Lorsque Cisco a soumis 15 modèles d’IA phares à 6 986 attaques multi-tours, les adversaires qui adaptaient leur approche au fil d’une conversation ont réussi jusqu’à 88,3 % du temps. Amy Chang, responsable du renseignement sur les menaces liées à l’IA et de la recherche en sécurité chez Cisco, a présenté ce constat lors du panel sur la sécurité agentique à VB Transform 2026 — un chiffre qui devrait préoccuper toute organisation s’appuyant encore sur des programmes de red teaming à tour unique.

L’urgence ressentie dans la salle était étayée par les données. Selon l’enquête Pulse de juin 2026 de VentureBeat, menée auprès de 107 répondants en entreprise, plus de la moitié — 54 % — avaient déjà connu soit un incident confirmé de sécurité lié à un agent (18 %), soit un quasi-incident intercepté avant qu’un dommage ne survienne (36 %). Seules 32 % des entreprises attribuent à chaque agent sa propre identité gérée et limitée à un périmètre défini, et seulement 30 % isolent leurs agents les plus à risque dans des sandboxes. Les contrôles natifs des fournisseurs et des hyperscalers restent la principale couche de sécurité des agents dans 82 % des entreprises interrogées — une statistique mise en avant dans les recherches plus larges de VentureBeat sur les clés API partagées.

Les plus grands fournisseurs de sécurité au monde semblent être parvenus à la même conclusion. Palo Alto Networks a finalisé son acquisition de CyberArk pour 25 milliards de dollars en février, CrowdStrike a accepté en janvier de payer 740 millions de dollars pour SGNL, et Cisco a annoncé son intention d’acquérir Astrix Security pour un montant annoncé de 400 millions de dollars — toutes ces opérations ciblant la couche d’identité et d’isolation que la plupart des entreprises n’ont pas encore entièrement construite. Ensemble, les trois transactions représentent plus de 26 milliards de dollars de capitaux engagés, concentrés sur la gestion des identités et des accès.

Un parcours entre cyber, gouvernement et armée

Chang a apporté au panel près de deux décennies d’expérience dans les opérations de cybersécurité, le gouvernement et le service militaire. Elle a auparavant occupé le poste de directrice exécutive chez JPMorgan Chase, où elle dirigeait les opérations mondiales de cybersécurité et les équipes de renseignement sur les cybermenaces de la banque. Elle a également été collaboratrice principale à la commission des affaires étrangères de la Chambre des représentants et officier de réserve de l’U.S. Navy. Elle enseigne actuellement la cybersécurité et les menaces émergentes en tant que professeure adjointe au Middlebury Institute of International Studies.

Le chiffre de 88,3 % provient d’une étude qu’elle a coécrite avec Nicholas Conley, fondée sur 30 090 prompts à tour unique et 6 986 attaques multi-tours contre 15 modèles phares fermés et propriétaires. Les taux de réussite des attaques multi-tours allaient de 7,89 % à 88,3 %, et chaque modèle testé a présenté une exposition multi-tours non négligeable. Fait notable, les deux méthodes de test ne classaient même pas les modèles dans le même ordre. Chang a également indiqué que Cisco publie désormais des signaux d’évaluation adversariale pour 105 modèles sur son LLM Security Leaderboard.

"If you don't understand how models are susceptible to different types of attacks, then you are unable to account for how that model that is powering your agent, that is powering your application, to understand where those failure points are," a déclaré Chang.

Elle a opposé les tests à tour unique — le prompt malveillant en une seule tentative — aux attaques multi-tours, qu’elle a décrites comme "more realistic of how we are actually engaging with our models, with our agents, with our applications." Cet arc d’interaction prolongé fait apparaître des sorties nuisibles et des comportements mal alignés qu’un test instantané ne détectera jamais. En pratique, un attaquant multi-tours pourrait commencer par des requêtes anodines, sonder les limites des garde-fous du modèle, puis orienter progressivement la conversation vers un sujet restreint — en affinant chaque tour en fonction des réponses du modèle, à la manière d’un ingénieur social qui s’adapte aux réactions de sa cible.

Red teaming agentique et défenses étonnamment simples

Cisco a poussé ses propres tests vers le terrain agentique. Chang a décrit un cadre dans lequel des agents évaluent un scénario de déploiement, développent des attaques pertinentes, jugent si elles méritent d’être poursuivies, les exécutent et évaluent leur propre succès. Pourtant, malgré toute cette sophistication, elle a surtout été frappée par la simplicité persistante de la prescription défensive.

