Comment contenir les risques des agents IA en production

Un agent IA autonome n’a pas besoin de contourner un système d’authentification pour causer des dommages graves. Il peut s’authentifier avec succès, utiliser un identifiant que l’entreprise lui a délibérément accordé, puis prendre une décision peu fiable qui supprime une base de données ou expose des données sensibles. Pour les responsables technologiques qui font passer les agents en production, la question de sécurité ne consiste donc plus à savoir si le modèle peut rejeter une entrée malveillante, mais jusqu’où un agent légitimement autorisé peut agir lorsque son jugement fait défaut.

L’agent dangereux peut déjà disposer d’identifiants légitimes

Les garde-fous du modèle ne traitent qu’une partie de ce problème de production, car les agents autonomes peuvent transformer les décisions du modèle en actions. Oscar Wahlberg, senior director of product management chez Nutanix, donne un cas d’échec concret : « Les garde-fous conçus pour intercepter un prompt malveillant n’empêcheront pas un agent d’halluciner et de faire quelque chose qu’il n’aurait jamais dû faire, comme supprimer accidentellement des bases de données ou divulguer des données sensibles avec un identifiant qui lui a été accordé, mais qu’il utilise ensuite à une fin totalement différente. » Nutanix commercialise des technologies d’infrastructure et de gouvernance pour ces déploiements, et bénéficie donc commercialement lorsque les entreprises adoptent l’architecture décrite par Wahlberg.

Dans l’exemple de Wahlberg, l’identifiant valide déplace le problème de l’authentification vers l’autorisation pendant l’exécution. « C’est le problème central à mesure que les entreprises font sortir les agents autonomes de l’expérimentation pour les mettre en production », explique Wahlberg. Une architecture de production doit donc contenir l’activité à travers l’infrastructure, le stockage, le calcul et le réseau, tandis qu’un plan de contrôle de gouvernance détermine ce à quoi les agents peuvent accéder et ce qu’ils peuvent consommer.

Ces parties de la stack répondent à des questions différentes, car chacune applique un type de frontière distinct. L’infrastructure établit si un agent et son environnement d’exécution sont dignes de confiance, le réseau limite les systèmes et autres agents avec lesquels il peut communiquer, et le plan de contrôle régit les autorisations, les outils, les ressources et le comportement pendant l’exécution. Le confinement dépend des trois, car une identité valide dit peu de choses sur le caractère approprié de l’action suivante.

La défense en profondeur attribue un rôle différent à chaque couche

Une fois que des identifiants valides font partie du modèle de menace, la défense en profondeur consiste à placer chaque responsabilité de sécurité là où l’architecture peut l’appliquer. Des mécanismes ancrés dans le matériel peuvent établir l’intégrité de l’exécution, des contrôles réseau peuvent régir les chemins de communication, et des contrôles d’exécution centralisés peuvent régir les actions et la consommation. Répéter un modèle de sécurité générique à tous les niveaux laisserait certaines décisions sans point d’application efficace.

La valeur de cette séparation devient claire lorsqu’une responsabilité est placée dans la mauvaise couche. Le logiciel applicatif ne peut pas fournir une garantie de niveau matériel sur l’environnement dans lequel il s’exécute, tandis que les règles réseau statiques héritées peinent à gérer des agents dont les relations évoluent au fil de leurs actions. « En n’attribuant pas des responsabilités spécifiques aux couches appropriées, les entreprises finissent avec des angles morts dans la gouvernance », déclare Wahlberg.

Ces angles morts peuvent aussi devenir des contraintes opérationnelles, car la politique de sécurité affecte ce qu’un agent peut accomplir. Une architecture rigide peut restreindre un agent à un point tel qu’il ne peut plus exécuter le travail prévu, tandis que des règles permissives peuvent laisser subsister des voies menant à des actions dangereuses. Étendre une seule approche à l’ensemble de la stack IA peut créer des angles morts de gouvernance, des pénalités de performance et des frictions opérationnelles.

L’infrastructure établit la confiance dans l’agent et son environnement d’exécution

La première responsabilité spécialisée se situe sous l’agent lui-même : établir une racine de confiance, c’est-à-dire une base permettant de vérifier l’identité et l’intégrité de l’environnement où l’exécution a lieu. Avant qu’une politique de niveau supérieur puisse autoriser une opération en toute sécurité, le système doit avoir confiance dans l’identité de l’opérateur et savoir si l’environnement a été modifié. Lorsqu’un agent demande une opération, la vérification consiste notamment à s’assurer que la demande provient bien de l’agent légitime et non d’un usurpateur.

