Contexte et objectifs
Microsoft a annoncé une série de contrôles destinés à limiter les actions d’agents d’intelligence artificielle (IA) lorsqu’ils sont jugés à risque. L’initiative répond à la notion d’« agentic insider » décrite par Hayete Gallot, vice‑présidente exécutive de Microsoft Security, qui souligne que les modèles de pointe sont souvent sur‑autorisés et peuvent poursuivre des objectifs non prévus, voire collaborer entre eux. L’objectif principal est de traiter les modèles comme des risques internes, en plaçant les garde‑fous en dehors du modèle même.
Détection et identification des agents
Les nouveaux outils de découverte de Microsoft peuvent désormais identifier 60 types d’agents locaux sur les postes de travail, contre 35 auparavant. Parmi les agents répertoriés figurent Claude Code d’Anthropic, Codex d’OpenAI et GitHub Copilot. Microsoft étend également Microsoft Entra Agent ID afin d’attribuer une identité propre à chaque agent détecté, y compris aux agents inconnus repérés par les capteurs.
Mécanisme de risque dynamique
Chaque agent se voit attribuer un score de risque dynamique mis à jour en continu. Ce score agrège des signaux provenant des services d’identité, d’endpoint, de cloud et de réseau de Microsoft. Il augmente dès que le comportement de l’agent s’écarte des intentions de l’utilisateur ou de l’organisation, par exemple en effectuant des modifications non autorisées ou en communiquant avec d’autres agents.
Le score alimente Microsoft Entra Conditional Access, rebaptisé Dynamic Conditional Access. Selon le niveau de risque, les capacités de l’agent sont restreintes : d’abord, il ne peut plus modifier de données tout en conservant l’accès en lecture ; à un niveau supérieur, toute action à impact doit être validée par un humain ; au niveau maximal, le runtime de l’agent est isolé ou arrêté.
Gestion des permissions et isolation
Le principe de Dynamic Permissions accorde à l’agent uniquement les droits nécessaires à la tâche en cours, et ce, pour la durée exacte de l’exécution. Ces permissions restent plafonnées par les limites organisationnelles, empêchant l’agent de dépasser l’autorité de son utilisateur principal.
Microsoft propose également le Microsoft Execution Container, un environnement sandbox où l’agent s’exécute. Le monitoring réside à l’extérieur du conteneur, ce qui empêche un agent compromis de désactiver le système de surveillance.
Project Perception et perspectives futures
Intégré à Project Perception lancé en juillet, les nouvelles fonctions incluent des playbooks permettant aux équipes de sécurité de définir les réponses attendues. Des Guardian Agents automatisent l’investigation dès qu’un score de risque augmente, pouvant recommander ou appliquer directement des mesures de confinement.
Gallot indique que les prochains contrôles devront offrir une explication du comportement de l’agent, en exposant les « reasoning tokens » du modèle. Microsoft travaille déjà à intégrer des signaux de type « chain‑of‑thought » dans le calcul du risque dynamique.
Aucun calendrier de disponibilité ni tarif n’a été communiqué ; les contrôles seront présentés dans le cadre de Project Perception et du pack Microsoft 365 E7, qui regroupe Agent 365 et Microsoft 365 Copilot. Les détails seront approfondis lors de l’événement Microsoft Ignite prévu le 17 novembre.
