Pourquoi les outils d’IA approuvés exigent un suivi continu

La gouvernance de l’IA a un problème de découverte et un problème de capacités. L’IA non autorisée peut entrer dans une entreprise via des extensions de navigateur, des accès délégués et des workflows créés par les employés. Les agents au sein d’applications approuvées peuvent également fonctionner à travers les identités, autorisations et intégrations que l’organisation utilise déjà. Les responsables de la sécurité ont besoin de visibilité à la fois sur les outils d’IA présents et sur les accès dont ils disposent.

L’approbation d’un produit crée un point de contrôle de gouvernance. Elle montre qu’un outil a passé un processus organisationnel. Mais la portée effective d’un agent peut évoluer par la suite lorsqu’il agit via des autorisations utilisateur existantes, des comptes de service, des API et des intégrations. La découverte est le point de départ de la gouvernance, et non son aboutissement.

La première faille est le shadow AI

Le rapport State of Agent Security 2026 de Reco a constaté que 20 % des outils d’IA observés dans la télémétrie anonymisée de sa plateforme auprès de 62 grandes entreprises avaient reçu l’approbation de l’IT ou de la sécurité. Reco a également indiqué que 79 % des applications tierces étaient autorisées. Sa télémétrie couvrait de grandes entreprises des services financiers, de la santé, du retail et des biens de consommation, ainsi que des télécommunications. Reco vend des technologies de sécurité dans ce domaine, ces chiffres doivent donc être lus comme les constats de l’entreprise.

Plusieurs voies peuvent introduire l’IA dans les systèmes d’entreprise sans achat logiciel classique. Les extensions de navigateur peuvent ajouter des fonctions d’IA dans l’environnement de travail d’un employé. OAuth, un protocole d’autorisation qui permet à un service de recevoir un accès délégué à un autre, peut connecter des outils d’IA à des services existants. Les workflows créés par les employés peuvent également relier l’IA aux données de l’entreprise et aux processus métier en dehors du circuit d’achat des SaaS acquis de manière centralisée.

Les frameworks d’automatisation de niche, les agents basés sur navigateur et les outils d’intégration créent un problème de visibilité connexe. Les connexions peuvent s’appuyer sur des autorisations qui persistent au-delà de la configuration initiale, y compris des autorisations OAuth et d’autres identifiants. Un inventaire centré sur les assistants et copilots achetés de manière centralisée peut passer à côté de l’IA connectée par ces autres voies. Les chiffres d’approbation de Reco font de la découverte un enjeu matériel de gouvernance dans son jeu de données.

La découverte détermine aussi si les équipes de sécurité peuvent examiner l’accès d’un outil d’IA. Un outil absent de l’inventaire ne peut pas faire l’objet d’un examen de ses autorisations et intégrations fondé sur cet inventaire. Les données de Reco indiquent que les processus d’approbation formels ne capturent qu’une minorité des outils d’IA qu’il a observés. Une fois un outil identifié, la question suivante est de savoir quelle autorité il peut exercer.

L’approbation n’établit que l’état initial

Les agents d’IA peuvent fonctionner au sein des logiciels de travail courants au lieu d’apparaître comme des applications distinctes. Un agent peut utiliser des accès déjà existants via des autorisations utilisateur, des autorisations OAuth, des comptes de service ou des API. Ces mécanismes peuvent donner aux personnes et aux logiciels un accès légitime à des fichiers, des services et des processus métier. La capacité effective d’un agent dépend des actions que ces voies d’accès permettent ensemble.

L’analyse par Reco de 500 serveurs Model Context Protocol publiés en fournit un exemple. Model Context Protocol, ou MCP, donne aux applications d’IA un moyen standardisé de se connecter à des outils et à des sources de données. Reco a sélectionné des serveurs accessibles publiquement dans le registre npm à l’aide du mot-clé « mcp », puis a exclu les frameworks, passerelles et clients afin de se concentrer sur les logiciels dont il était confirmé qu’ils lançaient un serveur. Comme pour la télémétrie de Reco, cette analyse provient d’un fournisseur de sécurité qui bénéficie commercialement d’une demande accrue pour des contrôles de sécurité de l’IA.

