Attribuez une identité à chaque agent de votre effectif

La gestion des identités et des accès a été conçue à l’origine autour du comportement humain : des rôles prévisibles, une authentification interactive et des autorisations statiques. Les agents d’IA remettent en cause les modèles IAM traditionnels de quatre façons fondamentales :

• Comportement non déterministe et vitesse des machines : contrairement aux personnes qui suivent des workflows statiques, les agents d’IA prennent des décisions autonomes en plusieurs étapes et exécutent des appels API en cascade à la vitesse des machines, ce qui nécessite une autorisation dynamique et en temps réel plutôt que des connexions ponctuelles.

• Prolifération des identifiants permanents : les comptes de service traditionnels et les intégrations API reposent sur des secrets codés en dur et à longue durée de vie, ou sur des autorisations OAuth étendues. Si un agent est compromis, les attaquants héritent d’un accès administratif persistant et non renouvelé sur différents systèmes connectés.

• Absence de contexte d’exécution : l’IAM traditionnel ne peut pas évaluer ce qu’un agent cherche à accomplir lors d’un appel à un outil donné. Il ne voit que la connexion, ce qui crée de graves déficits de visibilité concernant l’exfiltration de données et la manipulation de prompts.

• Failles dans la délégation entre agents : les annuaires traditionnels ne disposent pas du framework nécessaire pour gouverner de manière sécurisée les tâches en cascade, où un agent principal délègue des sous-tâches à des agents spécialistes en aval, sur différentes applications SaaS et dans des environnements cloud variés.

Okta for AI Agents résout ce problème en considérant les agents non humains comme des identités à part entière dans Universal Directory, en délivrant des identifiants cryptographiques à durée de vie limitée et en intégrant l’évaluation des politiques en temps réel directement dans le chemin d’exécution de chaque appel d’outil.

La gestion de la Shadow AI non gérée nécessite une plateforme de sécurité des identités dédiée, capable d’offrir une protection multiniveau et une gouvernance complète du cycle de vie. Okta propose une solution complète qui associe découverte des agents, enregistrement, contrôles d’exécution, gouvernance des accès et correction. 

Découverte multi-surface de la Shadow AI : Okta analyse en continu les navigateurs, les terminaux gérés et les environnements cloud afin d’identifier les agents non validés et les autorisations de consentement OAuth non approuvées créées par les collaborateurs sans validation de l’équipe IT.

Registre centralisé des identités : une fois découverts, les agents sont enregistrés dans Universal Directory aux côtés des utilisateurs du personnel, avec attribution explicite d’un humain responsable, d’un objectif métier et d’identifiants cryptographiques.

Gestion de la posture de sécurité des identités : Okta évalue la posture de sécurité de chaque identité d’agent pour vous donne une visibilité sur les utilisateurs, les applications et les autorisations.

Application à l’exécution : Okta Agent Gateway fournit la couche d’application à l’exécution qui applique l’identité, la politique et l’audit pour chaque appel d’outil, afin que vous puissiez démontrer votre conformité lors d’un audit.

Okta réduit les vulnérabilités critiques des LLM, notamment l’autonomie excessive (ASI01/LLM06), l’injection de prompt et l’exécution non sécurisée d’outils, en appliquant le principe du moindre privilège piloté par l’identité aux niveaux du prompt et de l’exécution :

• Définition du périmètre des outils au niveau du prompt (limiter l’autonomie excessive) : Okta définit le périmètre des outils accessibles à un agent avant l’exécution du modèle. En filtrant les outils MCP non autorisés en fonction de l’identité de la personne déléguant les droits, un agent ne peut pas accéder à des bases de données ou à des API en dehors de son périmètre explicite, ce qui réduit la surface d’attaque et diminue les coûts des tokens de schéma de plus de 90 %.
  

• Confinement de l’impact à l’exécution (atténuation des attaques par injection de prompt) : si un agent est manipulé via une injection de prompt, des politiques d’autorisation strictes fondées sur les relations empêchent l’agent compromis d’exécuter des commandes non autorisées ou d’extraire des données.
  

• Garde-fous « humain dans la boucle » : les actions à risque élevé, telles que les transactions financières, les exportations massives de bases de données ou les modifications d’autorisations, nécessitent une authentification renforcée par une validation humaine avant exécution.

• Sécurisation du pipeline d’IA : Okta protège l’ensemble de la chaîne logistique MLOps en contrôlant l’accès aux registres de modèles, aux référentiels de code et aux environnements de développement.

Oui. Okta for AI Agents propose une gestion du cycle de vie de bout en bout pour les agents SaaS tiers et ceux développés sur mesure, en appliquant le même niveau d’exigence en matière de gouvernance que pour les collaborateurs humains :

1. Découverte et enregistrement : découvrez automatiquement les agents inconnus sur différents navigateurs et terminaux, et importez les agents personnalisés dans Universal Directory avec des identités cryptographiques vérifiées et des propriétaires humains désignés.

2. Attribution d’identifiants à portée limitée : émettez des tokens éphémères sans secret et stockez dynamiquement les identifiants dans un coffre-fort, afin de réduire le nombre de clés API statiques et les accès administratifs permanents.

3. Gouvernance des accès à l’exécution : faites transiter les appels d’outils via l’Agent Gateway d’Okta afin d’évaluer le contexte, de vérifier la délégation de l’utilisateur, et d’appliquer le principe du moindre privilège en temps réel.

4. Certifications et évaluations des accès : planifiez des évaluations automatisées des accès des utilisateurs et des ressources afin de révoquer les autorisations obsolètes au fur et à mesure de l’évolution des projets.

5. Confinement et mise hors service : mettez fin à un agent et révoquez son accès à l’aide d’un mécanisme d’arrêt d’urgence programmatique lorsqu’un agent adopte un comportement inattendu.

Oui. Okta prend en charge la gouvernance de l’IA dans les environnements réglementés grâce à deux offres, dont la couverture varie selon le framework de conformité :

• Environnements FedRAMP Moderate/High et DoD Impact Level 5 : Okta for AI Agents - Core propose l’enregistrement centralisé des agents dans Universal Directory, l’authentification cryptographique, le provisioning du cycle de vie et la journalisation d’audit intégrée à un SIEM, le tout dans un cloud gouvernemental conforme.

• Environnements HIPAA : l’intégralité de l’offre Okta for AI Agents est disponible, y compris les fonctionnalités Identity Security Posture Management (ISPM) et Okta Privileged Access (OPA).