" L’IA agentique n’introduit pas une catégorie de risques totalement nouvelle, mais elle réduit le temps dont disposent les équipes de sécurité pour détecter les déploiements mal configurés, non approuvés ou vulnérables. C’est cet aspect des annonces telles que celle de NemoClaw qui mérite davantage d’attention que la fonctionnalité elle-même.
La surface d’exposition la plus directement concernée n’a rien d’exceptionnel. Il s’agit des identités, des identifiants et des accès — cette même surface que les équipes de sécurité ont toujours eu du mal à gérer. Ce qui change avec les agents autonomes, c’est l’ampleur des répercussions d’une simple erreur de configuration. Lorsque les systèmes d’IA peuvent agir à la vitesse de la machine avec un minimum de contrôles humains, une faille dans la politique d’accès ou la gestion des identifiants ne reste pas longtemps une faille. Nous observons déjà des acteurs sophistiqués s’éloigner des logiciels malveillants traditionnels pour se tourner vers des techniques pratiques, renforcées par l’IA, qui semblent légitimes jusqu’à ce qu’elles ne le soient plus. L’IA agentique accélère ce scénario.
Nous constatons que l’IA et les outils autonomes se déploient plus rapidement que ne le permettent les politiques de gouvernance, et de nombreuses organisations sont souvent surprises de découvrir ces composants dans leur environnement. Nous devons prendre le contrôle de la gouvernance dès maintenant, car le rythme de l’innovation et la complexité ne vont pas ralentir.
Le fossé qui m’inquiète le plus n’est pas d’ordre technique : il s’agit du fossé de confiance entre ceux qui comprennent ce que ces systèmes sont capables de faire et ceux qui décident de leur déploiement. Il est nécessaire de savoir quels outils sont en cours d’exécution, mais cela ne suffit pas. Il faut également disposer de références comportementales pour savoir si ces outils fonctionnent normalement. La plupart des organisations qui déploient actuellement l’IA agentique ne disposent ni de l’un ni de l’autre. Mettez en place dès aujourd’hui une gouvernance et une observabilité proactives, n’attendez pas qu’un incident majeur se produise.
À mon sens, l’investissement de NVIDIA dans NemoClaw est un signe encourageant. Les fournisseurs d’entreprise ont une responsabilité en matière de réputation qui les oblige à intégrer des considérations de sécurité dans leurs produits, même lorsqu’il s’agit d’une solution open source comme NemoClaw. Les incidents critiques auxquels nous avons déjà assisté se sont produits en partie parce qu’aucune institution n’avait d’intérêt direct en jeu. J’espère que NVIDIA intégrera des mesures solides en matière de confidentialité et de sécurité pour favoriser l’adoption et l’innovation autour de son agent, tout en mettant en place des garde-fous pour protéger les utilisateurs et leurs données. Nous savons que l’IA est là, et nous savons qu’elle redéfinit notre façon de travailler à un rythme presque inconcevable. Le risque que je surveille ne réside pas dans l’outil lui-même, mais dans le décalage entre la rapidité avec laquelle les organisations l’adopteront et la capacité de leurs programmes de gouvernance et d’observabilité à l’intégrer." explique Melissa Bischoping, Sr. Director of Security & Product Design Research chez Tanium.
