Identity Lifecycle Management Wasnt Built for AI Agents 

La gouvernance des identités face aux agents IA : un modèle obsolète

Les outils actuels de gestion du cycle de vie des identités (IGA) sont conçus pour des humains dont le parcours (arrivée, mobilité, départ) est dicté par les RH. Ce modèle déterministe est inadapté aux agents IA, qui sont des entités autonomes et dynamiques échappant aux processus de gouvernance traditionnels.

Points clés :

• Absence de cycle de vie RH : Les agents IA ne possèdent ni dossier employé, ni manager, ni date de fin de contrat. Ils sont déployés via des pipelines ou des API sans passer par les systèmes d’approbation IGA.
• Évolutivité incontrôlée : Contrairement à un rôle humain fixe, le périmètre d’action d’un agent IA peut s’étendre dynamiquement (appels d’outils, chaînage d’actions) bien au-delà de ses permissions initiales.
• Fragmentation des accès : Un agent peut s’exécuter simultanément sur plusieurs environnements avec des jeux de credentials différents, rendant la corrélation impossible pour les outils IGA classiques.
• Risques de sécurité : Les agents sont souvent déployés avec des permissions excessives par défaut et leurs accès persistent indéfiniment après la fin de leur mission (credentials dormants).

Vulnérabilités identifiées : L’article ne cite pas de CVE spécifiques, car il traite d’une faille structurelle de gouvernance. Toutefois, les risques critiques incluent :

• Provisioning par défaut “trop permissif” : Absence de principe du moindre privilège.
• Dérive des accès (Scope creep) : Accumulation silencieuse de droits lors des itérations de déploiement.
• Persistance illégitime : Credentials valides (API keys, OAuth grants) qui survivent à l’arrêt de la charge de travail (workload).

Recommandations pour la gouvernance des agents :

• Découverte continue : Instrumenter les environnements (Cloud IAM, Kubernetes, CI/CD) pour identifier tous les agents actifs en temps réel.
• Modèle d’attributs comportementaux : Remplacer les attributs RH par des métadonnées opérationnelles (équipe propriétaire, objectif, durée de vie prévue, comportement observé).
• Provisioning piloté par la politique : Intégrer la création des agents dans des workflows d’approbation et appliquer le moindre privilège dès le déploiement.
• Monitoring comportemental : Remplacer les revues d’accès périodiques par une surveillance continue détectant toute déviation par rapport aux permissions initiales.
• Déprovisioning automatisé : Automatiser la révocation des credentials basée sur l’inactivité opérationnelle plutôt que sur des événements RH.

Source