Aller au contenu
Founderz : accueil de la boîte à outils pour une utilisation responsable de l’IA

en collaboration avec Microsoft

Principe 04 · Avant de commencer · Agents et sécurité

Autorisations limitées des agents IA

Les agents IA reçoivent uniquement les accès nécessaires à leur tâche, et toute action irréversible exige la confirmation d’une personne.

Question clé

Avec ses droits actuels, quel est le plus grave dommage que cet agent pourrait causer ?

Bénéfice

Vous pouvez laisser un agent trier les e-mails sans lui donner le pouvoir d’en envoyer un par erreur.

Contexte

Un agent qui trie vos e-mails a besoin de lire les messages. S’il peut aussi envoyer des réponses, il risque d’en envoyer une par erreur. Quelqu’un pourrait même cacher des instructions dans un e-mail pour lui faire envoyer un fichier. Vérifiez ce qu’il peut faire avec les accès accordés.

Donnez à l’agent uniquement les accès nécessaires à cette tâche. Les équipes de sécurité appellent cela le moindre privilège. C’est la règle que vous appliqueriez à un nouveau collègue lors de son premier jour.

Autorisations et prompts

Demandez à l’agent de préparer vos réponses et limitez ses autorisations à la création de brouillons. Ce réglage l’empêche d’envoyer un message même s’il comprend mal vos instructions. Le cadre de Singapour pour l’IA agentique recommande d’utiliser des contrôles système pour imposer les approbations lorsque c’est possible.

L’OWASP appelle ce risque autonomie excessive : un système d’IA doté de plus de fonctions, d’autorisations ou d’autonomie que sa tâche ne l’exige. Son édition 2026 recommande qu’une personne confirme les actions privilégiées, irréversibles ou visibles à l’extérieur.

Injection de prompt

Les e-mails, pages web et documents partagés peuvent contenir du texte destiné à orienter l’IA qui les lit. C’est l’injection de prompt. Le National Cyber Security Centre britannique avertit que ce problème pourrait ne jamais être entièrement résolu. La protection consiste donc à limiter ce qu’un système trompé peut faire.

Le chercheur en sécurité Simon Willison décrit un « trio fatal » : un agent peut lire vos données privées, lire du contenu d’inconnus et envoyer des informations vers l’extérieur. Un inconnu pourrait cacher dans ce contenu une demande pour que l’agent lui transmette vos données. N’accordez les trois types d’accès à un même agent que si votre équipe informatique l’a conçu ainsi.

Vous n’avez pas besoin de repérer chaque attaque. Si un agent veut soudain faire quelque chose que vous n’avez pas demandé, arrêtez-le et signalez-le.

Pratiques

  1. 01Commencez avec un accès en lecture seule ou limité aux brouillons, puis ajoutez les autorisations une par une.
  2. 02Confirmez toute action irréversible : envoi, paiement, suppression, partage hors de votre organisation.
  3. 03Évitez de donner simultanément à un même agent accès à vos données privées, à du contenu d’inconnus et à un moyen d’envoyer des informations vers l’extérieur.
  4. 04Arrêtez un agent qui veut faire quelque chose que vous n’avez pas demandé et signalez-le.
  5. 05Fixez des limites de montant, de destinataires et de durée, et sachez comment désactiver l’agent.

Exemples de prompts

Comparez les deux prompts et repérez l’étape que vous devez accomplir vous-même.

Messagerie et agents

Tri de votre messagerie

Avant

Parcours ma boîte mail et traite tout ce qui est urgent.

Après

Parcours les e-mails reçus aujourd’hui. Prépare des réponses aux messages urgents et enregistre-les dans Brouillons. Liste séparément les e-mails qui demandent un paiement, un changement de coordonnées bancaires, un mot de passe ou un fichier.

Ce qui vous revient

Limitez l’agent à la création de brouillons si l’outil le permet, pour que la limite ne dépende pas du prompt. Avant de donner suite à une demande de paiement, rappelez à un numéro déjà connu.

Pourquoi cela fonctionne : L’accès limité aux brouillons vous laisse la maîtrise de l’envoi. Vous pouvez examiner séparément les demandes signalées et vérifier les demandes inhabituelles par téléphone.

Recherche

Recherche de fournisseurs sur le web

Avant

Renseigne-toi sur ces cinq fournisseurs en ligne, puis envoie à chacun une demande de devis.

Après

Renseigne-toi sur ces cinq fournisseurs sur le web et résume leur offre avec des liens. Prépare une demande de devis pour chacun, sans rien envoyer.

Ce qui vous revient

Ne donnez pas à l’agent l’autorisation d’envoyer des e-mails pour cette tâche et lisez les brouillons avant l’envoi. Les pages web peuvent contenir des instructions cachées.

Pourquoi cela fonctionne : Sans autorisation d’envoyer des e-mails, un agent qui consulte le web public ne réunit pas les trois composantes du trio fatal.

