Identités de machines : les comptes que personne ne compte

Avec Microsoft Entra Agent ID, les agents IA ont leurs propres identités depuis le 1er mai, avec le même appareil de politiques d’accès, de détection des risques et de journalisation que les humains et les charges de travail avaient jusqu’à présent. C’est la bonne réponse à un problème réel. Mais cela crée également une nouvelle classe de comptes dans l’annuaire qui croît plus vite que l’équipe IAM ne peut les compter. Les identités machine sont désormais un élément à chaque examen de sécurité.

Related:Copilot Cowork agit seul, le SOC ne le voit pas  /  Auto-réplication : les agents IA passent de 6 à 81 %

Qu’est-ce que Microsoft Entra Agent ID ? Entra Agent ID est un cadre d’identité et de sécurité qui étend les fonctionnalités de Microsoft Entra aux agents IA. Les agents reçoivent leurs propres identités, grâce auxquelles ils peuvent s’authentifier, s’autoriser et se gérer. Ils bénéficient des mêmes mécanismes de protection basés sur l’identité que les utilisateurs et les charges de travail : politiques d’accès adaptatives, détection des risques en temps réel, gestion du cycle de vie et journalisation. Entra Agent ID est disponible depuis le 1er mai 2026 et fait partie d’Agent 365, qui coûte 15 $ par utilisateur et par mois ou est inclus dans le bundle Microsoft 365 E7.

De l’aide à l’enregistrement d’applications à la véritable identité

Jusqu’en 2025, les agents IA dans l’univers Microsoft fonctionnaient généralement via un enregistrement d’application. Un agent était considéré comme une application et non comme un acteur autonome du point de vue de l’identité. Cela fonctionnait tant que les agents étaient des phénomènes marginaux. Dès qu’une entreprise en déployait des dizaines de manière productive, le modèle s’effondrait. Un enregistrement d’application ne disait rien sur ce que l’agent faisait, qui en était responsable et quels droits il avait acquis au fil du temps.

Entra Agent ID remplace cette solution provisoire par un modèle d’identité dédié. Au lieu d’un enregistrement d’application unique, il propose une hiérarchie à trois niveaux avec quatre types d’objets. Cela peut sembler plus complexe à première vue, mais cela offre plus de contrôle à la seconde vue, car les droits, la responsabilité et le cycle de vie de chaque agent peuvent être clairement attribués.

Source : Microsoft Learn sur l’ID d’agent Microsoft Entra, état en mai 2026.

Via le modèle, un agent peut générer une ou plusieurs identités d’agents, facultativement avec une identité d’utilisateur d’agent. C’est là que l’équipe de sécurité doit regarder de près. De nombreux modèles donnent naissance à de nombreuses identités. Chacune d’elles est un compte dans l’annuaire.

La nouvelle classe de comptes que personne ne compte

Les identités non humaines, c’est-à-dire les identités sans humain derrière, ne sont pas un sujet nouveau. Les comptes de service, les identités de charge de travail et les clés API accompagnent les équipes de sécurité depuis des années. La nouveauté réside dans la vitesse. Un compte de service est généralement créé de manière consciente, souvent via une demande. Une identité d’agent apparaît dès qu’une personne crée un agent et le met en production.

Cela déplace le problème de la quantité. Là où il y avait auparavant une poignée de comptes de service par département, des dizaines d’identités d’agents peuvent se trouver dans l’annuaire après quelques mois de fonctionnement, chacune avec ses propres droits. Si le modèle génère plusieurs identités par agent et que chaque identité facultative obtient un utilisateur d’agent, le nombre se multiplie encore.

Le constat pratique est clair : quiconque ne tient pas un inventaire à jour des identités d’agents perd le contrôle en quelques trimestres. L’inventaire n’est pas un luxe. C’est la condition préalable pour pouvoir dire, en cas d’incident, quels comptes non humains existent et lequel est actuellement suspect.

Quand le compte d'agent devient un cas d'escalade

Le plus sensible des quatre types d'objets est l'utilisateur-agent. Une identité ressemblant à un utilisateur pour un agent est pratique car elle permet à l'agent d'apparaître dans des systèmes conçus pour les utilisateurs. Elle est risquée pour la même raison. Un compte qui se comporte comme un utilisateur peut également accumuler des droits comme un utilisateur.

Le modèle d'escalade classique se transmet directement. Un agent obtient l'accès à un système pour une première tâche. Pour la tâche suivante, un deuxième accès s'ajoute, puis un troisième. Personne ne retire les anciens droits car l'agent est encore en cours d'exécution. Après un an, l'identité de l'agent a une combinaison de droits que personne n'a consciemment attribuée. Si cet agent est compromis, par exemple via une saisie manipulée, l'attaquant a accès à toute la combinaison de droits accumulés.

La conséquence est claire : les identités d'agents avec un accès étendu appartiennent à la même catégorie que les comptes d'utilisateurs privilégiés. Ils nécessitent une vérification régulière des droits, le principe des droits minimaux et idéalement une attribution de droits limitée dans le temps au lieu d'une attribution permanente. Entra Agent ID fournit les outils pour cela, car les agents bénéficient des mêmes politiques d'accès que les humains. Les outils ne fonctionnent cependant que si une équipe les applique consciemment aux comptes d'agents.

