Microsoft veut ajuster les droits des agents IA pendant leur travail

Microsoft veut limiter ce qu’un agent IA peut faire à mesure que son risque évolue. Dans ses annonces du 19 octobre, l’éditeur étend Project Perception aux agents qui travaillent à l’intérieur des organisations. L’enjeu dépasse la détection d’une attaque extérieure. Un agent autorisé peut aussi sortir du cadre de sa tâche sans avoir été piraté.

Des contrôles indépendants du modèle

Microsoft distingue l’intelligence fournie par le modèle et l’autorité que l’organisation lui accorde. Les règles de sécurité doivent s’appliquer depuis des systèmes que l’agent ne peut pas désactiver. Un modèle qui explique qu’il respecte une consigne ne fournit donc pas à lui seul une frontière de protection. L’identité et les permissions doivent rester contrôlables de l’extérieur.

Le billet technique détaillé prend l’exemple d’un agent chargé des notes de frais. Il peut avoir besoin de lire une demande et d’approuver un remboursement courant. Il n’a pas pour autant besoin de tous les accès du salarié qui l’utilise. Microsoft propose de rattacher ses droits à la tâche et à sa durée.

Le risque peut changer pendant une tâche

Avec Dynamic Permissions, Microsoft annonce des permissions limitées dans le temps et ajustables lorsque la mission change. La politique de l’organisation fixe une limite supérieure. L’agent ne doit pas obtenir une autorité que son utilisateur ne possède pas. Certaines actions peuvent demander une approbation humaine vérifiable.

Dynamic Agent Risk réunit ensuite des signaux issus de l’identité et des données. Il prend aussi en compte l’environnement d’exécution et l’activité de l’agent. Microsoft décrit une évaluation continue plutôt qu’un score attribué une fois pour toutes. Une instruction malveillante rencontrée dans un document peut modifier le risque alors que la configuration initiale reste identique.

Réduire une permission sans tout arrêter

Dynamic Conditional Access doit traduire cette évolution en restrictions graduées. Le système peut conserver la lecture tout en bloquant l’écriture. Il peut aussi réduire les ressources accessibles ou imposer une validation avant une action importante. L’isolement et l’arrêt complet correspondent à des réponses plus fortes. Microsoft présente ici une architecture de contrôle et des capacités annoncées. Ce billet ne mesure pas leur efficacité dans un déploiement indépendant.

Découvrir un agent ne signifie pas protéger toutes ses actions

Microsoft annonce 35 types d’agents locaux supplémentaires pour atteindre 60 types pris en charge en découverte. La matrice Defender for Endpoint précise une distinction essentielle. Le repérage d’un agent et sa protection pendant l’exécution disposent de tableaux séparés. Les systèmes compatibles et les méthodes d’intégration diffèrent.

La découverte repose sur l’activité observée sur un appareil intégré à Defender. Une installation ne garantit pas une apparition dans l’inventaire. La matrice décrit notamment des prises en charge en préversion pour macOS et pour la protection en exécution sous Windows. Une présence dans une liste ne prouve donc ni l’activation d’une protection ni une couverture identique des 60 outils.

Les Guardian Agents annoncés dans Project Perception doivent aider à examiner les preuves et à coordonner les réponses. Les humains fixent les politiques et les limites de délégation. La documentation Entra Agent ID distingue aussi la création d’identités d’agents et les fonctions de sécurité étendues qui nécessitent Agent 365. L’annonce ne permet pas de supposer que chaque organisation dispose déjà de tous ces contrôles.

Cette évolution complète la question des frontières d’exécution décrite dans notre article sur Microsoft MXC et les permissions des agents. Le changement annoncé porte sur l’adaptation de l’autorité au fil du travail. Son intérêt se jugera sur les actions réellement contenues et sur les preuves conservées.