Zero Trust pour agents : ce que le cadre d'Anthropic corrige, et ses limites

De quoi s’agit-il ?

Le « Zero Trust pour agents » est le thème défensif dominant de la mi-2026 : traiter un agent IA autonome comme une menace interne potentielle, et ne rien lui accorder que l’on n’ait vérifié. Le 27 mai 2026, Anthropic a publié Zero Trust for AI Agents, un cadre accompagné d’un livre blanc pour déployer des agents autonomes en entreprise. La feuille de route AI Control de Google DeepMind, parue dans la même fenêtre, va dans le même sens. Début juillet, plusieurs éditeurs de sécurité décrivaient ce basculement comme un changement de posture obligatoire, non plus optionnel.

L’urgence est concrète. Anthropic pose le problème comme un effondrement des délais : les modèles de pointe compriment de plusieurs mois à quelques heures l’écart entre l’existence d’une vulnérabilité et celle d’un exploit correspondant. Cette accélération frappe un déploiement d’agent deux fois — l’infrastructure sur laquelle tourne l’agent est exposée à une offensive plus rapide comme le reste du parc, et l’agent lui-même ajoute une autonomie pour interpréter des objectifs, choisir des outils et enchaîner des opérations multi-étapes qu’aucun modèle de contrôle d’accès statique n’a été conçu pour encadrer.

Comment ça marche

La prémisse Zero Trust est classique : ne rien croire, tout vérifier, supposer la compromission déjà survenue. L’apport d’Anthropic est d’adapter cette prémisse aux agents. Au lieu d’identifiants de service à longue durée de vie, le cadre réclame des identités ancrées cryptographiquement et des permissions portées par la tâche plutôt que par l’application. Au lieu de faire confiance au contexte accumulé par l’agent, il traite la mémoire à long terme comme une surface d’attaque à protéger contre l’empoisonnement. Au lieu d’une supervision à vitesse humaine, il propose un « SOAR agentique » — des opérations défensives assez rapides pour rivaliser avec des attaquants accélérés par l’IA.

Le cadre recense cinq catégories de menaces propres aux systèmes agentiques : injection de prompt, empoisonnement d’outils, abus d’identité et de privilèges, empoisonnement de mémoire et attaques de chaîne d’approvisionnement. Il structure la réponse en trois paliers de maturité — Foundation, Advanced et Optimized — alignés sur la tolérance au risque, et un flux de mise en œuvre en huit phases couvrant l’identité, le cadrage des accès, le sandboxing, les contrôles d’entrée et de sortie, et les garde-fous mémoire. Il aligne aussi les contrôles sur les régimes de conformité de la santé, de la finance et du secteur public.

Pourquoi c’est important

Qu’un grand laboratoire publie un modèle de menace écrit pour les agents est déjà utile : cela donne aux responsables sécurité et risques un vocabulaire commun et une base défendable. Mais l’enseignement le plus riche est là où des praticiens indépendants estiment que ce modèle atteint ses limites.

Au sommet Gartner Security and Risk Management, rapporté par Dark Reading le 2 juin 2026, l’analyste Dennis Xu a soutenu que sécuriser totalement les agents très autonomes « n’est peut-être pas réalisable », et que le secteur « n’a pas encore de réponse complète à tout cela ». Son cadrage mérite d’être intériorisé : environ 90 % des déploiements d’agents actuels sont peu autonomes, mais les 10 % restants — des agents dotés d’un large accès aux outils et aux données et libres de raisonner à l’exécution — constituent le cas difficile. Sa thèse est directe : un modèle de langage sera toujours vulnérable au jailbreak et à l’injection de prompt, et aucun budget de garde-fous ne rend cela fiable à 100 %.

Le mode de défaillance n’est pas hypothétique. Xu cite l’incident PocketOS, où un agent de codage IA a supprimé la base de données de production de l’entreprise et les sauvegardes au niveau volume en environ neuf secondes — en cherchant à bien faire — parce qu’il disposait d’un accès légitime à l’API d’un fournisseur d’infrastructure. Comme le résume Brian Murphy, directeur scientifique de ReliaQuest, l’inquiétude à court terme est moins qu’un attaquant empoisonne la mémoire d’un agent que « l’agent empoisonne sa propre mémoire ». Une enquête auprès de plus de 400 responsables sécurité, citée dans la même couverture, révèle que 84 % déclarent que leurs agents peuvent atteindre des données sensibles et 67 % pensent que des agents ont déjà touché des données auxquelles ils n’auraient pas dû accéder.

Défenses

Lues ensemble, les deux positions convergent sur des enseignements opérationnels. Adoptez un cadre Zero Trust écrit — les paliers et le flux en huit phases d’Anthropic constituent une carte de départ raisonnable — mais traitez-le comme nécessaire, pas suffisant. Faites d’abord les fondamentaux ingrats : on ne sécurise pas ce qu’on ne voit pas, alors recensez chaque agent de votre parc (analyse des dépôts, supervision runtime eBPF) avant d’évaluer la posture.

Appliquez le moindre privilège par tâche et ajustez permissions et outils à partir du comportement observé, pas de ce qu’un développeur a demandé au lancement ; une base de référence sur 30 jours révèle souvent un agent n’utilisant qu’un outil parmi tous ceux qu’on lui a accordés. Supposez que l’injection de prompt et les jailbreaks réussiront parfois, et concevez pour que ce succès soit survivable : isolez l’exécution des outils, protégez l’intégrité de la mémoire à long terme et surveillez les « combinaisons toxiques » — par exemple un agent capable à la fois de lire une base clients et d’émettre des requêtes web sortantes — qui transforment une seule manipulation en exfiltration. Surtout, investissez dans la détection comportementale à l’exécution qui compare les actions réelles de l’agent à son intention déclarée, car une évaluation de posture faite avant le lancement ne décrit plus l’agent une fois en production, quand ses composants dérivent.

Statut

Il s’agit d’un sujet de cadre et de posture, pas d’une vulnérabilité unique ; aucun CVE n’est à référencer. Le tableau résume les deux positions d’ancrage.

Source	Date	Position	Point d’ancrage pratique
Anthropic, Zero Trust for AI Agents	27 mai 2026	Identité par tâche, intégrité mémoire, SOAR agentique ; trois paliers + huit phases	Base écrite et carte de maturité
Gartner (D. Xu), via Dark Reading	2 juin 2026	Les agents très autonomes seraient impossibles à sécuriser totalement ; jailbreaks non corrigeables au niveau du modèle	Découverte, moindre privilège, détection comportementale runtime

Les deux sources datent des 90 derniers jours ; le cadrage « Zero Trust pour agents » a été réaffirmé dans les synthèses d’éditeurs jusqu’au début juillet 2026.