Présentation du produit

Lors de la conférence Fal.Con 2026 à Las Vegas, CrowdStrike a annoncé Falcon Guardian, la nouvelle version de son module de détection d’IA. Le service succède à Falcon AI Detection and Response, rendu disponible en décembre 2025, et ajoute une couche d’enforcement qui permet de bloquer les agents d’intelligence artificielle non autorisés sur les postes de travail.

Architecture et mécanismes

Le capteur Falcon, déjà présent sur les machines Windows et macOS, recense à la fois les agents « connus » et les agents fantômes (shadow agents), qu’ils soient actifs ou inactifs. Chaque instance est associée à son créateur et à son statut de sécurité, puis liée à la télémétrie de l’endpoint. Cette chaîne d’événements part du prompt utilisateur, passe par l’identité employée, les outils invoqués et les compétences sollicitées, jusqu’à l’action finale du code. Les administrateurs définissent une liste blanche d’agents autorisés ; tout autre processus est immédiatement bloqué.

Deux modules complémentaires sont prévus mais ne sont pas encore commercialisés. AI Gateway interceptera le trafic IA de l’entreprise et appliquera les politiques Falcon à chaque appel, y compris les connexions via le Model Context Protocol. En pré‑beta, il devrait être disponible au prochain trimestre. Le service géré Falcon Complete for Guardian sera lancé dans le même délai, offrant une surveillance continue et une réponse automatisée.

Analyse de l’impact sécuritaire

Falcon Guardian utilise la même télémétrie que le module de détection pour identifier les attaques ciblant les agents IA et les comportements anormaux des agents eux‑mêmes. Lors d’un incident, la plateforme reconstruit la chaîne d’exécution et estime le blast radius en temps réel, ce qui permet d’isoler rapidement la menace. Les données d’agent sont ensuite injectées dans le Falcon Next‑Gen SIEM, où elles sont conservées avec rétention intégrée et corrélées aux informations d’identité, de cloud et de SaaS. Cette intégration native contraste avec les solutions concurrentes, qui ne proposent généralement pas de SIEM dédié et obligent les clients à ajouter des produits tiers, augmentant ainsi le coût et la complexité.

Le fondateur George Kurtz souligne que l’IA accélère la vitesse des attaques, rendant indispensable une gouvernance au niveau de l’endpoint. En plaçant le point de contrôle sur le dispositif final, Falcon Guardian conserve une visibilité complète sur les actions de chaque agent, ce qui limite les fenêtres d’exposition.

Limitations et perspectives

Actuellement, seules les fonctions de découverte et d’enforcement sont en production. L’AI Gateway et le service géré restent en phase de pré‑beta, ce qui signifie que les organisations doivent attendre quelques mois avant de bénéficier d’une protection complète du trafic IA. De plus, la solution repose sur la présence du capteur Falcon sur chaque endpoint ; les environnements hétérogènes où le déploiement est partiel pourraient voir des agents non détectés. Enfin, la capacité de Falcon Guardian à identifier les agents « shadow » dépend de la mise à jour continue de sa base de signatures, un facteur de risque si les acteurs malveillants utilisent des modèles très récents ou personnalisés.