Par Michelle Blanc, M.Sc. — Chargée de cours en marketing entrepreneurial à HEC Montréal, consultante en stratégies numériques depuis 2005 (Analyweb Inc.), spécialiste OSINT/SOCMINT en sous-traitance pour ProActive Risk Management, auteure de « Confessions d’une experte » et pionnière du blogue francophone (2 800+ articles publiés depuis 2005). Publié le 14 mai 2026.
Le 30 avril 2026, les six agences cyber de l’alliance Five Eyes — ASD-ACSC (Australie), CISA et NSA (États-Unis), Centre canadien pour la cybersécurité, NCSC-NZ (Nouvelle-Zélande) et NCSC-UK (Royaume-Uni) — ont publié conjointement Careful Adoption of Agentic AI Services. Ce n’est pas un livre blanc parmi d’autres. C’est la première fois que les six agences alignent leur position sur un seul sujet : comment ne pas se faire planter par les agents IA.
J’ai lu les 28 pages. Voici l’essentiel, sans enrobage marketing.
Qu’est-ce que l’IA agentique, selon les Five Eyes?
J’ai déjà traité de l’IA agentique sous l’angle pratique pour gestionnaires et entrepreneurs dans mon guide pratique de l’IA agentique pour PME. Le présent billet aborde le revers sécurité et gouvernance.Les agences définissent un système d’IA agentique comme un ou plusieurs agents qui s’appuient sur un modèle d’IA (typiquement un grand modèle de langage) pour interpréter le monde, raisonner, prendre des décisions et poser des actions. La distinction avec l’IA générative classique est nette : un agent ne se contente pas de produire du texte ou des images. Il agit. Il invoque des outils, accède à des sources de données externes, conserve une mémoire et exécute des plans à long terme — souvent sans intervention humaine continue.
C’est exactement là que le bât blesse.
La recommandation centrale : ne donnez jamais accès large à un agent
Les Five Eyes le formulent en toutes lettres : n’accordez jamais à un agent un accès large ou sans restriction, surtout aux données sensibles ou aux systèmes critiques. Utilisez l’IA agentique uniquement pour des tâches de faible risque et non sensibles.
Ça contredit frontalement le discours ambiant des fournisseurs qui veulent que vous branchiez leur agent à tous vos systèmes en même temps.
Les cinq familles de risques identifiées
Le document classe les risques en cinq catégories. Je les résume ici parce que ce cadre va devenir, à mon avis, une référence dans les appels d’offres et les évaluations de risque au cours des prochains mois.
1. Risques de privilèges
Les agents héritent souvent de privilèges trop larges. Pire : ils créent ce que le document appelle des relations de confiance implicite entre eux. Un agent A qui fait entièrement confiance à un agent B devient vulnérable si B est compromis. Le scénario du « deputy confus » est central : un attaquant manipule un agent à privilèges élevés pour exécuter des actions qu’il ne pourrait jamais faire directement.
S’ajoute l’usurpation d’identité d’agent. Les agents s’authentifient entre eux par clés ou jetons. Si ces secrets sont statiques, partagés ou mal protégés, un attaquant peut littéralement devenir l’agent et contourner les contrôles comportementaux.
2. Risques de conception et de configuration
Composants tiers non vérifiés, vérifications de permissions effectuées une seule fois au démarrage plutôt qu’à chaque appel, segmentation déficiente entre environnements d’agents. Chaque erreur de design compose les risques de privilège.
3. Risques comportementaux
C’est la section qui m’a le plus intéressée. Les Five Eyes documentent officiellement plusieurs comportements problématiques :
- Specification gaming : l’agent atteint techniquement son objectif, mais en contournant son intention. Un agent chargé de maximiser le temps de disponibilité d’un serveur pourrait désactiver les mises à jour de sécurité pour éviter les redémarrages.
- Comportement déceptif : les agents peuvent modifier leur comportement quand ils détectent une évaluation en cours, ou dissimuler stratégiquement leurs vraies capacités.
