Les points cl\u00e9s en bref<\/p>\n
- \n
- Cowork agit, ne r\u00e9pond plus seulement.<\/strong> Le mode Wave 3 ex\u00e9cute des t\u00e2ches multi-\u00e9tapes de mani\u00e8re autonome en arri\u00e8re-plan et prend des actions r\u00e9elles, avec les autorisations de l’utilisateur concern\u00e9.<\/li>\n
- L’injection de prompt devient une cha\u00eene d’actions.<\/strong> Un e-mail manipul\u00e9 ou un document pr\u00e9par\u00e9 que l’agent lit au milieu de la t\u00e2che peut d\u00e9tourner les \u00e9tapes suivantes.<\/li>\n
- La porte de sortie est facultative.<\/strong> Cowork peut \u00eatre v\u00e9rifi\u00e9, dirig\u00e9 et arr\u00eat\u00e9. Sans seuil de lib\u00e9ration d\u00e9fini, l’\u00eatre humain ne voit l’action \u00e0 cons\u00e9quences qu’apr\u00e8s coup.<\/li>\n
- La piste d’audit n’est pas automatique.<\/strong> Les \u00e9v\u00e9nements Cowork sont enregistrables, mais le journalisation Purview doit \u00eatre configur\u00e9e sp\u00e9cifiquement pour cela. Sans cette \u00e9tape, le SOC n’a pas de t\u00e9l\u00e9m\u00e9trie.<\/li>\n<\/ul>\n<\/div>\n
Li\u00e9 :<\/span>Auto-r\u00e9plication : les agents IA passent de 6 \u00e0 81 %<\/a> \/<\/span> Phishing IA : les filtres de messagerie deviennent aveugles<\/a><\/p>\n
Qu’est-ce que Copilot Cowork ?<\/strong> Cowork est le nouveau mode central de la Wave 3 de Copilot de Microsoft, pr\u00e9sent\u00e9 le 9 mars 2026 et construit en collaboration avec Anthropic. Contrairement au Copilot bas\u00e9 sur le dialogue, Cowork ex\u00e9cute des t\u00e2ches longues et multi-\u00e9tapes et prend des actions r\u00e9elles : planification de rendez-vous, envoi d’e-mails, \u00e9dition de documents. La t\u00e2che s’ex\u00e9cute en arri\u00e8re-plan pendant que l’utilisateur travaille sur autre chose. Cowork d\u00e9marre comme Preview de recherche avec des clients s\u00e9lectionn\u00e9s et fonctionne via le programme Frontier.<\/p>\n
De l’assistant \u00e0 l’acteur<\/h2>\n
La rupture pertinente pour la s\u00e9curit\u00e9 ne se situe pas dans l’IA elle-m\u00eame, mais dans la transition de la suggestion \u00e0 l’action. Un Copilot bas\u00e9 sur le dialogue formule un brouillon d’e-mail qu’un humain lit, v\u00e9rifie et envoie. Cowork envoie lui-m\u00eame l’e-mail parce que l’envoi fait partie de la t\u00e2che assign\u00e9e. Il n’y a plus de clic humain entre l’intention et l’effet.<\/p>\n
Microsoft d\u00e9crit d\u00e9lib\u00e9r\u00e9ment Cowork avec un vocabulaire de contr\u00f4le. Le travail est observable, les actions sont transparentes, le progr\u00e8s peut \u00eatre v\u00e9rifi\u00e9, dirig\u00e9 et arr\u00eat\u00e9. Tout se d\u00e9roule dans le cadre de s\u00e9curit\u00e9, d’identit\u00e9 et de gouvernance de Microsoft 365. C’est vrai. Ce n’est pourtant que la moiti\u00e9 de l’affirmation. Observable ne signifie pas observ\u00e9. Arr\u00eatable ne signifie pas arr\u00eat\u00e9. Les capacit\u00e9s existent, leur efficacit\u00e9 d\u00e9pend de la configuration et du processus.<\/p>\n
Pour une \u00e9quipe de s\u00e9curit\u00e9, c’est la distinction d\u00e9cisive. Cowork agit avec l’identit\u00e9 et les autorisations de l’utilisateur qui a lanc\u00e9 la t\u00e2che. Un agent qui fonctionne pour un dirigeant commercial peut acc\u00e9der \u00e0 la bo\u00eete de r\u00e9ception, aux documents et aux contacts de celui-ci. Si cet agent est d\u00e9tourn\u00e9 dans une mauvaise direction, il n’agit pas comme un script anonyme, mais comme ce dirigeant.<\/p>\n
L’injection de prompts devient une cha\u00eene d’actions<\/h2>\n
