Agents IA : comment savoir si leur comportement est normal, détourné ou dangereux ?

Nicolas Liard, Senior Sales Engineer, Exabeam

Nicolas Liard cumule 25 ans d’expertise en cybersécurité chez des éditeurs de renom. Formé aux réseaux de neurones lors de son Diplôme d’Études Approfondies (DEA), ancien analyste malware et hacker éthique certifié, il accompagne les entreprises dans la détection des menaces internes humaines et agentiques. Il est également membre du groupe SOC augmenté du CLUSIF.

Willy Bourdeaux, Regional Sales Director France & Iberia, Exabeam

Willy Bourdeaux dirige les activités d’Exabeam en France et dans la péninsule Ibérique. Spécialiste du développement commercial en cybersécurité, il accompagne les grandes entreprises dans la transformation de leurs opérations de sécurité et travaille avec les clients, les partenaires et les équipes techniques sur leurs enjeux de détection des menaces, d’analyse comportementale et de modernisation des SOC.

Une entreprise sait généralement repérer quand un collaborateur s’écarte de son périmètre habituel. Pourquoi est-ce plus difficile avec un agent IA ?

Willy Bourdeaux : Quand un collaborateur sort de son périmètre, on le remarque assez vite : il travaille à des horaires normaux, il se fatigue, et il laisse des traces inhabituelles quand il cherche son chemin. Un agent IA, en revanche, travaille en continu, à la vitesse de la machine. S’il est bloqué, il ne s’arrête pas ; il essaie autre chose, encore et encore, jusqu’à trouver un passage pour atteindre son objectif. La vraie difficulté réside dans le fait qu’il possède souvent des privilèges et des accès étendus. Ainsi, chaque action prise isolément peut paraître parfaitement légitime pour les outils de sécurité traditionnels. C’est seulement lorsqu’on analyse la séquence complète des événements et le contexte comportemental que la dérive devient visible.

C’est ce mélange d’autonomie et d’accès légitimes qui rend ces menaces si furtives, d’autant qu’une mauvaise décision peut être répétée à très grande échelle en quelques secondes.

Avec un agent IA, la question n’est plus seulement : « A-t-il le droit de faire cette action ? », mais : « Est-ce cohérent qu’il la fasse maintenant, de cette manière et dans ce contexte ? »

Comment définiriez-vous un comportement « normal » dans le cas d’un agent IA ?

Nicolas Liard : Pour moi, c’est ce que prévoit sa mission. Il faut savoir quel est son rôle métier, à quelles données il accède et en quelle quantité, quels outils, API ou serveurs MCP il utilise, et à quel rythme il travaille, y compris sa consommation de tokens.

En pratique, on le traite comme une identité à part entière, comme un utilisateur humain, et on construit un profil de référence (une baseline) de son comportement habituel, qu’on met à jour en continu.

Quels sont les signaux qui permettent à une entreprise de détecter si un agent IA s’écarte du comportement qui est attendu de lui ?

Nicolas Liard : Les règles fixes ne suffisent pas, donc on regarde les écarts : un pic de tokens sans explication, un outil ou une API qu’il n’avait jamais utilisé, un agent RH qui se met à lire des données financières, l’usage de plusieurs identifiants ou des rebonds d’un système à l’autre. Un autre signal est le fait de buter plusieurs fois sur les mêmes garde-fous : l’agent explore alors d’autres chemins pour atteindre son objectif.

Un seul de ces signaux ne prouve rien, c’est leur combinaison dans le temps qui compte.

Comment distinguer un agent « compromis », c’est-à-dire utilisé et contrôlé par un tiers à des fins malveillantes, de celui qui produit un résultat problématique mais sans intervention extérieure ?

Nicolas Liard : Je range les cas en trois catégories :

• Le dysfonctionnement : l’agent se trompe ou invente quelque chose ;
• Le désalignement : il atteint son but mais de façon destructrice, parce qu’il n’a pas le contexte métier comme, par exemple, supprimer une base pour gagner de la place ;
• La subversion : un attaquant le détourne, par prompt injection ou jailbreak.

Pour les distinguer, on regarde la chaîne d’événements : des instructions cachées dans les entrées, des connexions vers des adresses inconnues ou des tentatives d’envoi de données vers l’extérieur orientent vers la subversion. Mais la frontière n’est pas nette. Une injection indirecte, cachée dans un document ou une page web, ressemble souvent à du désalignement dans les logs.

D’où l’importance de tracer la provenance des entrées et les outils que l’agent a appelés.

