Maîtriser Vos Agents IA : L'Impératif de la Vérification d'Identité pour les Plateformes LLM (FR)

Pendant deux ans, la conversation sur la sécurité des grands modèles de langage a porté sur ce qu'ils disent. Jailbreaks, refus, garde-fous, "red-teaming" de la sortie. Cette conversation est maintenant obsolète, car les modèles ont cessé d'être des générateurs de texte pour devenir des acteurs. Ils détiennent des identifiants d'API. Ils appellent des outils. Ils déplacent de l'argent.

Dès qu'un modèle peut agir, la question de sécurité intéressante n'est plus « qu'a-t-il dit ? » Elle est : qui est responsable de ce qu'il vient de faire ? Cette question n'est pas soluble avec un filtre de contenu. Elle n'est soluble qu'avec l'identité.

Points Clés à Retenir

• L'agence, pas le langage, est la vulnérabilité. L'OWASP classe l'Agence Excessive dans son Top 10 des applications LLM, et a publié un Top 10 dédié aux Applications Agentiques en décembre 2025.
• La vérification humaine est sous attaque active. Le rapport Entrust 2026 sur la fraude identitaire lie les deepfakes à une tentative de fraude biométrique sur cinq, avec une augmentation de 40 % des attaques par injection d'une année sur l'autre.
• Les régulateurs identifient déjà la lacune. La FCA britannique demande aux banques de se préparer aux vérifications « know your agent » à mesure que les outils d'IA commencent à effectuer des paiements.
• Les échéances sont réelles. Les obligations de transparence de l'Article 50 de l'EU AI Act sont applicables depuis le 2 août 2026, avec des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
• Les normes sont inachevées. Trois projets de l'IETF distincts se disputent pour définir l'autorisation d'agent délégué — et chacun d'eux aboutit à un principal humain qui doit être vérifié par quelque chose.

L'agence excessive est la véritable classe de vulnérabilité

L'entrée Agence Excessive de l'OWASP décrit précisément le problème : un système basé sur un LLM se voit accorder la capacité d'appeler des fonctions ou d'interfacer avec d'autres systèmes, et la décision de quelle fonction invoquer est fréquemment déléguée au modèle lui-même, basée sur des invites d'entrée ou sur sa propre sortie antérieure. Les systèmes d'agents enchaînent ces appels, alimentant chaque résultat dans l'invocation suivante.

La vulnérabilité est ce qui se produit lorsque cette chaîne exécute une action dommageable en réponse à une entrée ambiguë, inattendue ou hostile. Le modèle n'a pas besoin d'être « piraté » au sens classique du terme. Il a seulement besoin d'être persuadé, et il a été conçu pour être persuasible.

C'est suffisamment grave pour que le projet de sécurité GenAI de l'OWASP ait publié un Top 10 distinct pour les applications agentiques en décembre 2025, traitant les systèmes agentiques comme une surface de menace distincte plutôt qu'une note de bas de page à la sécurité des LLM.

Notez ce que l'atténuation de l'agence excessive exige réellement. Chaque contrôle recommandé — permissions minimales nécessaires, approbation humaine ("human-in-the-loop"), accès aux outils limité, journalisation d'audit complète — présuppose que vous savez pour quel principal l'agent agit. Les permissions sont insignifiantes sans une identité à laquelle les rattacher. Vous ne pouvez pas accorder le privilège minimum à un acteur anonyme.

Les données de fraude : la vérification humaine est la cible des attaques

La réponse évidente est de vérifier l'humain au moment de l'autorisation. Les attaquants le savent, c'est pourquoi l'étape de vérification elle-même est désormais la cible.

Le Rapport Entrust 2026 sur la fraude identitaire a révélé que les deepfakes étaient liés à une tentative de fraude biométrique sur cinq, avec une augmentation de 40 % d'une année sur l'autre des attaques par injection — l'insertion directe de vidéos synthétiques dans le flux de vérification, contournant entièrement la caméra.

Le Rapport sur la fraude identitaire 2025-2026 de Sumsub, basé sur plus de quatre millions de tentatives de fraude, indique que si le taux global de fraude se stabilise, les attaques sophistiquées de haute qualité ont augmenté de 180 % entre 2024 et 2025. Le schéma est un passage du volume à la précision : moins de tentatives, chacune beaucoup plus difficile à détecter.

L'implication stratégique est inconfortable. L'IA générative rend simultanément (a) les agents capables d'actions importantes, et (b) les vérifications d'identité les moins chères — un selfie, une photo de document, un OTP — peu fiables. Une vérification faible et une agence autonome sont une mauvaise combinaison, et elles arrivent ensemble.

C'est pourquoi la détection de la vivacité passive et des attaques par injection cesse d'être un "nice-to-have" dès qu'un agent peut dépenser de l'argent au nom d'un utilisateur. L'étape de vérification est désormais une infrastructure antagoniste, et non un simple champ de formulaire.