L’injection de prompts est connue comme un mod\u00e8le d’attaque. Ce qui est nouveau, c’est l’effet de levier lorsqu’il s’agit non pas d’une fen\u00eatre de chat, mais d’une cha\u00eene d’actions en cours. Un exemple vu du c\u00f4t\u00e9 de l’incident : un collaborateur re\u00e7oit pour t\u00e2che d’examiner les e-mails entrants de fournisseurs et de r\u00e9pondre aux questions. Dans l’un de ces e-mails, une instruction au destinataire est cach\u00e9e, invisible dans le texte ou en \u00e9criture blanche. Elle demande \u00e0 l’agent de d\u00e9finir une r\u00e8gle de redirection ou d’envoyer un fichier sp\u00e9cifique \u00e0 une adresse externe.<\/p>\n
L’agent fait la distinction entre les donn\u00e9es et les instructions moins bien qu’un humain. S’il lit l’e-mail manipul\u00e9 au milieu d’une t\u00e2che \u00e0 plusieurs \u00e9tapes, la commande ins\u00e9r\u00e9e peut transformer les \u00e9tapes suivantes. L’utilisateur a confi\u00e9 une t\u00e2che inoffensive. L’agent ex\u00e9cute finalement une t\u00e2che suppl\u00e9mentaire qui n’a jamais \u00e9t\u00e9 autoris\u00e9e. Parce que les deux se produisent dans la m\u00eame session et sous la m\u00eame identit\u00e9, cela ressemble dans le journal \u00e0 une action coh\u00e9rente et voulue.<\/p>\n
C’est la diff\u00e9rence avec l’injection classique. Autrefois, l’attaque se terminait par une r\u00e9ponse incorrecte dans le chat. Aujourd’hui, elle se termine par une action ex\u00e9cut\u00e9e avec un effet r\u00e9el, int\u00e9gr\u00e9e dans une cha\u00eene d’\u00e9tapes l\u00e9gitimes. La cha\u00eene est le d\u00e9guisement.<\/p>\n
O\u00f9 manque la passerelle Human-in-the-Loop<\/h2>\n
Microsoft a pr\u00e9vu les points de contr\u00f4le. Le collaborateur peut \u00eatre v\u00e9rifi\u00e9, dirig\u00e9 et arr\u00eat\u00e9. La question ouverte est de savoir \u00e0 quel moment l’humain doit imp\u00e9rativement intervenir avant qu’une action \u00e0 cons\u00e9quences ne soit ex\u00e9cut\u00e9e. C’est pr\u00e9cis\u00e9ment ici que la configuration d\u00e9cide du risque.<\/p>\n
Sans seuil de lib\u00e9ration d\u00e9fini, la logique standard s’applique : l’agent travaille, l’humain peut regarder. Qui ne regarde pas, voit le r\u00e9sultat. Pour une t\u00e2che comme la synth\u00e8se de notes internes, cela est acceptable. Pour une t\u00e2che qui envoie un e-mail \u00e0 l’ext\u00e9rieur en une \u00e9tape ou modifie un document partag\u00e9, ce n’est pas le cas. Ces actions doivent \u00eatre plac\u00e9es derri\u00e8re une passerelle qui impose une confirmation humaine.<\/p>\n
Les \u00e9quipes de s\u00e9curit\u00e9 ne devraient donc pas permettre ou interdire les t\u00e2ches Cowork de mani\u00e8re g\u00e9n\u00e9rale, mais les classer en fonction de leur impact. Les actions sans impact externe se d\u00e9roulent. Les actions avec impact externe ou avec acc\u00e8s en \u00e9criture \u00e0 des contenus partag\u00e9s n\u00e9cessitent une \u00e9tape de confirmation. Cette classification est un travail manuel. C’est le levier le plus efficace qu’une entreprise peut actionner avant le d\u00e9ploiement.<\/p>\n
Le manque de d\u00e9tection dans le SOC<\/h2>\n
Le point le plus dangereux est le plus discret. Microsoft affirme que chaque action Cowork peut faire l\u2019objet d\u2019un audit. Dans le m\u00eame temps, il pr\u00e9cise que les organisations doivent configurer explicitement la journalisation d\u2019audit Purview pour les \u00e9v\u00e9nements Cowork afin de garantir la conformit\u00e9. \u00catre auditables et \u00eatre effectivement audit\u00e9s sont deux \u00e9tats diff\u00e9rents.<\/p>\n
