Agents IA : la nouvelle vague d'identité Dark Matter - Puissante, invisible et non gérée

The Hacker News - TheHackerNews - 03/03
Selon une enquête, 70 % des entreprises utilisent des agents d'IA, mais une mauvaise gouvernance de l'IAM risque de provoquer une « matière noire » d'identité et une exposition cross-cloud.

L’essor des MCP dans l’entreprise

Le Model Context Protocol (MCP) devient rapidement un moyen pratique de faire passer les LLM du « chat » au travail réel. En fournissant un accès structuré aux applications, aux API et aux données, MCP permet aux agents d'IA pilotés par des invites de récupérer des informations, d'agir et d'automatiser les flux de travail métier de bout en bout dans l'ensemble de l'entreprise. Cela apparaît déjà en production via des assistants horizontaux et des agents verticaux personnalisés. comme Microsoft Copilot, ServiceNow, les robots Zendesk et Salesforce Agentforce, avec des agents personnalisés et verticaux évoluant rapidement derrière eux. Cela fait écho au récent rapport Gartner « Market Guide for Guardian Agents », dans lequel les analystes notent que l’adoption rapide de ces agents d’IA par les entreprises dépasse considérablement la maturité de la gouvernance et des contrôles politiques requis pour les gérer.

Nous pensons que le principal problème réside dans le fait que ces « collègues » de l’IA ne ressemblent pas à des humains.

  • Ils ne rejoignent pas ou ne partent pas via les RH
  • Ils ne soumettent pas de demandes d’accès
  • Ils ne suppriment pas les comptes à la fin des projets

Ils sont souvent invisibles pour l’IAM traditionnelle, et c’est ainsi qu’ils deviennent de la matière noire identitaire : un véritable risque identitaire en dehors du tissu de gouvernance. Et les systèmes agents n’utilisent pas seulement l’accès, ils recherchent le chemin de moindre résistance. Ils sont optimisés pour terminer le travail avec un minimum de frictions : moins d'approbations, moins d'invites, moins de bloqueurs. En termes d'identité, cela signifie qu'ils se tourneront vers tout ce qui fonctionne déjà, les comptes locaux dans l'application, les identités de service obsolètes, les jetons de longue durée, les clés API, les chemins d'authentification de contournement, et si cela fonctionne, ils seront réutilisés.

L’enquête Village RSSI 2025 de Team8 a révélé :

  • Près de 70 % des entreprise...
    [Courte citation de 8% de l'article original]