IA agentique ANSSI : sept principes pour garder le contrôle des agents IA

Le 30 octobre 2026, l’ANSSI a publié « Sécuriser un système IA agentique », un guide de sa collection Les Essentiels. Pour l’IA agentique, l’ANSSI pose sept principes : cloisonner, contrôler chaque action et garder un humain dans la boucle pour les opérations critiques.

Le document, en version 1.0, s’adresse aux organisations qui déploient, configurent ou intègrent un agent IA, y compris un produit du commerce dont elles gèrent la configuration et les connecteurs. Il vise les architectes, les RSSI, les exploitants et les développeurs. Il traite de logiciels capables d’enchaîner des actions sur le système d’information : envoyer un courriel, modifier un fichier, lancer un déploiement. Six mois plus tôt, en avril 2026, un bulletin du CERT-FR mettait déjà en garde contre les assistants autonomes installés sur les postes de travail.

Un guide qui part d’un constat : une action autorisée peut faire des dégâts

L’idée directrice du guide tient en une phrase : la sécurité d’un agent ne doit pas dépendre de l’agent lui-même. Selon l’ANSSI, un agent peut se tromper, être manipulé ou combiner des opérations permises pour produire un effet interdit. Les risques listés sont concrets :

• détournement de l’agent par un message, un document ou une mémoire piégés (injection de prompt) ;
• fuite de secrets (mots de passe, jetons d’API) restés dans le contexte du modèle ou dans les journaux ;
• accès possible du fournisseur aux données envoyées à un modèle hébergé ;
• rejeu d’une action déjà exécutée après une restauration.

La réponse proposée repose sur trois piliers : le cloisonnement, la maîtrise des accès et des contrôles déterministes, c’est-à-dire des règles techniques fixes, placées hors du modèle, que l’agent ne peut pas contourner.

Les sept principes de l’ANSSI pour l’IA agentique

Cadrer avant de déployer

Le premier principe impose une analyse de risque de bout en bout, dès la conception puis à chaque évolution, avec un responsable humain désigné pour chaque mesure. Tant qu’un risque reste inacceptable, la mise en service est bloquée. Le deuxième principe limite l’autonomie : la mission de l’agent est documentée et revue au moins une fois par an, et ses droits sont inventoriés.

Classer chaque action

Le troisième principe range les actions en trois catégories : exécution autonome, approbation humaine obligatoire, action interdite. L’approbation humaine est requise pour les actions critiques, l’accès aux données sensibles, les changements de droits et les mises en production. Le mécanisme de validation doit rester hors de portée de l’agent, et la personne qui valide doit voir l’action exacte et ses effets attendus.

Cloisonner et filtrer

Les principes quatre et cinq séparent les environnements (développement, test, production) avec des identités et des secrets distincts, et placent un filtre indépendant devant chaque outil. La règle par défaut est le refus.

Limiter l’impact et prouver la maîtrise

Le sixième principe traite les entrées et sorties de l’agent comme non fiables, limite les appels en cascade entre agents et prévoit un arrêt d’urgence avec révocation des accès. Le septième exige un inventaire des composants et des prompts système, des tests réguliers, une supervision en production et des journaux permettant de retracer chaque demande jusqu’à son résultat.

Ce que ça change pour les PME et les collectivités

Le guide ne crée pas d’obligation réglementaire nouvelle, souligne Armées.com, et il ne contient pas de volet dédié aux PME. Mais il fixe un niveau d’exigence que les acheteurs publics et les assureurs risquent de reprendre. Pour une commune ou une TPE qui branche un agent sur sa messagerie, son agenda ou son logiciel de gestion, trois points sautent aux yeux :

• les droits de l’agent ne doivent pas être ceux de l’utilisateur par défaut, mais le strict nécessaire à sa mission ;
• les données confiées à un modèle hébergé sortent du périmètre de l’organisation, ce qui pèse pour les données des administrés ou des clients ;
• la qualité du réseau compte : un réseau d’entreprise segmenté rend le cloisonnement possible, un réseau à plat le rend illusoire.

Les attaques récentes contre des villes françaises, comme la cyberattaque des collectivités de Cholet et des Portes du Berry, montrent l’effet d’un accès mal maîtrisé.

Les réflexes à adopter avant de lancer un agent IA

Avant tout projet, vous pouvez appliquer une première grille inspirée du guide :

• listez précisément ce que l’agent doit faire, et ce qu’il ne doit jamais faire ;
• créez-lui un compte dédié, avec des droits minimaux et des jetons à durée de vie courte ;
• exigez une validation humaine pour tout paiement, envoi externe ou modification de droits ;
• conservez des journaux hors de portée de l’agent et prévoyez un bouton d’arrêt ;
• faites auditer votre sécurité informatique avant la mise en production ;
• pour une mairie ou une intercommunalité, intégrez le projet à votre démarche de cybersécurité des collectivités.

Si vous envisagez des agents IA pour automatiser vos tâches, demandez au fournisseur comment chacun des sept principes est couvert : c’est désormais la question de référence.

Conclusion

Avec ce guide, l’ANSSI fait passer l’IA agentique du statut de gadget à celui de composant du système d’information, soumis aux mêmes règles que le reste. Pour vous, cela signifie cadrer la mission, cloisonner les accès et garder la main sur les actions sensibles. Les recommandations de l’ANSSI sur l’IA agentique offrent une check-list utile, à appliquer avant que l’agent ne soit branché sur vos données.

Source : ANSSI – Les Essentiels : Sécuriser un système IA agentique (30 octobre 2026)
Voir aussi : Armées.com – IA agentique : l’ANSSI publie sept principes pour encadrer les actions autonomes (31 octobre 2026)
Voir aussi : Les Clés du Digital – L’ANSSI alerte sur les risques posés par les assistants IA (14 avril 2026)