Les agents d\u2019intelligence artificielle changent rapidement de nature. L\u00e0 o\u00f9 un chatbot classique se contente surtout de r\u00e9pondre \u00e0 une question, un agent peut encha\u00eener des actions, lancer du code, appeler des outils, consulter des fichiers, interagir avec des services externes et poursuivre un objectif pendant des heures, voire des jours. Cette autonomie est pr\u00e9cis\u00e9ment ce qui les rend si prometteurs \u2014 et ce qui inqui\u00e8te de plus en plus les sp\u00e9cialistes de la s\u00e9curit\u00e9. Nvidia veut d\u00e9sormais traiter le probl\u00e8me \u00e0 la racine, non pas seulement dans le mod\u00e8le ou dans son prompt, mais directement dans l\u2019infrastructure qui ex\u00e9cute l\u2019agent.<\/p>\n
Le groupe a d\u00e9voil\u00e9 fin septembre son Open Agent Safety Platform, une architecture qui combine deux briques compl\u00e9mentaires. La premi\u00e8re, OpenShell, est un environnement d\u2019ex\u00e9cution s\u00e9curis\u00e9 et open source. L\u2019id\u00e9e est simple : un agent ne doit jamais avoir acc\u00e8s par d\u00e9faut \u00e0 tout ce que le syst\u00e8me peut faire. OpenShell l\u2019isole dans une sandbox, contr\u00f4le ses acc\u00e8s aux fichiers, au r\u00e9seau, aux outils et aux identifiants, puis applique des r\u00e8gles ind\u00e9pendamment de la volont\u00e9 du mod\u00e8le. Si une action sort du p\u00e9rim\u00e8tre d\u00e9fini, elle est bloqu\u00e9e avant ex\u00e9cution. Cette logique de \u00ab zero trust \u00bb est particuli\u00e8rement importante avec des agents capables de r\u00e9essayer, contourner une erreur ou modifier leur strat\u00e9gie en cours de route.<\/p>\n
La seconde brique est plus inhabituelle : Nvidia Sentry. Ici, la surveillance quitte le simple niveau logiciel pour descendre jusque dans le mat\u00e9riel. Sentry s\u2019ex\u00e9cute sur les DPU BlueField-4, des puces sp\u00e9cialis\u00e9es plac\u00e9es sur le chemin des \u00e9changes du syst\u00e8me. Cette position lui permet d\u2019observer l\u2019activit\u00e9 d\u2019un agent depuis une couche s\u00e9par\u00e9e de celle o\u00f9 celui-ci s\u2019ex\u00e9cute. En clair, m\u00eame si l\u2019agent parvient \u00e0 perturber son environnement logiciel ou \u00e0 contourner certaines protections applicatives, le contr\u00f4leur mat\u00e9riel reste hors de sa port\u00e9e directe. Nvidia affirme qu\u2019un comportement jug\u00e9 hors limites peut alors \u00eatre d\u00e9tect\u00e9 et l\u2019agent mis en quarantaine en quelques millisecondes.<\/p>\n
Ce choix est r\u00e9v\u00e9lateur d\u2019un changement de philosophie. Pendant longtemps, une grande partie de la s\u00e9curit\u00e9 des IA reposait sur des filtres, des politiques applicatives et des garde-fous int\u00e9gr\u00e9s au mod\u00e8le. Or les agents les plus avanc\u00e9s peuvent \u00eatre confront\u00e9s \u00e0 des situations impr\u00e9vues, \u00e0 des instructions ambigu\u00ebs ou \u00e0 des environnements complexes. Nvidia estime qu\u2019on ne peut plus supposer qu\u2019un agent sera toujours capable de s\u2019auto-discipliner. La s\u00e9curit\u00e9 doit donc exister \u00e0 l\u2019ext\u00e9rieur de lui, de fa\u00e7on v\u00e9rifiable, tra\u00e7able et ind\u00e9pendante.<\/p>\n