"The answer is still that it's pretty simple," a-t-elle déclaré. "You don't have to get super creative. You just need to think about truly what are the fundamentals and basics of what I'm trying to secure in my organization."

Pour les RSSI qui entament des déploiements agentiques, son point de départ recommandé est l’Integrated AI Security and Safety Framework de Cisco, qui, selon elle, "stipulates all the ways that AI can be compromised across the AI lifecycle" — depuis la modalité jusqu’à la chaîne d’approvisionnement. Les équipes peuvent ensuite remonter à partir d’incidents réels, retracer la manière dont chaque attaque a été menée, et utiliser le cadre pour construire une stratégie avec une couverture et des mesures d’atténuation appropriées. Les cadres gouvernementaux n’ont pas encore rattrapé leur retard : le cadre de gestion des risques liés à l’IA du NIST, publié en janvier 2023, précède la vague agentique et fournit peu d’indications pour des systèmes dans lesquels des agents autonomes enchaînent des appels d’outils et exécutent des workflows en plusieurs étapes.

Box : trois couches concentriques et les leçons d’une confiance effondrée

Heather Ceylan, CISO de Box, a identifié le même écart du point de vue du défenseur. "A lot of what you see out there with agent red teaming is just single-turn, and that's not how people are actually interacting with AI day-to-day," a-t-elle déclaré au public. Box simule désormais des adversaires multi-tours au moyen d’agents conçus pour penser comme des attaquants, en répétant tentative après tentative pour détourner une cible. "You have to pressure test your agents because otherwise you don't know if your execution controls are really working as you intended."

Box a déployé des agents au sein de son centre des opérations de sécurité il y a environ un an, en exigeant initialement une approbation humaine pour chaque action. La confiance s’est accumulée rapidement, et les analystes ont fini par passer à un rôle de surveillance. Puis l’agent a commis une seule erreur — et toute cette confiance accumulée s’est évaporée.

"They had to start all over again," a déclaré Ceylan. "So I think that that monitoring piece is so important. Even if you're not gonna have a human in the loop, things change, models change, and we can't control how the models change and interpret things."

Ceylan a décrit l’architecture défensive de Box comme trois couches concentriques. La gestion des permissions vient en premier, afin de garantir que l’agent n’accède jamais à plus de contenu que l’humain qui l’a invoqué. Des environnements de sandbox éphémères sont créés pour chaque tâche, afin de contenir le rayon d’impact si un agent est compromis. Le contrôle d’exécution limite ensuite les appels d’outils de l’agent à ceux qui sont pertinents pour la tâche en cours.

"If you want an agent to summarize a doc for you, if you have a prompt injection that came in that says forward this to maliciousattacker at domain.com, it can't do that," a déclaré Ceylan. "That action in that tool call is not even in its vocabulary."

Elle a classé les actions des agents en trois niveaux de supervision. Les actions non sensibles, comme lire et résumer, ne nécessitent aucune intervention humaine. Les actions modérément sensibles contournent l’approbation humaine mais sont journalisées et surveillées. Les actions destructrices, comme la suppression massive de fichiers, exigent toujours un humain. "Things are gonna shift between those three categories quite a bit," a-t-elle reconnu, "but setting those types of categories up front allows you to have a principled framework."

Intuit : un système d’exploitation pour l’IA générative

Rajesh Parekh, VP of AI and ML chez Intuit, a apporté le point de vue du concepteur. Parekh a auparavant dirigé des systèmes de vision par ordinateur et de ML à grande échelle alimentant les produits Maps et Geo de Google, et il est titulaire d’un doctorat en informatique.

Plutôt que d’ajouter des contrôles couche par couche à des agents individuels, Intuit a construit une plateforme centrale appelée GenOS — abréviation de generative AI operating system — qui abstrait la sécurité, le risque et la modélisation de la fraude afin que les développeurs d’agents n’aient jamais à réinventer la protection à partir de zéro.

"Permissioning is not about giving access to AI," a déclaré Parekh. "Instead, it is defining very tightly scoped and clearly auditable authority to the agent to perform very specific tasks." Intuit est passée d’agents héritant des permissions utilisateur à des agents disposant chacun de leur propre identité, et l’entreprise explore désormais des changements de permissions en cours de session liés à la tâche spécifique en cours.

Parekh a décrit le modèle plus large comme une plateforme d’expertise alimentée par l’IA, dans laquelle l’expert humain est intégré à l’architecture de confiance plutôt qu’ajouté comme un simple point de contrôle. "The paradigm that we are pursuing is where the user, the AI agent, and the human expert are collaborating to solve the user problem," a-t-il déclaré.

