CUSTODY : Le nouveau cadre de sécurité pour verrouiller les agents IA dans l'entreprise

L'intégration des agents IA autonomes dans l'infrastructure d'entreprise crée une surface d'attaque inédite, où les privilèges traditionnels ne suffisent plus. Le framework CUSTODY, conçu pour imposer des contraintes strictes aux agents IA au sein du réseau, redéfinit les mécanismes d'autorisation en temps réel pour empêcher les dérives comportementales.

En bref

• Nouvelle architecture de contrôle : CUSTODY remplace les simples listes de contrôle d'accès (ACL) statiques par une supervision comportementale dynamique des agents IA.
• Isolation logique stricte : Chaque agent opère dans un micro-environnement isolé (sandbox) avec des permissions minimales, limitant l'impact d'une compromission.
• Auditabilité totale : Toutes les actions des agents sont journalisées avec un contexte de décision, permettant une reconstitution forensique précise des incidents.
• Réponse aux failles de prompt injection : Le cadre intègre des garde-fous techniques pour détecter et bloquer les tentatives de manipulation des instructions système.
• Interopérabilité cloud : Conçu pour s'intégrer nativement aux environnements hybrides (on-premise et cloud), sans dépendre d'un fournisseur spécifique.

Contexte : La menace des agents autonomes

Les agents IA ne sont plus de simples assistants conversationnels. Ils exécutent des tâches complexes : modification de configurations réseau, déploiement de correctifs, gestion de bases de données ou interaction avec des API tierces. Cette autonomie introduit un risque systémique majeur : un agent peut, par erreur de logique ou sous l'effet d'une prompt injection, effectuer des actions destructives ou exfiltrer des données sensibles.

Les approches de sécurité classiques, basées sur l'identité utilisateur et les rôles (RBAC), échouent face à cette nouvelle classe d'acteurs. Un utilisateur humain agit avec une intention (malveillante ou non) ; un agent IA agit avec une logique. Si cette logique est corrompue, le privilège accordé devient une arme. Le framework CUSTODY (Control, Understanding, Supervision, Transparency, Oversight, and De-escalation) répond à ce besoin en traitant l'agent non pas comme un utilisateur privilégié, mais comme un processus non fiable nécessitant une surveillance continue.

Architecture technique de CUSTODY

Le cœur de CUSTODY repose sur un plan de données séparé du plan de contrôle. L'agent IA n'a jamais accès direct aux ressources cibles ; il passe par un Broker de Sécurité (Security Broker) qui évalue chaque requête avant son exécution.

Le Broker de Sécurité et l'évaluation en temps réel

Chaque action demandée par l'agent (ex : chmod, curl, SQL UPDATE) est interceptée. Le Broker analyse :

1. L'intention : La requête est-elle cohérente avec la tâche déclarée initialement ?
2. Le contexte : Quels sont les fichiers ou ressources accédés juste avant ?
3. Le risque : Le niveau de privilège demandé est-il proportionnel ?

Si l'évaluation échoue, l'action est bloquée et un événement d'alerte est généré.

# Exemple de configuration du Broker CUSTODY (YAML)
security_broker:
  mode: strict
  agent_id: "ai-devops-agent-01"
  allowed_actions:
    - type: "file_read"
      path_prefix: "/var/log/app/"
    - type: "http_request"
      allowed_domains:
        - "internal-api.corp.local"
      blocked_methods:
        - "DELETE"
        - "PUT"
  risk_threshold: 0.85 # Bloquer si le score de risque dépasse 85%
  audit_log:
    destination: "syslog://audit-server:514"
    format: "json"

Sandbox et Isolation des Agents

CUSTODY impose l'exécution des agents dans des conteneurs éphémères ou des micro-virtual machines (microVMs) avec des noyaux isolés. L'agent n'a pas de réseau direct ; toutes ses communications sortantes transitent par le Broker.

• Réseau : Une VPC (Virtual Private Cloud) dédiée par agent, sans route par défaut vers Internet.
• Stockage : Système de fichiers en lecture seule, sauf pour un répertoire temporaire éphémère.
• CPU/Mémoire : Limites strictes (cgroup) pour prévenir les attaques par déni de service (DoS) internes.

Implémentation : Du déploiement à la supervision

La mise en œuvre de CUSTODY nécessite une refonte de la manière dont les agents sont intégrés au CI/CD et à l'infrastructure.

1. Définition du profil de compétences (Skill Profile)

Avant l'exécution, chaque agent doit déclarer son profil de compétences. C'est la base de la confiance. Un agent de "support réseau" n'a pas le profil d'un agent de "devOps".

