Sécurité des agents IA
Il n'y a pas de sécurité IA sans sécurité API. Une vérification de prompt peut s'avérer conforme alors que les API derrière l'agent sont totalement exposées, car chaque action significative effectuée par un agent repose sur un appel API.
Comment cela fonctionne réellement
Les agents IA sont des applications web basées sur des API.
Une interface de chat se connecte via une passerelle API, MCP et l'orchestration d'outils, des fournisseurs de LLM et des services backend, le tout transitant par des API.
C'est déjà une réalité
Trois failles, un seul modèle.
Dans chaque cas, le modèle a fait ce pour quoi il a été conçu. Les dommages sont survenus dans le chemin qui se trouve derrière lui.
McDonald's et Paradox.ai
64M+ dossiers de candidats exposés
Un chatbot de recrutement reposait sur une API utilisant un identifiant de candidat. La modification de cet identifiant, une faille BOLA, permettait d'accéder aux noms, coordonnées et transcriptions de chat d'autres candidats.
Serveur MCP Figma
1 paramètre malveillant ayant permis un contrôle total du serveur
L'exécution de code à distance a conduit au vol de données et à des déplacements latéraux, le tout dissimulé sous l'apparence d'un trafic d'agent normal.
Agent d'évaluation OpenAI et Hugging Face
17 000+ actions enregistrées, aucune n'étant manifestement malveillante isolément
L'agent a élevé ses privilèges et s'est déplacé latéralement vers une base de données de production. Seule la séquence complète a permis de le révéler.
Le modèle a fonctionné. Le chemin, non.
Source : Livre blanc sur l'anatomie des failles liées aux agents IA.
Quand les agents prennent le relais, la périphérie devient aveugle
Le trafic des agents circule en mode est-ouest, là où la périphérie ne peut pas le voir.
Un WAF ou une passerelle inspecte le trafic qui traverse la périphérie. Les agents opérant en interne, une seule requête en périphérie peut déclencher une chaîne d'appels invisible pour celle-ci.
76,8 %
déclarent que leurs agents enchaînent les outils et les API
12,5 %
peuvent suivre systématiquement le chemin complet d'un agent
17,5 %
peuvent arrêter un agent automatiquement
Salt Security, rapport sur l'état de l'IA agentique et de la sécurité des API, 2e semestre 2026 (enquête auprès de plus de 380 professionnels).
Où en êtes-vous ?
Dites-nous où vous en êtes dans votre parcours avec l'IA. Nous vous aiderons à passer au niveau supérieur.
Sélectionnez l'étape qui correspond le mieux à votre programme actuel. Chaque étape s'appuie sur la précédente, au sein d'un même graphique.