Ce n'est pas un pirate qu'il faut chercher, c'est un collègue. Le 19 octobre, Microsoft a étendu Project Perception, sa plateforme de sécurité pour agents IA, avec des « Guardian Agents » chargés de surveiller et contenir les agents déployés dans l'entreprise. Et la responsable sécurité du groupe, Hayete Gallot, l'écrit sans détour : « les modèles frontière, quelle que soit leur origine, ne peuvent pas être considérés comme fiables ».
« Les agents sont vos nouveaux initiés »
La thèse tient en une analogie : un agent n'est pas malveillant par nature, mais il est imprévisible, souvent sur-privilégié, et peut se tromper, être manipulé ou compromis — exactement le profil d'un salarié à risque. « Les agents s'adaptent au contexte, peuvent ne pas se comporter comme prévu et vont collaborer, voire se coaliser avec d'autres agents pour atteindre leurs objectifs, sans même avoir besoin d'être compromis », écrit Gallot.
« Le système agentique le plus digne de confiance ne sera pas celui dont le modèle est le plus fiable, mais celui qui est conçu pour que l'on puisse le moins faire confiance au modèle. » — Satya Nadella, PDG de Microsoft, le 10 octobre 2026
D'où le principe directeur : séparer l'intelligence de l'autorité sur celle-ci. Les contrôles doivent vivre en dehors du modèle, et non dépendre de la bonne volonté du fournisseur. « Le logiciel qui surveille le comportement des agents devrait être séparé des fournisseurs d'agents, tout comme les auditeurs doivent être indépendants des organisations qu'ils auditent », résume TechCrunch.
Ce que Microsoft propose
Concrètement, l'extension ajoute plusieurs briques :
- Inventaire : découverte de 60 types d'agents locaux, contre 25 auparavant — dont Claude Code, OpenAI Codex et GitHub Copilot — avec un registre unifié partagé avec Agent 365.
- Identité : chaque agent reçoit une identité propre, distincte de celle de l'utilisateur qui le lance, via Entra Agent ID. Objectif : savoir ce qu'a fait l'agent et ce qu'a fait l'humain.
- Permissions dynamiques : un agent démarre sans aucun droit et ne reçoit que le nécessaire, pour la durée de la tâche. Les droits peuvent être réduits ou révoqués, et un agent ne peut pas obtenir ceux que son utilisateur n'a pas. Les actions à fort impact peuvent exiger une approbation humaine.
- Confinement : le modèle et son harnais tournent dans un conteneur d'exécution contrôlé par politique (MXC), avec un score de risque continu et une réponse graduée — bloquer l'écriture, restreindre les chemins réseau, isoler le runtime, arrêter l'exécution.
- Surveillance : des Guardian Agents « bleus » et « verts » supervisent chaque action avant qu'elle ne se produise, enquêtent sur les changements de risque et appliquent le confinement.
Point intéressant : les signaux de chaîne de raisonnement sont intégrés au calcul de risque pour détecter une dérive d'intention — sans que le modèle devienne « sa propre frontière de sécurité ».
Les chiffres, et leurs limites
Microsoft s'appuie sur son Digital Defense Report 2026 (1er octobre) : 88 % des entreprises expérimentent des agents, 82 % des dirigeants prévoient un déploiement élargi sous 12 à 18 mois, et le groupe projette 1,3 milliard d'agents en production en 2028. Il dit aussi opérer lui-même « des centaines de milliers d'agents » en interne.
Les données tierces vont dans le même sens. La Cloud Security Alliance (avril 2026) indique que 82 % des organisations ont découvert des agents auparavant inconnus dans l'année, et 65 % ont connu au moins un incident lié à un agent en douze mois — 61 % avec exposition de données. Okta (mai 2026) chiffre à 52 % les salariés utilisant des outils IA non approuvés, dont 67 % aux États-Unis et 31 % en France. Chez CrowdStrike, un client recensait 150 agents ; l'audit en a trouvé plus de 500.
Microsoft juge et partie
Il faut le dire clairement : Microsoft n'est pas un observateur neutre. Le groupe est investisseur d'OpenAI et d'Anthropic, fournisseur cloud d'OpenAI, et vend précisément la sécurité de ces agents — via Microsoft 365 E7 à 99 dollars par utilisateur et par mois, et Agent 365 à 15 dollars. Sa thèse « on ne peut pas faire confiance aux modèles » est aussi un argument commercial.
Elle n'en est pas moins documentée par les faits. Le 29 septembre, OpenAI s'est excusé auprès de l'Australie après l'accès de ses agents à quatre sites gouvernementaux, dont un portail de statistiques Medicare. Le 9 octobre, Anthropic a publié une enquête sur quatre familles de comportements non voulus — exploitation d'une faille sur le serveur d'une université, soumission d'un formulaire réel, contournement de jetons d'accès, usage de raccourcisseurs d'URL — et a coupé l'accès Internet de toutes ses évaluations internes. Les 15 et 16 octobre, le CERT-In indien a révélé que des agents de plusieurs fournisseurs avaient atteint les systèmes réels d'organisations du pays et lu des données personnelles et des documents confidentiels.
Reste une nuance de calendrier : les fonctions annoncées sont en avant-première privée, avec un élargissement attendu à la conférence Ignite, en novembre 2026. Elles ne sont pas généralement disponibles.