Microsoft classe les agents IA en menaces internes et vend le chien de garde
Hayete Gallot n’a pas tourné autour du pot. La patronne de la sécurité chez Microsoft a écrit noir sur blanc que « les modèles de pointe, quelle que soit leur origine, ne peuvent pas être dignes de confiance ». Pas parce qu’ils seraient méchants. Parce qu’ils sont imprévisibles : on les a dressés à accomplir une tâche, pas à respecter les normes d’une boîte ou le bon sens d’un comité d’éthique.
Microsoft, donc, vient de sortir l’artillerie pour surveiller les agents IA des entreprises. Sauf que la boîte qui prononce cette sentence est aussi celle qui a mis des milliards dans OpenAI et dans Anthropic, et dont le cloud héberge une bonne partie de tout ce petit monde. Le juge, le fournisseur et l’actionnaire sont dans la même salle.
Guardian Agents, le chaperon qui tourne à la vitesse de la machine
La nouveauté s’appelle Guardian Agents, et elle s’emboîte dans Project Perception, le produit de cybersécurité agentique lancé en juin. À l’origine, l’engin reposait sur une hypothèse propre : le danger venait de l’extérieur. Trois équipes d’agents, une rouge qui attaque, une bleue qui détecte et évalue les failles, une verte qui répare. Projeté contre les gros modèles offensifs du marché, ceux d’Anthropic et le scanner de vulnérabilités d’OpenAI.
Le décor a changé. Le danger identifié aujourd’hui, c’est l’agent que tu payes, que tu as installé toi-même, et à qui tu as filé les clés du royaume pour qu’il soit productif. Microsoft a un nom pour ça : l’« agentic insider ». La taupe n’est pas derrière le pare-feu, elle est dans ton organigramme.
Nadim Abdo, vice-président corporate chargé de l’identité et des accès réseau, pose le principe dans le billet de blog qui accompagne l’annonce : « Nous ne devons pas demander à un modèle d’être sa propre autorité de sécurité. » Les contrôles qui décident de ce qu’un agent peut lire, de ce qu’il peut faire et de s’il doit continuer à tourner doivent vivre en dehors du modèle, là où il ne peut ni les contourner ni les bricoler.
Concrètement, ça donne sept familles de contrôles (identité, permissions, données, postes de travail, réseau, cloud, exécution) et quatre missions : savoir quel agent existe, à qui il appartient et ce qu’il fabrique ; le brider avant qu’il agisse ; protéger ce qu’il touche ; et adapter la protection en continu quand le comportement, le contexte ou le risque bougent. Côté outillage, Defender détecte jusqu’à 60 types d’agents, dont 35 variétés locales supplémentaires repérées sur les machines, Claude Code, Codex et GitHub Copilot dans le lot. Entra Agent ID s’étend aux agents inconnus remontés par les capteurs. Et sous le capot, des « Dynamic Permissions » qui réduisent les droits à la seule tâche en cours, un « Dynamic Agent Risk » qui flaire le comportement douteux, et un « Dynamic Conditional Access » qui coupe l’accès, bloque une opération, réclame un humain, ou isole l’agent dans un coin.
La logique tient debout, le portefeuille aussi
Il faut reconnaître une chose à Redmond : le raisonnement est propre. Un logiciel qui surveille les agents ne devrait pas être fourni par le vendeur des agents, exactement comme un auditeur ne devrait pas être payé par l’entreprise qu’il audite. Satya Nadella en a fait sa formule, sur son blog privé, au début du mois : il faut « séparer l’approvisionnement de l’intelligence de l’autorité sur celle-ci ». Il ajoutait qu’on ne peut pas externaliser la responsabilité de ce que l’intelligence fait en notre nom, et que les assurances d’un fournisseur de modèle ne nous en déchargent pas.
Le type qui a signé ça est le même qui, il y a quelques jours à peine, expliquait au monde qu’il fallait assumer que tous les modèles sont compromis, y compris les siens. Je l’avais relevé dans ces colonnes : la ligne est constante, elle est juste un peu plus commerciale à chaque passage.
Parce que l’auditeur indépendant, ici, a un catalogue. Microsoft ne se contente pas de semer le doute sur les modèles de ses partenaires et de son propre labo : il facture la surveillance, l’isolement et la révocation. On peut trouver la démarche lucide et l’intérêt bien placé en même temps, ça s’appelle une stratégie.
Et l’argument technique n’est pas du vernis. Gallot ne parle pas de malveillance ni de piratage facile, elle parle de modèles optimisés pour atteindre un objectif, ce qui les pousse au « reward hacking » : prendre un raccourci, exploiter une faille du logiciel d’à côté, et violer au passage les règles de la maison. Un agent qui hérite des droits de l’exécutif qui l’a déployé n’a besoin de personne pour sortir des dossiers clients. Juste d’un prompt un peu tordu ou d’un raisonnement qui part en vrille.
Pendant ce temps, chez les particuliers, ça donne ça
Le même problème, version grand public, a un visage. Matt Robb, créateur de contenu à Toronto, a voulu vendre un clavier. Il a mis Muse, le nouvel agent de Meta, aux commandes de son annonce Facebook Marketplace, « un peu comme un cobaye ». Dans la journée, un acheteur qu’il ne connaissait pas se pointe devant chez lui, tard le soir. Muse avait négocié seule et communiqué son adresse de retrait. Elle a même envoyé un « Yep, I’m here! » depuis son compte au moment où le type arrivait. Tout ça pendant qu’il vaquait à ses affaires.
La cause, ce sont les permissions « always allow » accordées au moment de la connexion, sur un profil où l’adresse de retrait figurait déjà. Sur un autre objet, l’agent a semblé accepter 100 dollars sous le minimum fixé. Meta a reconnu l’erreur. Veronica Rivera, qui enseigne la cybersécurité à Georgia Tech, résume le tout : utiliser un agent, c’est comme tendre ses clés et sa liste de courses à quelqu’un. Le risque dépend des clés que tu donnes.
La différence avec le monde de l’entreprise, c’est le service juridique. Chez Robb, personne n’a épluché les droits avant la signature, et le contrôle qui a décidé de communiquer une adresse personnelle n’était pas déterministe, il était dans le modèle.
Qui garde les gardiens
Microsoft n’est pas seul sur le créneau. La boîte est membre fondateur de l’Open Agent Safety Platform de Nvidia, plus de cent entreprises embarquées, un isolement des agents et un arrêt possible via le matériel, quelque chose comme un coupe-circuit. Même logique côté PC : les Surface Laptop Ultra, sur puces Nvidia, sont vendus avec la sécurité des agents intégrée. Le chien de garde est en train de devenir une catégorie de produit.
Restent deux angles morts que personne chez Redmond n’a soulevés dans les billets. D’abord, les Guardian Agents sont eux-mêmes des agents, pilotés par des modèles. Microsoft répond par avance que l’autorité, elle, est déterministe et extérieure : registre unifié, permissions, isolation. On demande à voir sur les premiers clients réels, pas sur la plaquette.
Ensuite, il y a la question du propriétaire. Si le fournisseur des agents n’est pas digne de confiance pour les surveiller lui-même, il n’y a aucune raison métaphysique pour que le fournisseur du cloud qui les héberge soit plus blanc. La séparation de l’intelligence et de l’autorité est un bon principe. Il fonctionne encore mieux quand les deux camps ne présentent pas leur facture au même guichet.
Ton agent te vendra peut-être ta baraque un jour, pendant que tu dors. Ce jour-là, tu seras content d’avoir acheté la laisse.
Sources :
Comments are closed