ServiceNow lance AI Passport pour gouverner les agents IA

Ce qui s’est passé

Le 15 octobre 2026, ServiceNow a annoncé AI Passport dans le cadre de son programme Super Intelligence Control Tower, une suite de gouvernance pour les agents IA d’entreprise. AI Passport introduit le concept de credential cryptographique pour les agents IA : plutôt qu’une politique de sécurité statique définie dans un fichier de configuration, chaque agent déployé reçoit dynamiquement une attestation signée qui lui est propre et qui détermine ce qu’il a le droit de faire au moment précis où il agit.

Le fonctionnement d’AI Passport repose sur une architecture à trois niveaux. Au niveau émission, le Super Intelligence Control Tower de ServiceNow génère des credentials signées en s’appuyant sur les données de gouvernance en temps réel : le CMDB (Configuration Management Database) de l’entreprise, ses politiques GRC (Governance, Risk et Compliance) et l’historique des approbations de workflows. Au niveau transport, chaque agent embarque sa credential dans ses requêtes. Au niveau vérification, les points d’exécution — APIs, bases de données, systèmes tiers — valident cryptographiquement la credential avant d’autoriser toute action.

Concrètement, une credential AI Passport contient quatre dimensions : l’identité de l’agent (un identifiant unique vérifiable), le périmètre d’action autorisé (liste des APIs et systèmes accessibles), les contraintes comportementales (types d’opérations permises, limites de fréquence), et la chaîne de responsabilité (identification du responsable humain accountable en cas d’incident). Ce dernier point est particulièrement important dans le contexte de la réglementation sur la responsabilité des systèmes d’IA : AI Passport crée une piste d’audit ininterrompue liant chaque action d’un agent à un propriétaire humain nommément désigné.

NVIDIA est le partenaire de lancement et a contribué deux composants de son Open Agent Safety Platform : OpenShell, un environnement d’exécution sécurisé pour les agents, et Sentry, un framework de sécurité applicative pour les pipelines agentiques. La combinaison d’AI Passport (identité et périmètre) avec OpenShell et Sentry (confinement et monitoring runtime) forme ce que ServiceNow appelle une couche de gouvernance opérationnelle distincte des politiques de gouvernance stratégique traditionnelles.

ServiceNow a également annoncé que la spécification technique d’AI Passport serait publiée en open standard, permettant à tout fournisseur de gouvernance IA, provider d’identité ou point d’application de l’émettre et de la vérifier. Cette décision d’interopérabilité est stratégique : en se positionnant comme auteur du standard plutôt que propriétaire d’un silo, ServiceNow maximise les chances d’adoption et se positionne comme infrastructure plutôt que comme simple feature concurrentielle.

Le lancement arrive dans une période de maturité croissante du marché des agents IA d’entreprise. Microsoft Copilot Agent, Salesforce Agentforce, Google Agentspace et ServiceNow Now Assist coexistent dans les grandes organisations, souvent sans visibilité centralisée sur ce que chaque agent peut faire et sur qui répond de ses actions. AI Passport adresse directement ce problème d’inventaire et de gouvernance des agents, que les RSSI considèrent comme l’un des nouveaux risques prioritaires depuis la généralisation des LLMs en production en 2025.

Plusieurs analystes du secteur ont souligné la pertinence du timing : l’EU AI Act a imposé des obligations de traçabilité et de supervision humaine pour les systèmes d’IA à risque élevé depuis le 2 août 2026, et les régulateurs américains ont publié des lignes directrices similaires sur la gouvernance des agents IA autonomes. ServiceNow présente explicitement AI Passport comme un outil de conformité réglementaire, ce qui lui confère un ancrage budgétaire dans les DSI et RSSI bien au-delà du simple argument de sécurité technique.

Des questions subsistent quant à la robustesse cryptographique du système dans des environnements très distribués et sur la résistance d’AI Passport à des attaques de type credential stuffing ou credential forgery visant les agents eux-mêmes. ServiceNow n’a pas encore publié de documentation technique exhaustive sur le schéma de signature et les mécanismes de révocation en temps réel — des éléments que la communauté sécurité examinera attentivement avant la disponibilité générale prévue pour le T4 2026.

Pourquoi c’est important

AI Passport de ServiceNow marque une évolution conceptuelle majeure dans la gouvernance des systèmes IA : le passage d’une gouvernance par politique (règles statiques définies à l’avance) à une gouvernance par credential (attestation dynamique vérifiée à l’exécution). Ce changement de paradigme est analogue à ce que représente le modèle Zero Trust pour la gestion des accès humains — et il est tout aussi fondamental pour la sécurité des architectures agentiques modernes.

Pour les RSSI, l’enjeu est immédiat. Les agents IA autonomes constituent un nouveau type d’entité non-humaine dans les systèmes d’information : ni un utilisateur, ni un service applicatif traditionnel. Les outils IAM (Identity and Access Management) existants — PAM, SSO, MFA — ne couvrent pas naturellement ce type d’acteur. AI Passport propose un cadre d’extension de l’IAM au monde des agents, ce qui manquait cruellement aux architectures de sécurité actuelles pour répondre aux risques d’escalade de privilèges et d’actions non autorisées.

La décision de ServiceNow de publier la spécification en open standard pourrait avoir des répercussions bien au-delà de sa plateforme. Si AI Passport ou un de ses dérivés s’impose comme standard de facto — à l’instar de ce qu’OAuth 2.0 représente pour l’autorisation des applications web — cela modifierait les pratiques de l’ensemble de l’industrie des agents IA. Microsoft, Google et Salesforce devront soit adopter le standard, soit en proposer un concurrent. Ce jeu de standardisation se jouera probablement au sein d’organismes comme l’IETF ou le W3C dans les 18 à 24 mois à venir.

Sur le plan réglementaire, AI Passport arrive au bon moment pour les entreprises soumises à l’EU AI Act. L’obligation de supervision humaine effective des systèmes IA à risque élevé suppose des mécanismes traçables de décision et d’action des agents. Une credential qui lie chaque action à un responsable humain nommé fournit précisément la piste d’audit que les autorités de contrôle nationales pourraient exiger lors d’audits de conformité — et que le règlement NIS2 impose également pour les opérateurs d’importance essentielle.

Ce qu’il faut retenir

• ServiceNow AI Passport dote chaque agent IA d’une credential cryptographique définissant son identité, ses permissions et son responsable humain, vérifiée à chaque action au runtime.
• La spécification est publiée en open standard, avec NVIDIA comme partenaire de lancement via OpenShell et Sentry pour le confinement des agents.
• AI Passport répond directement aux obligations de traçabilité imposées par l’EU AI Act pour les systèmes IA à risque élevé, avec une disponibilité générale prévue au T4 2026.