Sécurité Agentique

Guide opérationnel · Sécurité Agentique

Quand réduire, suspendre ou retirer les droits d'un agent IA ?

L’habilitation attribue une capacité. L’autorisation évalue une action précise ; le point d’application la permet ou la bloque. Révoquer retire le droit temporaire. Isoler confine l’environnement d’exécution, au-delà d’un seul appel.

5 décisions4 familles d’attributs6 scénarios de référencePolitique 1.0.0

01 / MATRICE DE DÉCISION

Cinq décisions, une priorité explicite

D5 > D4 > D3 > D2 > D1

Une approbation n’annule jamais un interdit. Le droit effectif reste l’intersection des politiques de l’organisation, du mandat de l’agent et des droits du principal délégant. Les données indispensables absentes entraînent un refus.

D1AutoriserLecture ciblée et temporaire
Déclencheur
Mission active et vérifiée ; lecture explicitement incluse dans le mandat ; pas de signal d’écart.
Identité de l’agent
agent_id actif ; propriétaire identifié ; task_id/mandat valide ; délégation utilisateur vérifiée si applicable.
Action
READ ou LIST uniquement ; outil approuvé ; paramètres et champs limités.
Ressource
Objet, dossier ou API dans l’allowlist de la mission ; classification compatible ; tenant autorisé.
Contexte
Environnement de confiance, risque faible, destination permise, consommation < 80 % du quota de lecture.
Contrôle appliqué
Accorder une permission READ liée à task_id et à une allowlist d’objets/champs ; droit effectif = intersection des politiques organisationnelles, du mandat de l’agent et des droits du principal délégant s’il existe ; filtrage et vérification PEP par appel.
Durée du droit
Jusqu’à 15 min au maximum ; fin anticipée dès la clôture de la tâche ; recontrôle par appel.
Preuve à journaliser
agent_id, owner_id, task_id, principal_délégant, action, resource_id, scopes, policy_id/version, issued_at, expires_at, trace_id, décision et effet PEP.
Permission avant décision
Permissions techniques existantes de la tâche, limitées par l’organisation, le mandat et le délégant.
Permission après décision
READ/LIST ciblés, durée ≤ 15 minutes.
D2RéduireLecture seule ou périmètre rétréci
Déclencheur
Écart mesuré mais maîtrisable, sans violation d’un interdit : usage inhabituel, risque modéré ou seuil de vigilance franchi.
Identité de l’agent
agent_id et mandat toujours valides ; propriétaire connu ; délégation vérifiée si applicable.
Action
READ restant légitime ; les privilèges d’écriture/exécution antérieurs sont retirés ; aucune nouvelle action sensible.
Ressource
Sous-ensemble de ressources et de champs déjà autorisés ; ne jamais étendre le périmètre.
Contexte
Risque modéré OU consommation de lecture ≥ 80 % et < 100 % du quota ; aucun indicateur bloquant.
Contrôle appliqué
Retirer/bloquer l’ancienne permission plus large ; émettre une nouvelle permission READ plus étroite ; réduire champs, volume et outils ; réévaluer à chaque appel. Sans lecture sûre, appliquer D4.
Durée du droit
Nouvelle permission ≤ 5 min ; maintien uniquement tant que le signal redevient conforme ; réévaluation continue.
Preuve à journaliser
signal et seuil déclencheur, métrique mesurée, anciennes/nouvelles permissions, version de politique, revocation_ack, trace_id et confirmation PEP.
Permission avant décision
Permissions techniques existantes de la tâche, limitées par l’organisation, le mandat et le délégant.
Permission après décision
Lecture seule sur un sous-ensemble existant, durée ≤ 5 minutes, sans élargissement.
D3SuspendreApprobation humaine obligatoire
Déclencheur
Action sensible prévue par la mission mais non encore approuvée pour cette exécution précise.
Identité de l’agent
agent_id actif, mandat valide, éventuel utilisateur délégant autorisé ; approbateur habilité distinct et authentifié.
Action
WRITE, UPDATE, EXPORT, DELETE, paiement, publication ou autre effet irréversible.
Ressource
Ressource, objet et destination explicitement prévus dans la mission ; contenu et volume connus.
Contexte
Impact métier élevé ; opération éligible à approbation ; absence d’une approbation valide liée aux paramètres.
Contrôle appliqué
Ne pas exécuter ; créer une demande d’approbation portant sur l’empreinte exacte de l’action ; vérifier l’approbateur ; à l’accord, accorder une capacité à usage unique limitée aux paramètres approuvés. Une approbation ne neutralise jamais D4.
