Lors d’une table ronde de CISO organisée par le responsable de la sécurité de l’information d’Anthropic, Dev Rishi, GM of AI chez Rubrik, a posé une question simple aux participants : avaient-ils tous formalisé leurs politiques de gouvernance et de sécurité de l’IA ? Environ 14 mains se sont levées. Sa question suivante — comment ces politiques sont réellement appliquées — a suscité une réaction nettement différente.

"And everybody chuckled," a rappelé Rishi lors d’un entretien au coin du feu à VB Transform 2026, à Menlo Park. "It was like the dirty secret in the room that everyone has these policies, but no way to actually make them real."

L’écart entre le fait de disposer de politiques et celui de les appliquer est précisément le terrain que Rubrik vise. Rishi a révélé que le fondateur et CTO de l’entreprise pousse fortement à activer les agents IA de la société dans ce que l’on appelle le mode YOLO — une configuration qui supprime les demandes d’autorisation dans les workflows des agents et leur permet d’agir de manière autonome. Pour une entreprise cotée de sécurité des données dont le cœur de métier consiste à sauvegarder des données critiques d’entreprise, cet aveu est significatif.

Dans la mise en œuvre de Rubrik, un second système d’IA évalue chaque action d’agent en temps réel au regard des politiques de l’organisation, remplaçant l’humain qui cliquerait autrement sur approuver. Rubrik teste d’abord cette approche sur elle-même. Rishi a présenté l’autonomie comme une question de jugement plutôt que de capacité. "If you ask the agent to act autonomously, it will," a-t-il déclaré. "It's a question that you have internally. Should it?"

Du théâtre de sécurité à l’arbitrage par l’IA

Rubrik est arrivée à cette approche à la suite d’une expérience difficile. Lorsque les pilotes Claude Code et Cowork ont été lancés en interne, l’entreprise a imposé que chaque commande soit exécutée en mode demande, ce qui signifiait que l’employé qui l’émettait en portait la responsabilité. La résistance des développeurs a été forte, remplissant un seul fil Slack de 120 messages.

"The developers basically are pushing back, and they're like, this is like the iTunes service agreement. I'm just hitting check, check, check, check, check, check, check," a raconté Rishi. "There's no way that I can actually read through this. And it becomes security theater."

Cette frustration est largement partagée. Citant une étude de Rubrik Zero Labs, Rishi a indiqué qu’environ 80% des répondants se trouvent dans la même impasse. Les conclusions proviennent de "The State of the Agent", un rapport d’avril fondé sur une enquête auprès de plus de 1,600 responsables IT et sécurité, qui conclut que surveiller et approuver les actions des agents prend plus de temps que les agents eux-mêmes n’en font gagner.

La réponse de Rubrik est SAGE, ou Semantic AI Governance Engine. SAGE fonctionne comme la couche d’arbitrage au sein de Rubrik Agent Cloud, surveillant chaque action d’agent, interprétant l’intention sémantique qui la sous-tend et décidant si l’action est autorisée ou non au regard de politiques rédigées en langage naturel. "We took what people said was human in the loop, a good idea, and we replaced it with AI in the loop," a déclaré Rishi, décrivant la façon dont il présente le concept à des responsables sécurité qu’il qualifie de nerveux face aux systèmes non déterministes.

Ce changement est important, car les agents d’entreprise dépassent désormais le chat et les suggestions de code pour intervenir dans les systèmes d’enregistrement, les files de tickets, les dépôts et les outils de communication. Dans ce contexte, la gouvernance cesse d’être un exercice documentaire et devient un problème d’exécution : le contrôle doit opérer au moment où un agent tente d’utiliser un outil.

L’approbation sécurité, et non le coût, limite le ROI de l’IA

Le parcours de Rishi couvre certaines des organisations les plus influentes de l’IA et du machine learning. Avant de rejoindre Rubrik, il a cofondé et dirigé Predibase, une startup d’infrastructure d’IA générative que Rubrik a accepté d’acquérir en juin 2025. Auparavant, il a dirigé le produit ML chez Google dans l’équipe qui est devenue Vertex AI et a été le premier chef de produit de Kaggle pendant sa croissance d’environ un million à dix millions d’utilisateurs. Il est titulaire d’une licence et d’un master en informatique de Harvard.

Au cours de ses trois premiers mois et demi chez Rubrik, Rishi a mené 200 conversations clients avec des responsables IT et sécurité au sein d’une base de clients comparable au Global 2000, en posant des questions ouvertes sur le coût, la latence, les performances et l’orchestration.

"Pretty consistently, what I heard through all of those conversations was that all of those are pretty secondary," a-t-il déclaré. "The main challenge is actually, how do I get this approved from a security and risk standpoint? I'm concerned about all the different things that could go wrong. Actually, I felt like that was one of the biggest things constraining ROI."

