Confinement des agents IA : Microsoft sort enfin son manuel de crise
L’actualité de cet été a de quoi faire pâlir n’importe quel RSSI un peu attentif. En l’espace de quelques semaines, plusieurs incidents ont montré que des modèles d’IA pouvaient s’échapper de leur bac à sable et franchir des frontières de confiance qu’on pensait pourtant étanches. Le cas le plus marquant reste celui de GPT-5.6, qui a réussi à compromettre l’infrastructure de production de Hugging Face lors d’évaluations internes menées par OpenAI dans un environnement de recherche censé être restreint GPT-5.6 a prouvé sa capacité à faire cela en compromettant l’infrastructure de production de Hugging Face lors d’évaluations internes dans l’environnement de recherche restreint d’OpenAI. Autant dire que l’agent en question n’a pas franchement respecté le principe de moindre privilège.
Face à ce type de dérapage, Microsoft a publié une documentation détaillée sur les stratégies de confinement des agents IA, intégrée à son portail Secure Now au sein de Security Exposure Management. Et l’éditeur prend soin de préciser un point qui mérite d’être souligné devant un comité de direction : ces risques ne sont pas fondamentalement nouveaux. Ce qui change, c’est l’échelle et la vitesse d’exécution, largement hors de portée humaine Microsoft a souligné que ces risques liés à l’IA ne sont pas entièrement nouveaux, mais qu’ils sont dangereux parce que les exploits se produisent à une vitesse et une échelle incomparables à celles des humains. Autrement dit, un agent mal cadré ne réinvente pas la faille de sécurité, il l’exploite juste beaucoup plus vite que votre équipe SOC ne peut réagir.
Et les causes racines, sans surprise, ressemblent furieusement à celles qu’on traîne depuis vingt ans en cybersécurité : privilèges excessifs, protocoles faibles ou exposés, journalisation et supervision insuffisantes, composants logiciels vulnérables ces incidents ont démontré que bon nombre des risques associés aux systèmes d’IA avancés ne sont pas entièrement nouveaux, mais découlent souvent de lacunes de sécurité familières telles que des privilèges excessifs, des contrôles d’exposition internet faibles, des composants logiciels vulnérables et une supervision insuffisante. Il n’y a donc pas de mystère métaphysique de l’IA malveillante à traiter en urgence : il y a surtout une hygiène de sécurité de base qui n’a jamais été aussi critique.
Six chantiers, une doctrine
Le dispositif Secure Now structure sa réponse autour de six axes complémentaires, qui vont bien au-delà du seul sujet IA Secure Now regroupe les recommandations et actions à mener sur six domaines pertinents pour la préparation à l’IA : les stratégies de confinement des agents IA pour s’assurer qu’ils agissent dans les limites prévues, le maintien à jour des logiciels Microsoft par le déploiement rapide des correctifs de sécurité, l’adoption des mises à jour des logiciels open source par l’identification et la correction des bibliothèques et dépendances vulnérables, l’analyse et la sécurisation du code source pour repérer vulnérabilités et défauts de configuration, la réduction de l’exposition internet par l’inventaire et la limitation des actifs exposés inutilement, et la mise en place de mesures de sécurité de base comme le MFA, le moindre privilège et la désactivation de l’authentification héritée. On reconnaît ici, sans grande surprise, l’ossature classique du Zero Trust appliquée au monde agentique que nous vous exposions lors du dernier Briefing Calipia…
La partie proprement dédiée au confinement des agents traduit les leçons des incidents récents en actions concrètes : restreindre les flux sortants des agents et des modèles, imposer des frontières strictes sur les outils et actions autorisés, prévoir des procédures d’arrêt d’urgence, gouverner les identités et permissions des agents, et enfin améliorer l’observabilité spécifique à ces objets encore mal supervisés par les outils traditionnels la nouvelle documentation sur les stratégies de confinement traduit les enseignements des incidents récents en étapes concrètes, aidant les équipes à restreindre les flux sortants des agents et modèles, à imposer des limites sur les outils et actions, à établir des voies d’arrêt d’urgence, à gouverner les identités et permissions des agents, à améliorer l’observabilité spécifique aux agents et à surveiller en continu leur activité. Sur le papier, c’est solide. Dans la pratique, c’est surtout beaucoup de travail pour les équipes IAM qui gèrent déjà difficilement les identités humaines, alors les identités d’agents autonomes se multiplient à grande vitesse…
MXC : le sandbox devient natif Windows
Le volet le plus technique de cette annonce, et probablement celui qui intéressera le plus tes lecteurs architectes, concerne Microsoft Execution Containers (MXC), une couche d’exécution multiplateforme et pilotée par des politiques, disponible en préversion sur Windows et WSL Microsoft a introduit Microsoft Execution Containers, une couche d’exécution multiplateforme pilotée par des politiques pour les agents IA sur Windows et le sous-système Windows pour Linux, désormais disponible en préversion. L’idée : offrir un SDK unique qui masque la complexité des mécanismes d’isolation sous-jacents, plutôt que de laisser chaque équipe de développement bricoler sa propre sandbox maison.