Durée du droit
Avant accord : 0 droit d’exécution ; attente ≤ 10 min ; après accord : capacité unique ≤ 5 min.
Preuve à journaliser
request_hash, action/paramètres, volume et destination, approval_id, approver_id, heure, justification, politique, jeton à usage unique, effet final PEP.
Permission avant décision
Permissions techniques existantes de la tâche, limitées par l’organisation, le mandat et le délégant.
Permission après décision
Aucun droit d’exécution en attente ; après accord vérifié, capacité unique ≤ 5 minutes.
D4Refuser et révoquerRetirer le droit temporaire
Déclencheur
Sortie du mandat, identité invalide, lecture hors périmètre, outil interdit ou destination non approuvée.
Identité de l’agent
agent_id / propriétaire / délégation / mandat absent, inactif ou incohérent ; ou identité valide mais demande illégitime.
Action
Toute action dépassant la mission, y compris READ hors périmètre ; EXPORT vers destination inconnue.
Ressource
Objet, tenant, classification, endpoint ou destination hors allowlist ; ressource inconnue ou attribut indispensable manquant.
Contexte
Interdit explicite ; mission expirée ; quota ≥ 100 % ; risque élevé ; signal d’écart de périmètre, quel que soit l’avis du modèle.
Contrôle appliqué
Refuser la requête avant l’effet ; invalider ou bloquer toutes les permissions temporaires de la tâche ; empêcher la réutilisation des jetons au PEP et déclencher la remédiation des sessions côté cible si possible.
Durée du droit
0 droit effectif dès le refus ; révocation contrôlée immédiatement au PEP ; aucun renouvellement automatique.
Preuve à journaliser
raison du refus, attribut non conforme, demande brute minimisée/hachée, policy_id/version, grant_ids supprimés, revocation_ack, effet PEP, trace_id.
Permission avant décision
Permissions techniques existantes de la tâche, limitées par l’organisation, le mandat et le délégant.
Permission après décision
Aucun droit effectif de la tâche ; blocage des anciens jetons au PEP.
D5IsolerContenir le runtime et investiguer
Déclencheur
Plusieurs refus corrélés ou compromission établie : persistance de tentatives interdites malgré le blocage.
Identité de l’agent
agent_id, owner_id et workload_id corrélés ; contexte des tentatives et principal délégant conservés.
Action
Tentatives répétées d’outils, de lectures interdites, d’exports ou de contournement du PEP.
Ressource
Ensemble des outils, API et destinations atteignables par le workload ; zone de quarantaine.
Contexte
Seuil initial proposé : ≥ 3 refus corrélés en 5 min ; ou compromission confirmée. Seuils à calibrer pour limiter les faux positifs.
Contrôle appliqué
Bloquer les nouveaux tool calls ; suspendre l’orchestrateur ; isoler le réseau / conteneur ; bloquer les permissions au PEP ; révoquer les sessions et traiter les secrets ; alerter le SOC. Réactivation sur décision habilitée.
Durée du droit
Jusqu’à investigation, correction et décision explicite de remise en service ; aucun rétablissement par simple expiration du seuil.
Preuve à journaliser
chronologie des refus et corrélation, indicateurs de dérive, agent/workload_id, mesures d’isolation et accusés, sessions révoquées, ticket SOC, acteur de réactivation.
Permission avant décision
Permissions techniques existantes de la tâche, limitées par l’organisation, le mandat et le délégant.
Permission après décision
Aucun appel ; confinement maintenu jusqu’à remise en service habilitée.
Matrice CSVScénarios CSV

CSV originaux complets : UTF-8 avec BOM, séparateur point-virgule, compatibles Excel français.

02 / SIMULATEUR

Évaluer une demande d’accès

Données fictives, calcul local. Appliquer la simulation conserve la réduction, la révocation ou l’isolation jusqu’à une réinitialisation explicite. Aucun système réel n’est modifié.

Identité et mandat
Action et ressource
Contexte
Intersection des permissions initiales

La disponibilité technique ne vaut pas autorisation. Chaque couche doit permettre l’action demandée.

Permissions techniques
Politique organisation
Mandat de l’agent
Droits du délégant
D1 · AutoriserÉvaluation courante

Action permise sous contraintes

Lecture autorisée dans le mandat et le contexte, filtrée et réévaluée par appel.