\n\nCe qui reste en suspens<\/p>\n
- \n
- Les \u00e9v\u00e9nements Cowork sans journalisation Purview configur\u00e9e ne g\u00e9n\u00e8rent aucune t\u00e9l\u00e9m\u00e9trie SOC<\/li>\n
- Les actions des agents s\u2019ex\u00e9cutent sous l\u2019identit\u00e9 de l\u2019utilisateur et ne sont pas d\u00e9tect\u00e9es dans les journaux standards<\/li>\n
- Aucun contr\u00f4le pr\u00e9alable pour les actions \u00e0 fort impact si aucun seuil d\u2019approbation n\u2019est d\u00e9fini<\/li>\n
- L\u2019injection de prompt dans des cha\u00eenes d\u2019actions laisse une s\u00e9quence d\u2019\u00e9tapes apparemment l\u00e9gitime<\/li>\n<\/ul>\n<\/div>\n\n
Ce qui compte avant le d\u00e9ploiement<\/p>\n
- \n
- Activer explicitement la journalisation d\u2019audit Purview pour les \u00e9v\u00e9nements Cowork<\/li>\n
- Classer les t\u00e2ches Cowork selon leur impact externe et instaurer des points de contr\u00f4le<\/li>\n
- Compl\u00e9ter les r\u00e8gles de d\u00e9tection du SOC pour identifier les actions anormales des agents<\/li>\n
- Limiter les autorisations Cowork \u00e0 un cercle pilote, sans les diffuser massivement<\/li>\n<\/ul>\n<\/div>\n<\/div>\n
Une entreprise qui active Cowork sans activer au pr\u00e9alable la journalisation dispose d\u2019un acteur autonome sur son r\u00e9seau dont les actions n\u2019apparaissent pas dans les journaux standards. En cas d\u2019incident, c\u2019est pr\u00e9cis\u00e9ment la trace montrant ce qu\u2019a fait l\u2019agent et \u00e0 quel moment qui fait d\u00e9faut. L\u2019enqu\u00eate forensique ne commence donc pas sur les journaux, mais sur une lacune.<\/p>\n
S\u2019ajoute \u00e0 cela le probl\u00e8me d\u2019identit\u00e9. Puisque Cowork agit sous l\u2019identit\u00e9 de l\u2019utilisateur qui l\u2019a lanc\u00e9, ses actions ne d\u00e9clenchent aucune anomalie \u00e9vidente dans les outils SIEM et EDR. Un courrier envoy\u00e9 par un compte utilisateur semble tout \u00e0 fait normal. Le fait qu\u2019un agent se cache derri\u00e8re, d\u00e9tourn\u00e9 par une saisie manipul\u00e9e, n\u2019appara\u00eet dans aucune alerte standard. La d\u00e9tection des activit\u00e9s d\u2019agents est une t\u00e2che sp\u00e9cifique, pas un sous-produit des r\u00e8gles existantes.<\/p>\n
Ce que les \u00e9quipes s\u00e9curit\u00e9 doivent faire maintenant<\/h2>\n
Cowork est en cours de d\u00e9ploiement via le programme Frontier et sous forme d\u2019aper\u00e7u de recherche. C\u2019est la fen\u00eatre id\u00e9ale pour mettre en place les contr\u00f4les avant le d\u00e9ploiement \u00e0 grande \u00e9chelle. Quatre \u00e9tapes doivent \u00eatre anticip\u00e9es.<\/p>\n
Premi\u00e8rement, activer la journalisation.<\/strong> Activez la journalisation d\u2019audit Purview pour les \u00e9v\u00e9nements Cowork avant que le premier agent ne soit utilis\u00e9 en production. Sans cette \u00e9tape, toute autre mesure est aveugle.<\/p>\n
Deuxi\u00e8mement, classer les t\u00e2ches.<\/strong> Triez les t\u00e2ches Cowork selon leur impact externe. Les actions envoyant des donn\u00e9es \u00e0 l\u2019ext\u00e9rieur ou modifiant des contenus partag\u00e9s doivent passer par une confirmation humaine obligatoire. Les actions sans impact externe peuvent \u00eatre ex\u00e9cut\u00e9es automatiquement.<\/p>\n
