TechCrunch vient de publier l'article qui exprime tout haut ce que chaque RSSI suspecte déjà.
Cette semaine, Connie Loizos, rédactrice en chef de TechCrunch, s'est entretenue en coulisses avec Francis de Souza, directeur des opérations (COO) de Google Cloud, pour un article sur l'état de la sécurité de l'IA en entreprise. L'interview mérite d'être lue intégralement. Trois points qu'elle contient devraient redéfinir la manière dont chaque RSSI envisage les douze prochains mois.
La surface d'attaque n'est plus ce que vos outils ont été conçus pour défendre
De Souza l'a dit clairement. Le patrimoine à protéger inclut désormais les modèles, les invites (prompts), les agents, les pipelines d'entraînement et les serveurs MCP qui les connectent à tout le reste. Le périmètre a disparu. Le temps entre la brèche initiale et l'attaque suivante s'est effondré de huit heures à vingt-deux secondes. Ce n'est pas une prévision. C'est la mesure actuelle.
Si votre pile technologique a été conçue pour le trafic HTTP et une réponse à rythme humain, vous ne défendez pas l'endroit où les attaquants opèrent réellement.
Vos propres agents exposent déjà des données que votre équipe de sécurité avait oubliées
Le point le moins souligné de l'interview était que les agents en production découvrent des données que personne n'a touchées depuis des années. De Souza a cité l'exemple d'anciens serveurs SharePoint avec des contrôles d'accès faibles. Personne ne s'inquiétait de ces serveurs auparavant parce que personne ne savait où ils se trouvaient. Les agents n'ont pas besoin de savoir à l'avance. Ils trouvent des actifs de données et les mettent en évidence à la demande. Tout ce que vos agents peuvent atteindre se trouve désormais dans votre rayon d'action. La question est de savoir si vous pouvez voir ces chemins.
Vous avez besoin d'une posture de sécurité qui s'applique à travers les clouds, les SaaS et les modèles
C'est la phrase qui devrait le plus marquer quiconque évalue la sécurité de l'IA en ce moment. Le COO de Google Cloud a dit aux entreprises qu'elles ne peuvent pas se fier à une solution mono-cloud. Applications SaaS, systèmes partenaires, modèles multiples. Vos agents atteindront tout cela. Votre sécurité doit en faire autant.
C'est la définition de la sécurité agentique indépendante de la plateforme. Et c'est exactement ce que chaque outil de sécurité IA natif du cloud est structurellement incapable de vous offrir, car chacun ne voit que sa propre plateforme. La moitié d'un graphe n'est pas un graphe. C'est une supposition.
L'écart entre les conseils et l'exécution est réel
La perspective de Loizos dans l'article de TechCrunch est directe. Les fournisseurs de plateformes qui donnent ces conseils sont encore en train de les appliquer eux-mêmes. L'implication pour les RSSI est inconfortable mais nécessaire. Votre stratégie de sécurité de l'IA ne peut pas attendre que les fournisseurs qui donnent les conseils clés appliquent leurs propres conseils.
Vous avez besoin d'une couche que vous contrôlez. Indépendante de la plateforme. Indépendante du fournisseur. Conçue spécifiquement pour l'environnement agentique dans lequel votre entreprise opère déjà.
C'est ce qu'est le Graphe de Sécurité Agentique
Salt a construit le Graphe de Sécurité Agentique pour ce moment précis. Une vue consolidée de chaque agent, chaque serveur MCP, chaque API, chaque fournisseur tiers et chaque élément de données sensibles que ces chemins peuvent atteindre. La posture de risque et de politique est cartographiée par-dessus. En temps réel. À travers les clouds, les SaaS, les modèles.
C'est la seule vue qui vous montre le chemin depuis l'agent en production vers le serveur SharePoint oublié jusqu'aux données de carte de crédit qui s'y trouvent. C'est la seule vue qui fonctionne à la vitesse de la machine, car les attaquants le font. Et c'est la seule vue qui vous appartient, et non à un seul fournisseur de plateforme.
La question au niveau du conseil d'administration
De Souza a conclu avec la bonne approche. C'est un problème qui relève du conseil d'administration, pas de l'équipe de sécurité. La question du conseil est simple : pouvez-vous aujourd'hui représenter graphiquement votre propre infrastructure agentique ?
Si la réponse est non, vous n'avez pas de stratégie de sécurité de l'IA. Vous avez de l'espoir.
Nous pouvons vous montrer le graphique. salt.security/agentic-assessment