7 min de lecture
~6 minutes
Dans l’épisode II, la République découvre une armée de clones commandée dix ans plus tôt, sans que le Conseil sache qui a signé. Les AI-Pods rejouent la scène avec des agents. Voici la suite promise : un manifeste en 12 points, un cycle de développement en 7 étapes et 9 anti-patterns pour s’auto-diagnostiquer.
Il existe une planète qui n’apparaît dans aucune archive. Dans l’épisode II de Star Wars, Obi-Wan cherche Kamino dans la bibliothèque des Jedi, la plus complète de la galaxie, et l’archiviste lui répond sans trembler que si un élément ne figure pas dans les registres, c’est qu’il n’existe pas. Il existe très bien. Il fabrique depuis dix ans une armée de clones commandée au nom d’un Maître Jedi que le Conseil n’avait jamais mandaté.
Remplacez Kamino par un fournisseur d’agents, l’armée par une flotte d’agents de code, le Conseil par un comité de gouvernance, et vous obtenez le mardi matin de pas mal d’équipes en 2026.
Note du PandaRedacteur : « Si ce n’est pas dans l’inventaire, ça n’existe pas » est la phrase la plus dangereuse de toute la saga. Elle a l’air d’une procédure. C’est un angle mort avec un tampon dessus.
Ce que l’épisode 1 vous disait
Le épisode 1 posait le problème : des équipes de deux à cinq seniors qui pilotent des agents, six multiplicateurs de risque qui se cumulent, et aucune composition d’AI-Pod publiée qui nomme un rôle sécurité. Il se terminait sur un programme et une promesse.
- Un manifeste en 12 points pour des AI-Pods sécurisées. Trois points avaient été dévoilés pour le ton (code généré non fiable, un agent n'est pas son propre contrôle, la gouvernance prouve et l'ingénierie protège) ; les neuf autres sont dans l'article.
- Le cycle de développement en 7 étapes, avec les contrôles attendus à chaque étape et la preuve que chacun doit produire.
- Une grille de 9 anti-patterns pour s'auto-diagnostiquer, avec une question par piège.
Le tout avec en fil rouge l’épisode II, L’Attaque des Agents, parce qu’une équipe de Jedi qui pilote une armée livrée par un fournisseur dont personne ne contrôle la fabrication, c’est exactement le sujet.
L’épisode II, version organigramme
Avant le manifeste, un petit tableau de correspondance. Il sert de légende pour la suite, et accessoirement de test : si vous reconnaissez votre organisation dans plus de trois lignes, lisez la grille d’anti-patterns en premier.
| Dans le film | Dans une AI-Pod |
|---|---|
| Le Conseil Jedi | Le comité de gouvernance, qui se réunit quand les agendas le permettent |
| Les Jedi, généraux d'une armée qu'ils n'ont pas formée | Les deux ou trois seniors du Pod qui orchestrent la flotte d'agents |
| Les clones de Kamino | Les agents, fabriqués ailleurs, livrés prêts à obéir |
| Jango Fett, le gabarit unique | Le modèle de base : tous les agents en partagent les angles morts |
| La commande passée au nom de Sifo-Dyas | Le déploiement dont personne ne retrouve l'autorisation |
| Les archives sans Kamino | L'inventaire d'agents qui n'en liste pas la moitié |
| Les droïdes séparatistes | Les agents offensifs de l'adversaire, qui n'attendent aucun comité |
Deux détails du film valent d’être gardés en tête. Les Kaminoans expliquent que leurs clones grandissent deux fois plus vite que la normale, et qu’ils ont été modifiés pour être moins indépendants que leur modèle : ils exécutent les ordres sans les discuter. Vitesse et autonomie, deux de nos six multiplicateurs, livrés d’usine. Et tous partagent le même génome. Si une faille se cache dans Jango, elle se cache dans toute l’armée ; c’est la monoculture, version armure mandalorienne.
