Considérations clés IAM pour prendre en charge l’IA agentique

Principaux défis

Les agents d'IA posent des défis uniques en matière d'IAM :

• Échelle et autonomie : les organisations pourraient voir des milliers d'agents opérer de manière indépendante, ce qui nécessiterait des programmateurs pour l'intégration et le retrait des agents, ainsi que pour la délégation de pouvoirs.

• Identités mixtes : les agents peuvent agir au nom d'un utilisateur ou en tant qu'entités autonomes avec leurs propres identifiants.

• Menace et détection : la « détection des bots » classique peut bloquer par erreur des agents IA légitimes ou ne pas détecter les agents malveillants.

• Gouvernance et surveillance : les sponsors ou les responsables doivent surveiller le comportement, les droits et la posture de risque d'un agent.

• Consentement et délégation : une délégation trop permissive peut révéler un excès de données ; les organisations devraient autoriser des droits plus précis et exiger une supervision humaine pour les tâches sensibles. Un consentement insuffisamment spécifique ou l'absence de limites explicites à l'autorisation d'un agent peuvent conduire les agents à entreprendre des actions que les utilisateurs ne pensaient pas avoir autorisées, ce qui entraîne le mécontentement des clients et des tentatives d'annulation des transactions initiées par des agents autorisés (par ex. les rétrofacturations d'achats).

Ce que doit prendre en charge un système IAM

À l’avenir, les organisations devraient évaluer si leurs systèmes IAM peuvent réaliser les actions suivantes :

1. Détecter et contrôler les agents

   • Identifier quand une session ou une connexion est gérée par un agent d'IA.

   • Appliquer des contrôles supplémentaires (tels que des privilèges limités ou une authentification renforcée).

2. Identifier et gérer le cycle de vie des agents gérés

   • Attribuer aux agents d'IA leurs propres identifiants et les supprimer lorsqu'ils ne sont plus nécessaires.

   • Attribuer des sponsors ou des responsables de la vérification et de la recertification de l'accès des agents.

3. Gouverner les agents

   • Appliquer une surveillance basée sur des politiques, en veillant à ce que les privilèges des agents soient conformes aux exigences de sécurité et de conformité de l'organisation.

   • Réviser périodiquement les droits des agents, tout comme on le ferait pour les utilisateurs humains.

4. Authentifier les utilisateurs hors bande

   • Demander à l'utilisateur d'effectuer des tâches à haut risque, en utilisant des notifications push ou un autre flux MFA approprié, lorsque des agents agissent en leur nom.

   • S'assurer que les identifiants ne soient pas directement partagés avec l'agent ; préférer des jetons délégués avec une portée limitée.

5. Fournir des « indicateurs d’agent » aux applications

   • Étiqueter ou marquer les sessions comme provenant d'un agent d'IA, afin que les services en aval puissent réagir de manière appropriée, par exemple en limitant l'accès ou en affichant une interface utilisateur spécialisée.

6. Autoriser les agents

   • Restreindre les privilèges à l'ensemble d'actions le plus limité possible (principe du moindre privilège).

   • Utiliser des jetons de courte durée ou des portées limitées dans le temps pour réduire le risque en cas de compromission des jetons.

7. Vérifier la boucle humaine sur les transactions requises

   • Demander à un sponsor humain ou à un utilisateur final d'intervenir chaque fois que l'agent tente une opération sensible, permettant ainsi des approbations en temps réel.

   • Consigner ces points de vérification à des fins d'audit.

8. Surveiller / Auditer / Suivre / Gérer

   • Consigner les activités des agents séparément à des fins d'analyse médico-légale.

   • Détecter les anomalies, par exemple, un agent accédant à des données auxquelles il n'a normalement pas accès.

   • Révoquer les identifiants d’un agent s’ils sont compromis ou s’ils présentent un comportement malveillant.

En s'assurant de ces capacités, les organisations peuvent poser les bases pour une intégration sûre et efficace des agents d'IA dans leurs environnements.