Au vu de l’émergence rapide de l’IA agentique, l’ère de l’IA qui se résume à des invites suivies de réponses est révolue. Des orchestrations d’API backend aux workflows autonomes du service client, les agents d’IA semblent être devenus les nouveaux effectifs numériques. Mais si la productivité peut monter en flèche, ces identités non humaines peuvent opérer dans l’ombre, exerçant un accès de haut niveau sans la supervision des protocoles d’identité traditionnels.
La visibilité étant le seul antidote à ce risque émergent, nous sommes heureux d’annoncer que Agent Discovery, une fonctionnalité d’Okta Identity Security Posture Management, est désormais disponible en Early Access (EA). En capturant l’établissement de liaison entre les collaborateurs et les outils d’IA qu’ils utilisent, Okta fournit la première étape du parcours de sécurité, transformant les agents d’IA fantômes en identités gérées. La fonctionnalité Agent Discovery est également disponible dans Okta for AI Agents dans le cadre d’ISPM. La solution Okta for AI Agents est également désormais disponible en Early Access.
Le déficit de visibilité, un facteur de risque critique pour les responsables de la sécurité
Aujourd’hui, les responsables de la sécurité ont du mal à répondre à des questions pourtant essentielles, telles que :
- Notre entreprise divulgue-t-elle sa propriété intellectuelle ou ses données clients par le biais d’outils d’IA non validés ?
- Nous avons dépensé des millions et approuvé des plateformes de création d’IA pour accélérer la productivité, mais quel niveau de risque venons-nous de générer ? Et quel serait le scénario catastrophe en cas de piratage ?
- Quelles clés API à privilèges excessifs et non renouvelées alimentent actuellement les agents critiques, et qui est la personne responsable si elles agissent de façon indésirable ?
Si vous vous posez ces questions, sachez que vous n’êtes pas seul(e). Avec la course à l’agentique au sein des entreprises, nous avons créé un énorme déficit de visibilité. Or, cette visibilité est critique pour établir la confiance dans la posture de sécurité de vos agents d’IA.
Avec Agent Discovery, vous pouvez acquérir cette visibilité en toute simplicité en quatre étapes clés. Voici un guide par étapes pour vous aider à reprendre le contrôle de votre environnement d’IA :
Étape 1 – Identifiez vos agents de plateformes d’IA
L’autorisation n’est pas synonyme de visibilité. Alors que les équipes d’IA peuvent créer rapidement des outils dans des environnements approuvés tels que Microsoft Copilot, Salesforce Agentforce, AWS Bedrock, OpenAI, Google Vertex AI et Gemini Enterprise, les équipes sécurité manquent souvent d’accès administrateur ou d’une expertise spécialisée pour auditer ces environnements de production. Même pour les équipes disposant des meilleures ressources, le volume considérable d’agents rend impossible la supervision manuelle.
Par conséquent, cela crée de dangereuses lacunes dans la prise de responsabilités : vous êtes tenu responsable des répercussions d’une brèche causée par l’IA, mais vous n’avez aucun moyen de vérifier l’état actuel des risques. Pour prévenir les incidents, vous devez être en mesure de définir et d’auditer les contrôles de la posture de sécurité. Cependant, demandez-vous si vous seriez à même de détecter si un agent s’est vu accorder des autorisations de « super administrateur » pour simplifier sa configuration, ou s’il relie dangereusement l’accès entre la production critique et des tenants de développement non sécurisés.
Après un incident, si un agent au sein de ces plateformes est compromis, pourriez-vous produire une liste spécifique des données auxquelles il peut accéder ?
Vous êtes contraint de faire confiance, mais de vérifier. Cependant, sans un inventaire automatisé des agents et des autorisations associées, la vérification est impossible.
La solution Okta : vous disposez d’une analyse approfondie de ces ressources critiques afin de déterminer à qui appartient chaque agent, ce que ces agents sont réellement habilités à faire et où se situent les principaux risques. Vos plateformes censées être approuvées sortent de l’ombre pour devenir une ressource gouvernée, de sorte que « validé » signifie réellement « sûr ».