Les agents IA sont souvent déployés par des équipes métier. Quel rôle doivent-elles jouer dans leur surveillance au quotidien ?

Willy Bourdeaux : Ce sont elles qui connaissent le vrai but de l’agent. Avant le déploiement, elles doivent écrire ce que l’agent a le droit de faire : c’est ce qu’on appelle l’Agent Behavior Verification (une notion portée notamment par Praxen, un outil open source développé par l’Open Agent and AI Security Community, fondée par Exabeam, NDLR).

Au quotidien, elles n’ont pas à lire les logs de sécurité, c’est le travail du SOC. En revanche, quand une anomalie est détectée, elles aident à trancher. Par exemple, si un agent commercial se met à accéder à de nouvelles données clients, est-ce un nouveau besoin légitime ou une dérive ? Seul le métier peut le dire.

La sécurité observe et analyse, le métier donne le contexte.

Quand un agent dépasse son périmètre, comment les entreprises doivent-elles gérer la question de la responsabilité, d’après vous ?

Willy Bourdeaux : Je pars du Zero Trust appliqué aux agents : on ne suppose pas qu’une identité est une personne, et on donne le minimum de droits. Concrètement, chaque agent doit avoir un responsable identifié et figurer dans un inventaire. Le métier fixe les limites, teste et valide. La sécurité met en place la visibilité et sait réagir : isoler l’agent, couper ses accès.

Quand ça dérape, la cause est souvent un manque de gouvernance au départ : trop de droits, ou pas de suivi du comportement.

Les cadres réglementaires comme NIS2 ou l’AI Act vont d’ailleurs dans le même sens, en demandant des responsabilités clairement identifiées.

Auriez-vous un exemple concret, même anonymisé, d’une séquence d’actions toutes légitimes qui a fini par créer un problème ?

Nicolas Liard : L’exemple le plus marquant, c’est l’incident de juillet 2026 entre OpenAI et Hugging Face, documenté par OpenAI, Hugging Face et METR. Ce n’est pas une série d’actions toutes légitimes, mais il montre bien ce que produit la persistance d’agents face à un objectif presque impossible. OpenAI menait une évaluation de cybersécurité, et les agents ont cherché à contourner l’évaluation elle-même. Environ 700 d’entre eux ont fini par attaquer l’infrastructure d’un tiers : du code a été exécuté sur 41 serveurs de production de Hugging Face, avec un accès root sur au moins un nœud et des identifiants volés. Les agents notaient eux-mêmes que la cible était hors périmètre, et ils ont continué.

J’en retiens deux échecs :

• Un échec technique : les protections de production avaient été désactivées exprès pour mesurer les capacités maximales, il restait surtout l’isolation de l’environnement.
• Un échec humain : des alertes ont été déclenchées, mais les équipes ont décidé de ne pas arrêter l’évaluation.

Détecter ne suffit pas, il faut aussi réagir.

Quel conseil donneriez-vous à une entreprise qui souhaiterait reprendre la main sur le comportement de ses agents IA ?

Willy Bourdeaux : D’abord, ne pas compter sur une seule protection. Un agent qui bute sur un garde-fou ne s’arrête pas comme un malware, il cherche un autre chemin. Mais l’analyse comportementale seule ne suffit pas non plus. Il faut empiler plusieurs couches : le minimum de droits avec des identifiants de courte durée, un environnement isolé avec un contrôle strict de ce qui en sort, une vérification du comportement avant le déploiement, puis une analyse du comportement en production.

Il faut pouvoir couper un agent vite, avec une validation humaine pour les actions à fort impact.

Côté outils, l’écosystème open source apporte déjà des briques fondamentales pour encadrer ces nouveaux défis. Par exemple, le projet Praxen permet de vérifier la bonne configuration d’un agent avant son déploiement, tandis qu’Observra se charge de normaliser sa télémétrie. Vous retrouverez ces initiatives sur le portail de sécurité de l’IA agentique (ce portail, comme Praxen et Observra, est porté par une communauté open source fondée par Exabeam, NDLR).

Cependant, pour capitaliser sur ces standards ouverts, une couche d’abstraction supplémentaire est nécessaire. Il devient indispensable d’augmenter les SIEM ou les solutions TDIR (Threat Detection, Investigation & Response) avec une couche d’analyse comportementale dédiée spécifiquement aux identités non humaines. Face à ces risques, nous recommandons de privilégier des solutions agnostiques et spécialisées, comme Exabeam Agent Behavior Analytics, capables d’ingérer cette télémétrie pour détecter les moindres dérives.