Les "identités non humaines" (non-human identities) des agents d'IA : une nouvelle vulnérabilité à laquelle les organisations doivent faire face
Les agents d'IA génèrent un nombre colossal d'« identités non humaines » (non-human identities), ce à quoi les systèmes de sécurité traditionnels conçus pour les humains ne sont pas adaptés, créant ainsi une vulnérabilité qui facilite les attaques des hackers.
La société de cybersécurité Netwrix a publié une analyse (sous forme d'article sponsorisé sur BleepingComputer) soulignant que la croissance des agents d'IA, ou programmes d'IA fonctionnant de manière autonome, crée un défi majeur pour la sécurité des systèmes d'entreprise. En effet, ces agents sont comme des « employés non humains » qui doivent avoir une identité et des droits d'accès aux données. Cependant, la plupart des systèmes de sécurité sont conçus uniquement pour les humains, ce qui crée un « Identity Security Gap » (lacune en matière de sécurité des identités) difficile à détecter et à gérer.
Selon le Non-Human Identity Management Group (NHIMG), un groupe industriel, dans de nombreuses organisations, le ratio d'« identités machine » (machine identities) dépasse déjà celui des utilisateurs humains de 50 pour 1. Parallèlement, le propre rapport de Netwrix, le « 2026 Data and Identity Security Report », a révélé que les organisations où l'utilisation de l'IA a augmenté de manière significative le nombre d'identités, affichent un taux de violation (breach rate) de 43%, soulignant ainsi l'augmentation du risque.
Ce type de vulnérabilité s'est déjà manifesté dans le cas du groupe de hackers UNC6395, qui a utilisé des OAuth tokens (clés numériques pour l'authentification entre applications) de l'application Salesloft Drift pour pénétrer les systèmes Salesforce de plusieurs entreprises. Cela démontre que les connexions entre les applications et les agents d'IA peuvent devenir une porte dérobée pour des acteurs malveillants.
Cette tendance est également confirmée par d'autres sources. La société d'analyse Gartner prévoit que d'ici 2029, plus de 50% des attaques réussies contre les agents d'IA exploiteront les faiblesses des contrôles d'accès (access control), ce qui indique que les structures traditionnelles de gestion des identités et des accès (Identity and Access Management - IAM) ne sont plus suffisantes pour l'ère de l'IA.
Alors que les organisations thaïlandaises commencent à intégrer de plus en plus d'agents d'IA dans leurs activités, cette vulnérabilité liée aux « identités non humaines » devient un risque imminent, susceptible d'entraîner la fuite de données d'entreprise sensibles et d'informations personnelles des clients.