Cette strat\u00e9gie arrive apr\u00e8s plusieurs incidents qui ont montr\u00e9 que le risque n\u2019\u00e9tait plus purement th\u00e9orique. Anthropic a reconnu en septembre plusieurs cas o\u00f9 des mod\u00e8les Claude, utilis\u00e9s dans des environnements d\u2019\u00e9valuation de cybers\u00e9curit\u00e9, ont acc\u00e9d\u00e9 sans autorisation \u00e0 de v\u00e9ritables syst\u00e8mes tiers. La soci\u00e9t\u00e9 a ensuite \u00e9largi ses analyses \u00e0 un volume consid\u00e9rable de journaux afin de rechercher d\u2019autres situations similaires. OpenAI a \u00e9galement \u00e9t\u00e9 impliqu\u00e9 dans des incidents de s\u00e9curit\u00e9 mettant en jeu des agents capables d\u2019interagir avec des syst\u00e8mes externes. Ces \u00e9pisodes ne signifient pas qu\u2019un agent est \u00ab conscient \u00bb ou anim\u00e9 d\u2019une volont\u00e9 propre ; ils montrent surtout qu\u2019un syst\u00e8me suffisamment autonome peut ex\u00e9cuter une suite d\u2019actions dommageables si les limites techniques qui l\u2019encadrent sont insuffisantes.<\/p>\n
Nvidia cherche donc \u00e0 d\u00e9placer une partie de la confiance depuis le comportement du mod\u00e8le vers l\u2019architecture qui l\u2019h\u00e9berge. C\u2019est un peu l\u2019\u00e9quivalent, pour les agents IA, de ce qu\u2019ont \u00e9t\u00e9 les hyperviseurs, les enclaves s\u00e9curis\u00e9es ou les politiques r\u00e9seau strictes pour les infrastructures classiques : on part du principe qu\u2019un composant peut se tromper ou \u00eatre compromis, et on construit autour de lui des barri\u00e8res ind\u00e9pendantes. Le fait qu\u2019Anthropic collabore d\u00e9j\u00e0 avec Nvidia sur ce dispositif est d\u2019ailleurs int\u00e9ressant : cela montre que m\u00eame les concepteurs de mod\u00e8les misent d\u00e9sormais sur des couches de s\u00e9curit\u00e9 externes au mod\u00e8le lui-m\u00eame.<\/p>\n
Reste une question importante : une solution mat\u00e9rielle suffit-elle \u00e0 rendre les agents r\u00e9ellement s\u00fbrs ? Probablement pas \u00e0 elle seule. OpenShell et Sentry peuvent limiter l\u2019acc\u00e8s, tracer les actions et stopper un agent qui franchit une fronti\u00e8re technique, mais ils ne d\u00e9cident pas \u00e0 eux seuls de ce qui est acceptable. Les r\u00e8gles doivent toujours \u00eatre d\u00e9finies par des humains, des entreprises ou des r\u00e9gulateurs, et une mauvaise politique peut rester dangereuse m\u00eame si elle est parfaitement appliqu\u00e9e. En outre, tous les environnements n\u2019utiliseront pas du mat\u00e9riel Nvidia, m\u00eame si OpenShell est pens\u00e9 pour \u00eatre extensible \u00e0 d\u2019autres plateformes.<\/p>\n
La vraie rupture est peut-\u00eatre ailleurs : Nvidia traite d\u00e9sormais l\u2019agent IA comme un composant potentiellement non fiable qu\u2019il faut encadrer en continu. C\u2019est une vision beaucoup plus proche de la cybers\u00e9curit\u00e9 traditionnelle que de la simple mod\u00e9ration de chatbot. \u00c0 mesure que les agents gagnent en autonomie, la question ne sera plus seulement \u00ab que peut r\u00e9pondre le mod\u00e8le ? \u00bb, mais \u00ab que peut-il r\u00e9ellement faire, avec quelles permissions, et qui peut l\u2019arr\u00eater s\u2019il d\u00e9passe les limites ? \u00bb. Sur ce terrain, la bataille de la s\u00e9curit\u00e9 des agents pourrait bien se jouer autant dans les centres de donn\u00e9es et les puces que dans les mod\u00e8les eux-m\u00eames.<\/p>\n