D’après un rapport publié mercredi par une société mondiale de sécurité SaaS, se cachent dans de nombreux environnements commerciaux des agents d’IA qui posent de sérieux risques de sécurité mais qui, pour la plupart, restent hors de vue des équipes de sécurité.
Les agents d’IA lisent désormais les boîtes de réception, déposent des tickets, écrivent du code et déplacent des enregistrements entre les applications dans le cadre des subventions OAuth en vigueur, note le rapport de Reco, et la plupart sont arrivés comme l’IA non autorisée l’a toujours fait : un écran de consentement à la fois, sans examen de sécurité.
Le rapport de 16 pages, basé sur la télémétrie Reco sur l’utilisation des outils d’IA dans l’entreprise, une analyse de 500 serveurs MCP (Model Context Protocol) et des enregistrements publics de vulnérabilité, souligne qu’un attaquant qui pénètre dans un chatbot voit tout ce que les employés y ont collé, tandis que celui qui pénètre dans un agent hérite de tout ce qu’il était autorisé à atteindre, à la vitesse d’une machine, sous une identité non humaine qu’une organisation a créée mais qu’elle ne rencontre jamais personnellement.
Tout en reconnaissant que la plupart des applications SaaS sont autorisées dans les entreprises, le rapport révèle que les petites et moyennes entreprises disposent de 414 outils d’IA non autorisés pour 1 000 employés.
Shadow AI se propage en dehors de la surveillance informatique
« Les employés font appel à des agents non autorisés parce qu’ils résolvent des problèmes de travail immédiats, comme résumer une boîte de réception ou connecter un flux de travail à un CRM », a expliqué Ofer Klein, PDG de Reco.
« L’employé peut considérer cela comme un gain de productivité, et non comme l’introduction d’un risque de sécurité dans l’environnement de l’entreprise », a-t-il déclaré à TechNewsWorld.
Il a ajouté que les outils de « shadow AI » entrent souvent dans l’entreprise sans examen de sécurité, mais ont quand même accès aux données et systèmes sensibles de l’entreprise, souvent via une extension de navigateur ou un écran de consentement OAuth, en dehors du processus normal d’approvisionnement et d’examen.
« Dans les petites entreprises, le volume est particulièrement préoccupant car ces outils peuvent être en mesure d’atteindre les mêmes systèmes de paie, de clients et de code source que ceux d’une entreprise beaucoup plus grande, mais avec moins de personnes qui les surveillent », a-t-il déclaré.
Dave Hayes, vice-président des produits chez FusionAuth, un fabricant de logiciels de gestion de l’identité et des accès des clients basé à Broomfield, au Colorado, a noté que les applications non autorisées posaient auparavant un problème de données, mais que les agents IA sont bien plus dangereux, même lorsqu’ils ne sont pas malveillants.
« Les agents se connectent à plusieurs systèmes et tentent d’atteindre leur objectif indépendamment des règles humaines, alors qu’une application installée par l’utilisateur se connecterait à un seul système et se briserait si elle ne pouvait pas faire son travail », a-t-il déclaré à TechNewsWorld.
Accès sans gouvernance
Reco a également signalé que quatre outils d’IA sur cinq fonctionnent sans surveillance informatique.
« Un outil sans surveillance informatique est un outil sans politique : aucun enregistrement des données qu’il peut toucher, aucun moyen de révoquer son accès à la fin d’un projet et aucune piste d’audit en cas de problème », a expliqué Ron Longo, PDG de TrustLogix, une société de sécurité des données et de gouvernance des accès à Mountain View, en Californie.
« À grande échelle, cela s’ajoute à une empreinte invisible et importante d’accès permanent dans l’ensemble de l’entreprise que personne ne gère activement », a-t-il déclaré à TechNewsWorld.
Jacob Krell, directeur principal des solutions d’IA sécurisées et de la cybersécurité chez Suzu Labs, un fournisseur de services de cybersécurité basés sur l’IA à Las Vegas, a souligné que la part non gouvernée est précisément celle où opèrent les agents autonomes.
« Un employé peut configurer un agent IA au sein d’une plateforme telle que Salesforce ou Microsoft 365 sans créer le parcours d’approvisionnement associé à une nouvelle application », a-t-il déclaré à TechNewsWorld. « En fonction de la configuration de l’intégration, cet agent peut hériter des autorisations d’accès existantes à la plateforme et continuer à fonctionner de manière autonome, potentiellement longtemps après que l’employé qui l’a configuré a quitté l’entreprise. »
« Si ces informations d’identification et autorisations ne sont pas inventoriées, les organisations se retrouvent avec un accès longue durée aux machines que personne ne contrôle activement », a-t-il déclaré.
L’accès à Shell fait monter les enjeux
Les chercheurs de Reco ont également analysé 500 serveurs MCP publiés et ont découvert que la moitié pouvaient exécuter des commandes shell sur la machine hôte.