Reco a constaté que 62 % des serveurs MCP de son échantillon combinaient une capacité de lecture de fichiers locaux avec une connectivité réseau sortante. Un serveur doté de ces deux capacités dispose d’une voie technique pour lire des informations locales et transmettre des informations sur un réseau, une combinaison qui pourrait favoriser l’exfiltration de données. Ce chiffre mesure la présence de capacités. Il ne montre pas que ces serveurs ont exfiltré des données, ont été exploités ou ont causé des incidents.

Un outil peut lire des fichiers, un autre peut communiquer vers l’extérieur, et un autre encore peut déclencher des workflows. Un agent capable de coordonner ces fonctions via des autorisations et intégrations existantes peut exécuter un éventail d’actions plus large que ce que décrit une autorisation isolée. Le résultat MCP fournit un cas concret : l’accès aux fichiers locaux et une voie de communication sortante coexistent dans l’échantillon de Reco. La gouvernance doit donc examiner les combinaisons autant que les autorisations individuelles.

Ofer Klein, PDG de Reco, décrit ces combinaisons comme une source de risque opérationnel. Il soutient que des agents intégrés dans des applications peuvent utiliser des autorisations existantes, des autorisations OAuth et des accès à des workflows pour exposer des données ou déclencher des actions au-delà de ce qu’un propriétaire individuel a approuvé. Reco bénéficie commercialement du fait que les entreprises perçoivent un besoin de contrôles supplémentaires de sécurité de l’IA, la caractérisation de Klein constitue donc une évaluation de fournisseur. La télémétrie de Reco et son analyse MCP fournissent les éléments quantitatifs présentés à l’appui de cette évaluation.

Un inventaire des applications peut enregistrer qu’un logiciel est autorisé et identifier son statut administratif. L’évaluation de la capacité effective exige davantage d’informations sur les agents opérant via une application, les identifiants dont ils disposent et les intégrations qui les relient à d’autres systèmes. La persistance des accès compte, car une autorisation peut rester disponible après son attribution initiale. La gouvernance continue doit donc pouvoir réévaluer l’état établi lors de l’approbation.

Les divulgations de vulnérabilités modifient la situation après l’approbation

Les autorisations sont l’une des raisons pour lesquelles un examen initial peut devenir obsolète. Reco a suivi 637 vulnérabilités dans les outils d’agents et de grands modèles de langage. L’entreprise a indiqué que 525 d’entre elles avaient été divulguées au cours des 18 mois précédents, dont au moins 111 classées critiques avec des scores Common Vulnerability Scoring System, ou CVSS, de 9,0 ou plus. Le CVSS est une échelle standard d’évaluation de la gravité des vulnérabilités logicielles.

Reco a également signalé moins de cinq vulnérabilités par mois en moyenne en 2023 et 2024, puis environ 29 par mois depuis janvier 2025. Ces chiffres mesurent les divulgations plutôt que les exploitations réussies. Dans le jeu de données de Reco, de nouvelles informations de sécurité sur les outils d’agents apparaissent à un rythme nettement plus rapide depuis janvier 2025. L’intérêt commercial de Reco dans la sécurité de l’IA s’applique également à son interprétation de ces données sur les vulnérabilités.

Un outil peut réussir un examen initial puis être associé plus tard à des vulnérabilités nouvellement divulguées. Les autorisations OAuth, les comptes de service, les API et les intégrations peuvent rester actives tandis que les caractéristiques de sécurité connues des logiciels connectés évoluent.

