Jeremy Canale Je conçois ▍

La sécurité agentique est la discipline qui consiste à sécuriser les agents IA autonomes ainsi que les infrastructures qu'ils sollicitent. À la différence d'un agent conversationnel, un agent IA raisonne, planifie, invoque des outils, génère des sous-agents et enchaîne des décisions à travers les systèmes d'information. Chaque appel d'outil est une action exécutable aux conséquences réelles : le périmètre de sécurité doit donc se déplacer de la session utilisateur vers l'invocation d'outil elle-même. Avec l'adoption rapide du Model Context Protocol, de LangGraph, de LangChain et de cadres tels qu'Azure AI Foundry, les entreprises mettent des agents en production plus vite que leurs équipes de sécurité ne parviennent à suivre. La sécurité agentique vient précisément combler cet écart.

La sécurité des LLM dite traditionnelle se concentre sur l'invite et la sortie du modèle : contournements, injections d'instructions, hallucinations, fuites de données à l'inférence. La sécurité agentique étend ce périmètre à tout ce que l'agent peut accomplir une fois qu'il a élaboré un plan : autorisation des appels d'outils, isolation des sous-agents, observabilité des flux à plusieurs étapes, réversibilité des actions, et exercices en équipe rouge contre les abus de chaîne d'outils et l'exfiltration de données. La zone d'impact n'est plus une réponse isolée, mais un flux de travail tout entier.

Trois grands types de mission. Stratégie : un diagnostic présenté au conseil d'administration sur votre parc d'agents IA, assorti d'une architecture cible et d'une feuille de route à douze mois. Construction : une ingénierie en immersion auprès de vos équipes pour mettre en œuvre garde-fous, isolation des sous-agents, autorisation des appels d'outils et observabilité Langfuse jusqu'en production. Assurance : un audit indépendant de sécurité agentique, comprenant des exercices en équipe rouge et un dossier de cartographie réglementaire prêt à être présenté au conseil. Des mandats de RSSI à temps partagé sont également proposés aux plateformes émergentes.

Les secteurs régulés à forts enjeux : banque, assurance et réassurance, gestion d'actifs, fournisseurs d'informations financières, défense, santé et secteur public. Douze années de missions à travers l'Europe, le Golfe et l'Asie, avec une expérience de terrain pour Swiss Re, AXA, BNP Paribas, Standard Chartered, Thomson Reuters, Société Générale, Seddiqi Holding, NusaVest, Thales, Dassault Systèmes, Veolia, Baxter et Gemalto.

La norme ISO/IEC 42001 pour les systèmes de management de l'IA, le référentiel NIST AI Risk Management Framework et le Règlement européen sur l'IA pour la gouvernance propre à l'IA. ISO/IEC 27001 et 27701, SOC 2 Type II, HIPAA, PCI DSS, DORA, NIS2, ainsi que les régimes régionaux tels que les PDPL Émirats arabes unis, PDPL Arabie saoudite et le RGPD pour la sécurité de l'information et la protection des données à caractère personnel. Mes missions traduisent systématiquement ces référentiels en contrôles déployables, plutôt qu'en empilement documentaire.

Mon activité se répartit entre Singapour, Dubaï, Paris et Palo Alto, avec des missions en cours sur trois continents. La grande majorité du travail s'effectue à distance, les déplacements sur site étant cadrés au cas par cas selon la mission. Les projets s'étendent généralement de quelques semaines, pour une stratégie ou un audit, à plusieurs trimestres, pour des chantiers complets ou des mandats de RSSI à temps partagé.

Un court échange de cadrage, d'une trentaine de minutes en général, et sans engagement. Cet entretien permet de clarifier votre parc d'agents, votre exposition réglementaire et le résultat attendu. La plupart des missions s'engagent par un diagnostic structuré et une proposition écrite, remis sous dix jours ouvrés.