IBM Agent Identity : sécuriser l'identité des agents IA autonomes en entreprise
IBM a annoncé la disponibilité générale d'IBM Agent Identity le 27 octobre 2026, lors de la conférence IBM TechXchange 2026 à Atlanta, afin d'offrir aux entreprises un contrôle d'accès et une gestion de l'identité structurés pour les logiciels autonomes. Le système recense les agents dans un inventaire centralisé, associe la responsabilité humaine initiale aux actions exécutées en aval et délivre des identifiants temporaires limités à chaque tâche. Pour les organisations gérant des flux de travail automatisés sur plusieurs plateformes cloud, cette solution répond au défi des accès non humains non supervisés en remplaçant les identifiants d'administration permanents par des autorisations automatiques fondées sur le principe du moindre privilège et des journaux d'audit complets.
Comment IBM Agent Identity recense les logiciels autonomes dans un inventaire centralisé
La plateforme établit un registre de référence pour chaque agent actif en enregistrant son propriétaire, ses métadonnées, sa classification de risque, ses connexions d'outils autorisées et son statut de cycle de vie. Pour résoudre le problème des accès permanents et de la responsabilité floue, le système préserve la délégation entre fournisseurs d'identité et échanges de jetons, de sorte que chaque action puisse être remontée jusqu'à un responsable humain, un état d'approbation ou un système d'origine. Il émet des jetons OAuth temporaires limités à des tâches spécifiques avec une autorisation prenant en compte le consentement pour les opérations sensibles. Le contrôle d'accès contextuel, l'application des règles, l'évaluation des risques en temps réel et la gestion des identifiants restent actifs pendant l'exécution de l'agent, générant des journaux d'audit structurés pour la conformité.
Comment HashiCorp Vault 2.2 sécurise les identifiants des charges de travail non humaines
La disponibilité générale de HashiCorp Vault 2.2 introduit des comptes sécurisés dédiés aux agents logiciels, renouvelant automatiquement leurs identifiants et intégrant le chiffrement post-quantique. La mise à jour ajoute la prise en charge des vTPM pour les machines virtuelles Linux, permettant aux charges de travail de s'authentifier par preuve cryptographique liée à un module TPM virtuel enregistré, au lieu d'utiliser des secrets distribués. Utilisé conjointement avec HashiCorp Vault Agent Identity, IBM Verify fournit une gestion centralisée de l'identité, de la gouvernance et de l'échange de jetons, tandis que Vault assure la fourniture d'accès à la demande pour les systèmes cibles incapables de traiter directement les jetons délégués. Vault partage son contexte avec le registre central afin d'appliquer le principe du moindre privilège et de permettre une révocation en temps réel en cas de tentative d'action non autorisée.
Découverte et confinement des agents IA IBM watsonx Orchestrate
Grâce à une passerelle IA (AI Gateway) en aperçu technique, les agents IA, modèles et serveurs Model Context Protocol d'IBM watsonx Orchestrate peuvent être découverts à travers des environnements tiers tels qu'Amazon Bedrock, Microsoft Foundry et Google Gemini. Une fonctionnalité de confinement exécute les agents externes dans des environnements isolés et fournit aux administrateurs un arrêt d'urgence pour interrompre immédiatement tout agent compromis. Le catalogue s'aligne sur les normes OWASP, CoSAI et IBM AI Risk Atlas, affichant des indicateurs de performance et des détails de conformité à la réglementation européenne sur l'IA (EU AI Act) pour certains agents. Des outils d'évaluation intégrés, désormais accessibles à tous, permettent aux équipes de tester la précision et la qualité avant le déploiement tout en suivant les coûts des modèles et des jetons en production.
