Comment la gouvernance de l’IA réduit les risques de sécurité

La gouvernance de l’IA réduit les risques de sécurité en appliquant le principe du moindre privilège, en protégeant les données et les identifiants traités par les systèmes d’IA et en rendant chaque action de l’IA auditable. Cette démarche est essentielle, car la plupart des entreprises déploient l’IA avant d’avoir mis en place les mécanismes nécessaires à sa gouvernance. Les employés adoptent des outils non autorisés, et des agents d’IA autonomes sont créés sous les identités d’utilisateurs existantes. Chacun d’entre eux ajoute des identités machine non surveillées qui élargissent votre surface d’attaque, précisément la faille que la gouvernance permet de combler.

Poursuivez la lecture pour en savoir plus sur la gouvernance de l’IA, les risques qu’elle contribue à réduire et la manière dont Keeper^® facilite la gestion de vos agents d’IA et sécurise les identifiants, les accès et les données dont ils dépendent.

Qu’est-ce que la gouvernance de l’IA ?

La gouvernance de l’IA désigne l’ensemble des politiques, processus et contrôles qui régissent la manière dont les systèmes d’IA sont déployés, consultés et surveillés au sein d’une entreprise. Elle réduit les risques de sécurité en imposant le principe du moindre privilège et en rendant chaque action de l’IA transparente et responsable. Concrètement, ceci implique de savoir exactement ce que l’IA exécute, à quoi elle a accès et ce qu’elle fait.

Une gouvernance solide de l’IA repose sur cinq piliers :

Les risques que la gouvernance de l’IA contribue à réduire

Sans gouvernance, chaque outil et agent d’IA adopté par une entreprise constitue un angle mort. La gouvernance réduit ce risque en offrant aux équipes de sécurité une visibilité et un contrôle sur la manière dont l’IA est utilisée, sur ce à quoi elle a accès et sur son comportement. Voici les principaux risques auxquels elle s’attaque.

Shadow AI

Le shadow AI, ou IA fantôme, désigne l’utilisation d’outils d’IA qu’une entreprise n’a pas approuvés ou dont elle ignore l’existence. Lorsque des collaborateurs collent des informations sensibles dans des chatbots ou des assistants de codage non approuvés afin de gagner en rapidité, personne ne dispose d’un inventaire des outils utilisés, d’une politique définissant les données pouvant être partagées, ni d’une visibilité sur la manière dont ces modèles conservent et réutilisent ces données. Le shadow AI provoque une crise liée aux identités non gérées, mais la gouvernance réduit ce risque en exigeant leur identification et la mise en place d’une politique avant que l’IA n’accède à des données sensibles.

Accès permanents

Les agents et comptes d’IA accumulent des accès permanents, qu’ils les utilisent activement ou non. Les accès permanents constituent l’un des plus grands risques de sécurité dans tout environnement, car tout identifiant inactif peut être exploité par un cybercriminel. L’IA aggrave ce problème, car les agents sont créés rapidement, se voient accorder un accès étendu pour accomplir une tâche, puis font rarement l’objet d’une vérification ou d’une révocation. Plus il existe d’accès permanents, plus la surface d’attaque est vaste et, par conséquent, plus l’ampleur des répercussions est importante lorsqu’une identité est compromise. La gouvernance de l’IA réduit ce risque en s’orientant vers le ZSP, où aucune identité ne dispose d’un accès permanent. Au lieu de cela, les identités se voient accorder un accès éphémère pour une tâche spécifique, et cet accès est automatiquement révoqué une fois celle-ci terminée.

Fuite de données

La sécurité des systèmes d’IA dépend de celle des données qui y transitent. Les informations saisies dans un prompt ne disparaissent pas simplement une fois que le modèle a répondu. Selon le fournisseur et la formule choisie, elles peuvent être enregistrées, conservées ou utilisées pour entraîner le modèle d’IA, et dans certains cas, réapparaître dans les résultats d’un autre utilisateur. La gouvernance réduit ce risque en contrôlant, dès le départ, les données auxquelles les systèmes d’IA peuvent accéder et celles qu’ils peuvent ingérer.