Les régulateurs ont devancé les normes

En juin 2026, des hauts fonctionnaires de la Financial Conduct Authority (FCA) du Royaume-Uni ont déclaré à The Banker que les banques devraient commencer à se préparer à une nouvelle ère de vérifications « know your agent ». Leur raisonnement est que le commerce agentique — l'IA qui fait des achats, des transactions et gère des comptes pour les utilisateurs — force les banques à repenser la manière dont elles établissent qui se trouve à l'autre bout d'une transaction.

Ce cadre s'est rapidement répandu. Les commentaires de l'industrie dans American Banker soulignent le même point du côté de la conformité : il y a une nouvelle entité accédant aux systèmes bancaires, vérifiant les soldes et transférant des fonds, et ce n'est pas une personne.

Pendant ce temps, les dates de conformité strictes sont déjà en vigueur. À partir du 2 août 2026, les obligations de transparence de l'article 50 de l'EU AI Act s'appliquent aux fournisseurs et aux déployeurs de certains systèmes d'IA, les lignes directrices de la Commission européenne ayant été adoptées le 20 juillet 2026. Le non-respect peut entraîner des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, et le règlement s'applique à tout fournisseur mettant l'IA sur le marché de l'UE ou dont les résultats y sont utilisés (Cooley).

Ajoutez les obligations déjà existantes — la diligence raisonnable des clients de l'AMLD6, MiCA pour les services de crypto-actifs, la résilience opérationnelle DORA pour les entités financières, le GDPR pour les données d'identité elles-mêmes — et une entreprise réglementée déployant des agents n'attend pas un futur recueil de règles. Elle est déjà soumise à quatre d'entre eux.

La lacune des normes, et pourquoi elle atterrit toujours sur un humain vérifié

La couche protocolaire est visiblement instable. Il existe au moins trois projets IETF actifs qui abordent l'autorisation d'agent délégué sous différents angles :

Projet	Approche
Profil d'autorisation d'agent (AAP) pour OAuth 2.0	Étend OAuth 2.0 et JWT avec des "claims" structurés afin que les systèmes puissent raisonner sur l'identité de l'agent, le contexte de la tâche et les contraintes opérationnelles.
Profil OAuth pour l'autorisation d'agent IA délégué	Définit les types d'octroi pour la délégation à un agent agissant au nom d'un utilisateur.
En-tête de délégation d'agent	Transporte une chaîne de liens de délégation atténués à travers les domaines administratifs ; chaque lien réduit la portée et raccourcit l'expiration, et un vérificateur vérifie chaque lien.

Ces projets sont en désaccord sur le mécanisme. Ils sont d'accord sur la forme : une chaîne de délégation, où chaque maillon est plus étroit que son parent, et la chaîne n'est digne de confiance qu'autant que sa racine.

Cette racine est un humain. Une chaîne de délégation atténuée prouve qu'un agent a reçu une portée de la part de quelqu'un — elle ne dit rien sur la question de savoir si ce quelqu'un est réel, sanctionné, majeur ou la même personne qui a ouvert le compte. La cryptographie peut prouver que la délégation a eu lieu. Elle ne peut pas prouver que le délégateur existe. C'est un problème de vérification d'identité, et aucun profil OAuth ne le résoudra.

À quoi cela ressemble architecturalement

Le modèle pratique séparant les deux préoccupations :

1. Vérifier l'humain une fois, correctement. Vérification de documents, vivacité passive et correspondance faciale à l'intégration, avec détection des attaques par injection — car c'est l'étape que les attaquants ciblent.
2. Lier l'identifiant de l'agent à cette identité vérifiée. Le jeton de l'agent référence un principal vérifié plutôt qu'un simple ID de compte, de sorte que la portée peut être raisonnée.
3. Filtrer le principal en continu, pas une seule fois. Le statut des sanctions et des PEP change après l'intégration. Un agent autorisé en janvier peut agir pour une personne sanctionnée en juin.
4. Re-vérifier sur la base du risque, pas selon un calendrier. Passer à l'authentification biométrique lorsque l'agent dépasse un seuil de valeur ou modifie son comportement, plutôt que de relancer un KYC complet selon un calendrier.
5. Journaliser toute la chaîne. Identité humaine, identifiant de l'agent, action et décision — car l'article 50 et l'AMLD6 vous demandent tous deux de reconstituer qui a autorisé quoi.

Le point de conception important est que les étapes 1 et 3 sont des infrastructures d'identité ordinaires. Le travail véritablement nouveau est l'étape 2 — et il n'est réalisable que si l'étape 1 a produit quelque chose qui vaille la peine d'être lié.

Comment Didit s'intègre

Didit est une infrastructure pour l'identité et la fraude : une seule API couvrant le cycle de vie Authentifier → Vérifier → Surveiller, avec une tarification publique au paiement à l'usage et sans minimums.

