Joël Parfait Kuate révèle la faille des révocations d’agents IA

Révocation incomplète À 09 h 00, un administrateur désactive l’identité de service d’un agent IA. À 09 h 03, une tâche déjà placée dans une file transmet encore un document à un connecteur tiers. Joël Parfait Kuate présente ce scénario comme fictif. Il illustre toutefois un défaut d’architecture plausible. La révocation d’une identité ne signifie pas nécessairement l’annulation des capacités, tâches et conséquences déjà déléguées. Un agent d’entreprise peut utiliser un jeton OAuth, une clé d’API, un worker asynchrone, un ordonnanceur ou des sous-agents. La désactivation du compte initial peut donc laisser un jeton valide ou un travail déjà accepté par une file.

Quatre actions distinctes La politique d’arrêt doit séparer suspendre, révoquer, annuler et compenser. Suspendre empêche de démarrer de nouvelles opérations. Révoquer retire les droits et secrets utilisables par la suite. Annuler interrompt les opérations en cours lorsque leur nature le permet. Compenser traite les effets irréversibles, comme un message transmis ou une commande créée. Un bouton de désactivation ne réalise pas nécessairement ces quatre opérations. Les recommandations OWASP sur l’excessive agency distinguent les fonctionnalités, permissions et autonomies excessives. Le Top 10 agentique 2026 classe aussi les abus d’identité et de privilèges sous ASI03.

Les contrôles doivent suivre chaque exécution

Contrôle par exécution Un modèle robuste attribue à chaque exécution un job_id, un principal_id, un delegated_by, un scope, une échéance et un epoch de révocation. Avant tout effet externe sensible, le worker doit vérifier que l’autorisation reste valable et que l’epoch n’a pas changé. Des secrets à courte durée de vie réduisent la fenêtre d’exposition, sans la supprimer. Les sous-agents doivent recevoir des capacités minimales, expirables et révocables. Ils ne doivent pas obtenir implicitement une copie de tous les privilèges de leur parent. Cette conception relie l’action à son autorisation précise. Elle facilite aussi l’identification des opérations encore possibles après un signal de révocation.

Test chiffré fictif Une campagne de tests synthétiques contient 1 000 tâches. Au moment de la révocation, 700 ne sont pas démarrées, 200 sont en cours et 100 sont achevées. Si 15 tâches en cours franchissent ensuite une étape externe, le taux de continuation atteint 15 sur 200, soit 7,5 %. Ce calcul ne mesure pas la part d’agents vulnérables. Les tâches achevées restent hors du dénominateur. L’essai recommandé révoque les droits avant l’envoi, puis simule un redémarrage du worker. Il examine les tentatives de reprise après une chaîne composée de planification, récupération, résumé et envoi.

La traçabilité encadre les effets irréversibles

Preuves et compensation Le journal doit relier la demande utilisateur, l’identité de l’agent, les délégations, les décisions de politique, les appels d’outils, les identifiants de messages et les réponses du système cible. Il doit aussi éviter de recopier inutilement des données sensibles. Une action externe déjà confirmée ne disparaît pas avec une rotation des clés. Elle exige alors un processus de compensation métier et un responsable identifié. La publication NIST SP 800-207 sur le Zero Trust recommande de limiter l’autorisation à la ressource et à la session pertinentes, puis de réévaluer le contexte.

Question testable Une revue d’agent doit demander quelles actions restent possibles après révocation, pendant combien de temps et avec quelles preuves. Les critères peuvent exiger zéro nouvelle action sensible après propagation du signal, la corrélation de 100 % des sous-jobs et un délai maximal mesuré. Ces critères sont des exigences de conception, pas des garanties universelles. L’architecture distribuée doit documenter ses délais et ses conditions de défaillance. Joël Parfait Kuate présente ainsi la révocation comme un contrôle à démontrer par des essais. La réponse ne peut pas dépendre seulement du comportement supposé du modèle. Pour approfondir, consultez aussi le Top 10 agentique 2026 d’OWASP.