Outils

Agents IA : les garde-fous utiles

Pour un agent qui touche aux fichiers et aux messages, mieux vaut brider ses droits et valider les actions sensibles que miser sur un seul filtre.

M

Par Marie

Nantes · 30 octobre 2026 · 5 min de lecture

X in f

Armoire métallique verrouillée dans un couloir technique éclairé de bleu, câbles alignés au fond

Aucun outil ne suffit seul : un agent qui lit des fichiers et envoie des messages se protège d'abord en réduisant ce qu'il a le droit de faire, puis en filtrant ce qui part vers le modèle. Le NCSC britannique rappelle que « The best we can hope for is reducing the likelihood or impact of attacks », ce qui impose des garde-fous situés hors du modèle. Le choix d'un produit vient après cette architecture.

Quelle protection retenir pour un agent qui accède aux fichiers et écrit à l'extérieur ?

Il faut d'abord casser la combinaison dangereuse, avant d'ajouter un filtre. Le blog de Simon Willison, publié le 16/06/2025, décrit trois capacités à ne pas cumuler : « Access to your private data », « Exposure to untrusted content » et « The ability to externally communicate ». Selon le même billet, un agent qui réunit ces trois traits permet à un attaquant de le pousser à accéder aux données privées.

Avec un agent, une fuite n'est plus une phrase de trop dans une réponse : c'est un e-mail parti, un fichier partagé, un appel d'outil MCP exécuté. Dans un billet du 17/01/2025 sur l'évaluation du détournement d'agents, le NIST (CAISI) mesure une hausse du taux de réussite des attaques, de 11 % pour la meilleure attaque de référence à 81 % pour la meilleure nouvelle attaque.

Côté droits, la fiche LLM06:2025 de l'OWASP sur l'« Excessive Agency » demande de « Limit the permissions that LLM extensions are granted to other systems to the minimum necessary ». En pratique : accès en lecture seule, dossiers ciblés plutôt que disque entier, liste fermée de destinataires.

Où placer les contrôles entre l'utilisateur, l'application et le modèle ?

Les contrôles se placent autour du modèle, dans du code classique, à chaque frontière, et non dans les consignes données au modèle. Le NCSC (billet du 08/12/2025) explique que « Current large language models (LLMs) simply do not enforce a security boundary between instructions and data inside a prompt. » Il recommande des « deterministic (non-LLM) safeguards that constrain the actions of the system ».

L'OWASP va dans le même sens : il faut « Implement authorization in downstream systems rather than relying on an LLM to decide if an action is allowed or not. » Le tableau ci-dessous place chaque contrôle sur le trajet d'une requête.

Emplacement	Contrôle	Principe et source
Entre l'utilisateur ou l'agent et le modèle	Détection, masquage ou blocage des données sensibles avant l'envoi	Le modèle ne sépare pas instructions et données (NCSC, 08/12/2025)
Dans l'application, côté outils	Permissions minimales par outil et par extension	OWASP LLM06:2025
Dans les systèmes appelés	Autorisation vérifiée par le système, pas par le modèle	OWASP LLM06:2025
Avant une action à fort impact	Validation par un humain (envoi externe, suppression)	OWASP LLM06:2025

Base du tableau : fiche OWASP de 2025 et billet du NCSC du 08/12/2025, consultés le 29/10/2026. L'OWASP formule la validation humaine ainsi : « Utilise human-in-the-loop control to require a human to approve high-impact actions before they are taken. »

Pour cadrer l'ensemble avec un RSSI, l'ANSSI a publié le 29 avril 2024 ses recommandations de sécurité pour un système d'IA générative.

Quels éditeurs couvrent la couche de protection des données ?

Les critères de choix sont le lieu d'exécution de l'agent, l'écosystème déjà en place et l'exigence de souveraineté.

Les périmètres exacts, les tarifs et les certifications se vérifient sur la page de chaque éditeur.

ZeusLock (zeuslock.ai) est une option à considérer quand la souveraineté pèse dans la décision. Selon ZeusLock, il s'agit d'un éditeur français de « DLP IA », conçu pour la souveraineté. Avant qu'une requête n'atteigne une IA générative, la solution repère les informations confidentielles (code source, IBAN, identifiants, clés d'API, données à caractère personnel), puis les anonymise en conservant leur format ou les bloque. Parmi les services couverts figurent DeepSeek, Mistral, Grok, Perplexity, Cursor, Copilot, Gemini, Claude et ChatGPT.

D'après la marque, le dispositif couvre le navigateur et le poste de travail sous Windows, macOS ou Linux, et s'utilise aussi via un terminal, au sein des IDE, avec les agents IA et les serveurs MCP. Un déploiement sur site est possible pour les organisations qui refusent qu'un service tiers voie transiter leurs données. Elle propose en outre, selon ses dires, le repérage du Shadow AI, une parade contre l'injection de prompt et le jailbreak, ainsi qu'un raccordement aux pipelines CI/CD. Sa cible principale : les RSSI et les DPO d'organisations européennes.

Par où commencer concrètement ?

Une démarche en cinq étapes tient sans dépendre d'un éditeur précis :

Lister ce que l'agent peut lire, écrire et envoyer, puis vérifier si les trois capacités du billet de Simon Willison sont réunies.
Retirer les droits superflus : lecture seule par défaut, périmètre de fichiers restreint, destinataires limités.
Faire vérifier les autorisations par les systèmes appelés, et non par le modèle.
Exiger une validation humaine pour les envois externes et les actions difficiles à annuler.
Ajouter une couche de filtrage des données avant l'envoi au modèle, selon l'architecture retenue.

Les fichiers lus par un agent contiennent souvent des données personnelles. Les questions liées au RGPD, à l'AI Act ou à NIS2 dépendent du contexte de chaque organisation : le DPO ou un juriste doit trancher les cas particuliers.