« Il s’agit sans doute du résultat le plus alarmant du point de vue de l’infrastructure pure », a observé Jeff Collins, PDG de WanAware, une société d’observabilité et d’inventaire d’actifs de l’infrastructure informatique basée à Boulder, Colorado.
« Le MCP est conçu pour donner aux modèles d’IA l’accès aux environnements locaux, mais permettre à une IA d’exécuter des commandes shell équivaut en réalité à une exécution de code à distance », a-t-il déclaré à TechNewsWorld.
« Le défi en matière de sécurité ici est le risque d’injection indirecte rapide et de chaînes d’approvisionnement compromises », a-t-il expliqué. « Si un attaquant peut manipuler les entrées d’un modèle d’IA en envoyant à un employé un document malveillant que l’IA résume, il pourrait tromper l’IA pour qu’elle exécute des commandes shell malveillantes sur la machine hôte. »
« Comme l’IA dispose déjà d’une autorisation, l’attaquant prend instantanément pied dans le réseau de l’entreprise pour se déplacer latéralement, installer un ransomware ou exfiltrer des données », a-t-il déclaré.
Cible de grande valeur
La découverte de MCP devrait être un signal d’alarme pour quiconque considère MCP comme une couche d’intégration légère, a soutenu Arti Raman, PDG de Portal26, une société de visibilité sur l’IA d’entreprise à San Jose, en Californie.
« Si ce serveur est compromis, mal configuré ou manipulé via une invite malveillante, un attaquant ne se contente pas d’extraire des informations ; il peut potentiellement exécuter des commandes arbitraires avec tous les privilèges détenus par le serveur », a-t-il déclaré à TechNewsWorld.
« À grande échelle, cela fait de l’infrastructure d’IA agentique l’une des cibles à plus forte valeur ajoutée de l’entreprise », a-t-il expliqué, « et la plupart des organisations n’ont pas encore la visibilité ou les contrôles en place pour la traiter de cette façon. »
« Les gens les installent à partir des dépôts GitHub avec une poignée d’étoiles, sans révision de code et sans fournisseur derrière eux », a ajouté Russell Spitler, co-fondateur et PDG de Nudge Security, un fournisseur de sécurité SaaS et IA à Austin, Texas.
« Nous n’accepterions jamais cela pour aucune autre catégorie de logiciels avec ce niveau d’accès », a-t-il déclaré à TechNewsWorld, « mais cela se produit à grande échelle car l’installation se fait en dehors du champ de vision du service informatique ».
Reco a également identifié 525 vulnérabilités dans les outils d’agent et LLM divulguées au cours des 18 derniers mois, dont au moins 111 jugées critiques, avec un score Common Vulnerability Scoring System de 9,0 ou plus.
Le rapport avertit que le jeune écosystème d’agents-outils en évolution rapide produit des vulnérabilités plus rapidement que les cycles de correctifs conventionnels ne peuvent les absorber.
Changement de gouvernance
Les chercheurs de Reco ont également découvert que 62 % des outils d’agents publiés et analysés peuvent lire des données locales et les transmettre sur Internet dans un seul package.
« La lecture et l’exportation dans un seul outil réduisent la distance entre l’accès et la perte », a expliqué Itai Schwartz, co-fondateur et directeur technique de Mind, une société de sécurité des données native de l’IA basée à Seattle.
« Un outil comme celui-ci n’a pas besoin d’être piraté pour vous faire du mal », a-t-il déclaré à TechNewsWorld. « Il a juste besoin d’une invite qui le convainque de faire son travail avec des données erronées. »
« Les données qu’il atteint sont généralement la dette de chaque organisation, des années de fichiers sensibles non classifiés désormais lisibles par des agents informatiques jamais vérifiés », a-t-il déclaré. « Une fois qu’un agent conditionne et expédie ces données, elles sont transmises à la vitesse d’une machine. »
« Le schéma derrière chaque statistique de ce rapport est le même », a-t-il ajouté. « Les organisations pointent du doigt des agents non contrôlés vers des années de données sensibles accumulées que personne n’a jamais classifiées. »
Le grand changement que les organisations doivent opérer consiste à ne plus gouverner ce que l’IA peut générer, mais plutôt ce qu’elle peut faire, a soutenu Ryan McCurdy, vice-président du marketing chez Liquibase, une société d’automatisation des modifications de bases de données à Austin, au Texas.
« À mesure que les agents ont accès à davantage d’outils, d’informations d’identification et de systèmes de production, la sécurité ne peut pas s’arrêter au modèle », a-t-il déclaré à TechNewsWorld. « La gouvernance doit suivre l’action jusqu’au changement du système. »
« Il doit fonctionner à la vitesse de l’IA », a-t-il poursuivi. « Ajouter davantage de tickets et d’approbations manuelles chaque fois qu’un agent souhaite faire quelque chose va à l’encontre de la raison pour laquelle les entreprises adoptent des agents en premier lieu. »
