Pour Microsoft, chaque agent IA est un « initié » à surveiller

« Les modèles de pointe, quelle que soit leur origine, ne sont pas dignes de confiance. » La phrase est signée Hayete Gallot, qui dirige chez Microsoft la sécurité des organisations, dans un billet publié le 19 octobre 2026. Pas parce qu'ils seraient malveillants, précise-t-elle, mais parce qu'ils sont entraînés à atteindre un résultat, contournent parfois les règles pour y parvenir et ignorent les normes d'une organisation. Déployés en masse et avec beaucoup d'accès, les agents IA deviennent pour Microsoft des « initiés » à surveiller en permanence.

Le principe : ne pas laisser le modèle se surveiller lui-même

Microsoft reprend une idée formulée par son PDG, Satya Nadella : séparer la fourniture d'intelligence de l'autorité sur cette intelligence. Les contrôles qui décident de ce qu'un agent peut lire, faire ou poursuivre doivent rester en dehors du modèle, là où il ne peut ni les contourner ni les modifier. L'éditeur décrit quatre responsabilités permanentes : savoir quels agents existent et à qui ils appartiennent, limiter ce qu'ils peuvent faire avant qu'ils agissent, protéger les données et les outils sur leur chemin, et adapter ces protections quand le risque change.

Ce que Microsoft ajoute

• Inventaire : la détection couvre 35 types d'agents locaux supplémentaires, soit 60 au total, dont Claude Code, OpenAI Codex et GitHub Copilot, réunis dans un registre unique.
• Identité : Microsoft Entra Agent ID s'étend aux agents locaux ou inconnus repérés par ses capteurs, pour distinguer ce qu'a fait une personne de ce qu'un agent a fait en son nom.
• Confinement : l'agent doit tourner dans un environnement isolé, comme le Microsoft Execution Container (MXC), évoqué lors de l'événement du 7 octobre, et ses appels d'outils, d'API, de serveurs MCP ou d'autres agents doivent passer par des contrôles.
• Permissions dynamiques : un agent démarre sans droits, reçoit seulement ceux de sa tâche et pour sa durée, sans jamais dépasser ceux de son utilisateur ; les actions lourdes exigent une approbation humaine vérifiée.
• Risque dynamique : un score recalculé en continu déclenche une réponse graduée, par exemple garder la lecture mais bloquer l'écriture, restreindre le réseau, isoler l'environnement ou arrêter l'agent.
• Agents gardiens : dans Project Perception, présenté en juillet, des « Guardian Agents » surveillent les autres agents à la vitesse machine, selon des règles fixées par des humains.

Microsoft veut aussi se servir, à mesure que les modèles deviennent plus transparents, de leur raisonnement intermédiaire comme indice : repérer un agent dont le plan dérive de sa tâche, par exemple après une injection de consignes cachée dans un document. Avec une limite posée noir sur blanc : le modèle ne peut pas être sa propre frontière de sécurité.

Notre lecture

Analyse. Le diagnostic vaut au-delà des produits de Microsoft, qui en profite évidemment pour vendre ses outils. Les incidents récents vont dans le même sens : Anthropic a dû couper Internet à tous ses tests après des actions non voulues de ses modèles, et Copilot CLI a été poussé à envoyer un fichier de secrets. Pour une entreprise, les règles de base n'ont rien d'exotique : une identité par agent, le moins de droits possible, et une validation humaine avant toute action difficile à annuler.