Qu'est-ce que l'IA agentique ?

Cette distinction est importante, car les entreprises déploient ces systèmes à grande échelle. Les organisations, qu'elles soient issues des opérations informatiques, de l'ingénierie, de la cybersécurité ou de la gestion des connaissances, expérimentent des agents IA qui coordonnent de bout en bout des tâches complexes en plusieurs étapes. Le passage de l'automatisation à l'autonomie ne se contente pas d'accélérer le travail ; il transforme la nature même du travail, soulevant de nouvelles questions en matière de gouvernance, de responsabilité et de confiance. Pour les responsables de la sécurité et de l'informatique, comprendre ce qu'est l'IA agentique et ce qu'elle exige de l'infrastructure existante n'est plus une option.

Comprendre l'IA agentique

L'IA agentique désigne une catégorie de systèmes d'IA conçus pour fonctionner avec un degré d'autonomie qui va au-delà de la simple réponse à des instructions ponctuelles. Alors qu'un modèle d'IA traditionnel génère un seul résultat pour une seule entrée, un système d'IA agentique reçoit un objectif général et détermine de lui-même comment l'atteindre. Il interprète la tâche, identifie les systèmes avec lesquels il doit interagir et coordonne l'ensemble de l'opération du début à la fin.

Les systèmes d'IA avec lesquels la plupart des gens interagissent aujourd'hui sont de nature assistative. Vous posez une question ; le système fournit une réponse. Vous décrivez une image ; le modèle en génère une. Ces interactions sont sans état : le système ne se souvient pas de ce qui s'est passé auparavant, ne planifie pas la suite et ne prend aucune initiative indépendante au-delà de la production d'un résultat. L'IA agentique rompt avec ce schéma. Un agent IA peut garder le contexte en tête tout au long d'un flux de travail en plusieurs étapes, décider quels outils utiliser, évaluer si ses actions ont atteint le résultat escompté et ajuster son approche lorsque ce n'est pas le cas. Il se comporte moins comme un script et davantage comme un collègue, capable de s'adapter sans effort, de fonctionner en continu et de s'améliorer grâce à des boucles de rétroaction.

Le terme « agentique » désigne un ensemble spécifique de capacités :un comportement orienté vers un but(travailler en vue d’un objectif plutôt que d’exécuter des instructions fixes),une prise de décision autonome(déterminer les mesures à prendre sans avoir besoin de l’approbation humaine à chaque étape),une interaction avec l’environnement(lire et écrire dans des systèmes externes, des bases de données, des API et des services), etun raisonnement itératif(évaluer les résultats et s’adapter lorsque les actions échouent). Ces capacités ne sont pas binaires. L'IA agentique s'inscrit dans un continuum, allant des systèmes peu autonomes qui gèrent une tâche restreinte et nécessitent une attention humaine, aux agents entièrement autonomes qui orchestrent des processus complexes et transversaux avec un minimum de supervision.

Comment fonctionne l'IA agentique

Les systèmes d'IA agentique suivent un processus cyclique qui reflète la résolution structurée de problèmes. Le processus commence lorsque l'agent reçoit un objectif, qu'il provienne d'un opérateur humain, d'un autre système ou d'une couche d'orchestration de niveau supérieur. Le système est conçu pour interpréter l'objectif en tenant compte du contexte, en déterminant ce qui constitue une réussite et quelles sont les contraintes applicables. L'objectif est ensuite décomposé en une séquence de tâches distinctes, en identifiant les systèmes, les sources de données et les outils dont il aura besoin pour mener à bien chacune d'entre elles. Il est essentiel de noter que ce plan n'est pas codé en dur ; il est construit de manière dynamique en fonction de l'état actuel de l'environnement du système.

IA agentique vs IA générative

L'IA générative et l'IA agentique sont liées, mais se distinguent sur le plan architectural. L'IA générative désigne les modèles qui produisent du contenu, notamment du texte, des images, du code ou des fichiers audio, en réponse à une consigne. L'IA agentique utilise les modèles génératifs comme l'un des composants d'un système plus vaste capable de planifier, d'agir et de s'adapter.