L’implication étayée est plus limitée. Un examen de sécurité ponctuel enregistre des conditions à un moment donné, tandis que des divulgations ultérieures de vulnérabilités peuvent modifier ce qui est connu du logiciel. Une visibilité continue permet aux équipes de sécurité de réévaluer les outils connectés à mesure que ces informations évoluent. Cela ajoute une dimension temporelle au problème précédent de découverte des outils et de compréhension de leur accès effectif.

La gouvernance doit suivre les capacités après l’approbation

Pour les DSI et les dirigeants de la sécurité, un inventaire utile a deux dimensions. Les équipes ont besoin de visibilité sur l’IA qui entre via les navigateurs, les connexions OAuth, les workflows créés par les employés et d’autres voies. Elles doivent aussi cartographier la manière dont les agents découverts interagissent avec les identités et les autorisations techniques après la connexion. Les constats de Reco appuient le fait de traiter la découverte et la cartographie des accès comme des tâches de gouvernance liées.

Cette vue opérationnelle inclut les identités, les autorisations OAuth, les comptes de service, les API, les autorisations persistantes et les intégrations d’agents. Ces éléments déterminent quelles ressources et quelles actions un agent peut atteindre via les systèmes connectés. Les cartographier permet à une équipe de sécurité d’évaluer la portée effective même lorsque l’application hôte a déjà passé un processus d’approbation. Cela met aussi en évidence les combinaisons d’autorisations à examiner.

Les combinaisons méritent une attention particulière, car les enregistrements d’accès individuels décrivent des autorisations individuelles. L’accès aux fichiers permet un ensemble d’actions, une connexion externe en permet un autre, et l’exécution de workflows un autre encore. Lorsqu’un agent peut coordonner ces voies, les équipes de sécurité doivent évaluer l’ensemble d’actions possibles qui en résulte. L’accès aux données et la connectivité sortante au sein du même outil connecté montrent pourquoi cette vue combinée est importante.

La gouvernance doit aussi s’inscrire dans la durée. L’examen de sécurité initial reste un point de contrôle important, en particulier compte tenu de la faible part d’approbation parmi les outils d’IA observés par Reco. Les autorisations existantes peuvent persister, les intégrations peuvent relier des capacités distinctes, et des divulgations ultérieures de vulnérabilités peuvent modifier ce qui est connu de logiciels précédemment acceptés. Pour les responsables de la sécurité, l’objectif de contrôle durable est la visibilité sur les identités et services qui donnent à un agent une autorité, et sur ce que cette autorité permet en combinaison.

Principaux enseignements pour les dirigeants

Le shadow AI crée une faille de découverte : Reco a constaté que seuls 20 % des outils d’IA observés avaient reçu l’approbation de l’IT ou de la sécurité. Les dirigeants devraient étendre la découverte au-delà des logiciels achetés de manière centralisée aux extensions de navigateur, aux connexions OAuth, aux workflows créés par les employés et aux autres voies d’entrée dans les systèmes d’entreprise.
L’approbation ne définit pas l’accès effectif : Les agents d’IA peuvent fonctionner via des autorisations utilisateur existantes, des comptes de service, des API et des intégrations, en combinant des capacités d’une manière que les autorisations individuelles ne montrent pas. Les équipes de sécurité devraient cartographier ce à quoi les agents peuvent accéder et ce qu’ils peuvent faire après l’approbation.
De nouvelles vulnérabilités peuvent modifier le risque des outils approuvés : Reco a signalé une forte hausse des divulgations de vulnérabilités dans les outils d’agents et de LLM depuis janvier 2025. Une visibilité continue permet aux équipes de sécurité de réévaluer les outils connectés à mesure que de nouvelles informations de sécurité apparaissent.
La gouvernance doit suivre les capacités dans le temps : Une gouvernance efficace de l’IA exige une découverte continue parallèlement à une cartographie des accès couvrant les identités, les autorisations, les identifiants et les intégrations. Les dirigeants devraient évaluer ces capacités en combinaison et les réexaminer à mesure que les autorisations, les connexions et les vulnérabilités connues évoluent.