Sécuriser les agents IA devient un marché à part entière

CYBERSÉCURITÉ · ENTREPRISES — Analyse au 24 septembre 2026

Une offre spécialisée autour des échanges avec l’IA

La documentation actuelle de Cloudflare présente AI Security for Apps, anciennement Firewall for AI, comme une composante de son pare-feu applicatif. Microsoft documente Prompt Shields pour repérer des attaques dans les requêtes et les documents. Palo Alto Networks propose Prisma AIRS AI Runtime Security pour surveiller et protéger les interactions pendant l’exécution. Ces offres confirment la constitution d’un segment spécialisé ; elles ne fournissent pas, à elles seules, une mesure indépendante de sa taille ou de son efficacité.

Le besoin vient d’une différence avec un logiciel classique : des contenus ordinaires, tels qu’un document ou un message, peuvent influencer les décisions d’un agent. La protection doit donc examiner des échanges dont la signification dépend du contexte. Le même texte peut être une information à citer ou une consigne à ne pas suivre. Cette ambiguïté explique pourquoi le contrôle de l’IA ne se réduit pas à bloquer une liste de mots suspects.

Trois approches, des périmètres à comparer

Cloudflare décrit une inspection des requêtes et des signaux tels que les tentatives d’injection et la présence d’informations personnelles. Son intégration au pare-feu permet d’appliquer des règles au trafic concerné. Il faut néanmoins vérifier que les échanges à protéger passent bien par le dispositif. Une protection placée à l’entrée d’une application ne voit pas nécessairement toutes les opérations internes, les fichiers locaux ou les appels effectués ailleurs.

Prompt Shields, chez Microsoft, vise notamment les tentatives de détournement dans les messages utilisateurs et les documents transmis au modèle. Ce contrôle peut constituer une étape d’une chaîne de protection. Il ne remplace pas les permissions du compte qui exécute l’action. Identifier un texte hostile et empêcher une opération interdite sont deux fonctions distinctes ; elles peuvent se compléter, mais ne doivent pas être présentées comme interchangeables.

Palo Alto Networks met en avant l’inspection des requêtes, des réponses et des flux entre applications, modèles et systèmes externes. L’intérêt annoncé est une visibilité pendant le fonctionnement. Une entreprise doit demander comment cette inspection est déployée, quels contenus sont conservés et quelles actions peuvent être bloquées. Les descriptions des vendeurs documentent leurs offres ; elles ne permettent pas de déclarer un vainqueur sans protocole comparatif indépendant.

Le pare-feu ne détient pas toutes les permissions

Un filtre peut repérer certains signaux sans comprendre toute la logique d’un processus métier. Prenons un cas fictif : un agent prépare une remise commerciale. Un message ne contient aucun contenu manifestement malveillant, mais la remise dépasse le plafond autorisé. Le contrôle pertinent se situe dans la règle métier et dans le logiciel qui valide le montant. La sécurité exige donc plusieurs couches, dont certaines restent entièrement déterministes.

Les travaux de recherche sur les injections indirectes soulignent justement les limites des défenses isolées et des évaluations trop étroites. Un bon résultat sur un jeu de tests ne démontre pas une résistance à toutes les situations réelles. Il faut aussi regarder les faux positifs : un système qui bloque trop souvent des opérations légitimes peut pousser les équipes à contourner le dispositif ou à le désactiver. La fiabilité comprend la protection et l’utilité.

Pour les directions informatiques, la première dépense utile peut être l’inventaire. Quels modèles sont utilisés ? Par quelles applications ? Avec quelles données et quels outils ? Sans cette cartographie, acheter une nouvelle protection risque de sécuriser seulement la partie visible du système. Les comptes individuels, les connecteurs oubliés et les expérimentations non documentées peuvent conserver des accès plus larges que les applications officiellement surveillées.

CE QUE CELA CHANGE

Dans les six à vingt-quatre prochains mois, notre analyse est que les achats devront se déplacer vers des preuves opérationnelles. Un fournisseur devrait pouvoir montrer comment son produit réagit à des scénarios représentatifs du client : document hostile, destinataire inhabituel, tentative d’accès hors périmètre ou action dépassant une limite. Le résultat doit être observable et compréhensible par l’équipe chargée de répondre à l’incident.

Le coût complet comprend la mise en place, la latence ajoutée, les alertes à traiter et la maintenance des règles. La conservation des journaux pose également une question de confidentialité : centraliser des échanges sensibles pour les sécuriser crée un nouveau point d’attention. Il faut déterminer les données nécessaires au diagnostic, leur durée de conservation et les personnes habilitées à les consulter. La surveillance ne doit pas devenir une collecte sans limite.

Aucun montant de marché n’est avancé ici : les sources consultées décrivent des produits et des mécanismes, pas un périmètre statistique comparable. Il serait trompeur d’additionner des estimations couvrant tour à tour la sécurité du cloud, des modèles et des agents. Le fait observable est plus simple : plusieurs fournisseurs structurent des offres dédiées, et les entreprises doivent apprendre à les évaluer sans confondre extension commerciale et garantie de sécurité.

ET L’AFRIQUE ?

Les entreprises africaines peuvent tirer parti de cette spécialisation, à condition d’adapter les dispositifs à leurs budgets et à leurs usages. Une petite équipe n’a pas besoin de reproduire toute l’architecture d’un grand groupe. Elle doit d’abord connaître ses accès, limiter les opérations sensibles et disposer d’une procédure de reprise. Les services achetés devraient répondre aux risques effectivement identifiés.

Un marché local peut se développer autour de l’intégration, de l’audit et de la formation. Sa valeur sera de rendre les protections compréhensibles et maintenables, plutôt que d’ajouter une couche de jargon. La confiance dans les agents dépendra d’un ensemble cohérent : données maîtrisées, permissions adaptées, surveillance utile et personnes capables d’intervenir. Aucun produit ne peut assumer seul toutes ces fonctions.

À RETENIR

• Les offres spécialisées existent, mais leurs périmètres diffèrent.

• Détecter une consigne hostile ne remplace pas le contrôle des actions.

• L’évaluation doit mesurer protection, erreurs de blocage et coût d’exploitation.

SOURCES & DOCUMENTATION

1. Cloudflare — AI Security for Apps, documentation consultée le 24 septembre 2026.

2. Microsoft Learn — Prompt Shields, documentation consultée le 24 septembre 2026.

3. Palo Alto Networks — Prisma AIRS AI Runtime Security, présentation consultée le 24 septembre 2026.

4. Wang et al. — The Landscape of Prompt Injection Threats in LLM Agents, 11 février 2026, prépublication de recherche.

5. Anthropic — Mitigating the risk of prompt injections in browser use, 24 novembre 2025.

Amina ELTMALI
Journaliste freelance spécialisée Tech & IA
MIND AI MEDIA