Pour l'étape de vérification de l'humain, la Vérification d'utilisateur (KYC) couvre la vérification d'identité à 0,15 $, la vivacité passive à 0,10 $, la correspondance faciale 1:1 à 0,05 $ et l'analyse IP à 0,03 $ — ou le bundle KYC complet à 0,33 $, avec 500 vérifications gratuites par mois sur les fonctionnalités de base. L'estimation de l'âge (0,10 $) est importante pour les produits d'IA grand public soumis aux règles d'assurance de l'âge, et le KYC réutilisable est gratuit, de sorte qu'un utilisateur vérifié une fois n'est pas revérifié par chaque agent qu'il autorise.

Pour l'étape de risque continu, le filtrage AML coûte 0,20 $ par vérification sur plus de 1 300 listes, avec une surveillance continue à 0,07 $ par utilisateur par an. La surveillance des transactions est de 0,02 $ par transaction avec un moteur de règles fiat et crypto, ainsi qu'une gestion des cas et un flux de travail SAR ; le filtrage de portefeuille / KYT y est intégré à 0,15 $ par vérification. La vérification d'entreprise (KYB) commence à 2,00 $ par entreprise avec extraction des UBO, pour les agents agissant au nom d'entreprises plutôt que de consommateurs.

Pour le câblage, le serveur MCP, l'orchestrateur de flux de travail et les SDK sont gratuits — ce qui signifie qu'un cadre d'agent peut appeler la vérification comme un outil sans négociation de licence séparée.

En dessous : plus de 220 pays, plus de 14 000 types de documents, plus de 1 000 sources de données, plus de 200 signaux de fraude, inférence en moins de 2 secondes et une intégration en 5 minutes. Certifications SOC 2 Type 1 et Type 2 (Type 2 délivré le 30 juillet 2026), ISO/IEC 27001 et iBeta Level 1 PAD pour les revendications de vivacité. La vérification de Didit est officiellement attestée par un gouvernement d'un État membre de l'UE — le Tesoro, la Banco de España et le SEPBLAC espagnols — comme étant plus sûre que la vérification en personne. Plus de 2 000 entreprises l'utilisent en production.

Le résumé honnête

La vérification d'identité ne devient pas obligatoire pour les LLM en raison d'une seule réglementation. Elle le devient en raison d'une convergence : les modèles ont acquis la capacité d'agir, les vérifications d'identité bon marché sont devenues falsifiables au même moment, les régulateurs ont commencé à demander qui avait autorisé l'action, et les normes de délégation en cours de rédaction pour répondre à cette question aboutissent toutes à un humain dont l'existence doit être prouvée par quelqu'un.

La sécurité du contenu était le problème de 2024. La responsabilité est celui de 2026, et la responsabilité s'écrit identité.

FAQ

Que signifie réellement « connaître son agent » ?

C'est l'extension de la diligence raisonnable du client aux logiciels autonomes agissant pour un client. En pratique, cela signifie établir quel humain ou quelle entreprise vérifiée a autorisé un agent donné, quelle est sa portée, et tenir un registre vérifiable — plutôt que de traiter l'agent comme un client API anonyme. Les responsables de la FCA britannique ont publiquement exhorté les banques à se préparer précisément à ces vérifications.

Pourquoi OAuth ne suffit-il pas pour l'authentification des agents IA ?

OAuth et les projets d'autorisation d'agent qui l'étendent peuvent prouver que la portée a été déléguée le long d'une chaîne, et peuvent restreindre cette portée à chaque maillon. Ce qu'ils ne peuvent pas faire, c'est établir que la personne à la racine de la chaîne est réelle, majeure et non sanctionnée. La délégation et l'identité sont des problèmes différents ; l'autorisation d'agent suppose un principal vérifié plutôt que d'en produire un.

Comment les deepfakes modifient-ils la vérification d'identité pour les produits d'IA ?

Ils déplacent l'attaque du document vers la chaîne de vérification elle-même. Le rapport 2026 d'Entrust lie les deepfakes à une tentative de fraude biométrique sur cinq et enregistre une augmentation de 40 % d'une année sur l'autre des attaques par injection, où une vidéo synthétique est directement insérée dans le flux plutôt que montrée à une caméra. La vivacité passive avec détection d'injection, plutôt qu'une comparaison de selfie, est le contrôle pertinent.

Quelles sont les échéances concrètes de conformité ?

Les obligations de transparence de l'article 50 de l'EU AI Act sont applicables depuis le 2 août 2026, avec les lignes directrices de la Commission adoptées le 20 juillet 2026 et des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Les entreprises du secteur financier devraient lire cela en parallèle des obligations existantes de l'AMLD6, MiCA et DORA, qui exigent toutes déjà une identification fiable des clients.

Un agent a-t-il besoin de sa propre identité vérifiée, ou la vérification de l'humain est-elle suffisante ?

Les deux, pour des raisons différentes. L'humain établit la responsabilité et satisfait aux obligations de diligence raisonnable. L'identifiant de l'agent établit la portée — quelles actions cet agent particulier peut entreprendre, et pour combien de temps. Ne vérifier que l'humain vous rend incapable de restreindre ou de révoquer un agent individuel ; émettre des identifiants d'agent sans un humain vérifié vous rend incapable de dire qui est responsable.