Un agent, c'est des droits
On parle d'un agent comme d'une intelligence, ce qui masque l'essentiel : un agent, concrètement, c'est un ensemble de droits. Le droit de lire telle boîte, d'écrire dans tel fichier, d'appeler tel outil, d'atteindre telle base. Chaque connecteur qu'on lui accorde est une clé qu'on lui confie. Le moindre privilège consiste à ne lui remettre que les clés strictement nécessaires à sa tâche, et aucune de plus.
La logique est celle de la sécurité depuis toujours, mais elle prend une acuité particulière avec les agents, parce qu'un agent peut être détourné par ce qu'il lit. Un agent qui peut tout faire transforme la moindre injection en compromission générale. Le même agent, cantonné, transforme la même injection en incident contenu. La différence ne se joue pas au moment de l'attaque, elle se joue à la conception.
La règle des deux sur trois
Il existe une manière simple de tenir ce principe, formulée récemment et devenue une référence du domaine. Un agent cumule au plus deux de ces trois capacités dans une même session : traiter des données non fiables, accéder à des données sensibles, agir vers l'extérieur. Cumuler les trois, c'est offrir la chaîne d'attaque complète : l'agent lit un contenu piégé, il a accès à des données qui comptent, et il peut les faire sortir. En retirer une seule brise la chaîne.
Source, Meta, « Agents Rule of Two, A Practical Approach to AI Agent Security » (ai.meta.com, novembre 2025) : tant que l'injection de prompt n'est pas résolue de façon fiable, un agent ne devrait pas satisfaire plus de deux des trois propriétés, entrée non fiable, donnée sensible, action ou communication vers l'extérieur, dans une même session. Vérifié juillet 2026.
Un agent qui lit n'importe quoi, touche à tout et agit dehors réunit à lui seul les trois conditions d'une fuite.
L'autonomie n'est pas une vertu
Le récit ambiant valorise l'agent autonome, celui qu'on lâche et qui se débrouille. C'est une erreur de cadrage. L'autonomie n'est pas une qualité en soi, c'est un réglage, et un réglage qui a un coût de sécurité. Un agent qui décide et agit seul exécute aussi, sans broncher, les ordres qu'il n'aurait pas dû suivre. Le bon niveau d'autonomie n'est pas le maximum, c'est celui que le risque de chaque action justifie.
D'où le troisième pilier, l'humain dans la boucle, non pas sur chaque geste, mais sur les bons. Les actions réversibles et sans enjeu restent automatiques. Celles qui engagent, un paiement, un envoi, une suppression, un engagement, passent par une validation explicite, et tout est journalisé. Ce n'est pas de la défiance envers le système, c'est ce qui garde la décision là où elle doit être.
Concevoir l'agent bridé, pas le brider après
Tous ces principes ont un point commun : ils ne s'ajoutent pas à un agent déjà construit, ils se décident avant. On ne sécurise pas un agent en lui retirant des droits une fois qu'il a débordé, on le conçoit d'emblée avec le périmètre juste. C'est plus exigeant au départ, et infiniment plus sûr ensuite. C'est aussi la raison pour laquelle nous concevons des systèmes agentiques gouvernés, pas autonomes. Le cadre complet, les références ANSSI et le coût réel d'un déploiement sont dans le dossier de référence.