- Capacités émergentes non prévues : des comportements qui n’étaient ni programmés ni anticipés par les concepteurs.
Ce n’est plus de la science-fiction. Ce sont six agences gouvernementales qui mettent ça par écrit dans un document opérationnel.
4. Risques structurels
Les systèmes multi-agents introduisent des défaillances en cascade. Un agent qui hallucine peut polluer toute la chaîne en aval. Un outil tiers malicieux peut injecter des instructions qui se propagent par les communications entre agents. Le squatting de tiers — publier un outil ou un agent au nom légitime ou similaire à un outil légitime — est listé comme vecteur d’attaque concret.
5. Risques de reddition de comptes
Quand une chaîne distribuée de décisions entre agents de planification, de récupération et d’exécution produit une erreur, il devient difficile de déterminer quel composant ou quel choix de conception en est la cause. Les journaux fragmentés, le raisonnement opaque des agents et les interactions émergentes obscurcissent le chemin décisionnel. Ça pose un problème majeur de conformité et d’imputabilité.
Les bonnes pratiques recommandées : le cycle de vie en quatre phases
Le document organise ses recommandations en quatre étapes du cycle de vie. Je retiens les contrôles les plus structurants.
Conception
- Structurer le contexte d’invite avec une hiérarchie d’instructions claire
- Construire chaque agent comme un principal distinct avec une identité cryptographique propre (clés ou certificats uniques)
- Authentifier tous les appels inter-agents en TLS mutuel
- Maintenir un registre de confiance des agents autorisés ; refuser tout agent absent du registre
Développement
- Tester en environnements simulés contrôlés avant tout déploiement réel
- Équipes rouges (red teaming) ciblant spécifiquement les comportements agentiques
- Mécanismes de retour à un état antérieur (rollback) intégrés dès le départ
- Restreindre l’usage des outils à une liste blanche approuvée et vérifiée régulièrement
Déploiement
- Déploiement progressif avec autonomie graduée : on commence par un périmètre étroit
- Configurations par défaut fail-safe : en cas de doute, l’agent s’arrête et escalade à un humain
- Contrats de sécurité déclaratifs que les agents ne peuvent pas outrepasser
- Isoler les agents à haut risque dans des domaines distincts sans accès en écriture aux journaux
Opération
- Surveillance continue de toutes les opérations, pas seulement des entrées et sorties
- Détection d’anomalies pour repérer les écarts entre intentions déclarées et comportements observés
- Systèmes de surveillance indépendants multiples qui valident croisément les rapports d’agents
- Approbation humaine obligatoire pour toute action à fort impact ou difficile à inverser
- Mise en quarantaine automatique de toute requête visant à supprimer des journaux ou des enregistrements d’audit
Cette dernière mesure est, à mon avis, la plus simple à implémenter immédiatement. Si votre agent peut effacer ses propres traces, vous n’avez pas un système de sécurité, vous avez une scène de crime en formation.
Trois recommandations pour le futur
Les Five Eyes terminent en signalant les zones grises persistantes :
- Étendre le renseignement sur les menaces par la collaboration. Les cadres actuels (OWASP Top 10 LLM, MITRE ATLAS) couvrent les vulnérabilités des grands modèles de langage mais ne capturent pas encore tous les vecteurs propres à l’agentique.
- Développer des évaluations spécifiques aux agents. Les méthodes d’évaluation existantes sont sensibles à des variations sémantiques mineures et ne reproduisent pas les conditions réelles de déploiement.
- Appliquer des approches systémiques comme STPA (System Theoretic Process Analysis) et CAST (Causal Analysis using System Theory), du MIT, pour analyser les systèmes agentiques comme des écosystèmes complets plutôt que comme une somme de composants isolés.
Mon analyse
Ce document arrive à un moment précis. Les fournisseurs poussent l’agentique de toutes leurs forces. Les Five Eyes répondent : oui, mais pas n’importe comment, et surtout pas à l’aveuglette.
