Aujourd'hui, nous analysons une véritable bombe à retardement pour la sécurité des systèmes d'information.

Selon le rapport 2026 CISO AI Risk Report publié par l'éditeur Saviynt, les agents IA ont massivement infiltré nos infrastructures professionnelles, mais ils échappent encore presque totalement au contrôle et à la gouvernance des directions informatiques.

Le paradoxe des accès critiques

Le premier point est le paradoxe des accès critiques.

Les agents IA ne se contentent plus de résumer des documents, ils manipulent désormais des données sensibles et exécutent des actions complexes de manière autonome.

Concrètement, plus de 70% des responsables de la sécurité informatique (RSSI) admettent que ces outils accèdent déjà à des applications d'entreprise hautement stratégiques comme Salesforce ou SAP.

Le problème, c'est que nos modèles traditionnels de gestion des identités et des accès ont été conçus historiquement pour des profils humains ou des connexions applicatives prévisibles.

Face à des algorithmes capables d'agir de manière autonome à grande échelle, la gouvernance est à la traîne. Résultat, seuls 16% de ces accès critiques sont aujourd'hui correctement encadrés et sécurisés.

L'aveuglement général

Ce qui nous amène à notre deuxième constat, qui est l'aveuglement général.

En effet, plus de 90% des organisations avouent ne pas avoir une visibilité complète sur les identités IA actives dans leur propre réseau.

Plus inquiétant encore, les trois quarts des RSSI ont détecté des outils d'IA générative non autorisés en interne.

Et près de la moitié ont observé des comportements totalement imprévus de la part de ces agents.

Un tiers des entreprises a même déjà subi un incident de sécurité lié à l'IA au cours des douze derniers mois.

Et pourtant, seules 5% des organisations se disent capables de détecter et de gérer un agent IA s'il venait à être compromis par un cyberattaquant. Bref, pour la grande majorité, c'est le saut de l'ange dans l'inconnu.

Un changement radical de paradigme

Alors, comment redresser la barre pour éviter le chaos ? C'est notre troisième pilier.

Il faut opérer un changement radical de paradigme. Les DSI doivent impérativement traiter les agents IA comme des identités numériques à part entière, au même titre qu'un collaborateur humain, ou un serveur physique.

Pour réduire l'exposition aux risques, la priorité absolue des décideurs est d'inventorier chaque outil et de surveiller ses privilèges en continu.

Il faut appliquer strictement le principe du moindre privilège et automatiser la suppression des accès dès qu'un agent n'en a plus l'utilité.

À l'ère de l'autonomie technologique, la sécurité ne peut plus se permettre d'attendre les audits trimestriels.

Le ZD Tech est sur toutes les plateformes de podcast ! Abonnez-vous !

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.