Le 23 juin 2026, les chercheurs de Wiz signalent une faille à Snowflake, un des plus gros éditeurs de données au monde. Le point d'entrée : une modification de code dans une chaîne de déploiement publique. Cette modification avait un co-auteur IA — GitHub Copilot — qui a relu la version fusionnée et l'a jugée saine. Elle ne l'était pas. Une simple apostrophe dans le titre d'un ticket permettait d'exécuter des commandes arbitraires, et d'exfiltrer un jeton donnant accès en lecture aux projets internes d'ingénierie et de conformité sécurité. Détail qui ne s'invente pas : c'est un autre agent IA — le « Red Agent » de Wiz — qui a trouvé la faille. Démonstration responsable, faille corrigée, billet public.

Deux agents IA. Un qui laisse passer, un qui trouve. La différence entre les deux n'est pas l'intelligence du modèle. C'est le cadre dans lequel chacun travaille.

Un agent IA sans limites écrites n'est pas plus intelligent. Il est juste plus dangereux.

01/faire — Ce qu'un agent fait très bien

Le travail d'instruction. Lire partout, sans fatigue, sans oubli.

Concrètement, dans une entreprise d'ici : éplucher 200 factures fournisseurs pour sortir les écarts de prix. Croiser le stock avec les commandes et prévenir avant la rupture, pas après. Surveiller les paiements en retard et préparer la relance — le texte, le contexte, l'historique du client. Rédiger le brouillon du devis avec les bonnes lignes et les bons montants.

Le motif est toujours le même : l'agent lit large, croise, prépare, alerte. Il instruit le dossier. L'humain signe.

Un agent utilisé comme ça rend des heures chaque semaine, sans créer de risque nouveau. Le risque commence exactement là où l'instruction s'arrête : au moment d'agir.

02/interdits — Les 4 choses à lui interdire

Envoyer sans validation. Un email client, un paiement, un devis, une publication. Tout ce qui sort de l'entreprise ou engage de l'argent passe par un humain. Sans exception, même « juste cette fois ».

Écrire hors périmètre. Le périmètre d'écriture d'un agent se définit en liste blanche : ce qu'il PEUT toucher est écrit, tout le reste est interdit par défaut. Jamais l'inverse. Une liste noire (« interdit de toucher à la compta ») laisse ouvert tout ce qu'on a oublié d'interdire.

Agir sans trace. Chaque action de l'agent laisse une ligne de journal : quoi, quand, sur quoi. Pas pour la bureaucratie — pour pouvoir répondre à la question « qui a modifié ça ? » sans enquête de trois jours.

Garder des clés irrévocables. L'agent travaille avec ses propres accès, dédiés, coupables en un clic. Chez Snowflake, le jeton exfiltré était un accès de service : la leçon de Wiz est la même que la nôtre — des accès courts, dédiés, révocables.

03/grille — Les 5 questions avant de brancher un agent

À poser à quiconque vous propose « un agent IA » — un prestataire, un éditeur, ou votre propre équipe :

  1. Le périmètre est-il écrit ? Une liste de ce que l'agent peut faire, noir sur blanc — pas une intention orale.
  2. Qui valide l'irréversible ? Envois, paiements, suppressions : quel humain, à quel moment.
  3. Où est le journal ? Montrez-moi la trace de la dernière action de l'agent.
  4. Comment se révoque l'accès ? Si je coupe la clé maintenant, que se passe-t-il ?
  5. Comment le mesurez-vous ? Un agent qui n'est pas évalué n'est pas en production — c'est une démo qui tourne chez vous. Sur ce point : notre méthode Jour 91.

Celui qui répond aux cinq sans slide marketing sait ce qu'il fait. Celui qui répond « ne vous inquiétez pas, c'est sécurisé » vient de répondre à la question.

04/preuve — Notre propre agent tourne sous ce régime

Ce cadre n'est pas une théorie qu'on recommande. C'est le régime sous lequel tournent nos agents internes.

Notre agent marketing travaille depuis des mois avec un fichier de permissions écrit, outil par outil. Il lit le CRM, les campagnes, les statistiques. Il prépare les brouillons — emails, devis, publications. Il n'a pas le droit d'envoyer un email. Pas le droit de publier. Pas le droit de toucher une écriture comptable. Un devis qu'il prépare naît en brouillon et attend une validation humaine. Une campagne qu'il monte naît en pause, et ne s'active que sur un GO explicite.

Extrait réel du fichier, tel qu'il tourne aujourd'hui :

Extrait réel du fichier de permissions de notre agent marketing

Ça ne l'empêche pas de travailler. Ça définit ce que « travailler » veut dire.

05/cap — La maturité se lit dans les interdits

La question à la mode est « qu'est-ce que l'IA pourrait faire pour nous ? ». La bonne question, celle qui sépare les systèmes qui durent des démos qui dérivent : « qu'est-ce qu'on lui interdit, et où est-ce écrit ? ».

Lecture large. Écriture bornée. Validation humaine sur tout ce qui sort. Journal de chaque action. Clés révocables. Cinq règles, une page, écrites avant la première ligne de code.

La maturité IA d'une entreprise ne se lit pas dans ce qu'elle fait faire à ses agents. Elle se lit dans ce qu'elle leur interdit.