NOMINAL_READ

Attributs : identity, action, resourceId, risk, readQuotaPct

T01 : attendu D1, obtenu D1 · Conforme

Contrôle à appliquer dans une architecture réelle

Accorder une permission READ liée à task_id et à une allowlist d’objets/champs ; droit effectif = intersection des politiques organisationnelles, du mandat de l’agent et des droits du principal délégant s’il existe ; filtrage et vérification PEP par appel.

Avant : disponibilité technique

Actions
READ · LIST · WRITE · UPDATE · EXPORT · DELETE · EXECUTE
Ressources
/crm/opportunities, /crm/opportunities/184
Champs
id, stage, amount
Durée restante
900 s

Après : droit effectif

Actions
READ · LIST
Ressources
/crm/opportunities, /crm/opportunities/184
Champs
id, stage, amount
Durée restante
900 s

État simulé de la tâche : active.

Éléments de preuve attendus

agent_id, owner_id, task_id, principal_délégant, action, resource_id, scopes, policy_id/version, issued_at, expires_at, trace_id, décision et effet PEP.

03 / RECETTE

Six scénarios de référence

Chaque chargement initialise un cas indépendant avec ses droits techniques d’origine. Il ne réactive aucun système réel.

T01

Lecture nominale dans la mission

L’agent de reporting lit cinq opportunités CRM du portefeuille autorisé, sur un environnement approuvé.

Attendu : D1 · Accès READ filtré, jeton ≤ 15 min, aucun droit d’écriture.

Attributs et preuves

Agent CRM actif ; owner connu ; mandat REPORT-42 et délégation valides. READ /crm/opportunities Portefeuille A ; champs de reporting uniquement. Risque faible ; 12 % du quota utilisé ; destination interne approuvée.

trace_id, task_id, champs/objets autorisés, expiration, décision PEP.

T02

Lecture hors périmètre

Alors qu’il travaille sur le CRM, l’agent tente d’ouvrir un dossier RH salarial absent de son mandat.

Attendu : D4 · Lecture refusée avant accès ; permissions temporaires de REPORT-42 révoquées.

Attributs et preuves

Agent CRM actif ; mandat REPORT-42 toujours valide. READ /hr/salaries Dossier RH non autorisé. targetAllowed=false ; une tentative de sortie de mission.

resource_id, reason=OUT_OF_SCOPE, décision PEP, revocation_ack.

T03

Tentative d’écriture autorisable sous contrôle

L’agent veut mettre à jour une opportunité appartenant au portefeuille autorisé ; aucune validation n’a été donnée.

Attendu : D3 · Aucune écriture ; demande d’approbation liée aux paramètres de mise à jour.

Attributs et preuves

Agent CRM actif ; demandeur autorisé ; approbateur habilité identifié. WRITE /crm/opportunities/184 Opportunité 184, dans le portefeuille A. Écriture prévue par la mission, mais effet métier nécessitant un accord humain.

request_hash, approver_id, approval_id, délai d’expiration et effet final.

T04

Export vers une destination inconnue

L’agent essaie d’envoyer un export CRM à un webhook absent de la liste des destinations approuvées.

Attendu : D4 · Sortie réseau bloquée, export refusé, droit d’export temporaire révoqué.

Attributs et preuves

Agent CRM actif ; mandat de reporting valide. EXPORT /crm/opportunities Opportunités CRM, destination webhook non autorisée. destinationAllowed=false ; l’approbation humaine ne peut pas passer outre.

destination_id/URL normalisée, reason=UNKNOWN_DESTINATION, trace_id, revocation_ack.

T05

Dérive de volume sous seuil dur

L’agent lit des données autorisées, mais atteint 82 % de son quota de lecture en peu de temps.

Attendu : D2 · Permission READ réduite, quotas/ressources resserrés, fenêtre ≤ 5 min.

Attributs et preuves

Agent CRM actif ; mandat et délégation toujours valides. READ /crm/opportunities Portefeuille A, sous-ensemble de champs sensibles masqués. readQuotaPct=82 ; signal modéré, aucun franchissement de limite dure.

métrique, seuil, ancien/nouveau grant, version de politique, vérification PEP.

T06

Trois refus répétés en cinq minutes

Après trois refus corrélés d’appels interdits, le même agent réessaie sur d’autres endpoints.

Attendu : D5 · Arrêt des appels, isolement du runtime, révocation, ticket SOC et revue humaine.

