Autorisé, et pourtant dangereux
L'ANSSI publie sept principes pour sécuriser les systèmes d'IA agentique, ces outils qui agissent au lieu de répondre. Son point de départ : une action autorisée peut nuire. L'agent se trompe, se laisse manipuler ou enchaîne des opérations permises. La parade tient en une règle : les contrôles restent hors de portée du modèle, et l'action est refusée par défaut.
Rappelons qu’un agent ne se contente pas de répondre. Il lit les courriels, exécute des commandes, modifie des fichiers, appelle d’autres agents. L’ANSSI consacre à ces systèmes une fiche de sa collection « Les Essentiels », version 1.0, publiée le 29 octobre 2026. Deux pages, sept principes, à l’adresse des architectes, RSSI, exploitants et développeurs.
Le public est large : toute organisation qui déploie, configure ou intègre un système agentique, y compris un produit sur étagère dont elle maîtrise la configuration et les connecteurs.
Le permis ne protège pas
La fiche pose d’emblée le constat qui fâche : « une action autorisée peut être dommageable ». L’agent peut se tromper, être manipulé ou « combiner dangereusement des opérations permises ». Les droits d’accès classiques ne suffisent donc pas.
La réponse de l’ANSSI tient en un mot : déterministe. Un filtre indépendant de l’agent, placé en amont de chaque outil, vérifie le demandeur, l’action, ses paramètres effectifs et sa cible, selon une politique « inaltérable par le modèle ». Consigne explicite : « Par défaut, refuser l’action. » Le filtre doit aussi vérifier qu’un enchaînement d’actions autorisées une à une ne produit pas d’effet interdit.
Chaque action possible est classée dans l’une des trois catégories : exécution autonome, approbation humaine obligatoire, action interdite. Passent obligatoirement par un humain les actions critiques, notamment dans les systèmes à haut risque au sens de l’article 6 du règlement (UE) 2024/1689 sur l’IA, les accès aux données sensibles, les changements d’identité ou de droits, les mises en production. L’approbateur voit l’action exacte, son objectif et ses effets. Seule l’action approuvée s’exécute. Et le mécanisme d’approbation reste « hors de portée du système agentique ».
Tout ce qui entre est suspect
Deuxième idée forte : les entrées et les sorties de l’agent sont non fiables par principe. « Un message ou une mémoire peut détourner l’agent de sa mission. » L’injection de consignes n’est pas citée par son nom ; elle est partout en creux.
D’où une série de mesures de confinement. Les secrets sortent du contexte du modèle, des mémoires et des journaux ; un coffre-fort ou un proxy les gère, l’agent ne reçoit que des jetons courts, limités au strict nécessaire. Les mémoires sont séparées par organisation cliente et par environnement. Les flux externes passent par des interfaces maîtrisées, filtrées par destination, protocole et type de données.
Un arrêt d’urgence, avec révocation des accès, doit pouvoir être déclenché par la supervision. Le mode dégradé ne doit ni affaiblir les contrôles ni élargir les droits. Après une restauration, une action déjà exécutée avec un effet externe ne doit pas être rejouée.
Une phrase mérite d’être affichée dans les directions juridiques :
« Considérer que toute donnée transmise à un modèle hébergé peut être accessible à son fournisseur. »
Prouver, pas seulement protéger
Le septième principe parle aux juristes. Les journaux doivent échapper aux modifications de l’agent, pour reconstituer en cas d’incident la séquence complète : demande, autorisation, action, résultat. La mission de l’agent est documentée dès la conception, puis revue au moins chaque année. Chaque mesure de sécurité a un responsable humain désigné. La mise en service est bloquée tant qu’un risque reste inacceptable.
Côté achats, le cahier des charges de tout produit ou service composant le système doit reprendre les exigences de sécurité issues de l’analyse de risque.
La fiche ne crée aucune obligation. Elle donne en revanche un étalon concret à ce qu’un responsable de traitement devra montrer : des mesures techniques et organisationnelles appropriées au sens de l’article 32 du RGPD, appliquées à une machine qui agit. La CNIL et le CIANum avaient déjà posé la question de la responsabilité dans leur note exploratoire de juillet 2026. L’ANSSI fournit la grille technique : autonomie élargie par paliers, et seulement après vérification des contrôles.
Source
ANSSI, Les Essentiels — Sécuriser un système IA agentique, V1.0, MesServicesCyber, 29 octobre 2026, 2 pages.
Frédéric Mouillère
Frédéric Mouillère assure une veille régulière sur le droit du numérique, la propriété intellectuelle et l'intelligence artificielle, à l'attention des professionnels, à la convergence des technologies et de la création.
