Agentic AI is reshaping enterprise operations, with KPMG research showing that AI agents now function as genuine digital teammates, handling key tasks autonomously — analyzing information, making decisions, and interacting with applications or data without constant human oversight. This growing autonomy, however, introduces new security risks: organisations must identify, control, and monitor these agents just as they would a human user. In this context, the core principles of Zero Trust remain not only relevant but essential, forming a foundational framework for safely deploying AI agents.

Applying Zero Trust to agentic environments means every agent must have a verifiable identity, a precisely scoped access level, and behaviour that complies with defined security policies. The first prerequisite is giving agents a solid identity. Enterprises need to know exactly which agent is acting, on behalf of which user, and the context of each action. Anthropic advocates digital certificates and mutual TLS for identity verification, but many agents — especially those developed in-house or downloaded — cannot manage certificates, and mutual TLS can block the traffic inspection required to enforce security policies. A more practical approach is to bind the agent’s identity to the human user behind it, creating a fused identity that enables granular policy controls. Crucially, developers should never create, store, or share access tokens between agents, as these become high-value targets.

With identity established, Zero Trust can define access rights using the OWASP “least agency” principle — the least privilege equivalent for agents. An agent should possess only the capabilities strictly needed for its role and objectives. This is enforced through role- and context-based access controls: policies can tie agent identities to specific roles and permit access only under precise conditions, such as time, location, data sensitivity, risk score, application instance, or resource attributes. Such constraints limit an agent’s possible actions, preventing a compromised or misused agent from reaching resources beyond its intended purpose.

Because most organisations lack mature DevSecOps practices for AI, they must first gain visibility across their entire AI environment and deploy effective controls. Traditional Zero Trust assumed a complete inventory of all assets; in the age of proliferating AI, that assumption weakens. In-transit inspection becomes vital — it continuously identifies MCP servers and clients in use, along with their characteristics, and assigns risk scores to public MCP servers to spotlight the riskiest tools and integrations. Yet visibility alone isn’t enough. Access controls block unauthorised actions, but continuous monitoring is required to understand detected events and decide whether agent behaviour is normal or suspicious. Teams can now define a baseline of expected agent activity and detect anomalies, then adjust policies accordingly.

A crucial and often overlooked aspect is verifying an agent’s intent. Agents can behave unpredictably, and attackers may already be exploiting a weakness. In a Zero Trust model extended to AI, organisations must assume malicious actors are present. This means monitoring traffic between MCP servers, clients, functions, hosts, data sources, and development tools, while logging MCP events — sessions, requests, function responses, deployments. Because agents cannot distinguish between legitimate instructions and malicious commands, the data they process must be filtered. Automated controls add a defense layer by analysing traffic in real time to neutralise prompt injection, jailbreaking, and data exfiltration attempts, and to moderate content and block distribution of IP-protected material.

As agents gain more autonomy, the ability to control their identity, access, and intent becomes central to any security strategy. Still, the heart of Zero Trust endures: the right people and the right agents must have the right access to the right resources, at the right time, and for the right reasons.

L’intelligence artificielle agentique marque une nouvelle étape dans l’évolution des systèmes numériques.

D’après une étude récente de KPMG, les agents s’intègrent désormais comme de véritables coéquipiers pour gérer des tâches opérationnelles clés, offrant de nouvelles opportunités d’automatisation et d’efficacité. Ils peuvent analyser des informations, prendre des décisions et interagir avec des applications ou des données sans intervention humaine constante.

Néanmoins, cette autonomie croissante soulève également de nouveaux enjeux de sécurité. Les entreprises doivent pouvoir identifier, contrôler et surveiller leurs agents au même titre qu’un utilisateur humain.

Dans ce contexte, où existe un fort lien entre potentiel de l’IA et grande autonomie, les principes historiques du Zero Trust restent pertinents et forment un cadre essentiel pour l’usage des agents IA.

La déclinaison de ces principes impose de doter chaque agent d’une identité vérifiable, d’un niveau d’accès adapté et d’un comportement conforme aux politiques de sécurité définies. L’application du Zero Trust aux environnements agentiques permet alors d’exploiter pleinement le potentiel de l’IA tout en limitant les risques liés à son autonomie.

Donner une identité aux agents, une condition essentielle du Zero Trust

L’extension des principes Zero Trust aux agents nécessite avant tout que ces derniers disposent d’une identité. Comme pour les utilisateurs humains, les entreprises doivent connaître précisément l’agent qui agit, pour le compte de quel utilisateur et le contexte de la réalisation d’une action.

Anthropic recommande l’utilisation de certificats numériques pour la vérification d’identité et du protocole TLS mutuel pour l’authentification. Cependant, cette solution présente des inconvénients. De nombreux agents développés ou téléchargés par les entreprises ne peuvent gérer des certificats.