Dimension	IA générative	IA agentique
Modèle d'interaction	Une seule question, une seule réponse	Processus en plusieurs étapes axé sur les objectifs
Autonomie	Aucune ; c'est l'utilisateur qui dirige chaque interaction	Élevé ; l'agent décide de la suite à donner une fois l'objectif défini
Interaction avec le système	Généralement isolé	Lit et écrit dans des systèmes externes
Mémoire	Sans état d'une session à l'autre	Permet de conserver le contexte d'une tâche à l'autre
Capacité d'adaptation	Génère des résultats à partir de l'apprentissage	Adapte son approche en fonction des retours d'information en temps réel
Exemple de résultat	Texte, images, code	Tâches accomplies, décisions prises, processus coordonnés

Le principal changement architectural réside dans le sens de l'appel. Dans l'IA générative, c'est l'utilisateur qui fait appel au modèle. Dans l'IA agentique, c'est le modèle qui fait appel à des systèmes externes. C'est cette inversion qui permet une exécution autonome en plusieurs étapes, mais c'est aussi elle qui soulève de nouvelles questions de sécurité concernant l'identité, l'authentification et la confiance.

En quoi l'IA agentique se distingue-t-elle de l'automatisation traditionnelle ?

L'automatisation traditionnelle et l'IA agentique réduisent toutes deux l'effort manuel, mais elles fonctionnent selon des principes fondamentalement différents. Les systèmes automatisés sont réactifs : ils attendent un déclencheur et exécutent une réponse prédéfinie. L'IA agentique est proactive : elle évalue son environnement et initie une action sans attendre d'instructions explicites. L'automatisation suit une logique déterministe et prévisible (si X, alors Y). L'IA agentique, en revanche, repose sur un raisonnement probabiliste, ce qui la rend imprévisible, mais capable de gérer l'ambiguïté, d'évaluer des informations incomplètes et de choisir la ligne de conduite la plus appropriée.

Les systèmes automatisés opèrent généralement dans des limites définies et statiques : une seule application, un pipeline de données spécifique, un domaine opérationnel restreint. L'IA agentique dépasse souvent ces limites de manière dynamique. Un agent IA chargé de résoudre un incident informatique peut interroger une plateforme de surveillance, consulter une base de connaissances, ouvrir un ticket dans un outil de gestion des services et notifier les parties prenantes via différents canaux, le tout au sein d’un seul flux de travail. Et là où les systèmes automatisés suivent les instructions à la lettre, les systèmes agentiques les interprètent, pouvant emprunter une voie différente à chaque fois en fonction de l’état actuel de leur environnement.

Architecture de l'IA agentique

Les systèmes d'IA agentique se composent de plusieurs couches interconnectées, chacune remplissant une fonction distincte. L'agent IA est l'entité autonome qui reçoit un objectif et orchestre le flux de travail, en gérant l'état du système et en coordonnant les interactions. Un autre composant estle grand modèle linguistique(LLM), qui fournit la capacité de raisonnement ; il fonctionne comme un service cloud qui conseille l'agent sur la marche à suivre. Enfin,les applications et les systèmes d'enregistrementsont les systèmes d'entreprise avec lesquels l'agent interagit : bases de données, plateformes SaaS, outils internes et API.

Le Model Context Protocol (MCP)est une norme émergente qui sert de couche de connexion entre les agents d'IA et les systèmes externes. Selon Anthropic (qui a mis au point ce protocole), le MCP agit comme « les yeux et les mains » d'une IA, en mettant les systèmes externes existants à la disposition de l'agent afin qu'il puisse aller au-delà de la simple génération de réponses statiques. Un serveur MCP met à la disposition d'un agent IA un ensemble de fonctions API, lui permettant de lire et d'écrire des données, d'interagir avec des systèmes métier et de déclencher des opérations sur des plateformes externes.

Le fournisseur d'identitéauthentifie l'agent et autorise ses actions. Chaque fois qu'un agent IA interagit avec un système externe, il doit prouver son identité et démontrer qu'il est autorisé à effectuer l'opération demandée. Le fournisseur d'identité émet, valide et gère les identifiants que l'agent utilise pour ces interactions. Cas d'utilisation courants

Les entreprises déploient l'IA agentique dans plusieurs domaines clés.

