Agentic AI security

Les utilisateurs humains se connectent par le biais d’interfaces et sont soumis à des contrôles d’accès classiques, par exemple par l’authentification unique ou multifacteur. En ce qui concerne les agents d’IA, ils suivent des programmes qui leur permettent de fonctionner continuellement en arrière-plan. En conséquence, des procédures d’authentification sont nécessaires lorsque des actions sont exécutées et, de plus, les contrôles d’accès doivent être très précis.

Les agents d’IA ont souvent besoin d’accéder à des systèmes, applications ou données sensibles. S'ils ne sont pas correctement sécurisés, un accès non autorisé peut représenter un risque important, exposant des justificatifs, divulguant des informations privées ou même prenant des décisions non autorisées.

Comme les utilisateurs humains, les agents d’IA peuvent accéder à des données soumises à des restrictions. Il est indispensable que leurs actions puissent être contrôlées, et leurs accès doivent être conformes aux règles, comme celles du cadre SOC 2, de la loi HIPAA ou du RGPD.

Sans sécurité IA agentique, les agents peuvent accéder à plus d'informations que nécessaire (par exemple en accédant à une base de données tout entière au lieu d'un seul champ). Vous ne saurez pas ce que les agents feront, ni pourquoi. Si l’un d’entre eux se comporte mal, vous ne parviendrez peut-être pas facilement à le désactiver. Ceci pourrait entraîner des fuites de données, des vulnérabilités et des violations de conformité.

Avec 1Password Enterprise Password Manager, les événements d'authentification et d'accès à l'agent AI sont consignés dans des rapports d'utilisation. Ceci donne aux équipes informatiques et de sécurité une visibilité sur le comportement des agents - ce à quoi ils ont accédé, quand et en utilisant quels coffres-forts.

Il est courant d’accorder aux agents d’IA un accès étendu « juste pour faire fonctionner les choses ». Les agents disposant de trop d'autorisations peuvent :

• Consulter des données sensibles en rapport à des clients.
• Modifier des fichiers auxquels ils ne devraient pas toucher.
• Se déplacer latéralement d’un système à un autre.

Si un dispositif de sécurité ou une configuration n’est pas optimale, ces actions sont susceptibles d’occasionner des préjudices et des risques bien réels, même en l’absence d’intention malveillante.

Avec 1Password, il est toujours facile de révoquer les autorisations accès d’un agent d’IA en temps réel. Les identifiants et comptes de service délimités peuvent être désactivés sans perturber les autres systèmes, empêchant toute action supplémentaire et protégeant les données sensibles.

1Password offre un moyen sûr et intelligent de gérer l'accès pour les agents d'IA, sans secrets codés en dur et sans raccourcis risqués.

Avec 1Password, vous pouvez :

• Sauvegarder et fournir des identifiants en toute sécurité aux moments des exécutions.
• Empêcher les agents d’IA de contourner l’authentification multifacteur.
• Découvrir exactement ce à quoi les agents accèdent et à quels moments.
• Révoquer facilement les autorisations d’accès quand quelque chose ne va pas.

Le codage en dur des secrets et le partage d’identifiants sont des pratiques courantes, mais elles sont dangereuses. Elles rendent les rotations difficiles, elles permettent souvent de contourner l’authentification multifacteur et elles ne laissent aucune trace pour les contrôles. Si elles ne sont pas sécurisées, elles peuvent générer un point faible unique que des attaquants peuvent exploiter pour accéder à une multiplicité de systèmes.

1Password propose des SDK qui simplifient l’intégration de la gestion sécurisée des identifiants dans des agents d’IA personnalisés, prenant en charge des langages tels que Go, Python et JavaScript.

1Password prend en charge les mots de passe à usage unique basés sur le temps (les TOTP) pour les agents d’IA. Cela permet un accès conforme à la MFA sans intervention humaine, permettant aux agents de s'authentifier en toute sécurité tout en maintenant l'automatisation.

Les anciens outils IAM, IGA et MDM ont été conçus pour les personnes et les appareils, et non pour les systèmes autonomes. Ces outils sont adaptés à des connexions interactives, à des accès selon des schémas statiques et à une supervision humaine. Les agents IA ne correspondent pas à ce cadre, donc les entreprises ont besoin de solutions de gestion des identités et des secrets conçues pour un comportement autonome.

Le décalage entre les accès et la confiance est le risque qui apparaît lorsque des éléments non fédérés (comme des agents d’IA), des appareils non gérés ou des applications fantômes accèdent aux systèmes d’une entreprise en l’absence de contrôles appropriés. Avec l’IA agentique, ce problème est amplifié. La raison en est que les systèmes voient l’introduction d’acteurs non humains qui fonctionnent en toute autonomie tout en étant souvent invisibles.