De plus, le protocole TLS mutuel risque d’entraver l’interception du trafic des agents pour vérifier le respect des politiques de sécurité en place. Les organisations cherchent à disposer d’une identité fiable permettant d’associer l’agent à l’utilisateur humain qui s’en sert. Cette identité fusionnée s’avère essentielle pour créer des politiques mettant en œuvre des systèmes de contrôle précis. Les développeurs ne doivent pas créer, stocker ni partager de jetons d’accès entre les agents, car ils représentent une cible particulièrement vulnérable en cas d’attaque.

Sitôt une base d’identité solide en place, une stratégie Zero Trust peut définir le niveau d’accès approprié selon les ressources concernées. Anthropic fait référence au principe de « capacité d’action minimale » (« least agency ») de l’OWASP, qui correspond au principe du moindre privilège appliqué aux agents. Un agent ne doit donc disposer que des capacités strictement nécessaires à son fonctionnement et ne pouvoir effectuer que les actions correspondant à son rôle et à son objectif.

L’application de ce principe se fait notamment grâce aux contrôles d’accès basés sur les rôles et sur le contexte. Les politiques de sécurité peuvent associer les identités des agents à des rôles et définir précisément les conditions autorisées pour chaque accès : heure, localisation, niveau de confidentialité, score de risque, instance applicative utilisée ou encore caractéristiques de la ressource demandée. Cette approche permet de limiter les possibilités d’action des agents et d’éviter qu’un agent compromis ou mal utilisé puisse accéder à des ressources qui ne correspondent pas à son usage prévu.

La visibilité et les contrôles d’accès comme premier rempart

En l’absence de pratiques DevSecOps bien établies, la majorité des entreprises doit acquérir une visibilité sur l’ensemble de leur environnement d’IA et mettre en place des systèmes de contrôle efficaces. De plus, l’usage sécurisé de l’IA agentique passe par l’ajout d’une couche de politiques et de gouvernance régissant l’utilisation de cette IA et les interactions de ses agents.

Les stratégies Zero Trust partent du principe que les entreprises connaissent l’ensemble de leurs ressources, systèmes et données. Depuis la généralisation de l’IA, cette idée perd en pertinence, d’où le complément indispensable que représente l’inspection en transit.

Elle permet d’identifier de façon continue les serveurs et clients MCP utilisés ainsi que leurs principales caractéristiques. Elle facilite également l’attribution de scores de risque aux serveurs MCP publics afin d’identifier les outils d’IA et les intégrations qui présentent les plus grands risques en matière de sécurité et de conformité.

La visibilité ne se limite toutefois pas à la détection. Le livre d’Anthropic rappelle par exemple que les contrôles d’accès empêchent les actions non autorisées, mais qu’une surveillance continue reste essentielle pour comprendre les événements détectés et déterminer si l’activité des agents paraît normale ou suspecte.

Comme cela se fait déjà pour les utilisateurs humains, leurs utilisateurs peuvent désormais définir un comportement de référence pour les agents, puis détecter les anomalies ou les signes de dysfonctionnement afin d’adapter les politiques de contrôle.

Vérifier l’intention des agents pour empêcher les abus

Il existe toujours un risque qu’un agent se comporte de manière imprévisible, avec comme potentielles conséquences d’importants préjudices. Dans l’approche Zero Trust généralisée à l’IA, toute action doit partir du principe que des acteurs malveillants exploitent déjà une faille.

Les entreprises utilisant l’IA doivent donc détecter et surveiller le trafic entre les serveurs MCP, les clients, les fonctions, les hôtes, les sources de données et les outils de développement. En parallèle, elles gardent à l’esprit le trafic interne à tous ces éléments, tout en enregistrant les événements MCP, notamment les sessions, les requêtes, les réponses de fonctions et les déploiements.

Un aspect parfois négligé des stratégies Zero Trust consiste à identifier la raison pour laquelle une personne ou un agent agit d’une certaine manière ou possède l’autorisation de le faire. Évaluer l’intention de chaque agent doit devenir une étape obligatoire dans toute stratégie Zero Trust. Cela nécessite de filtrer les données exploitées par les agents, car ceux-ci ne peuvent pas faire la distinction entre des instructions légitimes et des commandes malveillantes.

Les dispositifs de contrôle automatiques fournissent ainsi une couche de défense supplémentaire en analysant le trafic en temps réel, afin de neutraliser les attaques par injection de prompt, le « jailbreaking » ou les tentatives d’exfiltration de données. Ils permettent également de modérer les contenus et de bloquer la diffusion de ceux soumis à des contraintes de propriété intellectuelle.

À mesure que les agents gagnent en autonomie, cette capacité à contrôler leur identité, leurs accès et leurs intentions devient donc un élément central de toute stratégie de sécurité. Même avec l’ajout de celui-ci, le cœur de l’approche Zero Trust reste que les bonnes personnes et les bons agents disposent du bon niveau d’accès aux bonnes ressources, au bon moment et pour les bonnes raisons.

*Steve Riley est Field CTO chez Netskope

Photo : © DR

The post Le Zero Trust à l’ère des agents : une approche dépassée ? appeared first on Silicon.fr.