Cette racine de confiance repose sur des mécanismes qui traitent différentes dimensions de l’intégrité de l’exécution. L’attestation ancrée dans le matériel fournit des preuves sur l’état de la plateforme, le confidential computing protège les charges de travail et les données pendant le traitement, et le secure boot vérifie l’intégrité des logiciels chargés au démarrage du système. Des contrôles à l’intérieur et au-delà des serveurs individuels protègent ensuite contre les accès non autorisés, traitant ensemble des risques tels que des modèles ou runtimes altérés, des chaînes d’approvisionnement logicielle compromises et des accès non autorisés à des charges de travail IA sensibles.

Cette séparation devient particulièrement importante lorsque l’IA en production exige une isolation stricte. Dans les services financiers, par exemple, une organisation peut avoir besoin d’isoler les charges de travail IA de production afin que l’agent comme son environnement d’exécution restent dans le périmètre qui leur est assigné. Une autorisation au niveau applicatif ne peut pas établir la fiabilité du runtime sous-jacent ; les mécanismes d’infrastructure fournissent donc une assurance de niveau inférieur avant que les contrôles de niveau supérieur n’évaluent ce que l’agent peut faire.

Le rôle d’Intel dans l’implémentation Nutanix, Cisco et Intel se situe principalement à cette couche d’infrastructure. Intel fournit la capacité de calcul pour les charges de travail agentiques ainsi qu’une confiance ancrée dans le matériel et le confidential computing, tandis que ses accélérateurs visent à réduire les coûts, ce qui donne à Intel un intérêt commercial dans l’adoption de cette architecture de calcul. Les processeurs Intel Xeon 6 incluent AMX en natif, une capacité d’accélération utilisée ici pour accélérer l’inférence IA sans dépendre exclusivement de GPU coûteux.

Les performances de calcul et la confiance dans l’exécution se rejoignent donc dans la même couche tout en répondant à des exigences de production distinctes. Le processeur doit exécuter l’inférence efficacement, tandis que la plateforme doit établir un niveau d’intégrité suffisant pour que les contrôles de niveau supérieur puissent se fier à l’identité et au contexte d’exécution qu’ils reçoivent. Une fois cette base jugée fiable, la frontière suivante concerne les communications autorisées de l’agent.

Le réseau doit traiter l’agent comme une identité

Un agent de confiance crée un nouveau problème de confinement dès qu’il commence à communiquer. Les agents autonomes peuvent communiquer simultanément avec d’autres agents, des API, des applications et des systèmes d’entreprise ; un agent peut appeler des API, interroger des données et créer des agents supplémentaires au fil de son travail. Ces actions produisent un trafic est-ouest évolutif, c’est-à-dire des communications entre systèmes au sein d’un environnement, où les mouvements latéraux et l’exfiltration de données peuvent ressembler à une activité légitime de l’agent.

Parce que ce trafic suit le travail de l’agent, le réseau a besoin d’un modèle d’identité et de politique construit autour de l’agent lui-même. « Nous devrions traiter les agents IA comme une nouvelle catégorie d’identité réseau, et veiller à ce qu’un agent ne puisse parler qu’à d’autres agents ou à des sources de données pour lesquels il y est explicitement autorisé », explique Wahlberg. Avec un accès bloqué par défaut, une entreprise peut autoriser les relations spécifiques dont un agent a besoin et surveiller ces interactions à grande échelle.

L’identité de l’agent modifie également la manière dont ces relations doivent être appliquées au fur et à mesure de l’exécution. « Cela signifie qu’il faut abandonner les règles statiques rigides au profit d’une application dynamique des politiques », déclare Wahlberg. Un environnement autonome peut créer de nouvelles relations de communication pendant l’exécution ; la politique doit donc suivre le rythme tout en continuant à contrôler l’accès selon l’identité et l’autorisation.