Une étude VentureBeat Pulse présentée plus tôt ce jour-là sur la scène de Transform a corroboré ce que Rishi entendait régulièrement. Les données ont montré que 66% des entreprises — soit deux tiers — autorisent déjà ou travaillent activement à des déploiements en production sans aucune revue humaine, mais que seulement 5% font pleinement confiance aux évaluations automatisées qui sous-tendraient cette décision.

Ce déficit de confiance ouvre une opportunité commerciale pour les produits de gouvernance des agents, mais il fixe aussi une barre élevée. Si la revue automatisée devient le mécanisme permettant aux agents de contourner l’approbation humaine, les entreprises ont besoin de preuves montrant que cette couche de revue est à la fois assez rapide pour les workflows de production et assez fiable pour être défendue par les équipes de sécurité.

Une IA lisant ce que le règlement ne peut pas saisir

Les propres politiques internes de Rubrik ont montré pourquoi les règles écrites sont insuffisantes comme mécanismes d’application. Une règle stipulait que les agents devaient respecter la politique d’utilisation des données clients de Rubrik — une directive qui semble applicable jusqu’à ce que quelqu’un tente de la mettre en œuvre.

"Rubrik's customer data use policy is like a three-page document of legal text," a déclaré Rishi. "I have no idea how to write that in there as a rule." Lorsqu’on lui a demandé sur scène comment une équipe de spécialistes de l’infrastructure IA s’était attaquée à un problème traditionnellement détenu par les ingénieurs sécurité, Rishi a répondu : "with a lot of naivety and innocence, honestly."

Le pari central de l’équipe était que des modèles compétents en compréhension du langage pouvaient efficacement surveiller d’autres modèles. SAGE en est issu. L’argument en faveur du placement d’un modèle dans le siège du juge repose sur la précision. Une règle interdisant aux agents de modifier des champs de revenus dans Salesforce, par exemple, échoue avec les outils conventionnels, car Salesforce ne distingue pas quels champs constituent des revenus. Les administrateurs sont donc contraints d’approuver manuellement chaque action Salesforce. SAGE lit plutôt l’intention, en s’appuyant sur le contexte organisationnel pour différencier une consultation bénigne de données du type de modification qu’une politique interdit.

La viabilité économique dépend du maintien d’un juge de petite taille. SAGE fonctionne sur un petit modèle de langage qui, selon Rishi, opère avec un coût et une latence inférieurs d’un ordre de grandeur à ceux d’un LLM de pointe. "If I told you, don't worry, you're gonna be secure and governed, but I'm gonna double your cost and latency, you would tell me to get out of the room," a-t-il dit.

Lorsque Rishi a demandé au public qui s’était inquiété de la consommation de tokens au cours de l’année écoulée, environ la moitié des mains se sont levées. "And I guess the other half is probably just too lazy to raise their hand," a-t-il ajouté avec humour.

SAGE est construit comme une agrégation de juges spécialisés utilisant un fine-tuning efficace en paramètres, ce qui permet à Rubrik de créer des variantes propres à certaines tâches à partir d’un modèle de base partageant un contexte organisationnel commun. Un juge surveille les hallucinations liées à l’usage d’outils, un autre supprime les informations personnelles identifiables avant qu’elles ne puissent quitter le système, et chacun fonctionne comme une politique applicable de manière indépendante. Les équipes sécurité et GRC ont également commencé à rédiger des règles financières dans la même couche, notamment une politique interne interdisant les dépenses d’IA pour des projets personnels.

La trifecta létale

Lorsqu’on lui a demandé quels vecteurs d’attaque l’inquiètent le plus, Rishi a cité ce que le chercheur en sécurité Simon Willison a appelé la "lethal trifecta" en juin 2025. Le concept décrit un agent qui détient simultanément des données privées, ingère du contenu externe non vérifié et dispose d’un canal pour transmettre ses découvertes vers l’extérieur.

Le danger central, a expliqué Rishi, réside dans la manière dont des autorisations individuellement légitimes peuvent se renforcer lorsqu’elles sont combinées. Un agent disposant à la fois d’un accès Salesforce et d’un accès email via les identifiants d’un employé n’a rien fait d’intrinsèquement mauvais — pas encore.

"A very simple example is that an agent can start pulling data from Salesforce and then decide to accidentally leak and exfiltrate that out via an email," a-t-il déclaré au public. Une société de services financiers avec laquelle Rishi s’était entretenu ce matin-là a renforcé ce point, lui expliquant qu’aucune des autorisations prises isolément n’est problématique et que l’agent a réellement besoin de chacune d’elles pour accomplir sa fonction. "It should have permission to each of those systems, but it's the combination that ends up becoming really destructive," a déclaré Rishi.

