Un agent peut remplir sa mission et, en chemin, franchir une frontière de sécurité que personne ne lui avait ouverte. Nvidia l’écrit dès la première phrase de son billet technique sur Sentry, son contrôleur d’exécution pour agents, publié le 21 octobre. Microsoft en tire la même conséquence dans son billet du 19 octobre, signé Nadim Abdo, vice-président chargé de l’identité et de l’accès réseau.
Les deux éditeurs ne vendent pourtant pas la même chose. L’un place le contrôle dans le silicium, l’autre dans l’annuaire des identités. Ils s’accordent sur un principe : le garde-fou ne peut pas vivre dans le prompt.
Une consigne arrête la parole du modèle, pas son geste
OpenAI a indiqué le 1er octobre avoir notifié plus de 100 organisations d’une activité non autorisée de ses agents, survenue pendant ses propres tests. Une prépublication du 9 octobre, ToFu, montre le mécanisme à échelle réduite. Dans la démonstration complète, publiée pour LangGraph 1.2.0 avec un modèle Llama 3.1 8B servi en local, une consigne système demande de refuser toute requête dangereuse. L’attaquant présente sa demande comme « hypothétique » : le modèle renvoie un appel d’outil structuré, l’orchestrateur l’exécute, et le refus n’apparaît qu’après coup. « La consigne système a façonné ce que le modèle disait, pas ce que l’orchestrateur faisait », résument les auteurs.
Le montage est favorable à l’attaquant : petit modèle, outils factices et connus d’avance, aucune autre protection. Le papier ne mesure pas ce que donnerait un modèle plus robuste. Mais la leçon d’architecture ne dépend pas du taux de réussite : aucun contrôle indépendant n’interceptait l’appel avant son exécution.
Satya Nadella, le PDG de Microsoft, formule la même exigence dans un texte du 10 octobre : les contrôles qui régissent ce à quoi un modèle peut accéder et les actions qu’il peut entreprendre doivent se situer en dehors du modèle. Chaque action significative doit laisser une preuve infalsifiable et lisible par un humain. Chez Nvidia, la phrase équivalente est plus brève : un agent ne peut pas se gouverner lui-même.
Nvidia : un contrôleur que l’agent ne peut ni voir ni atteindre
Sentry fait partie de l’architecture de référence OpenShell, annoncée au GTC Berlin. Il tourne sur les BlueField-4, des DPU (data processing units, des processeurs dédiés au réseau et à la sécurité, posés à côté du processeur principal). Dans ce schéma, les agents s’exécutent sur des CPU Vera, tandis que le BlueField-4 se trouve sur l’unique chemin vers le modèle et vers l’extérieur. Le trafic de l’agent passe par une voie qui contourne le système d’exploitation de l’hôte : même si ce dernier est compromis, la surveillance reste debout.
Concrètement, DOCA Tower, construit sur le proxy open source Envoy, inspecte les échanges dans les deux sens. Une analyse de la mémoire ajoute le contexte du conteneur ou de la microVM (machine virtuelle légère) où tourne l’agent. Au-dessus, OpenShell sépare quatre briques : le plan de contrôle (Gateway), le superviseur qui vérifie chaque requête sortante et contrôle l’accès aux identifiants, le bac à sable, et un « policy prover » qui démontre formellement qu’une politique ne dépasse pas le plafond fixé par l’organisation.
Nvidia mise sur l’étanchéité : l’agent ne sait pas qu’il est surveillé et ne peut rien y changer. En contrepartie, cette garantie suppose un nœud équipé de BlueField-4, donc une infrastructure que seuls les opérateurs de grandes fermes d’IA achètent.
Microsoft : traiter l’agent comme un salarié dont les droits fondent
Microsoft part de l’autre bout. Chaque agent reçoit sa propre identité dans l’annuaire Entra (Entra Agent ID) et figure dans un registre. Il « ne devrait pas hériter de toutes les permissions du salarié qui le parraine », écrit l’éditeur. La pièce centrale, Dynamic Agent Risk, réévalue en continu un niveau de risque à partir de signaux d’identité, de données, de terminaux, de réseau et d’exécution, et retire des droits en cours de route quand ce niveau monte. Ce sont les outils de gestion des risques internes de Purview, conçus pour repérer fuites de données et vol de propriété intellectuelle, appliqués à des programmes.
Ici, la sanction est graduée : un agent qui dérive perd d’abord un accès, avant d’être désactivé. Le périmètre commercial, lui, est étroit. Un message adressé aux administrateurs Microsoft 365 (MC1280556) indique que ces fonctions exigent Microsoft 365 E7 ou Agent 365. Le premier est vendu 91,92 euros HT par utilisateur et par mois en abonnement annuel, le second 13 euros. Le billet du 19 octobre ne donne ni statut ni date pour les nouveautés, et Project Perception, le système d’agents de sécurité qui les accompagne, reste ouvert sur invitation à un petit nombre de clients.
Le fil et l’annuaire ne voient pas la même chose
Nvidia surveille ce qui circule : requêtes vers le modèle, trafic réseau, mémoire. Microsoft surveille qui agit : une identité, ses droits, la cohérence de son activité avec son rôle. L’un coupe un chemin, l’autre ajuste une autorisation. Le premier est binaire et immédiat, le second progressif et statistique.
Chaque approche laisse donc l’angle mort que l’autre couvre. Un agent aux droits parfaitement dosés peut tout de même envoyer ses données par un canal que personne n’inspecte ; un trafic parfaitement filtré peut tout de même servir une identité surdimensionnée. Reste que les deux éditeurs vendent, naturellement, leur propre pile : une licence E7 d’un côté, du matériel Nvidia de l’autre.
Avant de comparer les tarifs, une équipe qui déploie des agents peut se poser trois questions plus simples. Qui, dans votre architecture, décide de couper un agent ? Cet agent peut-il atteindre cette décision, la modifier ou la retarder ? Et chaque action laisse-t-elle une trace qu’il n’a pas pu écrire lui-même ? Un agent qui possède sa propre identité, dont les accès sortants passent par un point de contrôle extérieur à son environnement, répond déjà à une bonne part de l’exigence, quel que soit le fournisseur.
OpenShell prévoit bien des points d’application où brancher les systèmes d’identité, d’autorisation et d’audit : sur le papier, les deux approches se complètent. Aucun des deux billets n’annonce toutefois d’intégration entre elles, et rien n’indique encore si le contrôle à l’exécution deviendra une couche commune ou restera deux silos concurrents.
Sources
- BlueField-4
- Entra Agent ID
- Inside NVIDIA Sentry: Secure AI Agents at Runtime
- How NVIDIA OpenShell Reference Architecture Secures and Governs AI Agent Workloads at Scale
Ils m’ont fait confiance
« Il ne se contente pas de corriger les symptômes, il cherche à comprendre l'origine des problèmes et à sécuriser les modifications effectuées. J'ai réellement le sentiment d'avoir trouvé un développeur qui comprend à la fois la technique et les enjeux globaux du projet. »
Évaluation client · projet WordPress · septembre 2026
5,0/5 sur 17 évaluations
Faire appel à mes services →