Exposition des identifiants et des secrets

Les scripts, pipelines et applications d’IA ont besoin d’identifiants tels que des clés API, des tokens et des mots de passe pour fonctionner. Trop souvent, ces secrets sont intégrés directement dans le code ou la configuration, ce qui peut entraîner des fuites via les référentiels, les journaux ou des failles de sécurité, avant d’être réutilisés par des cybercriminels. La gouvernance réduit ce risque en exigeant que les secrets soient stockés, gérés et injectés de manière sécurisée, plutôt que d’être intégrés à un endroit où n’importe qui peut les trouver.

Prolifération des NHI

Les NHI sont des identités de machines, notamment des agents d’IA, des comptes de service et des bots, qui s’authentifient et agissent de manière autonome. L’IA a accéléré la croissance des NHI, et les identités machine sont désormais bien plus nombreuses que les utilisateurs humains. Cependant, elles sont rarement gouvernées avec la même rigueur, laissant ainsi en place des accès et des identifiants statiques que personne ne vérifie ni ne renouvelle. La gouvernance comble cette lacune en étendant aux NHI le même niveau de contrôles d’accès, de responsabilité et de gestion du cycle de vie que celui dont bénéficient les comptes humains.

Infiltration de prompts

Lors d’une attaque par infiltration de prompts, les cybercriminels créent des entrées malveillantes afin de détourner le comportement d’un modèle d’IA, en passant outre ses instructions pour récupérer des données, effectuer des actions risquées ou contourner les contrôles de sécurité. Le principe du moindre privilège limite les dégâts, car un agent d’IA détourné peut accéder uniquement aux quelques ressources pour lesquelles il a reçu une autorisation. Les entreprises qui surveillent l’activité de l’IA peuvent détecter le comportement anormal déclenché par une infiltration avant la propagation de l’attaque.

Comment Keeper facilite la gouvernance de l’IA agentique

La gouvernance de l’IA parvient à réduire les risques uniquement lorsque les équipes l’appliquent à chaque identité en interaction avec l’IA. Keeper assure cette gouvernance à partir d’une plateforme unique.

Gouvernance de l’IA agentique sur tous les terminaux

Les assistants de codage et les agents autonomes basés sur l’IA s’exécutent sous l’identité de la personne qui les a lancés, ce qui signifie qu’ils héritent des privilèges de l’utilisateur et peuvent lire des fichiers sensibles, exécuter des commandes privilégiées ou accéder à des services externes. Keeper Endpoint Privilege Manager (Keeper EPM) gouverne ces agents de la même manière que les utilisateurs humains disposant d’accès privilégiés. Keeper EPM identifie les agents en cours d’exécution sur un terminal, détermine si un agent donné est autorisé à s’exécuter et limite ce qu’un agent en cours d’exécution peut effectuer en évaluant chaque requête indépendamment des droits propres à l’utilisateur. Un agent ne peut pas hériter discrètement de privilèges excessifs ni agir sans contrôle : chaque action sensible est autorisée, refusée ou soumise à validation.

Gestion sécurisée des secrets pour les NHI

Les identifiants dont l’IA a besoin pour fonctionner se retrouvent souvent codés en dur dans des scripts, des pipelines et des applications, où ils sont exposés et peuvent être réutilisés par des cybercriminels. Keeper Secrets Manager élimine les identifiants codés en dur en les stockant dans un coffre-fort chiffré et en ne les injectant de manière sécurisée qu’au moment de l’exécution. Conçu pour les identités machine et les comptes de service, il leur fournit un accès contrôlé plutôt que des secrets permanents que personne ne surveille. Keeper Secrets Manager s’intègre également aux workflows des agents d’IA via le protocole MCP (Model Context Protocol), ce qui permet aux agents de récupérer les secrets dont ils ont besoin à la demande plutôt que de les stocker localement.