Cycle de vie des informations d'identification pour les non-humains

Un compte humain a un cycle de vie clair. Il est créé lors de l'entrée, ajusté lors du changement de rôle et désactivé lors de la sortie. La sortie est le moment le plus important car elle ferme le compte. Pour les identités d'agents, ce moment manque souvent car un agent ne quitte pas.

C'est précisément ici que se trouve la faille silencieuse. Un agent est construit pour un projet, le projet se termine, l'agent continue de fonctionner ou reste au moins dans l'annuaire. Son identité, ses informations d'identification et ses droits restent actifs. Du point de vue d'un attaquant, une identité d'agent oubliée mais encore autorisée est une cible idéale : fonctionnelle, dotée de droits et non surveillée par personne.

Le cycle de vie des identités d'agents nécessite donc un point final défini. Chaque identité d'agent doit être associée à une date d'expiration ou à une obligation de révision. Une identité dont l'agent associé n'a montré aucune activité depuis des mois est un candidat à la désactivation. Entra Agent ID enregistre l'activité de chaque identité d'agent, les données pour cette décision sont donc disponibles. Il suffit de les évaluer.

Ce que les équipes de sécurité doivent planifier

Entra Agent ID est une amélioration. Il intègre les agents dans un appareil qui gère correctement les identités depuis des années. L'erreur serait de supposer que l'amélioration fonctionne automatiquement. Quatre étapes doivent être planifiées avant que le nombre d'agents ne devienne à deux chiffres.

Premièrement, l'inventaire. Un répertoire en cours de toutes les identités d'agents, avec l'agent associé, le propriétaire et l'étendue des droits. Sans cet inventaire, toute autre mesure est aveugle.

Deuxièmement, la classification des privilèges. Les identités d'agents avec un accès étendu sont traitées comme des comptes privilégiés, avec une vérification régulière des droits et une attribution minimale de droits.

Troisièmement, le cycle de vie. Chaque identité d'agent obtient une date d'expiration ou une obligation de révision. Les identités inactives sont désactivées, ne sont pas laissées en place pour des raisons de commodité.

Quatrièmement, la détection. Le SOC a besoin de règles pour détecter les comportements anormaux des identités d'agents, par exemple une extension de droits inhabituelle ou une activité en dehors du modèle attendu. Les données de journalisation sont fournies par Entra Agent ID, l'évaluation est une tâche distincte.

L'évaluation sobre : les identités de machines ne sont pas une raison de s'exciter, mais une raison de discipline. Microsoft a construit le bon cadre dans lequel les agents IA existent en tant qu'identités gérables. Que cela devienne un répertoire de comptes bien géré ou une prolifération de comptes non humains, c'est le choix de l'équipe de sécurité et non du produit.

Foire aux questions

Chaque question est verrouillée. Un clic déverrouille la réponse.

Qu'est-ce que Microsoft Entra Agent ID ?

Entra Agent ID est un cadre d'identité et de sécurité qui étend les fonctionnalités Microsoft Entra aux agents IA. Les agents bénéficient de leurs propres identités avec des politiques d'accès adaptatives, une détection des risques, une gestion du cycle de vie et une journalisation. Il est généralement disponible depuis le 1er mai 2026 et fait partie d'Agent 365.

Quels sont les quatre types d’objets dans le modèle d’identité ?

Le modèle se compose du Agent Identity Blueprint comme modèle, du Blueprint Principal comme ancre de sécurité, de l’Agent Identity comme identité de l’agent en cours d’exécution et de l’Agent User facultatif, une identité similaire à un utilisateur. Via le Blueprint, une ou plusieurs identités d’agent peuvent être générées.

Pourquoi les identités de machine constituent-elles un risque pour la sécurité ?

Pas parce qu’elles sont fondamentalement peu sûres, mais parce qu’elles croissent rapidement et sans être remarquées. Chaque agent productif génère au moins une identité. Sans inventaire, classification des privilèges et cycle de vie, un stock de comptes non humains est créé, qu’aucune routine standard ne saisit et qui devient un point aveugle en cas d’incident.

Qu’est-ce qui est particulièrement sensible avec l’Agent-User ?

L’Agent User est une identité similaire à un utilisateur pour un agent. Parce qu’il se comporte comme un compte utilisateur, il peut également accumuler des droits comme un compte utilisateur. Sans vérification régulière des droits, une combinaison de droits est créée que personne n’a consciemment attribuée. Un Agent-User compromis ouvre alors cet accès entier.

Que devraient faire les équipes de sécurité en premier lieu ?

Mettre en place un inventaire en cours de toutes les identités d’agent, traiter les identités avec un accès étendu comme des comptes privilégiés, attribuer une date d’expiration ou une obligation de révision à chaque identité d’agent et compléter les règles de détection pour un comportement anormal de l’agent dans le SOC. Les données de protocole nécessaires sont fournies par Entra Agent ID.

Conseils de lecture de la rédaction

• Audit NIS2 : Où la liste des fournisseurs s’effondre en deux heures
• Surveillance eBPF dans Kubernetes : Détection des opérations d’exécution invisibles
• Ingénierie de détection sans verrouillage de fournisseur : Wazuh-Stack 2026

Plus de contenu du réseau MBF Media