À 09 h 00, un administrateur désactive l’identité de service d’un agent IA. À 09 h 03, une tâche déjà placée dans une file transmet encore un document à un connecteur tiers. Ce scénario est fictif. Il illustre un défaut d’architecture plausible : révoquer une identité n’équivaut pas à annuler toutes les capacités, tâches et conséquences qu’elle a déjà déléguées. Tribune par Joël Parfait Kuate.
Une révocation traverse plusieurs couches
Un agent d’entreprise peut agir au moyen d’un jeton OAuth, d’une clé d’API, d’un worker asynchrone, d’un ordonnanceur et de sous-agents. La désactivation du compte initial ne retire pas nécessairement un jeton encore valide ; l’arrêt de l’interface de dialogue n’éteint pas les jobs déjà acceptés par une queue. Les recommandations OWASP sur l’« excessive agency » distinguent fonctionnalités, permissions et autonomie excessives. Le Top 10 agentique 2026 distingue aussi les abus d’identité et de privilèges (ASI03). Ces catégories signalent des risques, pas un pourcentage d’entreprises touchées.
Définir l’arrêt attendu avant l’incident
Une politique exploitable sépare quatre verbes. Suspendre empêche de démarrer de nouvelles opérations. Révoquer retire les droits et secrets utilisables à l’avenir. Annuler interrompt les opérations en cours lorsque leur nature le permet. Compenser traite les effets déjà irréversibles, par exemple un message transmis ou une commande créée. Aucun bouton « désactiver » ne réalise nécessairement ces quatre opérations à lui seul.
Dans un modèle de contrôle robuste, chaque exécution possède un job_id, un principal_id, un delegated_by, un scope, une échéance et un epoch de révocation. Avant un effet externe sensible, le worker doit vérifier que l’autorisation est toujours valable et que l’epoch n’a pas changé. Les secrets à vie courte réduisent la fenêtre d’exposition, sans l’annuler. Les sous-agents reçoivent des capacités minimales, expirables et révocables, jamais une copie implicite de tous les privilèges de leur parent.
Un exemple chiffré reproductible
Imaginons une campagne de tests synthétiques avec 1 000 tâches : 700 non démarrées, 200 en cours et 100 déjà achevées au moment de la révocation. Supposons que 15 des 200 tâches en cours franchissent une étape externe après le signal d’arrêt. Le taux de continuation parmi les tâches en cours vaut alors 15/200 = 7,5 %, et non « 7,5 % des agents sont vulnérables ». Les tâches achevées sont hors du dénominateur. Ce résultat serait celui d’un banc d’essai fictif, pas d’une mesure terrain. La métrique doit indiquer la fenêtre d’observation, le type d’action et si les opérations ont réellement produit un effet.
L’essai décisif consiste à révoquer les droits au milieu d’une chaîne : planification → récupération de document → résumé → envoi. On injecte la révocation juste avant l’envoi, on simule un redémarrage du worker et on examine les tentatives de reprise. Critères possibles : zéro nouvelle action sensible autorisée après propagation du signal, 100 % des sous-jobs corrélés, délai maximal de propagation fixé et mesuré. Ce sont des exigences de conception, non des garanties universelles. Une architecture distribuée impose en outre de documenter ses délais et ses conditions de défaillance.
Traçabilité et effets irréversibles
Le journal doit permettre de relier demande utilisateur, identité de l’agent, délégations, décisions de politique, appels d’outils, identifiants de messages et réponses du système cible. Il doit également éviter de recopier inutilement des données sensibles. Une action externe déjà confirmée ne s’efface pas par rotation des clés : un processus de compensation métier, avec responsable identifié, devient nécessaire.
La logique Zero Trust du NIST SP 800-207 fournit une orientation utile : limiter l’autorisation à la ressource et à la session pertinentes, et réévaluer le contexte. Il ne faut toutefois pas présenter cette publication comme une certification d’un système agentique.
Une revue d’agent devrait désormais poser une question binaire et testable : après révocation, quelles actions restent possibles, pendant combien de temps, avec quelles preuves ? Tant que la réponse dépend uniquement du comportement supposé du modèle, la révocation est une intention administrative, pas un contrôle démontré.
Références techniques (sources consultables) :
- OWASP, Top 10 for Agentic Applications (2026) — https://genai.owasp.org/2025/12/09/owasp-genai-security-project-releases-top-10-risks-and-mitigations-for-agentic-ai-security/
- OWASP, LLM06 Excessive Agency (2025) — https://genai.owasp.org/llmrisk/llm062025-excessive-agency/
- NIST, AI 600-1 Generative AI Profile (2024) — https://doi.org/10.6028/NIST.AI.600-1
- NIST, SP 800-207 Zero Trust Architecture (2020) — https://doi.org/10.6028/NIST.SP.800-207
— Joël Parfait Kuate est architecte des systèmes d’information, ingénieur spécialisé en IA générative et Big Data, fondateur de Digital House Company. Il accompagne les organisations sur les architectures RAG, les agents IA, l’automatisation et la gouvernance des données. Auteur de « L’Afrique et l’Intelligence Artificielle », il travaille sur la mémoire persistante et l’évaluation des systèmes multi-agents.