Le CERT-FR alerte sur les risques des agents IA autonomes en entreprise

Ce que les agents IA autonomes font sur un poste de travail

Un agent autonome agit à la place de l’utilisateur. Selon le CERT-FR, il peut exécuter des commandes, contrôler le navigateur, lire et écrire des fichiers, gérer le calendrier et envoyer des courriels. Le tout se déclenche par un simple message texte envoyé depuis Slack, WhatsApp ou Discord.

Le bulletin pointe un second problème, moins visible. Ces agents chargent des greffons (plugins) à la volée. Selon le modèle d’intégration, ces extensions s’exécutent comme du code de confiance, avec les mêmes privilèges que l’application. Ainsi, chaque greffon ajouté élargit la chaîne d’approvisionnement logicielle, et avec elle la surface d’attaque.

Sans politique stricte du poste de travail, le CERT-FR juge le risque de Shadow IT et de perte de maîtrise du système d’information « élevé ». Nous avons décrit ce glissement dans Shadow AI : quand les usages IA échappent à la gouvernance des organisations.

Les risques identifiés par le CERT-FR

Le premier risque touche le poste lui-même. La plupart de ces outils sont encore en version bêta, et une vulnérabilité suffit à compromettre la machine de l’utilisateur.

Viennent ensuite les données. L’agent peut transmettre des informations sensibles vers des ressources externes que vous ne maîtrisez pas. De plus, il reçoit souvent des droits démesurés sur l’ensemble des applications bureautiques : messagerie, agenda, fichiers, applications métier et RH. Quand l’utilisateur lui confie ses identifiants et mots de passe, ces secrets peuvent fuiter à leur tour.

Enfin, l’organisme perd la maîtrise des actions réalisées. Le CERT-FR envisage ainsi des actions destructrices, avec perte d’intégrité ou de disponibilité d’applications ou de données métier. Les systèmes concernés couvrent les postes Windows, Linux et mobiles, ainsi que toutes les applications et données accessibles à l’agent.

L’injection de prompt, une faiblesse que la configuration ne supprime pas

Le bulletin rappelle une faiblesse propre aux modèles de langage : ils restent vulnérables aux injections de prompt. Un texte piégé, glissé dans un courriel ou une page web, peut donner des ordres à l’agent. Or un agent qui orchestre des outils capables d’agir au niveau du système d’exploitation transforme cette faiblesse en exécution de commandes ou en exfiltration de données.

Le CERT-FR écarte la parade la plus répandue. Formuler les consignes de l’agent de manière défensive réduit le risque, sans l’éliminer, car une injection peut la contourner. Le durcissement de la configuration reste donc le principal levier. Pour les mécanismes de l’attaque, lisez Prompt Injection : ce que votre IA fait quand vous avez le dos tourné.

Le bulletin signale enfin un risque résiduel : l’agent pourrait étendre lui-même ses capacités et contourner les règles d’autorisation fixées au départ.

Les conditions posées avant tout usage

La position du CERT-FR ne laisse pas de marge. Ces produits « ne doivent en aucun cas être déployés en environnements de production ». En l’état, le CERT-FR demande de ne pas installer les assistants autonomes comme OpenClaw sur les postes de travail, mobiles compris, et d’en proscrire l’usage tant que le produit n’est pas stabilisé.

Les tests restent possibles dans des environnements isolés, des bacs à sable, sans aucune donnée sensible : ni données de production, ni secrets, ni données personnelles, ni données bancaires. Toute mise en œuvre suit donc une procédure précise.

1. Obtenez la validation préalable de la DSI et du RSSI, avec acceptation écrite des risques résiduels.
2. Limitez les actions et les outils accessibles à l’agent au strict nécessaire.
3. Imposez une validation humaine dès qu’une commande système ou une action à effet de bord est envisagée.
4. Faites tourner l’agent dans un environnement isolé.
5. Encadrez par des listes blanches les canaux et les interlocuteurs autorisés, et n’activez l’agent que sur mention explicite.

Agents IA autonomes et RGPD : sécurité, registre et violation

Ces risques rejoignent l’article 32 du règlement général sur la protection des données (RGPD). Le responsable de traitement doit garantir un niveau de sécurité adapté au risque, ce qui suppose de savoir quels outils tournent sur les postes. Un agent installé sans validation contredit directement cette obligation.

Si un agent provoque une fuite de données personnelles, les articles 33 et 34 s’appliquent pleinement. La violation se notifie à la Commission nationale de l’informatique et des libertés (CNIL) dans les meilleurs délais, si possible dans les 72 heures. En cas de risque élevé, le responsable informe aussi les personnes concernées.

Pour les entités essentielles et importantes, la directive NIS 2 impose aussi des mesures de gestion des risques de cybersécurité proportionnées. Le bulletin du CERT-FR donne un contenu concret à cette exigence pour les agents IA.

Commencez par l’inventaire des agents utilisés dans votre organisation. Bloquez ensuite leur installation sur les postes de production tant que la DSI ne les a pas validés. Si un agent accède à des données personnelles, inscrivez-le au registre et évaluez la nécessité d’une analyse d’impact (AIPD). DPO Suite, l’application de conformité de DPO PARTAGE, permet de identifier les agents d’IA et retrouver les traitements concernés.

Sources

Toutes les constatations et recommandations citées proviennent du bulletin du CERT-FR, Vulnérabilités et risques des produits d’automatisation par IA agentique sur les postes de travail.

Les articles 32, 33 et 34 du RGPD se lisent sur EUR-Lex, Règlement (UE) 2016/679.

Le texte de la directive NIS 2 est publié sur EUR-Lex, Directive (UE) 2022/2555.

Questions fréquentes