Sécurité des agents IA et durcissement du code généré par IA.
Avant de mettre un agent IA en production ou de répondre au questionnaire sécurité d'un client, vous devez savoir à quoi le logiciel accède, ce qu'il peut modifier et qui peut l'arrêter. On examine vos agents, connexions MCP et code produit avec l'IA, dans un périmètre convenu. Vous obtenez des constats étayés et des correctifs priorisés, utilisables par votre équipe technique et par le client qui évalue votre solution. Les corrections à réaliser sont convenues séparément.
Ce qu'on livre
Un registre des agents, assistants et serveurs MCP du périmètre : systèmes connectés, données accessibles, identités, droits et responsables
Une revue des contrôles d'action : droits de lecture et d'écriture, validation humaine des opérations sensibles et traitement des contenus non fiables avant tout appel d'outil
Une recherche de secrets et d'identifiants exposés dans les dépôts et configurations convenus : stockage, droits des jetons d'accès et révocation
Une revue du code produit avec l'IA, centrée sur l'authentification, le contrôle d'accès, la validation des entrées, les dépendances et le déploiement
Une cartographie de la journalisation et des alertes : actions enregistrées, signaux manquants, destinataires et responsables de l'arrêt et de la reprise
Un dossier de preuves avec les constats étayés, les limites de la revue, les correctifs priorisés et les vérifications prévues pour les changements convenus
Notre approche
On part du parcours qui compte : un agent à mettre en production, un client qui demande des preuves de sécurité ou une application construite avec l'IA à examiner. On définit les agents, dépôts, intégrations et environnements concernés avant de demander les accès. Puis on examine le code, les configurations et les traces disponibles, avec des vérifications convenues sur les limites d'accès, les droits des outils et les règles de validation. On regarde aussi comment les instructions contenues dans des documents, des sites ou des résultats d'outils sont séparées de l'autorisation d'agir.
Le rapport distingue les faiblesses observées, les contrôles étayés par les vérifications réalisées et les points qu'on n'a pas pu vérifier. Chaque correctif recommandé a une raison, une priorité et une méthode de validation. La revue et le dossier de preuves constituent la première mission. Les corrections et leur vérification sont cadrées et chiffrées explicitement avant le début des travaux. Si les constats justifient une reprise plus large du code, on explique pourquoi avant de la proposer ; si une correction ciblée suffit, c'est ce qu'on recommande.
Questions fréquentes
Les agents, assistants IA, connexions MCP et dépôts définis dans le périmètre convenu. On examine les accès, les identités, les actions sensibles, la gestion des secrets, le code et les dépendances concernés, ainsi que les journaux et alertes disponibles. Le rapport précise les vérifications réalisées, les constats et les points non vérifiés. Ce n'est pas une revue exhaustive de votre organisation.
Oui. On aide votre équipe à répondre aux questions techniques avec des accès documentés, des règles de validation, des journaux, des conditions d'arrêt et les écarts connus. Le dossier décrit le système examiné : il ne transforme pas un contrôle absent en contrôle mis en place. Les changements nécessaires sont cadrés avant leur réalisation. La décision d'acceptation reste celle du client.
Par le code et le déploiement que vous utilisez réellement. On examine les secrets, l'authentification, le contrôle d'accès, la validation des entrées, les dépendances et la configuration de déploiement, dans le périmètre convenu. Ce sont des points de contrôle, pas l'affirmation que toutes les applications construites avec l'IA présentent les mêmes défauts. Des corrections locales peuvent faire l'objet d'une mission de durcissement ; des problèmes structurels peuvent nécessiter une reprise plus large.
La revue initiale fournit des constats, des priorités et les éléments de preuve associés. Les corrections et leur vérification sont incluses uniquement si le devis les précise. La surveillance continue, l'astreinte et la maintenance font l'objet d'un accord distinct. Une revue de la journalisation ne fournit pas ces services et ne garantit pas de délai de détection.
On commence par un appel de cadrage, puis on fournit un devis forfaitaire et un calendrier pour les agents, dépôts, intégrations et vérifications convenus. Le devis précise les accès nécessaires, les livrables et les éventuelles corrections ou vérifications incluses. Tout travail supplémentaire est convenu et chiffré avant de commencer.
C'est une revue technique des applications et agents IA du périmètre convenu. Elle n'inclut ni test d'intrusion, ni SOC, ni protection des postes, ni réponse d'urgence à incident, ni audit qualifié PASSI. Si votre procédure d’achat exige un prestataire qualifié ou une évaluation indépendante, cette exigence relève d'une mission distincte confiée à un prestataire disposant des qualifications requises.
Non. La mission fournit des constats techniques et des éléments de preuve, pas une validation de conformité juridique ni une certification. Vos conseils juridiques et responsables conformité déterminent les exigences applicables à votre organisation, à votre produit et à vos usages. Le rapport précise le périmètre technique et ses limites.
On convient des conditions de confidentialité, des éléments à examiner et des accès nécessaires avant le début de la mission. On commence par le code, les configurations et la documentation, avec des accès limités et temporaires lorsque c'est nécessaire. Les rapports évitent de reproduire les valeurs des secrets. Toute vérification susceptible de modifier des données de production doit être convenue à l'avance.
Sachez à quoi vos agents accèdent. Décidez quoi corriger.
Commençons par un appel de cadrage sur vos agents ou votre code construit avec l'IA. On définit le périmètre de la revue, les preuves attendues et les accès nécessaires, puis on vous adresse un devis forfaitaire. Si les vérifications étayent vos contrôles existants, le rapport le dit.
