AI-SPM

AI-SPM est une catégorie de produits. Ce n'est ni une norme ISO, ni un standard NIST, ni un standard OWASP. Deux produits vendus sous cette étiquette peuvent couvrir des périmètres très différents.

Actifs généralement visés

• modèles ;
• agents ;
• datasets ;
• pipelines d'entraînement ou d'inférence ;
• services IA ;
• serveurs MCP ;
• workloads IA.

Exemple

Un outil AI-SPM identifie un endpoint d'inférence exposé publiquement, relié à un dataset contenant des données personnelles et opéré par un compte de service disposant de droits d'écriture sur un stockage de production. Chacun de ces faits pris seul est banal ; leur combinaison justifie une priorité élevée.

Pourquoi ce terme compte en sécurité agentique

AI-SPM répond à la question « quels actifs IA existent et lesquels sont mal configurés ou trop exposés ? ». Il aide à traiter le Shadow AI et à prioriser. En revanche, une analyse de posture ne décide pas si une action précise d'un agent doit être autorisée, et ne bloque pas un comportement anormal au moment où il se produit : ces fonctions relèvent de l'autorisation et de la runtime security.

Avant de retenir un produit, vérifier précisément quels types d'actifs il découvre, par quels moyens, et ce qu'il fait des résultats.