• Dans le domainedes opérations informatiques, des agents IA surveillent l'infrastructure, établissent des corrélations entre les alertes, identifient les causes profondes et mettent en œuvre des mesures correctives.
• Dans le domaine dela cybersécurité, les agents analysent les renseignements sur les menaces, enquêtent sur les alertes et mettent en œuvre des mesures de confinement à une échelle et à une vitesse que les analystes humains ne peuvent égaler.
• Dans le domainedu service client, les agents gèrent des processus en plusieurs étapes, du triage à la résolution, via les systèmes de gestion de la relation client (CRM) et de gestion des tickets.
• Dans le domaine del'orchestration des processus métier, l'IA agentique coordonne des flux de travail transversaux couvrant les achats, la conformité, les finances et les opérations.

Pourquoi les entreprises adoptent l'IA agentique

L'adoption de l'IA agentique par les entreprises s'accélère, sous l'impulsion d'exigences opérationnelles auxquelles l'automatisation traditionnelle et l'IA générative ne peuvent répondre à elles seules.

Évolutivité et rapidité
Les agents IA fonctionnent en continu et gèrent des flux de travail parallèles. Des tâches qui prendraient des jours à coordonner pour des équipes traditionnelles, comme un audit de sécurité inter-systèmes ou un cycle d'approvisionnement multi-fournisseurs, peuvent être menées à bien en quelques heures, voire quelques minutes.

Cohérence
Les agents IA appliquent toujours la même logique et respectent systématiquement les mêmes règles. Cette cohérence est particulièrement précieuse dans les secteurs réglementés, où la traçabilité et le respect des règles sont indispensables.

s en matière d'efficacité L'IA agentique réduit la coordination manuelle nécessaire aux processus en plusieurs étapes. Plutôt que de faire transiter les tâches entre plusieurs équipes et de multiplier les relais, un agent autonome peut exécuter des flux de travail de bout en bout, de la collecte des données à la mise en œuvre des décisions, réduisant ainsi des délais qui s'étalaient auparavant sur plusieurs jours à quelques heures. Pour les organisations qui gèrent des milliers de processus et de flux de travail, ce gain d'efficacité s'accumule rapidement.

Pression concurrentielle
Les organisations qui tardent à adopter l'IA agentique risquent de se faire distancer par leurs concurrents qui utilisent déjà des agents autonomes pour accélérer la prise de décision et améliorer l'expérience client. Cette technologie est en train de passer du stade expérimental à celui de la stratégie.

Défis et risques liés à l'IA agentique

Les mêmes capacités qui font la puissance de l'IA agentique comportent également des risques que les entreprises doivent prendre en compte avant d'étendre leur déploiement.

Lacunes en matière de gouvernance
Selon une Keyfactor [À faire : ajouter le lien et la référence], seules 50 % des organisations ont pleinement mis en œuvre des cadres de gouvernance pour les agents d'IA. L'autre moitié fonctionne sans politiques claires concernant la manière dont ces agents doivent être autorisés, surveillés ou limités. Cette lacune est importante : sans gouvernance, les organisations ne savent pas ce que font leurs agents, à quels systèmes ils accèdent et si leurs actions sont conformes aux politiques en vigueur.

Comportement non déterministe
Les systèmes d'IA agentique sont intrinsèquement probabilistes, ce qui signifie que leur comportement n'est pas prévisible de manière fiable. Comme tout système fondé sur la logique probabiliste, ce raisonnement peut s'égarer. Un agent peut emprunter une voie inattendue, mal interpréter le contexte ou produire un résultat imprévu. Pour les entreprises habituées à l'automatisation déterministe, cette imprévisibilité nécessite de nouvelles stratégies de surveillance, de test et de confinement.

Prolifération des identités
Les agents IA créent et utilisent des identités à un rythme que les systèmes traditionnels de gestion des identités ne sont pas conçus pour gérer. Les travailleurs temporaires, les agents dédiés à des tâches spécifiques et les processus autonomes peuvent créer et utiliser des identités sur différents comptes et dans différentes régions à un rythme plus rapide que ne le prévoient les équipes de sécurité. Il en résulte une prolifération des identités : une surface d'exposition en expansion rapide, composée d'identifiants, de certificats et de jetons d'accès qui doivent être suivis, renouvelés et révoqués.

