Au cours de la dernière année, j'ai passé d'innombrables heures avec des CISO, des CTO et des architectes de sécurité à discuter d'une nouvelle vague technologique qui change la donne plus vite que tout ce que nous avons vu auparavant : IA agentique et serveurs de protocole de contexte de modèle (MCP).
Si vous pensez que l'IA en est encore au stade des « démos sympas et des projets pilotes », détrompez-vous. Nous voyons déjà des agents autonomes raisonner, mémoriser et agir dans des environnements de production réels. Les serveurs MCP deviennent discrètement le système nerveux central de ces agents, négociant des instructions, accédant à des outils et orchestrant des appels d'API à travers vos systèmes.
Il ne s'agit plus d'une conversation sur les « technologies émergentes ». C'est une conversation sur une surface de risque réelle . Et tout cela est alimenté par les API.
Pourquoi les API sont désormais en première ligne
Chaque interaction d'agent IA et de serveur MCP repose sur des API. Ces API extraient des données des dossiers clients, mettent à jour les systèmes de transaction, lancent des flux de travail et le font souvent sans intervention humaine.
Voici le problème :
- La plupart des outils de sécurité actuels, comme les WAF, les passerelles API, les CDN et les wrappers de sécurité LLM ne peuvent pas voir tout ce trafic API.
- Les appels API entre un serveur MCP et vos sources de données internes ou tierces se produisent souvent au cœur de votre environnement, en contournant la périphérie où se situent les outils traditionnels.
- Nombre de ces API sont nouvelles, non documentées ou dynamiques, créées à la volée lorsque les agents entreprennent de nouvelles actions.
Sans visibilité en temps réel sur ce tissu d'API, vous n'avez aucune visibilité sur :
- Quelles données les agents consultent
- S'ils respectent la politique
- Si un attaquant a détourné un agent ou exploité une API pour compromettre votre système
Les enjeux pour les RSSI
Pour les RSSI, c'est la tempête parfaite : une technologie qui évolue plus vite que vos cadres de gouvernance, avec des surfaces d'attaque qui se multiplient du jour au lendemain, le tout dans un domaine (les API) où la plupart des organisations peinent déjà à obtenir une visibilité complète.
L'approche consistant à « simplement sécuriser le modèle d'IA » ne fonctionne pas ici. Le modèle n'est pas ce qui entreprend les actions ; ce sont les API. Si vous ne les sécurisez pas, vous ne sécurisez pas l'IA. Point final.
Les 5 questions que chaque RSSI devrait se poser dès maintenant
Lorsque je rencontre des RSSI aujourd'hui, voici les cinq questions que je leur demande de mettre sur la table immédiatement :
- Avons-nous un inventaire précis et à jour de chaque API que nos agents d'IA et nos serveurs MCP utilisent ? Si vous ne savez pas ce que vous avez, vous ne pouvez pas le protéger.
- Pouvons-nous voir le trafic API entre nos serveurs MCP, nos agents d'IA et toutes les sources de données internes/tierces en temps réel ? Une visibilité uniquement en périphérie n'est pas suffisante. Vous devez voir l'ensemble du tissu d'API.
- Nos contrôles de gouvernance et de politique sont-ils appliqués au niveau de l'API pour les actions pilotées par l'IA ? Un agent IA peut enfreindre une politique aussi facilement qu'un humain, voire plus rapidement.
- Disposons-nous d'une détection des menaces optimisée pour les attaques d'API pilotées par l'IA et les modèles d'abus ? Ce n'est pas un problème de plus du « Top 10 de l'OWASP ». L'IA agentique crée de nouvelles catégories d'attaques.
- À quelle vitesse pouvons-nous identifier et arrêter un agent malveillant ou un serveur MCP compromis avant qu'il n'affecte les données ou les systèmes ? La rapidité de confinement est primordiale dès que quelque chose tourne mal.
Où Salt Security intervient
Chez Salt, nous sécurisons les API bien avant que la « sécurité des API » ne soit une catégorie de marché. Notre plateforme vous offre:
- Visibilité complète sur tout le trafic API, y compris le trafic qu'aucun autre outil ne voit entre les serveurs MCP, les agents IA et les sources de données.
- Découverte continue afin que vous ne soyez jamais pris au dépourvu par une API nouvelle ou fantôme.
- Détection et blocage des menaces en temps réel conçus pour les modèles d'abus d'API modernes, y compris ceux pilotés par des agents IA.
- Gouvernance à l'échelle, afin que vos politiques suivent l'API, quelle que soit la dynamique de votre environnement.
Si l'IA agentique est votre nouvel avantage concurrentiel, la sécurité des API est votre nouvelle stratégie de survie. On ne peut pas ralentir la technologie, mais on peut s'y préparer.
Réflexion finale
L'IA agentique et les serveurs MCP redéfinissent la surface d'attaque, que cela nous plaise ou non. Les organisations qui prospéreront dans cette nouvelle réalité seront celles qui considéreront la sécurité des API comme une infrastructure essentielle et non comme une réflexion après coup. Si vous ne vous posez pas déjà les cinq questions ci-dessus, il est temps de commencer.
Si votre équipe explore l'IA agentique et souhaite discuter de la sécurisation de l'infrastructure sur laquelle elle repose, n'hésitez pas à nous contacter. Demandez une démonstration dès maintenant, et l'un de nos experts en sécurité de l'IA vous contactera directement.
De plus, nous organisons un webinaire le 28 août pour explorer ces sujets plus en profondeur. Vous pouvez vous inscrire au webinaire ici.