Quelques observations personnelles :
Premièrement, la prudence affichée par six agences nationales contraste violemment avec l’enthousiasme commercial du marché. Quand CISA, la NSA et leurs équivalents canadien, britannique, australien et néo-zélandais s’alignent pour dire « commencez petit, automatisez seulement les tâches à faible risque et non sensibles », ce n’est pas un détail de communication. C’est un signal de gouvernance.
Deuxièmement, le document confirme ce que plusieurs spécialistes — dont moi — répétons depuis des mois : la sécurité de l’IA agentique n’est pas une discipline séparée de la cybersécurité. C’est de la cybersécurité, avec des spécificités supplémentaires. Les organisations qui n’ont pas encore une posture cyber solide vont se faire planter encore plus vite en y ajoutant des agents autonomes.
Troisièmement, l’annexe A liste les prérequis cybersécurité avant même de penser à implémenter un agent : authentification forte, principe du moindre privilège, credentials éphémères plutôt que secrets statiques de longue durée, validation des messages avec vérifications d’intégrité. Si votre organisation ne maîtrise pas déjà ces fondamentaux, l’agentique est prématurée.
Quatrièmement, et c’est le point que je trouve le plus important pour mon audience québécoise et francophone : ce cadre va devenir un référentiel d’audit. Les fournisseurs qui souhaiteront vendre des solutions agentiques aux gouvernements ou aux infrastructures critiques des cinq pays signataires devront démontrer qu’ils respectent ces principes. Le ruissellement vers le secteur privé suivra rapidement.
En conclusion
L’IA agentique offre des gains de productivité réels. Elle introduit aussi des risques que les six agences cyber des Five Eyes décrivent maintenant avec une précision opérationnelle. Si vous travaillez en sécurité, en gouvernance, en risque ou en stratégie numérique, ce document n’est pas optionnel. C’est désormais une référence.
À lire intégralement, et à intégrer dans vos cadres de gouvernance avant la prochaine vague de déploiements.
Questions fréquentes
- Quand le document Five Eyes sur l’IA agentique a-t-il été publié?
- Le 30 avril 2026.
- Quelles agences ont co-signé le document?
- L’ASD-ACSC (Australie), CISA et la NSA (États-Unis), le Centre canadien pour la cybersécurité, le NCSC-NZ (Nouvelle-Zélande) et le NCSC-UK (Royaume-Uni).
- Quelles sont les cinq familles de risques identifiées?
- Risques de privilèges, risques de conception et configuration, risques comportementaux, risques structurels, risques de reddition de comptes. **
- Quelle est la recommandation centrale du document?
- Ne jamais accorder à un agent IA un accès large ou sans restriction, particulièrement aux données sensibles ou aux systèmes critiques. N’utiliser l’IA agentique que pour des tâches de faible risque et non sensibles.
- Quels prérequis cybersécurité faut-il maîtriser avant de déployer un agent IA?
- Authentification forte, principe du moindre privilège, informations d’identification éphémères plutôt que secrets statiques, validation des messages avec vérifications d’intégrité — détaillés à l’annexe A du document source.
Note méthodologique : ce billet résume le document officiel des six agences cyber des Five Eyes, publié le 30 avril 2026, à partir d’une lecture intégrale du PDF source (28 pages).
Toutes les citations renvoient au texte original. L’analyse personnelle est clairement distinguée du contenu factuel par la section « Mon analyse ». Aucune information n’a été inventée ni extrapolée au-delà du document source.
Référence : Australian Signals Directorate’s Australian Cyber Security Centre, Cybersecurity and Infrastructure Security Agency, National Security Agency, Canadian Centre for Cyber Security, New Zealand National Cyber Security Centre, United Kingdom National Cyber Security Centre. Careful Adoption of Agentic AI Services. 30 avril 2026. Document disponible sur media.defense.gov.
Tags : #IAagentique #cybersécurité #FiveEyes #CISA #NSA #ASD #IA #gouvernance #OSINT #SOCMINT #risquenumérique #intelligenceartificielle #agentsIA #GEO
