Mais Encore
· Security musings
Menu

Non-Human Identities : vos agents IA ont déjà plus de credentials que vos humains

Catégories

Tags

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

⏱️
Temps de lecture estimé
~10 minutes

Comptez vos agents IA en production. Maintenant comptez leurs credentials : une clé API pour le LLM, un token OAuth pour le CRM, un service account Kubernetes pour le déploiement, une clé de signature pour les webhooks, un secret MCP pour parler à trois serveurs différents. Un seul agent “simple” en traîne facilement une dizaine. Multipliez par le nombre d’agents que votre organisation a mis en production ces douze derniers mois, sans jamais tenir d’inventaire centralisé. Un panda, lui, ne porte qu’un seul trousseau : les pattes avant, réservées au bambou.

Ce que je constate

Je constate que la question des Non-Human Identities (NHI) n’est pas nouvelle ; elle existait déjà avec les microservices, les jobs CI/CD, les intégrations SaaS. Ce qui a changé, c’est l’échelle. Un microservice a un rôle stable et un cycle de vie prévisible : il naît avec un déploiement, il meurt avec un rollback.

Un agent IA, lui, peut décider en cours d’exécution d’appeler un nouvel outil, de se connecter à un nouveau MCP server, de générer une sous-tâche qui elle-même a besoin de ses propres credentials. La surface ne grandit plus linéairement avec le nombre de services : elle grandit avec le nombre de décisions que l’agent prend.

CyberArk estimait en 2025 à plus de 80 le nombre d’identités machine pour chaque humain dans les organisations. Ce chiffre date d’avant la généralisation des agents autonomes en production. Je n’ai vu aucune étude sérieuse republier ce ratio pour 2026, et pour cause : personne n’a fini de compter. Moi non plus, remarquez ; j’ai arrêté au moment où j’ai compris que je comptais des trousseaux de clés, pas des pandas, et que le trousseau, lui, ne dort jamais vingt heures par jour.

Note du PandaRedacteur : quand un Director remonte fièrement que “l’inventaire des identités machine est à 90% de couverture”, ma première question est toujours la même : 90% de quoi, mesuré quand ? Un inventaire NHI qui date de plus de trois mois sur un environnement agentique n’est pas un inventaire, c’est une photo de vacances. Et sur la photo, en général, il manque déjà la moitié de la famille.

Cet article est en lien avec plusieurs articles déja publiés séparément : la gestion des secrets et tokens côté MCP dans MCP01: Token Mismanagement & Secret Exposure, et la question de rendre un threat model d’agent réellement opposable en production dans RAMPART & Clarity : quand les outils rejoignent le threat modeling agentique. Les NHI sont le chaînon qui relie les deux : c’est le mécanisme concret par lequel un agent mal gouverné devient un agent qui fuite.

LinkedIn Reddit Substack