Les configurations statiques héritées créent deux modes d’échec dans ces conditions, car elles ne peuvent pas s’adapter facilement à des workflows changeants. Des règles strictes peuvent surcontraindre l’activité de l’agent jusqu’à empêcher le système de fonctionner comme prévu, tandis que de larges exceptions peuvent ouvrir des chemins de communication favorisant les mouvements latéraux ou les fuites de données. La segmentation zero trust répond à cette tension en exigeant une autorisation explicite pour chaque relation individuelle au lieu d’accorder une portée réseau étendue.

Dans l’implémentation de Nutanix, une partie de cette responsabilité revient à Flow, la capacité de microsegmentation de l’entreprise, ainsi qu’à des agents fondés sur la segmentation zero trust et à des intégrations avec des fournisseurs réseau. La microsegmentation divise les charges de travail en domaines de communication étroitement contrôlés afin que les administrateurs puissent limiter les interactions au sein d’un environnement. Nutanix s’intègre également à Cisco Secure AI Factory, reliant son logiciel commercialisé à la stack réseau et infrastructure de Cisco.

Cisco assure le rôle de réseau sécurisé dans l’architecture à trois entreprises en régissant les communications entre les agents et les outils d’entreprise, et Cisco a lui aussi un intérêt commercial dans l’adoption de cette conception commune. Cette couche décide si une identité peut atteindre un autre endpoint et selon quelle politique, même lorsque les deux côtés s’exécutent dans une infrastructure de confiance. Une fois la connexion autorisée, le système doit toutefois encore décider ce que l’agent peut faire à travers elle.

Le plan de contrôle régit ce qu’un agent de confiance et connecté peut faire

Cette décision suivante relève du plan de contrôle, qui centralise les autorisations des agents, l’accès aux outils, la consommation de ressources et la visibilité à l’exécution. Un agent peut être légitime, s’exécuter dans un environnement attesté et communiquer via un chemin explicitement autorisé tout en invoquant le mauvais outil ou en consommant des ressources excessives. Une politique centrale devient plus importante à mesure que les déploiements se multiplient, car sinon les équipes doivent recréer ces contrôles séparément pour chaque agent.

Nutanix présente Agent Gateway, qui fait partie de Nutanix Agentic AI, comme son implémentation de ce rôle de plan de contrôle. La passerelle fournit un point de gouvernance commun entre les modèles et les outils et gère les interactions entre agents, modèles, sources de données et applications d’entreprise. « Agent Gateway agit comme un endpoint universel pour différents modèles et outils, afin qu’une équipe IT puisse configurer ses agents pour qu’ils communiquent avec ce point de contrôle unique », explique Wahlberg.

Ce endpoint commun donne aux administrateurs un lieu unique pour observer et appliquer les décisions d’exécution. Ils peuvent auditer l’activité, contrôler l’accès aux modèles, gérer l’accès aux outils Model Context Protocol (MCP), protéger les données et contrôler les opérations privilégiées. Les outils MCP sont des capacités exposées via le Model Context Protocol pour être invoquées par des modèles ou des agents ; leur contrôle est donc important, car un appel d’outil peut transformer une décision IA en opération sur des ressources d’entreprise.

Cette même visibilité à l’exécution relie la politique de sécurité à la gestion des coûts, car un comportement indésirable peut affecter les deux à la fois. Le système peut traiter les abus de privilèges, les outils non autorisés, les fuites de données et les comportements incontrôlés tout en suivant une consommation excessive des modèles. Si un agent se retrouve bloqué dans une boucle, des appels répétés au modèle peuvent faire grimper la consommation de tokens, transformant la boucle à la fois en problème de sécurité opérationnelle et en problème de dépenses.

Ces préoccupations qui se recoupent révèlent des comportements que des contrôles plus étroits ne perçoivent qu’en partie. Une entreprise peut protéger la sortie du modèle alors même que des informations sensibles circulent encore de manière inappropriée entre agents, parce que la communication se produit en dehors de cette frontière de sortie. Une politique réseau peut de même autoriser des connexions légitimes au modèle alors qu’un agent exécute à répétition le même appel autorisé, d’où la nécessité d’une visibilité à l’exécution pour identifier la consommation de tokens qui en résulte.

Pour Wahlberg, cette exigence fait de la gouvernance une fonction active à l’exécution qui se poursuit tout au long de l’opération. Nutanix présente sa plateforme logicielle et son plan de contrôle central comme un moyen de réduire les silos architecturaux tout en appliquant les autorisations, en fournissant de la visibilité et en gouvernant les coûts, un positionnement aligné sur son intérêt commercial à vendre ces capacités. Une politique d’exécution cohérente est particulièrement importante lorsque les agents peuvent modifier ce qu’ils appellent et consomment au cours d’une tâche.

