Voici le deuxième épisode d’Agent Eye-Openers, une série de conversations qui s’intéresse aux décisions, découvertes et prises de conscience qui façonnent l’ère de l’IA. Regarder le premier épisode.
Vous ne pouvez pas demander des comptes à un agent d’IA. Si elle divulgue accidentellement des données sensibles de clients, vous ne pouvez pas la licencier : il s’agit, au final, simplement d’une machine.
Pour Micah Spieler, Chief Product Officer chez Strike Graph, une plateforme de conformité conçue pour l’IA, cette prise de conscience a été un véritable électrochoc, révélant que les entreprises sont désormais confrontées à un tout nouveau type d’identité qui exige une approche inédite de la sécurité.
Cela était particulièrement vrai pour Strike Graph, qui héberge des informations sensibles sur la manière dont les entreprises gèrent les exigences réglementaires. Ainsi, lorsque l’entreprise a commencé à explorer les agents d’IA et les grands modèles de langage, elle s’est retrouvée face à une question essentielle : comment exploiter tout le potentiel de ces outils sans exposer les données des clients à des risques ?
Un guide pour gérer les agents « affamés »
Pour Strike Graph, tout a commencé par la prise de conscience que le fait que les agents d’IA puissent analyser d’immenses volumes de données ne signifie pas pour autant qu’ils doivent le faire. « Les agents d’IA sont avides. « Elles utiliseront toutes les informations que vous leur fournissez, car c’est ainsi qu’elles fonctionnent et accomplissent la tâche de la manière la plus efficace », explique Spieler. Si vous accordez à un agent l’accès à l’ensemble de votre base de données pour accomplir une tâche, il utilisera toutes les données disponibles, non par malveillance, mais en raison de sa conception.
Cela a créé une véritable tension pour les clients de Strike Graph. Ils souhaitaient exploiter les avantages des serveurs MCP et des LLM, mais ils étaient naturellement réticents à l’idée d’exposer des données sensibles liées à la conformité à ces nouveaux outils.
Pour gérer ces agents en toute confiance, Strike Graph s’appuie sur le plan d’action d’Okta pour une entreprise agentique sécurisée, qui demande aux entreprises de répondre à trois questions : Où sont mes agents ? À quoi peuvent-ils se connecter ? Et que peuvent-ils faire ?
En s’appuyant sur Auth0 for AI Agents, Strike Graph peut répondre en toute confiance aux trois questions :
Où sont mes agents ? Strike Graph héberge ses propres modèles entièrement au sein de son propre pare-feu afin de conserver un contrôle total sur les données des clients. Auth0 contribue à sécuriser cette frontière, en confirmant que les agents fonctionnent uniquement au sein de leur écosystème de confiance, sans dépendre d’API tierces non sécurisées.
À quoi peuvent-ils se connecter ? En utilisant Auth0, Strike Graph a ajouté une nouvelle couche d’authentification à ses serveurs Model Context Protocol (MCP), permettant à ses clients de définir des contrôles des accès granulaires et contribuant à faire en sorte que les agents se connectent uniquement aux sources de données autorisées.
Que peuvent-ils faire ? La capacité d’Auth0 à distinguer les modèles de trafic générés par des humains et par des agents d’IA offre à Strike Graph des fonctionnalités de journalisation avancées. Les utilisateurs non techniques, tels que les responsables de la conformité, peuvent facilement auditer le système pour voir précisément quels agents ont accédé à quelles données et à quel moment.
Ce niveau de visibilité et de contrôle se traduit par la confiance des clients. Lorsque des clients sensibles aux questions de conformité posent des questions complexes sur la gestion des données, Strike Graph peut apporter les réponses, aidant ainsi les clients à adopter plus rapidement les fonctionnalités d’IA.
La rapidité sans compromis
Pour Strike Graph, la sécurité est essentielle, mais elle ne doit pas freiner les équipes produit. « Il est essentiel que notre équipe d’ingénierie n’ait pas à consacrer des efforts supplémentaires à la création de la couche d’authentification », explique Spieler. En utilisant Auth0 pour fournir la couche d’authentification de ses agents d’IA et de ses serveurs MCP, Spieler peut permettre à son équipe de se concentrer sur le lancement de nouvelles fonctionnalités et de nouveaux produits pour les clients, libérant ainsi du temps précieux.
La délégation de cette couche d’authentification sensible permet également à Strike Graph de maintenir sa rapidité de mise sur le marché, en transformant des concepts internes en prototypes prêts pour la production en quelques jours. « Nous sommes capables de transformer une idée, de la mettre en production pour les clients et d’obtenir leurs retours, le tout en un seul sprint », explique Spieler.
La tendance croissante à enchaîner les modèles
La nécessité d’une base sécurisée devient encore plus cruciale à mesure que le développement de l’IA évolue, passant de modèles uniques à des chaînes interconnectées. Plutôt que de s’appuyer uniquement sur de grands modèles de pointe, Spieler observe une tendance émergente : « enchaîner » plusieurs modèles plus petits et finement ajustés pour traiter des tâches complexes de manière séquentielle. En transmettant les données d’une étape spécialisée à la suivante, ces modèles plus compacts fonctionnent avec une empreinte réduite et une précision accrue pour mener à bien des tâches spécifiques.
Cependant, enchaîner plusieurs modèles signifie que les données circulent beaucoup plus fréquemment. Dans un écosystème où les serveurs MCP communiquent entre eux et avec des centaines de modèles différents, l’authentification des agents est essentielle. Les entreprises doivent réfléchir de manière approfondie à la façon dont elles utilisent l’authentification afin que les données restent chiffrées et ne soient accessibles qu’aux bons agents d’IA, au bon moment et pour le bon objectif.
La gestion de cette complexité nécessite une couche d’identités dédiée pour servir d’intermédiaire entre ces modèles enchaînés. Comme le souligne Spieler, « Il est essentiel de sécuriser la transmission. Si vous ne vérifiez pas l’identité de l’agent à chaque étape de la chaîne, vous vous exposez à des risques. » En authentifiant chaque interaction à l’aide de solutions telles qu’Auth0 for AI Agents, les entreprises peuvent contribuer à ce que les informations sensibles soient transmises en toute sécurité en aval, empêchant ainsi des agents non autorisés de prendre des initiatives inappropriées ou d’accéder à des ressources non autorisées dans le workflow.
Créer des moments marquants
Résoudre la question de l’identité pour les agents d’IA est essentiel pour éviter une brèche de sécurité aux conséquences majeures, mais il s’agit aussi de libérer tout le potentiel de cette technologie afin d’offrir une expérience optimale aux utilisateurs et utilisatrices.
Comme le souligne Spieler, lorsque les clients constatent que leurs données sont traitées avec une confidentialité totale et des contrôles de sécurité rigoureux, ils se sentent plus à l’aise pour expérimenter et essayer de nouvelles fonctionnalités. « Voir la réaction des personnes lorsque notre assistant de sécurité basé sur l’IA établit des liens sur une question de conformité particulièrement complexe est vraiment impressionnant », explique Spieler.
En mettant en place une couche d’authentification de confiance dès le premier jour, les entreprises peuvent se concentrer sur la création d’expériences d’IA performantes qui fidélisent les clients et stimulent l’innovation produit.
Regardez la vidéo complète ci-dessus pour découvrir d’autres analyses de Micah Spieler sur les agents d’IA, la conformité et les nouveaux défis d’authentification.