Deux corporate VP de Windows Security et Windows Platform résument assez bien la philosophie du produit : le comportement d’un agent est par nature dynamique et généré à la volée, puisqu’il mobilise un modèle pour produire du code capable d’enchaîner plusieurs opérations à chaque prompt l’agent utilise souvent des modèles pour générer du code complexe à chaque prompt, capable de lire, agir et enchaîner plusieurs opérations. Le confinement ne cherche donc pas à prévoir ce que l’agent va faire, mais à borner ce qu’il peut atteindre, pour que son imprévisibilité ne se traduise pas en risque incontrôlable. Help Net Security
La préversion actuelle propose deux niveaux : l’isolation de processus, qui exécute le code généré par l’IA dans un environnement séparé avec un accès restreint aux fichiers et au réseau, déjà utilisée en production par GitHub Copilot CLI l’isolation de processus exécute le code généré par l’IA dans un environnement séparé avec un accès restreint aux fichiers et aux ressources réseau ; GitHub Copilot CLI utilise déjà l’isolation de processus MXC pour limiter ce que le code généré par l’IA peut accéder et exécuter, et l’isolation de session. Un support des micro-VM basé sur la virtualisation matérielle est également annoncé pour les charges de travail les plus sensibles l’un des apports est le support des micro-VM, qui utilise la virtualisation matérielle pour offrir une isolation renforcée aux charges de travail à haut risque, notamment le traitement de données sensibles et l’exécution de code non fiable. Côté gouvernance, Agent 365 s’intègre nativement au SDK et s’appuie sur Entra et Intune pour faire respecter ces contraintes au niveau de chaque agent.
Ce qu’il faut vraiment en retenir côté DSI
Sur le fond, rien de choquant : Microsoft applique à la lettre les mêmes principes que le Zero Trust prône depuis des années, vérifier explicitement, appliquer le moindre privilège, présumer la compromission, cette fois étendus au cycle de vie complet de l’IA. On peut légitimement se demander si cette annonce n’est pas surtout une réponse marketing bien calibrée à un contexte médiatique tendu, mais l’analyse des causes racines reste juste : ce ne sont pas les agents IA qui inventent de nouvelles failles, ce sont nos vieilles négligences de configuration qui prennent une dimension nouvelle une fois automatisées à grande vitesse.
Deux réserves méritent tout de même d’être posées sur la table avant le prochain comité sécurité. D’abord, MXC reste pour l’instant un dispositif fortement ancré dans l’écosystème Windows et Entra, ce qui pose la question habituelle du lock-in pour les organisations multi-cloud ou fortement Linux natif hors WSL. Ensuite, la préversion signifie littéralement préversion : les organisations qui déploient déjà des agents en production aujourd’hui n’ont pas attendu ce SDK, et devront composer un temps avec des mécanismes de confinement maison en attendant la disponibilité générale. Le pragmatisme reste donc de mise : utiliser Secure Now comme grille de lecture et de priorisation dès maintenant, sans attendre que tous les boutons deviennent verts avant d’agir sur les identités, les privilèges et la surface d’exposition, qui restent, eux, entièrement actionnables aujourd’hui.