Le travail du plan de contrôle se poursuit après le déploiement initial dans les opérations de « Day 2 », qui, selon Wahlberg, exigent une observabilité continue et une gouvernance stricte des tokens à mesure que les agents opèrent en production. Ces contrôles font du comportement continu et de la consommation de ressources un seul et même problème de gestion que le déploiement. La frontière couvre donc les décisions qu’un agent prend tout au long de son fonctionnement post-déploiement.

Cette responsabilité continue relie également la sécurité aux choix pratiques qui déterminent si un système IA fonctionne en production. « Au-delà du choix du modèle et des outils, la gouvernance des déploiements d’agents et de leur accès aux modèles et aux outils métier dans une plateforme full stack étroitement intégrée sera importante pour la réussite des projets IA », déclare Wahlberg. La gouvernance du déploiement détermine donc quelles capacités métier un système autonome peut exercer une fois que son modèle a produit une décision.

Chaque couche fournit une frontière de confinement distincte

Les décisions d’exécution centralisées dépendent toujours des frontières établies en dessous d’elles. Un plan de contrôle ne peut pas établir une intégrité ancrée dans le matériel pour un environnement d’exécution ni fournir de manière indépendante une isolation réseau contre les mouvements latéraux, tandis qu’un matériel de confiance et des réseaux segmentés ne décident pas quel outil MCP un agent peut invoquer. Ils n’exposent pas non plus le comportement de plan de contrôle d’une boucle d’exécution consommatrice de tokens.

Ces responsabilités distinctes fournissent un confinement de secours lorsqu’une protection antérieure échoue. Si une menace franchit le filtrage au niveau du modèle, des mécanismes ancrés dans le matériel peuvent encore protéger l’intégrité de l’exécution, l’isolation réseau peut limiter les destinations accessibles, et les contrôles d’accès au niveau de l’agent peuvent restreindre les opérations disponibles. La défense en profondeur fonctionne parce qu’une défaillance dans une catégorie laisse disponibles les mécanismes d’application des autres catégories.

Les cas d’échec appariés rendent cette séparation concrète. La protection de la sortie du modèle peut coexister avec une fuite de données d’agent à agent, car les contrôles de sortie et les contrôles de communication observent des comportements différents. La sécurisation de l’accès réseau peut de même coexister avec une consommation excessive de tokens, car le réseau peut autoriser des connexions légitimes pendant que l’agent exécute à répétition un appel de modèle autorisé.

Nutanix, Cisco et Intel présentent leur partenariat comme une implémentation de ces responsabilités complémentaires dans un AI Cloud de niveau entreprise, et les trois entreprises ont un intérêt commercial dans l’adoption de la stack qui en résulte. Intel fournit le calcul ainsi qu’une confiance ancrée dans le matériel et le confidential computing ; Cisco fournit une fabric sécurisée pour les communications ; et Nutanix fournit la plateforme logicielle et le plan de contrôle central pour les autorisations, la visibilité et la gouvernance des coûts. Leurs rôles produits correspondent à des responsabilités d’application distinctes au sein de cette architecture en couches.

L’intégration se prolonge dans l’infrastructure sous-jacente de l’AI factory, reliant ces responsabilités autour des mêmes charges de travail. Nutanix s’intègre à Cisco Secure AI Factory, tandis que le logiciel Nutanix fonctionne avec les serveurs Cisco UCS et les Cisco AI PODs pour fournir l’infrastructure de calcul, de stockage et de réseau sur laquelle l’AI factory opère. Cette implémentation montre comment les couches d’infrastructure, de réseau et de contrôle à l’exécution peuvent conserver des mécanismes d’application distincts dans une stack multi-fournisseurs.

Faire évoluer les agents transforme la gouvernance à l’exécution en décision d’architecture

Une fois que ces contrôles doivent couvrir de nombreux déploiements, la gestion agent par agent devient un problème de passage à l’échelle. Wahlberg décrit des organisations qui passent d’une poignée de cas d’usage IA à des « milliers d’agents » opérant de manière autonome pour faire avancer l’entreprise. Son scénario rend la conséquence architecturale claire : construire séparément des politiques d’identité, d’accès et de consommation pour chaque agent devient de plus en plus difficile à mesure que la population grandit.

