Okta : Cap sur la protection des identités de l’IA agentique

L’agentique impose une nouvelle approche

Sans surprise, la priorité de l’éditeur est désormais d’équiper les entreprises afin de gérer un nouveau type d’identifiants : les comptes des agents IA. Pour Xavier Mathis, l’agentique représente un nouveau défi : « une des différences entre les identités humaines et non humaines est qu’avec le SSO et la MFA, un humain n’a plus de multiples identifiants statiques. Il se connecte avec un identifiant unique, en passant par du passwordless ou de la MFA. Ce qui n’est pas le cas des agents ».

Les entreprises ont fait l’effort de sécurisation des comptes humains de peur d’une attaque de hameçonnage, mais ce travail n’a pas été fait sur les comptes non humains. L’éditeur estime que pour une identité humaine, une entreprise compte de 10 à 100 identités non humaines, selon son secteur d’activité.

Outre les identités des humains, des partenaires, des clients, des machines, celles des agents IA vont aujourd’hui poser un nouveau défi aux entreprises. Aziz Si Mohammed, Sr Manager, Solutions Engineering, Okta explique : « l’IA et l’agentique sont venus mettre à l’épreuve tout ce qu’on connaît dans la gestion des identités et des accès. En fait, il y a une différence fondamentale quand on parle de gestion d’identité humaine, non humaine et principalement agentique. C’est la notion de déterminisme. On sait ce que doit faire un responsable pays dans le système d’information, c’est déterministe et toutes les solutions de gestion d’identité ont été créées sur ce principe de déterminisme. L’agent IA bouscule cette notion, car il va se frayer lui-même des chemins dans le SI pour répondre aux instructions de l’utilisateur ».

Si les concepts de communication d’agent à agent, et entre les agents et les applications ont émergé, le protocole MCP qui semble s’imposer comme standard de facto est notoirement insuffisant en matière de sécurité des échanges. « Les éditeurs de solutions de gestion des identités doivent réagir très vite et s’adapter à cette réalité, avec des comportements non déterministes et des privilèges élevés », ajoute Aziz Si Mohammed.

La stratégie de sécurisation des IA poussée par Okta comporte plusieurs volets. Le premier porte sur les utilisateurs « humains » qui créent ces agents. Ceux-ci doivent mettre en œuvre les bonnes pratiques à embarquer dans toutes les applications agentiques, notamment implanter une fonction de « au nom de », afin de déterminer pour qui l’agent effectue un traitement.

Selon l’éditeur, l’agent doit être créé avec une « sécurité by design ». Okta a notamment contribué à faire évoluer le standard OAuth avec une variante intégrant le Cross App Access (XAA), afin de normaliser les échanges d’agent à agent et d’agent à application.

Vincent Steenhoute, principal solutions engineer d’Okta en France, détaille le rôle du standard : « OAuth 2.1 intègre la sécurité des échanges entre les agents IA et les ressources auxquelles ils accèdent. Ceux-ci n’auront plus besoin de dizaines de comptes de service pour effectuer leurs tâches. À chaque fois qu’il y a besoin d’une élévation de privilèges temporaire, le système va accorder le droit en fonction de l’agent qui le réclame et pour une durée définie ».

En outre, Okta a implémenté un serveur MCP sur sa plateforme afin de pouvoir s’intégrer à des processus automatisés. Seules quelques fonctions de la plateforme peuvent être sollicitées par des agents dans le cadre d’automatisations. Un agent peut ainsi demander la création d’un utilisateur, une désactivation, effectuer une mise à jour – de même qu’avec les groupes d’utilisateurs –, ou encore accéder aux logs.

La plateformisation en marche dans la gestion des identités

Comme dans tous les secteurs de la cybersécurité, la vague de la plateformisation touche le monde de l’identité. Okta applique là le modèle promu par le Gartner avec sa plateforme Identity Security Fabric (ISF). Xavier Mathis résume sa stratégie : « l’idée est de disposer d’une seule plateforme, une seule console pour gérer l’ensemble des cas d’usage de l’identité, depuis la gestion des accès à la sécurisation de l’IA. Il faut garder en tête que l’identité est aujourd’hui la pierre angulaire de ce sujet-là, car les identités non humaines évoluent et grossissent de manière exponentielle ».

L’éditeur mise sur la plateformisation et la volonté de faire converger l’observabilité, le contrôle de gouvernance des identités et d’offrir une vision globale sur la multiplicité des types d’identités, des outils communs de gestion et de gouvernance. L’éditeur estime que cette stratégie d’identité convergente doit permettre d’éviter 85 % des attaques actuelles. « Avec l’élargissement de la surface d’attaque et les différents canaux que peut exploiter l’attaquant, sans capacités d’automatisation, on ne peut pas suivre si on ne dispose que de solutions en silos », explique Xavier Mathis.

Dès lors, ajoute-t-il, « notre proposition de valeur est de faire en sorte que ces projets soient simples à déployer, en s’appuyant sur des standards technologiques, tout en s’assurant qu’on ait l’ensemble des connecteurs, pour pouvoir aider nos clients à répondre rapidement à ces nouveaux types de menaces, simples également à maintenir ».

Pour réduire l’effort de migration vers sa plateforme, Okta propose l’OSIC (Okta Secure Identity Commitment), un framework de bonnes pratiques liées à la protection des identités et pouvant être rapidement mis en œuvre sur sa plateforme. Un moyen de moderniser les pratiques internes liées à la gouvernance des identités.