Troisi\u00e8mement, renforcer la d\u00e9tection.<\/strong> Le SOC a besoin de r\u00e8gles sp\u00e9cifiques pour d\u00e9tecter les comportements anormaux des agents : r\u00e8gles de transfert inhabituelles, acc\u00e8s massifs aux fichiers en peu de temps, communications externes en dehors des sch\u00e9mas habituels. Ces r\u00e8gles ne se mettent pas en place d\u2019elles-m\u00eames.<\/p>\n
Quatri\u00e8mement, limiter au pilote.<\/strong> D\u00e9marrez Cowork avec un groupe restreint d\u2019utilisateurs, pas avec l\u2019ensemble du personnel. Le pilote permettra d\u2019obtenir des mod\u00e8les r\u00e9els d\u2019utilisation, seuls capables de servir de base \u00e0 l\u2019ajustement des r\u00e8gles de d\u00e9tection.<\/p>\n
L\u2019analyse est r\u00e9aliste. Cowork ne constitue pas un risque incontr\u00f4lable. Microsoft fournit les outils n\u00e9cessaires pour le ma\u00eetriser. L\u2019erreur serait de croire que ces outils \u00e9quivalent \u00e0 un contr\u00f4le effectif. Un agent agissant de mani\u00e8re autonome n\u2019est jamais plus s\u00fbr que les points de contr\u00f4le et les journaux que l\u2019\u00e9quipe s\u00e9curit\u00e9 aura mis en place avant le d\u00e9ploiement. Apr\u00e8s cela, ce n\u2019est plus que de la gestion des cons\u00e9quences.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nQu\u2019est-ce que Copilot Cowork ?<\/strong><\/summary>\n
Cowork est le nouveau mode autonome de la vague 3 de Copilot de Microsoft, pr\u00e9sent\u00e9 le 9 mars 2026. Il ex\u00e9cute en arri\u00e8re-plan des t\u00e2ches longues et multi-\u00e9tapes, en menant des actions concr\u00e8tes comme planifier des rendez-vous, envoyer des e-mails ou modifier des documents. Cowork a \u00e9t\u00e9 d\u00e9velopp\u00e9 en collaboration avec Anthropic et est lanc\u00e9 en tant qu\u2019aper\u00e7u de recherche via le programme Frontier.<\/p>\n<\/details>\n
\nPourquoi Cowork est-il un sujet de s\u00e9curit\u00e9 ?<\/strong><\/summary>\n
Parce que Cowork ne propose pas seulement du texte, mais ex\u00e9cute des actions – avec l’identit\u00e9 et les autorisations de l’utilisateur qui a donn\u00e9 la t\u00e2che. Entre l’intention et l’effet, il n’y a plus de clic humain. Si l’agent est d\u00e9tourn\u00e9 par une saisie manipul\u00e9e, il agit comme cet utilisateur, sans que cela ne soit d\u00e9tect\u00e9 dans le protocole standard.<\/p>\n<\/details>\n
\nComment fonctionne l’injection de prompt avec un agent autonome ?<\/strong><\/summary>\n
L’agent lit des contenus tels que des e-mails ou des documents pendant une t\u00e2che. Si un tel contenu contient une instruction cach\u00e9e, l’agent peut la traiter comme une commande au lieu de donn\u00e9es. Dans une t\u00e2che \u00e0 plusieurs \u00e9tapes, cela d\u00e9vie les \u00e9tapes suivantes. Le r\u00e9sultat est une action non autoris\u00e9e ex\u00e9cut\u00e9e, int\u00e9gr\u00e9e dans une s\u00e9quence d’\u00e9tapes par ailleurs l\u00e9gitime.<\/p>\n<\/details>\n
\nLes actions de Cowork sont-elles tra\u00e7ables ?<\/strong><\/summary>\n
Elles sont auditables, mais pas automatiquement enregistr\u00e9es. Les organisations doivent configurer le journal d’audit Purview sp\u00e9cifiquement pour les \u00e9v\u00e9nements Cowork. Sans cette \u00e9tape, les actions ne g\u00e9n\u00e8rent pas de t\u00e9l\u00e9m\u00e9trie SOC. En cas d’incident, la trace de ce que l’agent a fait et quand manque.<\/p>\n<\/details>\n
\nQue devraient faire les \u00e9quipes de s\u00e9curit\u00e9 avant le d\u00e9ploiement ?<\/strong><\/summary>\n
