Les grandes entreprises gèrent déjà bien plus d'identités non humaines que d'utilisateurs humains — et les agents IA font exploser ce déséquilibre. Comptes de service, connecteurs, bots autonomes agissant en temps réel sur des systèmes critiques : une « troisième catégorie » d'identités numériques échappe aux cadres de gouvernance bâtis pour les vingt dernières années. C'est la thèse d'une tribune signée Thomas Thelliez sur le Journal du Net, largement corroborée par les éditeurs de sécurité.
Le déséquilibre est déjà là
Le rapport 2025 de CyberArk chiffre le phénomène : les identités machines (NHI) dépassent déjà les humaines dans un ratio de 82 pour 1, et près de la moitié disposent d'accès sensibles ou privilégiés. Surtout, 68 % des responsables reconnaissent ne pas avoir de contrôles d'identité pour l'IA, tandis que 79 % anticipent une croissance de ces identités pouvant atteindre 150 % sur l'année.
La trajectoire est portée par l'IA agentique. Gartner projette que 33 % des applications d'entreprise intégreront des agents autonomes d'ici 2028, contre moins de 1 % en 2024. Côté volume, les utilisateurs de Microsoft Copilot Studio ont déjà créé plus d'un million d'agents.
Le problème n'est pas seulement le nombre, mais l'angle mort. Selon une étude Strata Identity 2026, seuls 18 % des responsables sécurité estiment leurs systèmes IAM capables de gérer les identités d'agents IA ; environ 80 % ne suivent pas l'activité des agents en temps réel, et à peine 21 % tiennent un inventaire fiable. Pire : 90 % des organisations subissent la pression de relâcher les contrôles pour ne pas freiner les projets IA.
Des credentials orphelines qui traînent
Le vide de gouvernance a un coût mesurable. Le whitepaper de la Cloud Security Alliance relève que 51 % des organisations n'ont aucune propriété clairement définie de leurs identités IA, qu'une NHI sur vingt dispose de droits administratifs complets — parfois après neuf mois d'inactivité — et que seules 20 % disposent d'un processus formel pour révoquer les clés API. Résultat : plus de 28 millions de secrets codés en dur découverts publiquement en 2025, dont 1,27 million liés à l'IA (+81 % en un an).
Ces risques ne sont plus théoriques : Hugging Face a récemment dû analyser l'intrusion d'un agent IA autonome dans ses systèmes, illustrant ce que peut faire une identité machine mal encadrée.
Les remèdes convergent. La tribune du JDN pose quatre principes : donner à chaque agent une identité propre avec un propriétaire et un périmètre explicites ; appliquer le moindre privilège ; garantir une traçabilité totale des actions et données consultées ; et maintenir une supervision humaine proportionnée au risque. La CSA y ajoute des briques techniques — identités éphémères type SPIFFE/SPIRE, « zero standing privilege », registre NHI centralisé. Certains États s'emparent aussi du sujet : l'Estonie veut attribuer une identité numérique officielle à chaque agent IA. Le chantier déborde la seule DSI : conformité, RH et directions métiers y sont désormais parties prenantes.