Pourquoi la gouvernance de l'identité des agents IA est cruciale pour les entreprises
Selon des prévisions de Gartner du 28 avril 2026, une entreprise moyenne du Fortune 500 déploiera plus de 150 000 agents d'ici 2028, contre moins de 15 en 2025. Cependant, seules 13 % des organisations déclarent disposer actuellement d'une gouvernance efficace de l'identité des agents IA. À mesure que les agents logiciels obtiennent l'autorité directe d'exécuter des transactions et d'accéder aux bases de données internes, l'absence de coordination des identifiants engendre de graves risques opérationnels. L'intégration avec le logiciel d'exécution sécurisé NVIDIA OpenShell associe des environnements d'exécution protégés à des identités vérifiées, offrant aux équipes de sécurité informatique un contrôle en temps réel sur les charges de travail autonomes.
Ce que cela change pour les équipes de sécurité informatique
Pour les équipes de sécurité et d'infrastructure, ce lancement élimine les secrets codés en dur et les autorisations d'agents non surveillées sur l'ensemble des infrastructures cloud hybrides. En remplaçant les clés d'administration statiques par des jetons temporaires attribués par tâche, les entreprises réduisent les risques de vol d'identifiants et de déplacement latéral lors de l'exécution de tâches automatisées. Les journaux d'audit structurés associent automatiquement les actions des machines à des superviseurs humains, réduisant le temps nécessaire pour mener à bien les audits de conformité et enquêter sur les incidents de sécurité en cours d'exécution.
Questions et réponses
Qu'est-ce qu'IBM Agent Identity et comment fonctionne ce système ?
IBM Agent Identity est une solution de sécurité pour entreprises qui crée un inventaire centralisé pour les agents IA, en enregistrant leurs responsables, niveaux de risque, statut du cycle de vie et connexions d'outils autorisées. Le système délègue l'autorité humaine au moyen de jetons temporaires spécifiques aux tâches et d'autorisations prenant en compte le consentement, assurant une évaluation continuous du risque et des journaux d'audit pendant le fonctionnement des agents.
Comment HashiCorp Vault gère-t-il les identifiants des agents IA ?
HashiCorp Vault gère les identifiants des agents en fournissant un accès sur mesure à la demande pour les systèmes cibles qui ne peuvent pas traiter les jetons délégués. Dans Vault 2.2, les agents bénéficient de comptes sécurisés avec renouvellement automatique des identifiants, chiffrement post-quantique et authentification par TPM virtuel, ce qui permet la révocation immédiate des accès en cas d'action non autorisée.
Comment les entreprises peuvent-elles gouverner les agents IA autonomes sur différentes plateformes ?
Les entreprises gouvernent les agents autonomes en déployant un niveau de contrôle unique, tel que la passerelle watsonx Orchestrate AI Gateway, afin de découvrir les agents tiers sur des environnements comme Amazon Bedrock ou Google Gemini. Elles appliquent des règles de sécurité via un isolement logiciel, des mécanismes d'arrêt d'urgence et l'intégration de fournisseurs d'identité comme IBM Verify et Microsoft Entra.
Le regard de MOZGII
Comment nous le construirions
Nous construirions une chaîne de gestion des identités d'agents autour d'un inventaire central, de jetons d'accès à durée limitée et d'un isolement des conteneurs. Le registre central répertorierait chaque agent actif, son responsable humain, ses connexions autorisées aux outils et son niveau de risque. Lorsqu'un agent demanderait à accéder à une base de données cible, un fournisseur d'identités émettrait un jeton spécifique à la tâche, lié à l'utilisateur d'origine. Pour les outils anciens incapables de traiter des jetons délégués, nous utiliserions un tiers de confiance pour fournir des identifiants temporaires. Les responsables de la sécurité définiraient des règles d'habilitation et valideraient manuellement les actions sensibles.
Cette architecture échouerait si un agent s'exécutait au sein d'une plate-forme nuagique sans passer par la passerelle, contournant ainsi la journalisation d'audit. Nous suivrions la part des actions d'agents en aval liées à un superviseur humain actif comme indicateur principal. Ensuite, nous appliquerions une politique de sécurité en temps d'exécution qui révoquerait immédiatement les identifiants si un agent s'écartait de son parcours prévu.
Sources
D’où viennent les faits de cet article.