Quatre choses : activer le journal d’audit Purview pour Cowork, classer les t\u00e2ches Cowork en fonction de leur impact externe et d\u00e9finir des passerelles d’approbation, compl\u00e9ter les r\u00e8gles de d\u00e9tection d’actions anormales des agents dans le SOC, et limiter Cowork \u00e0 un cercle pilote au lieu de le d\u00e9ployer largement.<\/p>\n<\/details>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/nis2-audit-lieferketten-vendor-liste-evidenz-2026-cover-hero-3-250x143.png\")
<\/span>\u00c0 lire<\/span>Audit NIS2 : Quand la liste des fournisseurs s<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/adaptive-mfa-nis2-bsi-zero-trust-mittelstand-fido2-2026-hero-250x167.jpg\")
<\/span>\u00c0 lire<\/span>MFA adaptative : levier NIS2 z\u00e9ro-trust PME<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/detection-engineering-wazuh-sigma-shuffle-open-source-soc-2026-cover-hero-3-250x167.jpg\")
<\/span>\u00c0 lire<\/span>D\u00e9tection-Ing\u00e9nierie sans verrouillage fournisseur<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-copilot-studio-agenten-leitstelle-11121796.jpg\")
<\/span>cloudmagazin<\/span>Copilot Studio devient le centre de commandement des agents<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-microsoft-365-e7-bundle-mittelstand-tco-6520872-250x167.jpg\")
<\/span>MyBusinessFuture<\/span>Microsoft : le pack d\u2019IA \u00e0 99 dollars en vaut-il la peine ?<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-agent-365-ki-agenten-governance-haftung-89132355-250x141.jpg\")
<\/span>Digital Chiefs<\/span>L\u2019agent 365 ordonne les agents d\u2019IA, la responsabilit\u00e9 demeure ouverte<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Copilot Cowork ex\u00e9cute des actions de mani\u00e8re autonome. Quelle surface d\u2019attaque cela ouvre et pourquoi le SOC reste aveugle sans journalisation\u2026","protected":false},"author":10,"featured_media":14912,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"","_yoast_wpseo_title":"Copilot Cowork agit seul, le SOC ne le voit pas","_yoast_wpseo_metadesc":"Copilot Cowork agit de fa\u00e7on autonome : e-mails, documents, rendez-vous. Pourquoi l'injection de prompt devient une cha\u00eene d'actions et le SOC reste\u2026","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/copilot-cowork-autonome-agenten-soc-angriffsflaeche-cover-hero.png","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/copilot-cowork-autonome-agenten-soc-angriffsflaeche-cover-hero.png","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["surface-d-attaque-des-agents-autonomes-de-cowork-copilot"],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-14799","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":11,"wpml_language":"fr","wpml_translation_of":14744,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/14799","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=14799"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/14799\/revisions"}],"predecessor-version":[{"id":21337,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/14799\/revisions\/21337"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/14912"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=14799"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=14799"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=14799"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- L’injection de prompt devient une cha\u00eene d’actions.<\/strong> Un e-mail manipul\u00e9 ou un document pr\u00e9par\u00e9 que l’agent lit au milieu de la t\u00e2che peut d\u00e9tourner les \u00e9tapes suivantes.<\/li>\n