Opérations et projets

Automatisation d’une commande courante

Avant

Chaque lundi, vérifie les stocks et commande tout ce qui commence à manquer.

Après

Chaque lundi, vérifie les stocks et prépare une liste de réapprovisionnement des articles sous le minimum. Soumets-moi pour approbation les commandes de plus de 500 € ou auprès de nouveaux fournisseurs.

Ce qui vous revient

Fixez la limite de dépense dans le système d’achat lui-même, en plus du prompt, et examinez les commandes des premières semaines.

Pourquoi cela fonctionne : Les petites commandes courantes peuvent s’exécuter dans des limites définies. Une limite ne vous protège que si le système l’impose.

Éléments à l’appui

  • Le Top 10 2026 de l’OWASP pour les applications LLM classe l’injection de prompt et l’autonomie excessive parmi les principaux risques. Il recommande le moindre privilège et une confirmation humaine des actions privilégiées, irréversibles ou visibles à l’extérieur. [OWASP]
  • Le National Cyber Security Centre britannique conseille des limites fixes, indépendantes de l’IA, à ce que les systèmes peuvent faire, car l’injection de prompt pourrait ne jamais être entièrement résolue. [NCSC britannique]
  • Réunir données privées, contenu non fiable et communication externe dans un seul agent rend possible le vol de données par injection de prompt. [Willison]
  • Dans la définition du moindre privilège du NIST, chaque utilisateur ou système reçoit uniquement les ressources et accès nécessaires à son travail. [NIST]
  • Le cadre de Singapour pour l’IA agentique privilégie les approbations imposées par des contrôles système plutôt que demandées dans des prompts. [IMDA]

Études de cas et scénarios

Pratique d’équipe

Donnez à chaque agent partagé une fiche d’autorisation : finalité, accès et actions possibles, approbations requises, limites et personnes pouvant l’arrêter.

Outil d’équipeFiche d’autorisation d’un agent

Sources

Ces sources étayent les faits présentés sur cette page. Pour chacune, nous précisons ce qu’elle établit et les questions qu’elle laisse ouvertes. Les recommandations sont les nôtres. Voir toutes nos sources.

  1. OWASP Top 10 for LLM Applications, 2026 edition OWASP Gen AI Security Project · 3 août 2026 · Recommandations de sécurité Énumère les principaux risques de sécurité des applications d’IA, dont l’injection de prompt (LLM01), qui ne peut pas encore être empêchée de manière fiable, et l’autonomie excessive (LLM03) : plus de fonctions, d’autorisations ou d’autonomie que nécessaire. Recommande le moindre privilège et la confirmation humaine des actions privilégiées, irréversibles ou visibles à l’extérieur. Limites : Recommandations communautaires, pas une norme formelle.
  2. Prompt injection is not SQL injection (it may be worse) UK National Cyber Security Centre · 8 décembre 2025 · Recommandations officielles Explique que les modèles d’IA n’ont pas de frontière fiable entre données et instructions. L’injection de prompt pourrait donc ne jamais être entièrement résolue. Préconise des limites fixes indépendantes de l’IA sur les actions des systèmes, le moindre privilège et la journalisation. Limites : Destinées aux professionnels de la sécurité.
  3. The lethal trifecta for AI agents Simon Willison · 16 juin 2025 · Analyse d’un praticien Identifie la combinaison de l’accès aux données privées, de l’exposition à du contenu non fiable et de la capacité de communication externe comme la condition permettant le vol de données par des agents IA. Précise qu’aucune technique connue ne l’empêche de façon fiable. Limites : Cadre d’un praticien, non évalué par les pairs.
  4. Least privilege (glossary entry) NIST Computer Security Resource Center · Définition issue du NIST SP 800-53 Rev. 5 · Définition normalisée Définit le moindre privilège comme le fait d’accorder à chaque entité uniquement les ressources système et autorisations minimales nécessaires à sa fonction. Limites : Glossaire réunissant des définitions de publications du NIST.
  5. Model AI Governance Framework for Agentic AI Infocomm Media Development Authority, Singapore · Version 1.5 du 20 mai 2026 (première publication le 22 janvier 2026) · Cadre volontaire Les organisations et les personnes chargées de la supervision répondent des actions des agents. Le cadre préconise une approbation humaine aux étapes importantes, par exemple avant une suppression de données, un envoi de messages ou un paiement. Lorsque c’est possible, le système doit imposer cette approbation. Des examens très rapides ou de très rares interventions pour annuler une décision peuvent signaler des validations par habitude. Limites : Recommandations volontaires, pas une loi. Les études de cas ont été fournies par les entreprises elles-mêmes.

Citer cette page

Founderz (2026). Principe 4 : Autorisations limitées des agents IA. Le Référentiel RUAI, édition 2026. Développé par Founderz en collaboration avec Microsoft. https://responsibleai.founderz.com/fr/toolkit/principles/agent-permissions

Sous licence CC BY 4.0: partage et adaptation avec attribution.