Points cl\u00e9s<\/p>\n
- \n
- Vue paquets \u2260 vue d’intention.<\/strong> Un tunnel TLS valide vers un endpoint LLM autoris\u00e9 ne dit rien des appels d’outils ni de l’exfiltration de donn\u00e9es.<\/li>\n
- MCP multiplie la surface d’attaque.<\/strong> Les agents d\u00e9couvrent et appellent des outils – souvent hors des anciennes hypoth\u00e8ses DLP \u00ab l’utilisateur colle dans le navigateur \u00bb.<\/li>\n
- Le contr\u00f4le exige deux canaux.<\/strong> Le proxy de mod\u00e8le et la passerelle d’outils (politique sur le chemin MCP) doivent corr\u00e9ler intention et action.<\/li>\n<\/ul>\n<\/div>\n
\u00c0 lire aussi :<\/strong> Cursor lance git.exe depuis la racine du d\u00e9p\u00f4t<\/a> \u00b7 Qu’est-ce que le Zero Trust ? D\u00e9finition, principe et composants<\/a> \u00b7 OWASP Agentic AI Top 10 : quand les agents d’IA deviennent la plus grande surface d’attaque<\/a><\/p>\n
La lacune architecturale en une phrase<\/h2>\n
SASE et Secure Web Gateways ont \u00e9t\u00e9 con\u00e7us pour classer le trafic utilisateur, le d\u00e9chiffrer et le confronter aux r\u00e8gles URL, malware et DLP. Avec les workflows agentiques, cette hypoth\u00e8se tombe. Le proxy voit une connexion chiffr\u00e9e autoris\u00e9e vers un fournisseur LLM. Il ne voit pas qu\u2019un agent relie, via Model Context Protocol, d\u00e9p\u00f4ts internes, tickets ou bases de connaissances comme outils et en extrait le contenu.<\/p>\n
Des articles de juillet 2026 (notamment The Hacker News sur l\u2019angle mort SASE-IA) formulent cela comme une lacune d\u2019intention : la d\u00e9cision et l\u2019appel d\u2019outil ont lieu avant que le paquet n\u2019atteigne l\u2019inspection r\u00e9seau classique – ou passent par des canaux que le proxy edge ne voit jamais (agents locaux, plugins IDE, serveurs MCP priv\u00e9s).<\/p>\n
\nD\u00e9finition \u00b7 MCP<\/p>\n
Le Model Context Protocol est un protocole ouvert permettant aux agents IA de d\u00e9couvrir et d\u2019appeler outils et sources de donn\u00e9es. Il s\u00e9pare le canal mod\u00e8le de l\u2019ex\u00e9cution des outils – et donc aussi les surfaces de contr\u00f4le.<\/p>\n<\/div>\n
Pourquoi les anciens sc\u00e9narios DLP ne suffisent plus<\/h2>\n
Le mod\u00e8le classique : les collaborateurs ouvrent le navigateur, collent du texte, le HTTPS quitte l’entreprise. Contr\u00f4les : CASB, SWG, isolation du navigateur, Prompt-DLP. Les agents endpoint et les agents natifs IDE contournent une partie de cette cha\u00eene. Ils s’ex\u00e9cutent sur l’h\u00f4te, gardent le contexte en local et s’adressent \u00e0 des serveurs MCP internes ou en SaaS.<\/p>\n
Les serveurs MCP non g\u00e9r\u00e9s multiplient le risque. Les estimations du march\u00e9 \u00e9voquent des dizaines de milliers de serveurs MCP publics – sans que la s\u00e9curit\u00e9 dispose d’un inventaire, d’un standard d’authentification ou d’une piste d’audit g\u00e9n\u00e9ralis\u00e9s. Qui se contente de \u00ab bloquer le domaine ChatGPT \u00bb rate compl\u00e8tement le chemin agent.<\/p>\n
Ce que les \u00e9quipes de s\u00e9curit\u00e9 doivent restructurer<\/h2>\n
Premi\u00e8rement, l\u2019inventaire : quels agents tournent (IDE, desktop, c\u00f4t\u00e9 serveur) ? Quels serveurs MCP sont autoris\u00e9s ? Quelles identit\u00e9s et secrets utilisent-ils ? Deuxi\u00e8mement, la politique sur le canal d\u2019outils : listes d\u2019autorisation pour les outils, assainissement des param\u00e8tres, classification des donn\u00e9es avant l\u2019appel, journalisation de chaque acc\u00e8s outil avec utilisateur\/agent\/contexte.<\/p>\n
Troisi\u00e8mement, la corr\u00e9lation : le proxy de mod\u00e8le (prompt\/r\u00e9ponse) et la passerelle MCP (ex\u00e9cution d\u2019outils) doivent \u00eatre lisibles conjointement. Sinon, l\u2019intention reste dans le prompt et l\u2019action dans le journal d\u2019outils, isol\u00e9es – pr\u00e9cis\u00e9ment la faille exploit\u00e9e dans les sc\u00e9narios actuels d\u2019exfiltration par agent.<\/p>\n
\n - MCP multiplie la surface d’attaque.<\/strong> Les agents d\u00e9couvrent et appellent des outils – souvent hors des anciennes hypoth\u00e8ses DLP \u00ab l’utilisateur colle dans le navigateur \u00bb.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cursor-windows-git-exe-repo-root-code-execution-cover-hero-250x141.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-9-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-zero-trust-cover-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-cloudfront-5xx-was-vpc-origins-teams-pru-67055442.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-bfsi-datengovernance-banken-ai-ready-dat-62296644-250x139.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-dean-ball-open-weight-macht-fud-dach-25610384-250x143.jpg\")
<\/span>