{
  "agent_profile": "network-troubleshooter",
  "version": "1.2.0",
  "capabilities": [
    "ping",
    "traceroute",
    "log_analysis",
    "config_read"
  ],
  "forbidden_capabilities": [
    "config_write",
    "firmware_update",
    "user_management"
  ]
}

2. Journalisation forensique (Audit Trail)

CUSTODY génère des journaux structurés (JSON) qui lient chaque action à la trace de raisonnement de l'IA (si disponible via le contexte de la LLM). Cela permet de distinguer une erreur de logique d'une injection malveillante.

{
  "timestamp": "2023-10-27T14:30:05Z",
  "agent_id": "ai-netops-04",
  "action": "exec:iptables -L -n",
  "context": "Investigation de la latence sur le switch core-01",
  "risk_score": 0.12,
  "decision": "ALLOW",
  "broker_version": "2.1.0"
}

En cas d'incident, l'analyste SOC peut filtrer par risk_score > 0.8 ou par decision: BLOCK pour identifier rapidement les tentatives de déviation.

3. Intégration avec les outils de gestion d'identité

Pour éviter la confusion entre identités humaines et identités de service, CUSTODY utilise des certificats mTLS (mutual TLS) spécifiques pour chaque instance d'agent. L'agent présente son certificat à chaque appel API. Si le certificat est révoqué ou si la version de l'agent ne correspond pas au profil déclaré, la connexion est refusée.

Gestion des incidents et dé-escalation

Le pilier "De-escalation" de CUSTODY est crucial. Lorsque le Broker détecte un comportement anormal (ex : l'agent commence à scanner le réseau au lieu de lire les logs), il déclenche une procédure de dé-escalation :

1. Gel immédiat : L'agent est mis en pause (pause signal ou stop du conteneur).
2. Isolation réseau : La VPC dédiée est coupée du reste du réseau.
3. Snapshot forensique : L'état mémoire et disque de l'agent est capturé pour analyse.
4. Notification : L'équipe sécurité est alertée avec le contexte complet.

Cette approche préventive évite que l'agent ne propage sa "maladie" (logique corrompue) à d'autres systèmes avant que les humains ne puissent réagir.

Bonnes pratiques pour consultants IT

En tant que consultants, votre rôle est de garantir que l'adoption de l'IA n'abandonne pas le contrôle. Voici les recommandations opérationnelles :

• Ne jamais exécuter d'agents IA avec des privilèges root/admin : Même avec CUSTODY, le principe du moindre privilège doit s'appliquer à l'OS sous-jacent. L'agent doit tourner avec un utilisateur dédié, sans sudo.
• Séparer les environnements de test et de production : Les agents IA doivent être validés dans un environnement de staging strictement isolé. Ne déployez jamais un nouvel agent directement en production sans une période d'observation (shadow mode) où ses actions sont simulées mais non exécutées.
• Auditer les prompts système : CUSTODY protège l'exécution, mais pas la conception. Vérifiez que les instructions système (system prompts) de vos agents ne contiennent pas de backdoors ou de faiblesses logiques connues. Utilisez des tests de red teaming spécifiques à l'IA.
• Intégrer CUSTODY dans la pipeline CI/CD : La configuration de sécurité des agents doit être versionnée dans Git, comme le code. Tout changement de permissions doit passer par une revue de code (PR) et un test de sécurité automatisé.
• Former les équipes SOC : Les analystes doivent comprendre la différence entre une erreur humaine et une erreur d'agent. Les journaux CUSTODY fournissent des indices contextuels uniques ; formez vos équipes à les interpréter.
• Surveiller les coûts de calcul : Un agent IA bloqué en boucle peut générer des coûts cloud importants. CUSTODY permet de définir des limites de tokens ou de temps de CPU par action, ce qui agit aussi comme un mécanisme de sécurité (limitation de la capacité de calcul malveillante).

Points cles

Le framework CUSTODY marque un tournant dans la sécurité des systèmes d'information : la fin de l'ère où l'on confie des privilèges élevés à des entités non humaines sans supervision active.

Pour les consultants IT, l'adoption de CUSTODY (ou de cadres équivalents) n'est plus optionnelle dès lors que l'IA est intégrée aux processus opérationnels. La valeur ajoutée de votre expertise réside désormais dans la capacité à architecturer des environnements où l'IA est utile mais inoffensive.

En résumé :

1. Isoler chaque agent dans un environnement contrôlé.
2. Intercepter chaque action via un Broker de sécurité.
3. Auditer chaque décision avec un contexte riche.
4. Dé-escalader rapidement en cas de comportement anormal.

L'IA ne doit pas être un super-utilisateur. Elle doit être un citoyen de second ordre, soumis aux mêmes lois que les autres, mais avec une surveillance renforcée due à sa capacité d'action autonome. C'est cette rigueur qui permet d'exploiter le potentiel de l'IA sans sacrifier la stabilité et la sécurité de l'infrastructure d'entreprise.

Source : Dark Reading