Risques de sécurité
Selon cette même Keyfactor , 69 % des professionnels de la cybersécurité estiment que les vulnérabilités liées à l’IA constitueront une menace plus grave que les abus humains. L’utilisation abusive des identifiants n’est pas un problème nouveau. Ce qui est nouveau, c’est l’ampleur et la rapidité avec lesquelles cela peut se produire lorsque des agents IA sont impliqués. Les agents IA n’ont pas besoin de s’introduire dans le système, car ils y sont invités. Ils opèrent à l’intérieur du réseau à l’aide d’identifiants légitimes, ce qui les place clairement dans la catégorie des menaces internes. De plus, les flux de données dans un système d'IA agentique peuvent sortir du périmètre de l'entreprise (en particulier lorsqu'il utilise le LLM correspondant), ce qui présente un risque pour la confidentialité des données si le système n'est pas correctement surveillé ou si des garde-fous adéquats ne sont pas mis en place.

La situation actuelle de la plupart des organisations

Les entreprises manifestent un vif intérêt pour l'IA agentique, mais leur capacité d'adaptation reste en deçà de leurs ambitions. La plupart des organisations se trouvent aujourd'hui confrontées à un fossé entre le déploiement d'agents IA et leur gestion efficace.

L'adoption devance la gouvernance
Une majorité d'entreprises testent ou étudient activement des systèmes d'IA agentique, mais rares sont celles qui les ont déployés à l'échelle de l'entreprise de manière structurée. Le chiffre mentionné précédemment (seules 50 % des organisations déclarent avoir pleinement mis en œuvre une gouvernance pour l'IA agentique, l'autre moitié ne l'ayant pas fait) corrobore cette observation. Il en résulte un paysage fragmenté dans lequel les agents sont déployés plus rapidement que les politiques qui les régissent ne peuvent mûrir.

Les lacunes en matière de préparation sont mesurables
Les lacunes en matière de préparation ne se limitent pas aux cadres de gouvernance. Seules 28 % des organisations interrogées dans le cadre de l'enquête citée estiment être en mesure d'arrêter un agent IA rebelle avant qu'il ne cause des dommages. La plupart s'attendent à ne détecter les problèmes ou à y réagir qu'une fois l'incident déjà en cours. Parallèlement, 55 % des personnes interrogées estiment que la direction ne prend pas suffisamment au sérieux les risques liés à l'identité numérique des agents IA, ce qui indique que la prise de conscience des dirigeants n'est pas encore à la hauteur de la réalité technique.

L'infrastructure d'identité n'est pas prête
De nombreuses organisations s'appuient encore sur des identifiants statiques, des clés API, des secrets partagés et des jetons à longue durée de vie pour authentifier leurs agents IA. Ces méthodes n'ont pas été conçues pour des systèmes autonomes et persistants qui opèrent au-delà des frontières organisationnelles. Seule une petite fraction des entreprises a mis en place une identité basée sur des certificats pour ses agents IA, alors même que 86 % des professionnels de la cybersécurité s'accordent à dire qu'on ne peut pas faire confiance aux agents sans identités numériques uniques et dynamiques.

L'écart entre ce dont les organisations ont conscience d'avoir besoin et ce qu'elles ont mis en place définit l'état actuel de leur préparation à l'IA agentique. Pour combler cet écart, il faut investir de manière ciblée dans l'infrastructure d'identité, les cadres de gouvernance et les contrôles opérationnels avant de poursuivre le déploiement à grande échelle des systèmes autonomes.

Comment s'y prendre : étendre la gestion des identités aux agents IA

Alors que les entreprises passent de la phase pilote à la mise en œuvre à grande échelle des agents IA, la première étape consiste à mettre en place une infrastructure d'identité. Les organisations qui considèrent l'identité des agents IA comme une discipline à part entière, plutôt que comme un aspect secondaire, seront mieux placées pour déployer des systèmes autonomes en toute sécurité.

Considérer les agents IA comme des entités à part entière
Les agents IA ne devraient pas fonctionner avec des identifiants partagés ni en tant qu'extensions de comptes d'utilisateurs humains. Chaque agent doit disposer d'une identité numérique unique et vérifiable, tout comme les serveurs, les conteneurs et IoT . C'est le point de départ de la traçabilité : lorsqu'un agent possède sa propre identité, les organisations peuvent déterminer quel agent a agi, en vertu de quelle politique et pendant combien de temps il était autorisé à fonctionner.