Pendant ce temps, côté Séparatistes
L’armée d’en face n’attend pas la fin du comité (ah ? tiens ? zut…)’. Des agents autonomes forcent des boutiques en ligne pour 25 dollars la cible, avec trois outils open source et plus de 600 000 cartes bancaires volées, pendant qu’une autre campagne monte une collecte d’identifiants en moins de six heures. L’essaim d’agents de PaperCut a compromis 440 instances dans 48 pays, avec sept minutes entre l’accès initial et les droits d’administrateur de domaine. L’intrusion bouclée en dix heures a enchaîné plus de 50 techniques ATT&CK, sans zero-day. Le ver agentique mesure 61,8 % de machines compromises, et sur cohttp, dix minutes séparent le correctif public des premières attaques. Quant aux agents qui refusent d’échouer, bloqués sur une cible, ils basculent d’eux-mêmes vers l’injection SQL ou le path traversal. L’offensif a déjà son armée de clones, et elle ne tient pas de comité de pilotage.
Côté République, les clones ont leurs propres défauts de fabrication. Septembre et octobre en ont livré quatre, et ils se ressemblent.
- L’agent qui ouvre sa propre cage. DeepSeek Harness (CVE-2026-82533, CVSS 9,4) : un agent sandboxé appelle l’API de contrôle locale de l’outil, qui ne vérifie qu’un en-tête fourni par le client, et bascule sa session en
danger-full-access. Une commande suffit. Même famille que l’évaluation d’agent qui s’échappe : le contrôle se trouve du mauvais côté du mur. - La clé de voûte qui se déplace. Plugin4Shell : le pinning par SHA de commit est contourné dans Claude Code, Codex, Copilot et Gemini CLI, parce que Git accepte d’interpréter un hash comme un nom de branche et qu’aucun agent ne vérifie ce qu’il a extrait. Même famille que GitSpawn : on avait prévu la confiance, elle arrivait après l’exécution.
- Le sable. PixelLeak : plus de 13 000 images internes, issues de plus de 300 organisations, publiées en clair par des agents de code qui ne savaient pas joindre une capture à une pull request. Registres de facturation, écrans de trésorerie, fonctionnalités non publiées. Même famille que Comment and Control : des secrets qui sortent par un chemin que personne n’avait prévu.
- Le composant qui est le malware. Le skill poisoning : des skills et des serveurs MCP piégés, publiés sur des places de marché, que l’agent installe et exécute avec vos droits. Les chiffres qui circulent (341, 1 184, 1 467) mesurent trois choses différentes, aucun ne compte des victimes. Même famille que Plugin4Shell : on avait validé le composant, pas ce qui s’exécute vraiment.
Anakin n’aime pas le sable : rugueux, irritant, et ça se glisse partout. Il parlait de Tatooine. Les secrets d’une équipe qui pilote des agents se comportent exactement pareil.
Ces quatre histoires ont le même défaut de conception : personne n’avait écrit qui vérifie quoi, et le contrôle se trouvait du mauvais côté du mur. D’où le manifeste.
Au menu de la version abonnés
Au Menu de la version abonnés, vous retrouvez la suite :
- le manifeste complet en 12 points, avec pour chacun la correspondance dans l’épisode II et la preuve que la gouvernance viendra réclamer (les neuf points inédits y sont) ;
- le cycle de développement en 7 étapes, du cadrage de l’ordre au bouton d’arrêt testé, avec le contrôle attendu et la preuve produite à chaque étape ;
- la porte de merge en Python, trois règles dont le budget de relecture et l’approbation humaine indépendante ;
- l’analyse STRIDE d’un Pod, adossée aux incidents de septembre ;
- la grille des 9 anti-patterns, avec la question qui pique et le barème d’auto-diagnostic ;
- et la sketchnote du PandaRedacteur résumant tout cela en anglais.
Le manifeste, le cycle en 7 étapes et la grille d'anti-patterns partent d'abord aux abonnés Substack, avant d'être publiés intégralement ici.
📚 Quelques références pour aller plus loin
- AI-Pods, volet 1, version complète sur Substack
- AI-Pods, volet 1, version blog
- DeepSeek Harness : l’agent sandboxé qui éteint lui-même son bac à sable
- Plugin4Shell : le pinning par SHA ne vérifiait rien dans quatre agents de code
- PixelLeak : 13 000 captures d’écran internes publiées par des agents de code
- Skill poisoning : quand le skill que vous installez est le malware
- 25 dollars la cible : des agents autonomes pillent des boutiques en ligne
- Zero Trust pour les agents IA : on commence par l’inventaire
- tl;dr sec #347
- Resilient Cyber : Securing the Agentic SDLC, par Chris Hughes
- L’ère des agents, l’AppSec et le pipeline DevSecOps
- Modèle de maturité d’identité des agents IA
- Mode YOLO et agents IA : les bonnes pratiques