À cette échelle, les responsables technologiques ont besoin d’une gouvernance centralisée capable de gérer en temps réel les identités des agents, les autorisations d’outils et les budgets de tokens. La cohérence devient la propriété architecturale clé, car chaque agent ajouté doit entrer dans le même framework de politique d’exécution. Le plan de contrôle devient donc une partie de l’architecture de passage à l’échelle, en étendant le modèle de gouvernance déjà utilisé pendant le déploiement à l’exploitation autonome continue.

Ce modèle centralisé doit également fonctionner à travers les différentes stacks technologiques courantes dans les entreprises. « On ne peut pas construire un système IA sans entrer dans de nombreuses décisions complexes », explique Wahlberg. Ces décisions traversent les modèles, les outils, le calcul, les réseaux et les applications métier existantes ; la couche de gouvernance doit donc coordonner la politique à travers les environnements impliqués dans une tâche.

Cette même complexité conduit Wahlberg à une exigence multi-fournisseurs pour cette couche : « Et vous avez besoin d’un plan de contrôle qui fonctionne à travers plusieurs fournisseurs et infrastructures pour vous aider à mettre en œuvre ces stratégies de défense en profondeur. » Nutanix bénéficie commercialement d’une exigence qui favorise un plan de contrôle inter-environnements ; les responsables technologiques doivent donc lire cette recommandation dans le contexte du rôle de l’entreprise dans l’implémentation. L’exigence architecturale elle-même est concrète : la politique doit suivre les agents à travers les environnements où ils s’exécutent, tandis que l’infrastructure et le réseau continuent d’appliquer leurs propres frontières.

Les rôles commerciaux façonnent le cas d’implémentation

La conception Nutanix, Cisco et Intel est une implémentation de l’architecture en couches soutenue par des fournisseurs, chaque participant apportant la technologie correspondant à sa responsabilité assignée. L’interprétation de Wahlberg découle de son rôle chez Nutanix, dont Agent Gateway, Flow et la plateforme logicielle plus large occupent des positions centrales dans la conception qu’il décrit. Cisco et Intel bénéficient également lorsque les entreprises adoptent les composants réseau, serveur et calcul qui leur sont attribués.

Ces incitations comptent dans l’évaluation des affirmations, car le raisonnement architectural et le positionnement produit apparaissent ensemble dans la même implémentation. L’exemple de suppression de base de données donné par Wahlberg identifie le risque sous-jacent : un agent peut détenir un identifiant valide et tout de même entreprendre une action dommageable. La stack fournisseur applique ensuite des frontières d’application distinctes à la confiance d’exécution, à la communication et aux autorisations à l’exécution, afin qu’un agent légitimement authentifié ne reçoive pas une liberté illimitée simplement parce que l’authentification a réussi.

En conclusion

Pour les responsables technologiques, le risque de production lié aux agents autonomes ne se limite pas à l’accès non autorisé. Un agent peut s’authentifier correctement, opérer dans une infrastructure de confiance et tout de même prendre une décision dommageable avec des autorisations que l’entreprise lui a délibérément accordées. Cela fait du périmètre d’activité légitime de l’agent une question d’architecture et de gouvernance, et non simplement un problème d’authentification.

À mesure que les déploiements se développent, les entreprises auront besoin de contrôles distincts pour la confiance d’exécution, la communication réseau et le comportement à l’exécution. Une gouvernance centralisée peut coordonner les autorisations, l’accès aux outils, l’observabilité et la consommation de ressources, mais elle ne remplace pas l’assurance d’infrastructure ni le confinement réseau. Chaque couche doit fournir une frontière indépendante lorsqu’un autre contrôle échoue.

La décision de direction porte donc moins sur le choix d’un produit de sécurité unique que sur la définition de l’endroit où la confiance commence et où l’autorité s’arrête. Avant de faire passer les agents autonomes à l’échelle, les organisations devraient être capables d’établir l’identité d’un agent et l’intégrité de son exécution, de limiter ce qu’il peut atteindre, de gouverner ce qu’il peut faire après connexion et d’observer ces décisions en continu. Sans ces frontières, ajouter davantage d’agents élargit aussi les conséquences d’un identifiant valide utilisé de la mauvaise manière.