Application du principe du moindre privilège et de l’accès juste-à-temps (JIT)

Les privilèges permanents peuvent transformer un seul agent d’IA compromis en un incident de sécurité majeur. KeeperPAM^® applique le principe d’absence de privilèges permanents (ZSP) et l’accès JIT sur l’ensemble des comptes privilégiés et des systèmes auxquels l’IA a accès, de sorte que l’accès est accordé uniquement pour une tâche précise et révoqué dès que celle-ci est terminée. La rotation automatisée des identifiants et la découverte les maintiennent sous contrôle en continu. En supprimant les accès permanents, Keeper minimise les accès dotés de privilèges excessifs ainsi que la portée de l’IA en cas de compromission d’un compte, réduisant ainsi les possibilités d’action des cybercriminels.

Mise en œuvre du chiffrement zero knowledge

La protection des données traitées par l’IA commence par la garantie que seuls les utilisateurs autorisés peuvent les consulter. L’architecture zero knowledge de Keeper garantit que le chiffrement et le déchiffrement s’effectuent uniquement sur l’appareil de l’utilisateur ; les données ne sont jamais visibles par Keeper, ni au repos ni en transit. Des couches de défense en profondeur (DiD), telles que le chiffrement au repos soutenu par un HSM, renforcent la protection des données stockées. Cela réduit considérablement le risque de fuite de données et d’accès non autorisé, car les informations sensibles sur lesquelles s’appuient les systèmes d’IA et les identifiants restent chiffrées et sont lisibles seulement par les utilisateurs autorisés.

Détection et surveillance des menaces liées à l’IA

Même avec des contrôles d’accès granulaires, les équipes doivent être informées dès qu’un comportement anormal est détecté. KeeperAI^® combine des fonctionnalités pilotées par l’IA de détection des menaces, de détection des anomalies et d’analyse des sessions pour l’ensemble des activités privilégiées, associées à une classification par niveau de risque, afin que les équipes puissent se concentrer sur l’essentiel. Au lieu de laisser passer des comportements malveillants ou suspects jusqu’à ce que le mal soit fait, Keeper les met en évidence en temps réel et déclenche des alertes sur lesquelles les équipes de sécurité peuvent agir immédiatement.

Prise en charge de l’audit, du reporting et de la conformité

La gouvernance de l’IA repose sur la capacité à prouver ce qu’ont fait les outils et les comptes d’IA. Le module de rapports et d’alertes avancés (ARAM) de Keeper fournit une journalisation détaillée des événements, des rapports personnalisés, des alertes configurables et une intégration SIEM, offrant ainsi aux équipes une traçabilité complète de chaque action privilégiée et de chaque action effectuée par l’IA. Keeper assure également une couverture complète en matière de conformité :

• SOC 2 Type 2
• ISO 27001
• Certification FedRAMP High
• Autorisation GovRAMP High
• FIPS 140-3
• HIPAA
• RGPD

Grâce à Keeper, les équipes de sécurité ne se contentent pas de combler les lacunes en matière d’audit, mais s’alignent également sur les référentiels qui définissent désormais l’utilisation responsable de l’IA, tels que le cadre NIST AI RMF et le règlement européen sur l’IA.

Sécurisez l’accès de l’IA avec Keeper dès aujourd’hui

La gouvernance de l’IA fait passer le risque de sécurité lié à l’IA de non géré à contrôlé. Appliquez le principe du moindre privilège pour chaque identité humaine et machine, protégez les identifiants, les secrets et les données dont dépend l’IA, et rendez chaque action de l’IA auditable grâce à une gouvernance qui offre visibilité et contrôle sur le fonctionnement de l’IA dans l’ensemble de vos environnements. Keeper réunit sur une seule plateforme la gouvernance de l’IA agentique, la gestion des secrets, la gestion des accès privilégiés et une auditabilité complète, afin que vous puissiez gouverner l’IA sans avoir à combiner plusieurs outils.

Commencez votre essai gratuit de KeeperPAM pour prendre le contrôle de l’IA déployée dans vos environnements.