Sécuriser un agent IA de code : ne jamais lui donner les trois accès à la fois

Le constat

Les assistants de code comme Claude Code, Codex ou Cursor ne se contentent plus de proposer du code : ils lisent vos fichiers, lancent des commandes, installent des extensions et poussent des modifications. C'est ce qui les rend utiles. C'est aussi ce qui change la nature du risque, parce qu'un agent lit en permanence du texte écrit par d'autres : un dépôt cloné, une documentation, une page web, une extension téléchargée.

Or un modèle de langage ne distingue pas de façon fiable vos consignes de celles qui se cachent dans ce qu'il lit. On appelle cela l'injection de consignes (prompt injection). Le cas le plus parlant reste celui du navigateur à IA Comet, décrit par Brave le 20 août 2025 : il suffisait de demander à l'assistant de résumer une page contenant un commentaire piégé pour qu'il aille chercher l'adresse e-mail de l'utilisateur, lise dans sa messagerie un code de connexion à usage unique, puis renvoie les deux à l'attaquant. La victime n'avait rien fait d'autre que demander un résumé.

Les agents servent aussi de l'autre côté. En octobre 2026, des chercheurs de NorForge ont décrit une campagne où des attaquants pilotaient des agents IA, depuis les tableaux de bord exposés d'un outil open source nommé Cairn, contre des sites de commerce en ligne : plus d'une centaine d'entreprises auraient été touchées, pour un coût de quelques milliers de dollars. Le coût d'une attaque baisse ; celui d'une erreur de configuration aussi.

La règle

Le développeur Simon Willison a donné en juin 2025 le cadre le plus simple pour raisonner. Un agent devient dangereux quand il réunit trois capacités à la fois :

• l'accès à vos données privées (fichiers, base clients, secrets, messagerie) ;
• l'exposition à du contenu non fiable, c'est-à-dire tout texte ou image qu'un tiers peut faire arriver jusqu'au modèle ;
• un moyen de communiquer vers l'extérieur : requête réseau, e-mail, publication, envoi de code.

Chacune est utile seule. Ensemble, elles suffisent à un attaquant : il dépose une consigne dans ce que l'agent va lire, l'agent la suit avec vos accès, et envoie le résultat dehors. Meta en a tiré le 31 octobre 2025 une règle de conception, la « règle de deux » : dans une même session, un agent ne doit cumuler que deux de ces trois capacités. Si une tâche exige vraiment les trois, l'agent ne doit plus agir seul : un humain, ou un contrôle tout aussi fiable, valide ce qu'il fait.

Ce n'est pas une garantie. Meta précise que la règle complète les principes habituels, comme le moindre privilège, sans les remplacer, et Simon Willison rappelle qu'on ne sait pas encore empêcher l'injection de consignes à coup sûr. C'est justement pour cela qu'elle est utile : au lieu de parier sur la détection d'une attaque, on retire à l'agent ce qui la rendrait payante.

Cinq garde-fous concrets

1. 1

   Faire l'inventaire des trois capacités

   Pour chaque agent utilisé dans l'entreprise : à quelles données accède-t-il, que lit-il qui vient de l'extérieur (dépôts, pages web, tickets, e-mails), et par où peut-il faire sortir quelque chose (réseau, messagerie, publication, déploiement) ? Trois cases cochées, c'est le signal d'alerte.

2. 2

   Couper un côté du triangle

   Un agent qui lit le web n'a pas besoin de vos secrets ; un agent qui travaille sur vos données n'a pas besoin d'un accès réseau libre. Les outils récents proposent des règles d'autorisation et un bac à sable : limitez les sorties à une liste d'adresses connues, et ne laissez jamais la console de pilotage de vos agents accessible depuis Internet.

3. 3

   Garder la main sur ce qui sort

   Publier, déployer, envoyer un e-mail, payer : ces actions passent par une validation humaine. Le reste (lire, chercher, proposer un correctif) peut rester automatique. C'est là que se joue l'équilibre entre vitesse et prudence.

4. 4

   Traiter les extensions comme du code tiers

   Une « skill » ou un serveur MCP installé dans un agent, c'est du code et des consignes écrits par quelqu'un d'autre, avec vos droits. Vérifiez l'auteur et l'usage réel, et passez-les à l'analyse : NVIDIA publie en open source SkillSpector, qui examine une extension avant installation, sans l'exécuter, à la recherche de consignes cachées, de fuites de données ou de dépendances douteuses.

5. 5

   Faire relire le code produit par l'IA

   Le code écrit par un agent mérite la même revue que celui d'un prestataire. Cloudflare publie en open source une skill d'audit qui confie la recherche de failles à des agents et la vérification de chaque faille à d'autres agents, chargés de la réfuter. Elle ne remplace pas les permissions de l'agent : ses consignes de prudence sont des demandes au modèle, c'est le bac à sable qui protège.

Le gain

Le premier gain est de borner le pire. Une PME n'a pas d'équipe de sécurité pour surveiller chaque action d'un agent ; elle peut en revanche décider, une fois pour toutes, de ce qu'un agent n'aura jamais en même temps. Si l'agent se fait piéger, il n'a ni les données, ni la sortie, ni les deux à la fois.

Le second est de pouvoir répondre. Un client, un assureur ou un donneur d'ordre vous demandera tôt ou tard ce que vos outils d'IA peuvent faire de ses données. L'inventaire des trois capacités en tient lieu de réponse, écrite et vérifiable.

Le troisième est de garder la vitesse. Interdire les agents ne protège pas longtemps : les équipes les utilisent quand même, sans cadre. Une règle simple, appliquée outil par outil, permet de les autoriser là où elles font gagner du temps sans exposer l'entreprise.

Cette approche guide la conception de tous les agents que je livre : voir Agents IA.

Sources

• Simon Willison, « The lethal trifecta for AI agents », 16 juin 2025.
• Meta AI, « Agents Rule of Two: A Practical Approach to AI Agent Security », 31 octobre 2025.
• Brave, « Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet », 20 août 2025.
• NVIDIA, SkillSpector (licence Apache 2.0) ; Cloudflare, security-audit-skill (licence MIT).
• Campagne Cairn : travaux de NorForge rapportés par la presse spécialisée en octobre 2026 ; les chiffres (sites visés, entreprises touchées, coût) varient selon les sources.