Microsoft traite les agents IA comme des « initiés » à surveiller

Dans deux billets datés du 19 octobre, Microsoft pose un principe inhabituel pour un éditeur qui vend aussi des agents : les modèles de pointe ne sont pas dignes de confiance, et un agent IA doit être traité comme un initié à surveiller en continu. Le cadre technique accompagne l'affirmation. À lire avec la distance que l'éditeur lui-même invite à garder — Microsoft est ici juge et partie.

Sources primaires : le billet de Nadim Abdo (CVP Identity and Network Access), Agents are your newest insiders, et celui de Hayete Gallot (VP sécurité), Securing the agentic insider. La couverture FR est signée Next.

Le raisonnement

L'argument n'est pas que les modèles sont malveillants, mais qu'ils sont imprévisibles : la sortie varie, le contexte se déplace, les plans changent en cours de tâche — et un agent utile a besoin d'accéder aux données, applications, outils et autres agents, ce qui crée un risque d'initié. Satya Nadella est cité : « We should not ask a model to be its own security authority » — il ne faut pas demander à un modèle d'être sa propre autorité de sécurité. Le principe directeur : entourer une intelligence non déterministe de contrôles déterministes, de preuves indépendantes et de frontières de confinement, placés hors du modèle pour qu'il ne puisse ni les contourner ni les altérer.

Ce qui est annoncé

• Microsoft Entra Agent ID : chaque agent reçoit une identité distincte de l'utilisateur qui le parraine, y compris pour les agents locaux et inconnus découverts par des capteurs.
• Microsoft Execution Container (MXC) : un bac à sable qui exécute le modèle et son harnais sous accès contrôlé par politique — une frontière que l'agent ne peut atteindre.
• Dynamic Permissions : l'agent démarre sans aucun droit et ne reçoit que des accès limités à la tâche et au temps, plafonnés par la politique de l'organisation ; les actions à fort impact peuvent exiger une approbation humaine vérifiée.
• Dynamic Agent Risk et Dynamic Conditional Access : un score de risque mis à jour en continu (identité, données, endpoint, cloud, réseau, exécution) déclenche des réponses graduées, jusqu'à bloquer les écritures ou stopper l'agent.
• Guardian Agents et extension de Project Perception : des agents qui surveillent et modèrent d'autres agents à vitesse machine, l'humain gardant la main sur les objectifs et les décisions lourdes.
• Découverte étendue à 35 types d'agents locaux supplémentaires, soit 60 au total — dont Claude Code, OpenAI Codex et GitHub Copilot.

Les limites

C'est là que la prudence propre au sujet s'impose :

• Aucune date de disponibilité ni tarif. Les billets emploient « introducing », « extending », « expanding » sans jamais étiqueter une fonctionnalité en disponibilité générale. Rendez-vous est donné à Ignite (17-20 novembre).
• Juge et partie. Microsoft décrit le risque et vend la parade ; Next note que le niveau Microsoft 365 E7 pourrait être requis.
• Un gardien non déterministe. Une surveillance bâtie sur des modèles reste partiellement non déterministe, et les signaux tirés des chaînes de raisonnement ne fonctionnent que si les fournisseurs de modèles les exposent.

Pourquoi c'est à suivre

Au-delà du marketing, le cadrage est juste : un agent qui agit avec les droits d'un humain, à vitesse machine, est un problème d'identité et d'autorisation, pas de « sécurité de l'IA » au sens vague. Les briques proposées — identité par agent, permissions éphémères, confinement hors modèle, journalisation indépendante — sont celles qu'une équipe sécurité peut spécifier aujourd'hui, quel que soit le fournisseur. À retenir pour quiconque déploie des agents en production : ne faites pas du modèle l'arbitre de ses propres accès, et exigez des preuves produites en dehors de lui.