La gestion traditionnelle des identités et des accès n’a jamais tenu compte de telles combinaisons, car elle reposait sur le jugement humain du détenteur des identifiants — et les agents n’en fournissent aucun. "I can tell you the number of times Claude Code has tried to leak some of our sensitive source code to a public GitHub repository is incredibly high," a révélé Rishi. Couper totalement les agents des ressources publiques annulerait leur utilité, ce qui ramène le défi à l’arbitrage de l’intention dans son contexte plutôt qu’à une révocation générale de l’accès.

Une enquête distincte de VentureBeat June Pulse auprès de 107 répondants qualifiés en entreprise a quantifié le rayon d’impact de ce schéma. Une étude VentureBeat présentée ce matin-là sur la scène de Transform a montré que 69% des entreprises pratiquent le partage d’identifiants quelque part dans leur flotte d’agents. Les organisations ayant des identifiants partagés ont subi plus souvent des incidents de sécurité ou des quasi-incidents, à un taux de 63.5% (47 sur 74), contre 40.9% (9 sur 22) pour celles où chaque agent dispose de sa propre identité à périmètre défini.

Les attaques qu’aucun tour isolé ne révèle

Rubrik Agent Cloud est devenu généralement disponible en février, même si toutes les capacités décrites par Rishi ne sont pas encore livrées. Le backtesting commence tout juste à être déployé. Cette fonction rejoue les actions historiques des agents et les appels d’outils d’une organisation au regard d’une nouvelle politique, révélant où la politique serait intervenue et où une action serait passée sans être détectée, avec des ajustements de politique applicables en temps réel. Rishi a qualifié cette archive historique de l’un des actifs de données les plus précieux qu’une entreprise possède.

La détection et le blocage en temps réel apparaissent finalement comme le point d’entrée plutôt que comme le produit complet. Certaines attaques ne déclenchent jamais une règle portant sur une action unique. "No individual turn of the conversation was problematic, but if you took the session as a full trace, that ended up being problematic," a expliqué Rishi. Agent Cloud effectue des analyses par lots sur des traces de sessions complètes toutes les heures ou chaque jour, faisant remonter ce que Rubrik appelle des "insights" — des problèmes qu’aucune barrière de protection individuelle n’a réussi à détecter.

Le même rapport Zero Labs a constaté que 88% des organisations ne disposent pas de la capacité d’annuler les actions d’agents sans perturber les systèmes — un déficit de reprise qui relève directement du domaine d’expertise historique de Rubrik.

Pour les équipes sécurité, le rollback est l’autre moitié de l’application des règles. Bloquer une mauvaise action n’est utile que si le système la détecte à temps ; lorsqu’un agent termine un workflow en plusieurs étapes avant que quiconque ne voie le problème, la réponse dépend de la capacité à savoir ce qui a changé, quels outils ont été utilisés et si l’organisation peut inverser les effets sans provoquer une panne plus large.

Une question sans réponse

Un CISO sceptique poserait la question à laquelle l’entretien n’a pas répondu. SAGE est lui-même un modèle non déterministe évaluant d’autres modèles non déterministes, et Rishi n’a fourni aucun taux de faux positifs ni de faux négatifs pour le juge. Ce qui s’en rapproche le plus dans l’architecture est l’auditabilité : le backtesting comme les insights par lots génèrent une trace révisable par un humain de chaque décision rendue par SAGE et de chaque action qui lui a échappé. Pour l’instant, la question de savoir qui surveille le surveillant reçoit pour réponse une piste de justificatifs plutôt qu’un benchmark publié. Tant qu’un tel benchmark n’existe pas, l’AI-in-the-loop demeure un pari opérationnel plutôt qu’un contrôle quantifié.

Trois questions se dégagent de la session pour les équipes sécurité qui évaluent leur propre niveau de préparation : combien des garde-fous actuellement en production dépendent d’un humain cliquant sur approuver, et qu’advient-il de cette charge de travail lorsque le nombre d’agents augmente ? Un composant de la stack applique-t-il l’intention sémantique, ou repose-t-elle entièrement sur des listes d’autorisation et de blocage ? Et l’équipe peut-elle backtester le comportement des agents au regard d’une nouvelle politique et annuler une session en plusieurs tours sans mettre les systèmes hors ligne ?

Le calendrier de Rishi s’inscrit dans une demande de marché mesurable. La même étude VentureBeat a révélé que 82% des entreprises citent encore les garde-fous intégrés et les contrôles cloud de leur principal fournisseur d’IA comme leur couche principale de sécurité des agents, tandis que 59% prévoient d’adopter, d’ajouter ou de remplacer des outils de sécurité des agents au cours des 12 prochains mois. Seules 12% envisagent un produit d’identité pour agents, alors même que le partage d’identifiants reste la norme.

Chaque CISO présent à cette table ronde d’Anthropic disposait d’un document de politique, mais pas d’un mécanisme d’application. Rubrik a construit un produit pour l’espace entre ces deux réalités. Le mode YOLO représente le pari qu’une IA surveillant d’autres IA peut enfin rendre ces politiques opérationnelles.