Agents IA : les credentials partagés deviennent un risque à traiter dès le déploiement

Une enquête menée auprès de 107 organisations met en lumière un écart entre la diffusion des accès partagés et l’usage d’identités dédiées pour les agents. Le signal n’établit pas de causalité, mais il justifie un principe opérationnel: traiter l’identité, le moindre privilège, l’isolation et la traçabilité avant d’étendre les déploiements agentiques.

Par Naïm GhezaliPublié le 21 août 2026 à 08:00Mis à jour le 21 août 2026 à 09:00 9 minImpact 8/10

Retour aux signaux

En bref

Une enquête auprès de 107 organisations indique que 69% conservent des credentials partagés dans leur parc d’agents, que 32% attribuent une identité dédiée et limitée à chaque agent et que 54% rapportent des incidents ou quasi-incidents. Ces résultats ne démontrent aucune causalité, mais ils mettent en évidence un enjeu opérationnel: un agent ayant accès aux systèmes d’entreprise doit pouvoir être identifié, limité, isolé et suivi individuellement.

Ce qui change

Avec des agents capables d’accéder à des API, données ou systèmes internes, l’identité machine devient une condition du déploiement plutôt qu’un sujet à traiter après coup. La question n’est plus seulement de savoir ce que fait l’agent, mais sous quelle identité il agit, quels privilèges cette identité lui donne et si ses actions peuvent lui être attribuées précisément.

Pourquoi ça compte

Des credentials partagés ou trop permissifs peuvent étendre le périmètre accessible en cas de compromission, compliquer l’attribution des actions et augmenter les coûts de réponse aux incidents. Pour l’entreprise, la gestion des identités des agents devient donc un sujet conjoint de sécurité, d’IAM et de gouvernance des déploiements IA.

Qui est concerné

Les RSSI, équipes sécurité et IAM, DSI et responsables IA ou automation sont directement concernés, ainsi que toute entreprise déployant des agents connectés à des API, des données ou des systèmes internes.

Action à faire

1Inventorier les agents, leurs identités et les accès qu’ils utilisent.
2Éliminer en priorité les credentials humains ou partagés et attribuer une identité propre à chaque agent.
3Limiter les privilèges de chaque identité aux ressources nécessaires et isoler les agents les plus sensibles.
4Vérifier que les journaux permettent d’attribuer précisément chaque action à l’agent concerné.
5Tester des scénarios de compromission avant d’étendre les déploiements.

Risques et limites

Les résultats de l’enquête ne sont pas représentatifs de l’ensemble du marché: elle ne compte que 107 répondants, est auto-sélectionnée et surreprésente le mid-market. Les incidents rapportés ne permettent pas non plus d’établir que les credentials partagés en sont la cause. Le signal justifie donc une vérification des contrôles internes, pas une conclusion causale.

Verdict Radar

DéployerImpact 8/10Impact des agents utilisant des credentials partagés ou trop permissifs peuvent accroître le périmètre d’une compromission, rendre l’attribution des actions plus difficile et augmenter les coûts de réponse aux incidents. cela transforme la gestion des identités machine en enjeu concret de gouvernance des déploiements agentiques.

ACT_NOW: intégrer dès le déploiement une identité dédiée, le moindre privilège, l’isolation et une journalisation attribuable. La faiblesse méthodologique de l’enquête limite la portée de ses chiffres, mais pas l’intérêt de vérifier ces propriétés directement dans son propre environnement.

Sources

Signal d’origine utilisé pour l’analyse Radar.