Étape 2 – Découvrez les agents inconnus intégrés aux plateformes non autorisées
Vous ne pouvez pas gouverner ce que vous ne pouvez pas voir. Alors que la plupart des entreprises se concentrent sur quelques outils approuvés, il se peut que votre surface d’attaque se soit étendue en toute discrétion, dans tous les départements. Cette « couche inconnue » de l’IA comprend des plateformes non autorisées, des constructeurs d’agents non approuvés et des serveurs MCP cachés, qui fonctionnent tous en dehors du champ de vision des équipes IT et sécurité.
Un facteur essentiel de ce risque est l’autorisation OAuth. Pour rendre fonctionnels les agents développés en interne ou cachés, les collaborateurs leur accordent l’accès aux données métier essentielles par consentement de l’utilisateur. Ce processus génère un token OAuth, une clé numérique qui permet à une application d’accéder aux données et d’effectuer des actions au nom d’un utilisateur.
La solution Okta : le plugin de navigateur Okta Secure Access Monitor (SAM) transmet à ISPM des signaux OAuth en temps réel pour vous aider à prendre le contrôle :
- Identifier les agents créés sur des plateformes non approuvées.
- Identifier les accès à privilèges excessifs : mettre en évidence les champs d’application spécifiques qui accordent aux agents des autorisations dangereuses.
- Mettre au jour les services SaaS non validés : détectez les applications non autorisées qui contournent les examens de conformité légale et de confidentialité, exposant ainsi l’entreprise à des risques réglementaires et liés à la résidence des données.
Avec la solution Okta for AI Agents, Okta vous aide à placer ces agents sous gouvernance en les enregistrant comme identités connues et gérées dans Okta, en leur appliquant des politiques de sécurité et en désignant des propriétaires humains.
Étape 3 – Renforcez la couche d’identités et sécurisez les identités non humaines
Les agents d’IA fonctionnent avec de multiples identités non humaines, notamment des tokens d’API, des clés d’accès, des principaux de service et des tokens OAuth. Pour sécuriser l’IA, vous devez aller au-delà du bot lui-même et renforcer les clés techniques qui permettent aux agents d’agir sur vos applications et données critiques. Cela nécessite une visibilité précise sur les connexions de graphes entre l’agent d’IA, la personne qui l’a créé, les identités non humaines spécifiques qui l’alimentent et les applications auxquelles il peut accéder.
La solution Okta : obtenez une visibilité sur plusieurs types d’identités non humaines dans les environnements SaaS, idP, cloud et Active Directory sur site, le tout dans une vue unique. Cela vous aide à réduire considérablement les risques de vos agents d’IA grâce à plus de 25 détections de risques prioritaires, correspondant à la liste Top 10 des risques de l’OWASP pour les identités non humaines, afin de mettre en évidence les lacunes importantes, telles que les identifiants à privilèges excessifs ou non renouvelés, avant qu’elles ne soient utilisées pour compromettre vos agents d’IA.
Étape 4 – Passez de la visibilité à la correction grâce à une plateforme d’identité unifiée et consolidée
Intégrez vos agents d’IA découverts et leurs identités non humaines sous-jacentes dans la même plateforme d’identité avec Okta for AI Agents : c’est l’atout Okta. Okta est une plateforme neutre, qui permet de découvrir les agents indépendamment de leur origine. Cette consolidation vous permet d’appliquer une politique de sécurité cohérente à l’ensemble de vos effectifs, humains et non humains.
Conclusion : la sécurité de l’IA passe par la sécurité de l’identité
La transition vers des effectifs autonomes ne doit pas nécessairement être un choix entre rapidité et sécurité. Fondamentalement, la sécurité de l’IA passe par la sécurité des identités. En intégrant des agents d’IA à votre écosystème de sécurité des identités existant, vous les transformez de risques inconnus en actifs gérés qui favorisent l’innovation sans accroître votre périmètre de risque.
- En savoir plus : Découvrez comment Okta sécurise l’IA dès la première ligne de code et pendant tout le cycle de vie de l’agent.
- Vous vous demandez comment nous procédons ? Découvrez une démo pour voir comment nous sécurisons le cycle de vie des agents d’IA.
* Tous les produits, fonctions, fonctionnalités, certifications, autorisations ou attestations mentionnés dans cet article de blog qui ne sont pas encore disponibles en version GA ou n’ont pas encore été distribués pourraient être distribués à une date ultérieure à la date annoncée, ou annulés. Nous déclinons toute obligation de les distribuer et recommandons aux clients de ne pas se baser sur ces plans pour prendre leur décision d’achat.
