Agent IA cyber et multi-agents : usages, preuves et limites

Un agent IA cyber est un système qui utilise un modèle pour décider d’actions liées à la cybersécurité et les exécuter avec des outils, dans un périmètre donné. Le mot décrit un fonctionnement, pas un niveau de fiabilité. Un agent qui résume une alerte, un agent qui interroge des journaux et un agent qui envoie des requêtes de test n’ont pas les mêmes accès ni les mêmes conséquences.

Un système multi-agents fait coopérer plusieurs agents. Le partage des rôles peut aider à séparer exploration, analyse et restitution. Le nombre d’agents ne démontre cependant ni une meilleure couverture ni une vérification indépendante : deux agents peuvent reprendre la même hypothèse erronée.

Ce guide propose une grille de cadrage. L’exemple qui suit est pédagogique ; il ne décrit pas l’architecture interne d’un produit ni les résultats d’un benchmark.

Assistant, automatisation et agent : que comparer ?

Fonctionnement	Décision principale	Question utile
Assistant	Un opérateur choisit les actions et examine la réponse	Que doit vérifier l’opérateur avant d’utiliser la suggestion ?
Automatisation déterministe	Un programme suit une règle ou un scénario fixé	Quelles entrées et quels cas ne sont pas prévus ?
Agent IA	Le système choisit une suite d’actions avec les outils autorisés	Quelles actions peut-il réellement déclencher ?
Multi-agents	Plusieurs agents échangent des tâches et des résultats	Qui peut déléguer, modifier la mémoire et accepter une preuve ?

Un produit peut combiner ces fonctionnements. Demandez une démonstration d’un parcours précis plutôt qu’une liste de qualificatifs. Il faut pouvoir distinguer la suggestion d’une commande, l’exécution de cette commande et la preuve de son résultat.

Trois usages cyber qui demandent des contrôles différents

Pour la veille, l’agent peut trier des publications selon un inventaire de produits. La sortie utile conserve le lien vers l’éditeur, les versions et la date. Une synthèse plausible sans référence ne permet pas de décider d’une correction. Notre guide de veille RSS propose un circuit de qualification reproductible.

Pour l’investigation, le système peut réunir des événements déjà autorisés à la consultation. Séparez cet accès en lecture des actions qui isolent une machine, révoquent une session ou suppriment un fichier. La capacité de lire un journal ne doit pas accorder le droit de modifier l’environnement.

Pour le pentest IA, les agents peuvent tester des hypothèses sur des applications autorisées. Évaluez les accès, les exclusions et les preuves du rapport. Tester avec une IA et tester la sécurité d’une IA sont deux périmètres différents. Le guide SpectrAI du pentest IA explique la première démarche et ses limites.

Exemple de coopération sur une API de démonstration

Imaginons une application fictive avec deux comptes de test appartenant à deux organisations. Le besoin est de vérifier que chaque compte ne voit que ses propres documents.

1. Un rôle d’exploration inventorie les parcours accessibles avec chaque compte.
2. Un rôle de test propose une hypothèse de séparation entre organisations.
3. Un rôle de vérification demande les échanges HTTP qui démontrent le résultat.
4. Un rôle de restitution explique l’impact, les préconditions et la correction attendue.

Le point décisif est le contrat entre ces rôles. Le message « accès croisé confirmé » n’est pas une preuve. Il faut associer l’identité du compte, l’objet demandé, l’identité de son propriétaire attendu et la réponse observée. Une information manquante doit conserver le statut « non confirmé ».

Pour préparer ces éléments, utilisez HTTP Inspector, HTTP Diff et Evidence Sanitizer. Ces utilitaires analysent les données fournies dans le navigateur ; ils n’exécutent pas ce scénario contre une API.

Les limites à mettre dans le pilote

L’OWASP traite les systèmes agentiques et multi-agents comme des surfaces qui nécessitent leur propre analyse des menaces. Ses guides ne certifient pas un produit. Pour un pilote, nous proposons de consigner les contrôles suivants et leur résultat observé :

Risque à examiner	Contrôle à démontrer	Preuve attendue
Une instruction hostile apparaît dans une page ou un document	Les données lues ne peuvent pas élargir les permissions	L’action hors périmètre est refusée et journalisée
Un agent transmet une conclusion non démontrée	Le destinataire exige les éléments de reproduction	Le constat reste non confirmé tant que la preuve manque
Un compte dispose d’un accès excessif	Les droits sont limités à la tâche et à sa durée	Une opération interdite échoue
Deux espaces clients partagent du contexte	La mémoire et les pièces sont isolées	Aucun élément du premier espace n’apparaît dans le second
Une boucle multiplie les actions	La durée, les appels et l’arrêt sont bornés	L’arrêt est effectif et les actions déjà réalisées sont connues

Ces essais doivent se faire sur un environnement de démonstration autorisé. Une page publique ou un document ingéré reste une entrée à examiner, même lorsqu’il provient d’un agent interne.

Comment mesurer un pilote sans fabriquer un score

Définissez les tâches attendues avant le test. Conservez l’environnement, les accès, les cas bloqués et la procédure de vérification. Mesurez séparément les résultats démontrés, les hypothèses non confirmées, les erreurs et le temps nécessaire pour rendre le résultat exploitable.

Un taux de détection n’a de sens que si les cas attendus et son dénominateur sont connus. Une comparaison entre fournisseurs demande le même périmètre et les mêmes conditions. Le nombre d’agents, de messages ou de requêtes ne remplace pas cette comparaison.

Un MSP doit ajouter le mandat de chaque client, l’isolement des espaces, le destinataire des preuves et les règles de restitution. Pour une offre de pentest, consultez le programme partenaires SpectrAI et demandez la proposition correspondant au périmètre réel.

Sources et lectures complémentaires

• OWASP : Agentic AI, Threats and Mitigations.
• OWASP : Multi-Agentic System Threat Modeling Guide.
• Pentest IA, manuel et scanner : critères de choix.
• Outils cyber : choisir selon la tâche.