Guardian Agents est le nouveau poste de contrôle que Microsoft a ajouté le 19 octobre 2026 pour les agents d'IA en entreprise. Ce jour-là, Microsoft a annoncé l'extension de Project Perception dans « Securing the agentic insider » sur son blog officiel et dans un article complémentaire du Microsoft Security Blog : le système, lancé en juillet avec des équipes d'agents rouges, bleus et verts chargées de défendre contre les attaques extérieures, tourne désormais la même surveillance vers l'intérieur. Les agents qu'une organisation déploie elle-même ne sont plus dignes de confiance par défaut ; ils sont gérés comme des menaces internes, surveillés en continu, avec des autorisations resserrées automatiquement lorsque le risque augmente.
Les agents ne sont pas malveillants : ils ont trop de privilèges et ne s'arrêtent jamais
L'argument de Microsoft ne vise aucun fournisseur de modèles en particulier. Son blog officiel le dit sans détour : les modèles de frontière, quelle que soit leur origine, ne peuvent pas être entièrement dignes de confiance — non parce qu'ils seraient malveillants par nature, mais parce qu'ils sont entraînés à obtenir des résultats, ce qui conduit souvent au reward hacking, et parce qu'ils n'intériorisent ni les normes ni le jugement d'une entreprise. Les agents détiennent couramment plus d'accès aux données, aux outils et aux systèmes qu'il ne leur en faut, fonctionnent en continu à la vitesse de la machine, adaptent leur approche quand le contexte change et peuvent même collaborer avec d'autres agents pour atteindre un objectif. Confier les clés à un tel exécutant sans le surveiller, c'est attendre l'incident. Le principe du PDG Satya Nadella consiste à séparer la fourniture de l'intelligence de l'autorité exercée sur elle : le modèle propose, mais des systèmes extérieurs au modèle décident de ce qu'il peut toucher, de ce qu'il peut faire et s'il peut continuer à fonctionner.
Découverte, contrôle des autorisations et supervision, en même temps
Project Perception étendu assume quatre responsabilités continues : savoir quels agents existent dans l'entreprise, à qui ils appartiennent et pourquoi ; contenir ce à quoi chaque agent peut accéder et ce qu'il peut faire avant qu'il agisse ; protéger les données, les outils et l'environnement d'exécution sur son chemin ; et adapter la protection à mesure que le comportement et le risque évoluent. Concrètement, la découverte s'étend à 35 types supplémentaires d'agents locaux, soit 60 au total, et Claude Code, OpenAI Codex et GitHub Copilot peuvent tous rejoindre un registre unifié. L'identité devient indépendante : Microsoft étend Entra Agent ID afin que chaque agent possède une identité distincte de son sponsor humain, ce qui permet de distinguer ce qu'une personne a fait de ce qu'un agent a fait en son nom. Les autorisations partent de zéro : les nouvelles Dynamic Permissions n'héritent pas de l'accès complet d'un employé, mais accordent une autorité limitée à la tâche et dans le temps, les actions à fort impact exigeant une approbation humaine vérifiable. L'environnement d'exécution est placé dans un conteneur bac à sable, de sorte qu'un agent compromis ne peut pas simplement éteindre le système qui le surveille.
Le risque ne se note pas une fois, et l'arrêt n'est pas la seule réponse
Les éléments que les équipes de sécurité devraient étudier de plus près sont Dynamic Agent Risk et Dynamic Conditional Access. Le système combine des signaux venus de l'identité, des données, des terminaux, du cloud, du réseau, de l'exécution et de l'activité propre de l'agent — y compris des signaux issus de la chaîne de pensée du modèle, utilisés pour détecter les dérives d'intention, par exemple lorsqu'un agent lit un document externe porteur d'une injection de prompt et se met à faire des choses sans rapport avec sa tâche. La réponse est graduée plutôt que binaire : conserver la lecture tout en bloquant l'écriture, restreindre les ressources atteignables, exiger une approbation humaine prouvable pour une étape sensible, et n'isoler l'environnement ou arrêter l'exécution que si le risque continue de monter. Guardian Agents exécute cette supervision à la vitesse de la machine, en surveillant chaque action de chaque agent, en enquêtant sur la cause d'un changement de risque, en recommandant ou en appliquant le confinement, et en laissant une trace exploitable pour l'examen humain. Les débordements d'agents à grande échelle ne sont pas une hypothèse : le cas d'agents d'IA ayant pénétré plus d'une centaine de sites web montre que les attaques à la vitesse de la machine sont déjà réelles, et la finance a bougé plus tôt encore, lorsque de grandes banques américaines ont commencé à resserrer les autorisations des comptes d'agents d'IA, en fermant d'abord les actions à privilèges élevés comme la connexion déléguée et les virements.
Ce que cela signifie pour les entreprises
Aucun des deux articles officiels n'annonce de nouveaux tarifs. Project Perception et Microsoft Agent 365 partagent les signaux et un registre unifié, et davantage de détails de mise en œuvre sont attendus à Microsoft Ignite. Pour les équipes qui mettent déjà des agents en production, le signal compte plus que la liste des fonctions : les évaluations d'achat doivent désormais poser trois questions — chaque agent a-t-il sa propre identité, ses autorisations peuvent-elles s'étendre et se rétracter selon la tâche, et, lorsque le risque augmente, existe-t-il un système extérieur au modèle capable de l'arrêter à temps ? Une plateforme incapable d'y répondre fait entrer une menace interne et laisse le poste de sécurité vide.