Mise en œuvre de l'authentification par certificat
Les certificats X.509 fournissent des identités cryptographiquement sécurisées et infalsifiables, parfaitement adaptées aux agents autonomes. Contrairement aux clés API ou aux secrets partagés, les certificats offrent plusieurs propriétés qui répondent aux exigences de l'IA agentique :

Origine non répudiable
Chaque action effectuée par l'agent peut être cryptographiquement rattachée à une identité spécifique. [À vérifier : déterminer si une preuve de provenance est nécessaire]

Authentification mutuelle
Les certificats permettent aux deux parties impliquées dans une communication, qu'il s'agisse d'une communication entre agents ou entre un agent et un service, de vérifier l'identité de l'autre avant d'échanger des données.

Gestion intégrée du cycle de vie
Les certificats sont assortis de délais précis pour leur émission, leur renouvellement et leur expiration, ce qui évite la persistance des identifiants qui génère des risques avec les secrets statiques.

Pour les organisations qui gèrent déjà les identités des machines sur l'ensemble des appareils, des charges de travail et des conteneurs, l'extension de l'identité basée sur des certificats aux agents d'IA constitue une étape logique et efficace sur le plan opérationnel.

Étendre le modèle Zero Trust aux acteurs non humains
Les architectures Zero Trust ont été conçues pour un monde centré sur l’humain : vérifier chaque utilisateur, chaque appareil, chaque session. Les agents IA ne s’intègrent pas parfaitement dans ces modèles. Ils prennent des décisions, modifient leur comportement en fonction du contexte et interagissent avec les systèmes de manière imprévisible. Étendre le modèle Zero Trust à l’IA agentique nécessite de traiter chaque agent comme une identité distincte et authentifiée, dotée d’autorisations limitées, d’une vérification continue et de la possibilité de révoquer l’accès en temps réel. L'identité est le seul plan de contrôle qui englobe tout : les comptes, les régions, les services, ainsi que les acteurs humains et non humains.

Automatisation de la gestion du cycle de vie des identifiants
La gestion manuelle des certificats n'est pas adaptée aux environnements comptant des centaines, voire des milliers d'agents IA. Une gestion automatisée du cycle de vie, couvrant l'émission, le renouvellement, la rotation et la révocation, est essentielle pour garantir la sécurité sans créer de goulots d'étranglement opérationnels. Les certificats à durée de vie courte sont préférables : ils limitent la fenêtre d'exposition en cas de compromission d'un identifiant et imposent une réauthentification régulière.

Mettre en place une gouvernance avant la mise à l'échelle
Avant de déployer des agents autonomes à grande échelle, les organisations doivent définir des politiques claires concernant les actions autorisées aux agents, la manière dont leurs actions sont surveillées et les conditions dans lesquelles leur accès peut être révoqué. Les cadres de gouvernance doivent aborder le champ d'action des agents, les interactions autorisées avec le système, les procédures d'escalade et les exigences en matière d'audit. La mise en place de ces contrôles avant la mise à l'échelle permet d'éviter les lacunes en matière de gouvernance auxquelles la plupart des entreprises sont actuellement confrontées.

Pourquoi Keyfactor une participation dans Agentic AI

La plateforme Keyfactorétend la gestion des identités des machines aux charges de travail autonomes basées sur l'IA. La même PKI qui protège aujourd'hui les appareils, les charges de travail et les systèmes connectés permet d'automatiser le cycle de vie des certificats pour les identités des agents IA, en couvrant l'émission, le renouvellement, la rotation et la révocation sans intervention manuelle. Pour les agents conteneurisés et à durée de vie limitée, la gestion automatisée du cycle de vie garantit que les identifiants ne persistent pas au-delà de leur durée d'utilisation prévue.

Comme l'explique Ellen Boehm, vice-présidente senior chargée de l'innovation en matière d'identité pour IoT l'IA chez Keyfactor, dans [À faire : trouver la référence] : « Les entreprises souhaitent déployer à grande échelle des agents IA, mais elles sont confrontées à une nouvelle crise d'identité, dans laquelle les identifiants statiques, tels que les clés API et les secrets client, ne garantissent tout simplement ni la traçabilité ni la sécurité. » Découvrez-le en action.

Keyfactor développe ni Keyfactor déploie d'agents IA. L'entreprise veille à ce que chaque agent opérant dans votre environnement dispose d'une identité vérifiable et contrôlée, étendant ainsi l'infrastructure de confiance qui sécurise déjà vos appareils, vos charges de travail et vos systèmes connectés à l'ère de l'IA.