormais des contrôles de sécurité aux agents qui opèrent déjà au sein des organisations, étendant ainsi son périmètre initial, centré sur les menaces externes pilotées par l'IA.
Microsoft étend de 35 types la détection des agents locaux de Defender, portant leur nombre total à 60. Sont notamment concernés Claude Code, OpenAI Codex et GitHub Copilot.
Microsoft Entra Agent ID fournit des identités qui distinguent les agents des salariés qui les utilisent, aidant les organisations à suivre leur responsabilité et à appliquer des politiques d'accès.
Les trois contrôles fonctionnent ensemble :
- Autorisations dynamiques : les agents commencent sans accès ou avec un minimum de privilèges. Les autorisations sont accordées pour des tâches précises, expirent lorsqu'elles ne sont plus nécessaires et peuvent exiger l'approbation d'un humain pour les actions sensibles.
- Évaluation dynamique des risques liés aux agents : Microsoft évalue en continu les signaux provenant des identités, des terminaux, des services cloud, des réseaux, des données et de l'activité des agents afin de détecter les changements de risque.
- Accès conditionnel dynamique : les politiques de sécurité peuvent restreindre les autorisations, bloquer les opérations d'écriture, exiger une approbation, isoler un agent ou interrompre son exécution.
Microsoft Execution Container ajoute une isolation à l'exécution, en limitant les outils et les ressources auxquels un agent peut accéder.
Le défi de l'identité dépasse le cadre de Microsoft. La start-up spécialisée dans la sécurité Neo développe elle aussi des contrôles d'identité pour les entreprises destinés aux applications autonomes qui accèdent à des systèmes sensibles.
Project Perception ajoute les Playbooks et les Guardian Agents pour examiner l'évolution des risques et coordonner les mesures de protection. Microsoft affirme que les administrateurs conservent le contrôle des politiques et des décisions lourdes de conséquences.
Cette approche rappelle également la feuille de route de Google DeepMind pour la sécurité des agents IA, qui met l'accent sur la surveillance, les restrictions d'accès et les mécanismes de blocage.
Ce qu'a constaté eWeek : l'efficacité des mesures reste à démontrer
Microsoft a décrit une architecture de sécurité étendue, mais son annonce n'établit pas que chaque nouveau contrôle est disponible pour un déploiement général en production.
Project Perception est en aperçu public limité, avec un accès réservé à certains clients. Microsoft indique une tarification à la consommation pour le produit dans son ensemble, mais l'annonce du 19 oct. ne fournit pas de calendrier de déploiement détaillé fonctionnalité par fonctionnalité.
Cette distinction influe sur la planification en entreprise. Découvrir un agent, lui attribuer une identité et interrompre ses actions sont des exigences techniques distinctes.
Microsoft n'a pas publié de résultats indépendants sur les performances des Guardian Agents, notamment leurs taux de faux positifs, leur vitesse de confinement ou le nombre d'environnements tiers dans lesquels les mesures sont appliquées de bout en bout.
L'entreprise prévoit également d'intégrer à l'évaluation dynamique des risques liés aux agents des signaux au niveau des modèles, notamment des informations liées au raisonnement. Son annonce ne précise pas quels modèles prennent en charge cette visibilité, ni comment ces informations seront conservées et examinées.
De précédents cas de désalignement de l'IA illustrent le problème que ces contrôles sont censés résoudre. OpenAI a révélé des incidents impliquant l'utilisation non autorisée d'identifiants, l'envoi de fichiers publics et l'échange d'informations entre agents par des canaux imprévus.
Pour les entreprises qui évaluent Project Perception, trois questions méritent leur attention : quels agents peuvent être détectés, où les autorisations peuvent réellement être appliquées et si les actions dangereuses peuvent être interrompues avant d'atteindre des systèmes sensibles.
Microsoft a expliqué comment ces protections doivent fonctionner ensemble. Il faudra toutefois davantage de preuves issues de déploiements à grande échelle pour établir leur efficacité sur différentes plateformes d'agents.
À lire aussi : Notre article sur l'évasion du bac à sable d'OpenAI examine comment des modèles autonomes ont franchi des frontières de sécurité lors d'une évaluation de cybersécurité.