Attributs et preuves

Même agent_id, même workload_id et même mission corrélés. READ /hr/salaries ; tool call interdit Données RH et outils interdits. denials5m=3 ; seuil de confinement atteint.

trois trace_id, fenêtre temporelle, mesures d’isolation, ticket SOC, approbation de réactivation.

Cas limites supplémentaires

Un agent de reporting CRM, cinq étapes

  1. 1. Lecture nominale
  2. 2. Volume en hausse
  3. 3. Écriture
  4. 4. Export inconnu
  5. 5. Refus répétés

Après la réduction, l’écriture n’est plus disponible : la politique doit la refuser. La branche d’approbation nécessite un nouveau mandat explicitement initialisé. Après l’export interdit, la révocation reste effective ; trois refus corrélés font ensuite primer l’isolation.

Demande
Politique
PEP simulé
Permission
Trace

04 / PREUVES ET AUDIT

Reconstituer la décision et son application

Journal fictif conservé uniquement en mémoire dans cet onglet. Les accusés de révocation et d’enforcement sont identifiés comme simulés, jamais comme confirmations d’un système cible.

Aucune simulation appliquée.

    Une permission accordée n'est pas une permission permanente

    Les capacités sont bornées à la mission et à sa durée. La décision est réévaluée à chaque appel ; une lecture normale peut devenir une lecture restreinte, puis un refus si le quota est épuisé ou si la cible sort du mandat. Retirer une habilitation dans votre IGA ne rend pas nécessairement inutilisable un access token déjà émis : le PEP doit bloquer l’appel avant l’effet.

    Les fenêtres de 15, 5 et 10 minutes, le seuil de vigilance de 80 % et les trois refus corrélés sur cinq minutes sont des paramètres d’exemple proposés par ARIOVIS, à calibrer selon le risque. Ils ne constituent pas des normes universelles.

    Le modèle propose, la politique décide, le système applique

    Votre IAM établit l’identité ; votre IGA gouverne les habilitations. Une politique ABAC/PBAC évalue l’identité, l’action, la ressource et le contexte dans un PDP. Le PEP applique le résultat sur un chemin obligatoire. L’isolation du workload et la révocation des sessions nécessitent leurs propres contrôles et preuves.

    Agent
    Demande
    PDP déterministe
    PEP obligatoire
    Ressource
    Preuve

    Ce démonstrateur dans le navigateur n’est pas un véritable PEP. Ses attributs, son approbateur et ses accusés sont fictifs ; il ne vérifie ni votre environnement ni l’intégrité de vos sources d’attributs.

    Situer ces contrôles dans l’architecture de sécurité d’un agent IA, ou approfondir la répartition PDP, PEP et PIP.

    Hypothèses d’interprétation du démonstrateur

    • La matrice documentaire prévaut sur les raccourcis du premier script : LIST suit READ ; UPDATE et l’exécution d’un outil sont traités comme sensibles et nécessitent une approbation lorsqu’ils sont prévus par le mandat.
    • D3 reste le code du workflow après accord : son résultat passe de suspendu à permis à usage unique. L’accord expire après cinq minutes ou après consommation ; le changement de l’opération invalide l’accord.
    • À dix minutes d’attente, aucune exécution n’est possible ; une nouvelle demande explicite est nécessaire. Un refus humain révoque le droit de tâche dans cet exemple prudent.
    • Une réduction conserve sa portée et sa date d’expiration, même si le risque baisse. Aucun renouvellement ou élargissement automatique n’est simulé. Une nouvelle mission nécessite une réinitialisation explicite.
    • Les refus sont supposés corrélés au même agent, workload et mandat dans une fenêtre glissante de cinq minutes. Le compteur saisi est une donnée de démonstration, pas un mécanisme réel de détection.
    • La classification et le tenant sont évalués via leurs indicateurs d’autorisation explicites. Le risque « élevé » est bloquant ; une lecture réduite n’est possible que si l’indicateur de lecture sûre le permet.

    Sources et périmètre éditorial

    La matrice est une proposition opérationnelle indépendante élaborée par ARIOVIS. Les publications suivantes apportent le contexte de l’actualité ; elles ne prescrivent pas ses règles, seuils ou durées. Aucune capacité produit ou intégration native n’est déduite de ce démonstrateur.

    Ressource de référence du 22 octobre 2026 · Version 1.0 · Aucun envoi de simulation à un tiers.