Agent IA (AI Agent)

Un agent IA (ou AI agent) est un système d'intelligence artificielle autonome capable de percevoir son environnement, de planifier une suite d'actions et de les exécuter pour atteindre un objectif fixé par un utilisateur. Contrairement à un simple assistant conversationnel qui se contente de produire du texte, l'agent dispose d'une capacité d'action : il interroge des API, lit et écrit des fichiers, exécute des commandes, navigue sur le web ou pilote d'autres logiciels. Cette autonomie d'exécution en fait un objet à part entière du périmètre de sécurité d'une organisation.

Définition et périmètre

Un agent IA se caractérise par quatre propriétés cumulatives. Il est orienté objectif : on lui confie une finalité (« corriger cette vulnérabilité », « trier les alertes du SIEM ») plutôt qu'une instruction unitaire. Il est autonome : il décide lui-même de la séquence d'étapes nécessaires. Il est outillé : il accède à des fonctions externes qui modifient l'état du système. Enfin il est itératif : il observe le résultat de chaque action et ajuste son plan. Un script d'automatisation classique suit un enchaînement déterministe écrit à l'avance ; un agent, lui, construit ce plan à l'exécution.

Fonctionnement technique

Le cœur d'un agent repose sur une boucle perception – raisonnement – action, souvent implémentée selon le patron ReAct (Reasoning and Acting). Un modèle de langage (LLM) joue le rôle de moteur de décision, et l'orchestrateur exécute concrètement les appels.

• Prompt système : définit le rôle, les contraintes et les règles de sécurité de l'agent.
• Catalogue d'outils : chaque outil est déclaré au modèle avec un nom, une description et un schéma JSON de paramètres. Le modèle émet un appel structuré (tool_use / function calling), l'orchestrateur l'exécute et renvoie le résultat.
• Mémoire : mémoire de travail (l'historique de la conversation), mémoire long terme (base vectorielle interrogée par RAG), et état persisté entre sessions.
• Boucle de contrôle : limite d'itérations, budget de jetons, condition d'arrêt, points de validation humaine (human-in-the-loop).
• Protocoles d'intégration : des standards comme le Model Context Protocol (MCP) normalisent l'exposition d'outils et de sources de données aux agents.

Les architectures avancées combinent plusieurs agents spécialisés — un orchestrateur délègue des sous-tâches à des agents workers, puis agrège leurs retours. Ce modèle multi-agents augmente la couverture fonctionnelle mais démultiplie aussi la surface d'attaque.

Exemples concrets en cybersécurité

• Triage d'alertes SOC : un agent enrichit une alerte SIEM avec la threat intelligence, corrèle les logs EDR, qualifie le faux positif et rédige le ticket.
• Analyse de vulnérabilités : lecture d'un rapport de scan, corrélation CVE/CVSS/EPSS, vérification de l'exposition réelle de l'actif, priorisation du patching.
• Réponse à incident : collecte d'artefacts forensiques, reconstruction de la chronologie, proposition de mesures de confinement.
• Pentest assisté : reconnaissance, énumération de services, tests d'injection sur un périmètre explicitement autorisé.
• Conformité : rapprochement automatique de preuves documentaires avec les exigences ISO 27001 ou NIS 2.

Risques spécifiques et surface d'attaque

Un agent transforme une sortie de modèle en action réelle : toute manipulation du contexte devient donc un vecteur d'exécution.

• Injection de prompt indirecte : une instruction malveillante dissimulée dans une page web, un e-mail ou un ticket lu par l'agent détourne son comportement. C'est le risque n°1 (LLM01 de l'OWASP Top 10 for LLM Applications).
• Confused deputy : l'agent, doté de privilèges élevés, exécute pour le compte d'un attaquant une action que celui-ci ne pourrait pas réaliser directement.
• Exfiltration de données : combinaison d'un accès en lecture à des données sensibles et d'un outil de sortie réseau (requête HTTP, envoi de mail).
• Excès d'autonomie : suppressions, déploiements ou modifications de configuration non validés.
• Chaîne d'approvisionnement : serveur d'outils tiers compromis, description d'outil piégée, dépendance non vérifiée.

Bonnes pratiques de sécurisation

• Appliquer le moindre privilège à chaque outil : comptes de service dédiés, portée réduite, jamais les droits d'un administrateur humain.
• Séparer strictement instructions et données : le contenu récupéré (web, mail, fichier) est une donnée non fiable, jamais une consigne.
• Imposer une validation humaine sur toute action irréversible ou à effet externe (suppression, paiement, envoi, déploiement).
• Journaliser intégralement les décisions, appels d'outils et paramètres, et pousser ces traces vers le SIEM pour audit et détection.
• Isoler l'exécution : conteneur éphémère, système de fichiers restreint, sortie réseau filtrée par liste blanche.
• Valider les entrées et les sorties : contrôle de schéma, filtrage des secrets, plafonnement du nombre d'itérations et du budget.
• Mener un red teaming régulier ciblant l'injection de prompt et l'abus d'outils, et intégrer les agents à l'analyse de risque NIS 2 / AI Act.

Concepts liés

L'agent IA s'articule avec le LLM qui lui sert de moteur, le RAG pour l'accès aux connaissances métier, le Zero Trust dont il doit devenir une identité de premier rang (identité machine, authentification forte, autorisation contextuelle), le SOAR qu'il tend à enrichir d'une couche décisionnelle, et la gouvernance de l'IA (AI Act, ISO/IEC 42001) qui encadre son déploiement. Un agent doit être traité comme un utilisateur privilégié non humain : inventorié, authentifié, autorisé, surveillé et révocable.