Actualités
IA agentique : ce que l'ANSSI recommande, et ce que ça interdit chez vous
Whondy Drouode
Consultant GRC IA
L'ANSSI ne vous interdit rien par la loi, mais sa position sur les agents IA autonomes est sans ambiguïté. Dans le bulletin CERTFR-2026-ACT-016 du 13 avril 2026, le CERT-FR recommande de ne pas déployer en production les assistants personnels autonomes sur les postes de travail. Pas tant qu'ils ne sont pas stabilisés et éprouvés sur le plan de la sécurité.
Le texte est court, mais il contient tout ce qu'il faut pour écrire une règle interne. Je vous montre ce que l'agence dit exactement, ce qu'elle ne dit pas, et comment traduire ses recommandations en décisions que votre RSSI peut signer cette semaine.
Ce que dit le bulletin, et ce qu'il vise
Le bulletin s'intitule « Vulnérabilités et risques des produits d'automatisation par IA agentique sur les postes de travail ». Il vise une famille d'outils précise : les assistants qui ne se contentent plus de répondre, mais qui agissent. Le CERT-FR cite OpenClaw, Claude Cowork et d'autres solutions open source, dont l'adoption a été forte depuis début 2026.
La différence avec un chatbot tient en une liste. Ces assistants peuvent :
- exécuter des commandes sur le système d'exploitation ;
- piloter un navigateur, lire et écrire des fichiers ;
- gérer un agenda et envoyer des courriels en votre nom ;
- être déclenchés par un simple message reçu sur une application de messagerie ;
- charger des greffons à la volée, qui s'exécutent avec les privilèges de l'application.
Le périmètre couvre les postes Windows et Linux, les mobiles, et surtout toutes les applications et données auxquelles l'agent a accès. C'est ce dernier point qui compte : l'agent hérite de tout ce que l'utilisateur peut faire.
Les cinq risques retenus par l'ANSSI
Le CERT-FR identifie cinq risques. Aucun n'est théorique, et chacun correspond à une question que votre équipe sécurité sait déjà poser. Les voici dans l'ordre du bulletin :
- la compromission du poste par une vulnérabilité de l'outil, souvent encore en version bêta ;
- la fuite de données sensibles vers des ressources externes non maîtrisées ;
- des droits d'accès excessifs sur la messagerie, l'agenda, les fichiers, les applications métier et RH ;
- le partage des identifiants d'authentification avec l'agent, qui peuvent ensuite fuiter ;
- la perte de maîtrise des actions de l'agent, avec une atteinte possible à l'intégrité ou à la disponibilité des données.
Je lis ces cinq points comme une seule phrase. Un agent installé sur un poste devient un compte de service qui détient les droits d'un humain, sans en avoir le jugement. C'est exactement ce que l'OWASP classe sous le nom d'Excessive Agency, monté en troisième position dans le Top 10 LLM publié en août 2026.
Ce que la position interdit, et ce qu'elle n'interdit pas
Le bulletin n'a aucune force légale. C'est une recommandation de l'autorité nationale de cybersécurité, et c'est à vous de la transformer en règle. Mais un assureur, un auditeur ou un client public la lira comme l'état de l'art, et vous demandera pourquoi vous ne l'avez pas suivie.
Ce que la position conduit à proscrire chez vous :
- l'installation d'un assistant autonome non validé par la DSI et le RSSI, ce que l'agence range sous le Shadow IT ;
- tout déploiement en production de ces produits tant qu'ils ne sont pas éprouvés ;
- tout essai hors d'un bac à sable isolé, ou avec des données de production, des secrets, des données personnelles ou bancaires.
La méthode : traduire le bulletin en quatre décisions
Un bulletin ne protège personne tant qu'il reste un PDF dans une boîte de réception. Je le transforme en quatre décisions, dans cet ordre, parce que chacune conditionne la suivante. Vous pouvez les prendre en un mois sans budget dédié.
La première étape est la plus souvent sautée. Vous ne pouvez pas interdire ce que vous ne voyez pas. Ces outils s'installent sans droits d'administrateur sur bien des postes, et ils se repèrent par leurs processus, leurs connexions sortantes et les jetons créés sur vos messageries. Les méthodes de détection du Shadow AI s'appliquent ici telles quelles.
Le bac à sable de la troisième étape n'est pas une concession. Il évite que l'interdiction pousse les équipes vers des usages cachés. Une voie officielle et encadrée vaut toujours mieux qu'une interdiction contournée en silence.
Les mesures techniques exigées pour une dérogation
Quand un déploiement est malgré tout autorisé, le bulletin liste les mesures attendues. Une remarque m'a frappé : selon le CERT-FR, le durcissement de la configuration est le levier principal. Des consignes défensives écrites dans le prompt ne suffisent pas, car une injection peut les contourner.
Avant d'autoriser un assistant autonome sur un poste
- Règles d'autorisation explicites pour l'agentPreuve attendue : Fichier de configuration versionné et revu par le RSSI
- Outils et actions limités au strict nécessairePreuve attendue : Liste des outils activés, avec la justification de chacun
- Validation humaine avant toute commande système ou action à effet de bordPreuve attendue : Journal des approbations sur une période de test
- Listes blanches des canaux et des interlocuteursPreuve attendue : Liste des messageries, groupes et contacts autorisés
- Activation restreinte, par exemple sur mention explicitePreuve attendue : Paramètre de déclenchement documenté
- Processus isolé dans un environnement sandboxPreuve attendue : Schéma d'isolation et test d'évasion
- Acceptation formelle des risques résiduelsPreuve attendue : Décision signée par la DSI et le RSSI
Le bulletin ajoute une mise en garde que je recopie dans toute dérogation. Un agent pourrait étendre ses capacités de manière autonome et contourner les règles d'autorisation initiales. Le risque résiduel ne disparaît donc jamais : il se mesure, se documente et se revoit.
Pour savoir si vos agents tiennent face à ce scénario, il faut les attaquer. C'est l'objet d'un audit de sécurité et de conformité IA, et l'injection reste la porte d'entrée la plus fréquente, comme je l'ai détaillé dans cet article sur les défenses contre l'injection de prompt.
Questions fréquentes
Le bulletin de l'ANSSI est-il obligatoire ?
Non. Un bulletin d'actualité du CERT-FR est une recommandation, pas un texte réglementaire. Mais il fixe ce qu'un contrôleur considérera comme une pratique raisonnable. Si votre organisation entre dans le champ de NIS2 ou sert le secteur public, s'en écarter sans justification écrite vous exposera lors d'un audit.
Puis-je tester un assistant autonome malgré tout ?
Oui, et je vous le conseille plutôt que de laisser vos équipes le faire en cachette. Le bulletin admet l'usage dans un bac à sable isolé, sans données sensibles. Créez des comptes dédiés, sans accès à votre messagerie réelle ni à vos applications métier.
Les agents sur mobile sont-ils concernés ?
Oui. Le CERT-FR précise que les mêmes constats et les mêmes recommandations s'appliquent aux déploiements sur mobiles. Votre gestion de flotte mobile doit donc porter la même règle que vos postes de travail.
Cet article présente une position publique de l'ANSSI et une méthode, il ne constitue pas un conseil juridique. Si vous voulez savoir quels agents tournent déjà chez vous et ce qu'ils peuvent toucher, parlons-en trente minutes, ou consultez le détail de l'audit de sécurité et de conformité IA.