Pourquoi la gouvernance traditionnelle des identités peine à suivre les agents IA

La gestion du cycle de vie des identités a été conçue pour les personnes : des employés recrutés, réaffectés, puis finalement désactivés via les processus RH. Alors que les entreprises déploient davantage d’agents IA autonomes, les équipes de sécurité constatent que ce modèle établi de longue date ne convient pas à une nouvelle catégorie d’identités non humaines.

Un système conçu autour des dossiers d’emploi des collaborateurs

Les outils conventionnels de gouvernance et d’administration des identités (IGA) partent du principe que chaque identité dispose d’un responsable, d’un intitulé de poste et d’une relation clairement définie avec un système de gestion des effectifs tel que Workday, SAP SuccessFactors ou ServiceNow HR. L’arrivée d’un nouvel employé déclenche la création des accès, une promotion modifie les habilitations et un événement de départ lance les workflows de désactivation. Ces étapes constituent la piste d’audit utilisée pour répondre aux exigences de conformité et réaliser les campagnes de revue des accès.

Cette structure fonctionne parce que les accès humains suivent généralement des schémas prévisibles. Le contrôle d’accès basé sur les rôles peut associer une fonction professionnelle à un ensemble connu d’autorisations, tandis que les campagnes de certification et les contrôles de séparation des tâches apportent une supervision supplémentaire.

Pourquoi les agents IA ne s’intègrent pas au modèle de cycle de vie

Les agents IA sont créés d’une manière très différente. Ils sont souvent lancés par des développeurs, des plateformes d’automatisation ou des frameworks d’orchestration, plutôt que par des systèmes RH. Au lieu d’hériter de leurs accès dans le cadre d’un processus formel d’arrivée, de mobilité et de départ, ils peuvent être provisionnés avec des comptes de service, des clés d’API ou des autorisations OAuth au moment de leur création.

Une fois en fonctionnement, ces agents peuvent se comporter de manière difficilement prévisible. Un agent conçu pour une tâche donnée peut étendre son périmètre en appelant des outils, en récupérant des données ou en enchaînant des actions sur plusieurs systèmes. Cette extension dynamique du périmètre est difficile à interpréter pour les outils de gestion des identités, en particulier lorsque l’agent est traité comme un compte machine statique plutôt que comme un acteur autonome.

Les lacunes de gouvernance qui apparaissent à grande échelle

L’article souligne également que les agents peuvent fonctionner en parallèle sur des services cloud, des conteneurs et des plateformes SaaS, parfois avec des identifiants et des contextes de session distincts. Dans les configurations multi-agents, un agent peut même déléguer une tâche à un autre, ce qui complique encore la compréhension de l’identité — humaine ou non — utilisant un accès à un moment donné.

Pour les équipes de sécurité, l’enjeu ne se limite pas au provisionnement, mais concerne aussi la visibilité et le contrôle de l’évolution des accès pendant l’exécution. Les produits IGA traditionnels n’ont pas été conçus pour suivre des identités capables de se dupliquer, de se multiplier et d’interagir avec des systèmes en dehors d’une description de poste fixe.

• Les modèles de cycle de vie centrés sur l’humain dépendent des événements RH.
• Les agents IA sont souvent créés en dehors des workflows d’intégration encadrés.
• Le comportement à l’exécution peut étendre les accès au-delà des autorisations initiales.
• Les outils IGA existants peuvent ne pas détecter la prolifération des agents dans les différents environnements.

À mesure que les agents IA se généralisent dans les environnements d’entreprise, l’article estime que la gouvernance des identités devra dépasser les hypothèses conçues pour les employés humains.