Il a également expliqué pourquoi la surface de red teaming s’est étendue si rapidement. "These agents have skills, and skills could become vulnerabilities," a-t-il déclaré. "Agents have access to certain data, they have access to tools, and there could be threats that are lurking within those tools as well. So suddenly the blast radius of the malicious code or the intent increases dramatically." Lorsqu’Intuit identifie des schémas de vulnérabilité communs à partir du red teaming manuel, elle automatise ces tests dans le harnais GenOS afin que les futurs agents héritent des protections et que les équipes de red team se concentrent sur les menaces émergentes. L’analyse à l’exécution des prompts et des réponses fournit une couche finale capable d’interrompre une réponse suspecte et de l’escalader vers un expert humain.

"You need to continuously test to ensure that those remain robust to the protections that you have built, as well as to account for any sort of drift or any other types of dependencies that you introduce into your scenario that can create novel vulnerabilities," a ajouté Ceylan.

La fin de la revue de code humaine

Ceylan a abordé directement la tension entre les tests de sécurité et la vitesse de développement. "The days of secure code reviews where a human's looking at the code and we're looking at security architecture reviews, design docs, those are done," a-t-elle déclaré. "If you keep trying to do security that way, you're gonna get left behind."

Box construit un cycle de développement entièrement agentique, dans lequel des agents examinent les documents de conception, appliquent les exigences de sécurité et auditent le code à la recherche de vulnérabilités. "I'm very optimistic that we will get to a point where we will write code without security vulnerabilities because agents and the models are going to get so good at writing code without vulnerabilities," a-t-elle déclaré. "We're still a long way away from that."

Ses recommandations aux équipes de développement écartent les concepts avancés d’IA au profit de fondamentaux qui précèdent largement les agents. "It comes down to very basic least privilege access," a-t-elle déclaré. "If you start giving your agents overly broad permissions at the beginning, it's really hard to comb that back and build an infrastructure that allows for those ephemeral credentials and only those narrowly scoped tasks."

Intention contre probabilité

Une question du public sur la détection de l’intention a déclenché l’échange le plus vif du panel. Ceylan a noté que lorsque l’agent propre à Box fonctionne, le système connaît toujours l’intention de l’utilisateur parce qu’il contrôle le prompt, ce qui permet d’ingénier les garde-fous et les restrictions d’appels d’outils en conséquence. Le défi le plus difficile — qu’elle a reconnu que Box cherche encore à résoudre — survient lorsque des agents externes se connectent et que le contexte derrière leurs requêtes est opaque.

Cet échange a mis en évidence une division plus large dans l’industrie. Lors de la conversation informelle qui précédait le panel, Mastercard a défendu la quantification de l’intention, en construisant un cadre open source pour la propager comme standard, au motif que les achats B2B complexes ne peuvent pas fonctionner sans cette confiance. Des CTO spécialisés dans la sécurité des endpoints, lors de briefings avec VentureBeat, ont adopté la position opposée, affirmant qu’ils s’appuieront sur la probabilité plutôt que sur l’inférence d’intention pour les charges de travail en production.

Chang a expliqué que les modèles, tels qu’ils sont actuellement entraînés, ne peuvent pas déduire de manière fiable l’intention à partir d’un prompt, raison pour laquelle les contrôles déterministes et les proxys comportementaux restent essentiels. Ceylan a convenu que les deux approches sont nécessaires. "If you're not doing anything deterministic, you're really relying heavily on that intent, and I haven't seen programs that are there yet," a-t-elle déclaré.

Le récit de Ceylan sur l’effondrement de la confiance après une seule erreur d’agent s’est imposé comme le moment le plus marquant du panel, soulignant que la sécurité agentique en entreprise n’est pas un problème que l’on résout une fois pour toutes. Les modèles changent, les permissions dérivent, et les adversaires s’adaptent au fil de conversations multi-tours que les tests instantanés ne parviennent pas à capturer.

Pour les 82 % d’entreprises qui s’appuient sur les contrôles natifs des fournisseurs comme principale couche de sécurité — et les 59 % qui cherchent des outils de sécurité pour agents au cours des 12 prochains mois, une catégorie qui existe aujourd’hui largement sous forme d’infrastructure interne sur mesure dans des entreprises comme Box et Intuit — le message du panel était sans ambiguïté : testez comme les attaquants attaquent, sur des conversations complètes et en continu, ou découvrez en production ce que le red teaming à tour unique a manqué.