Ce qu'un agent autonome change au modèle de menace
Dans un logiciel classique, on sait à l'avance quelles fonctions existent et qui peut les déclencher. Un agent autonome brouille cette frontière : il décide lui-même des appels qu'il effectue, dans un ordre qui n'a pas été écrit à l'avance. Le périmètre des actions possibles devient donc le premier objet d'audit. Que peut lire l'agent, que peut-il écrire, quels systèmes externes peut-il interroger ou modifier ? Si la réponse est « un peu tout », la surface de risque se confond avec celle de l'entreprise entière.
L'autre bascule tient aux entrées. Un agent conversationnel consomme du texte produit à l'extérieur, y compris par des inconnus. Une instruction malveillante glissée dans un document qu'il traite peut le conduire à agir contre l'intérêt de son propriétaire : c'est le risque dit d'injection de prompt. S'y ajoute l'ambiguïté des consignes, car une demande mal formulée peut pousser l'agent à interpréter largement son mandat. L'audit doit donc examiner ce que l'agent sait faire, et ce qui peut l'amener à le faire à mauvais escient, en tenant compte autant des attaques délibérées que des malentendus ordinaires.
Cartographier les permissions et les outils
Le premier livrable solide d'un audit d'agent est un inventaire des outils auxquels il accède. Pour chacun, on note la nature de l'action, sa portée et son caractère réversible ou non. Envoyer un courriel électronique n'a pas la même gravité que supprimer un fichier ou passer une commande. Cette classification permet d'appliquer le principe du moindre privilège : l'agent ne devrait disposer que des droits strictement nécessaires à sa tâche, et rien de plus. Cette revue révèle souvent des accès accordés par facilité, jamais remis en question depuis la mise en service.
L'auditeur vérifie ensuite où s'exécutent ces actions. Un agent qui tourne dans un environnement isolé, avec des ressources limitées et des identifiants à portée réduite, contient mieux les dégâts qu'un agent lancé avec les droits d'un administrateur. Le cloisonnement, la limitation de débit et la validation des actions sensibles par un humain constituent des garde-fous concrets. Les documents à produire sont ici des preuves : configurations, journaux d'appels, procédures d'approbation.
Journaliser ce que l'agent décide
Un agent dont on ne peut pas reconstituer le raisonnement est un agent non auditable. Il faut donc conserver la trace de chaque étape : l'entrée reçue, l'outil appelé, les arguments transmis, le résultat obtenu. Sans ces journaux, la question « pourquoi a-t-il fait cela ? » reste sans réponse, et l'incident ne peut être ni expliqué ni corrigé. La journalisation sert autant la sécurité que l'amélioration continue du système. Pour un agent, la trace joue le rôle du rapport d'incident : elle transforme un comportement surprenant en séquence compréhensible.
La difficulté, c'est le volume et la sensibilité des données journalisées. Les mêmes journaux qui permettent l'audit contiennent parfois des informations personnelles, qu'il faut protéger tout en les gardant exploitables. L'auditeur travaille donc en tension : assez de trace pour comprendre, pas plus que nécessaire pour limiter l'exposition. Cette exigence rejoint les principes de minimisation déjà connus en protection des données, appliqués à un objet qui n'a pas été conçu pour se raconter.
Éprouver l'agent avant et après le déploiement
L'audit ne s'arrête pas à la mise en service. Un agent autonome évolue avec les modèles qu'il utilise, les données qu'il rencontre et les outils qu'on lui ajoute. Une revue régulière s'impose, avec des tests conçus pour provoquer les défaillances : instructions contradictoires, tentatives de détournement, tâches hors périmètre. On observe alors si l'agent s'arrête, demande une validation ou continue imprudemment. Le comportement en situation dégradée en dit plus que ses performances en démonstration.
Ces tests gagnent à être répétés à chaque changement de version, car une mise à jour de modèle peut modifier le comportement sans qu'aucune ligne de code n'ait bougé. L'auditeur recommande donc un suivi continu, avec des seuils d'alerte et une personne responsable en cas de dérive. Le référentiel européen sur l'intelligence artificielle et la norme ISO 42001 fournissent des cadres utiles pour structurer cette surveillance, sans dispenser d'examiner le cas particulier de chaque agent. Ce suivi rapproche l'audit de sécurité d'une démarche d'exploitation : on ne clôt pas l'audit d'un agent, on l'entretient.
Aller plus loin
Auditer un agent autonome demande de raisonner à la fois sur les permissions, les journaux et le comportement du modèle : trois terrains qui se travaillent en pratique. Pour situer les compétences et choisir un parcours cohérent, parcourez le catalogue des 31 formations.
Vous voulez maîtriser ce sujet en pratique ?
Cabinet MARA forme en ligne, sur des cas réels, avec des modules courts et un suivi de progression.
Voir la formation liée Les 31 formations