Diagnostic de sécurité d'agent IA : votre score de risque en 20 questions

Mode d'emploi

Répondez aux vingt questions pour l'agent que vous utilisez, qu'il s'agisse d'un assistant personnel, d'un agent de code, d'un workflow d'automatisation ou d'un agent qui pilote le navigateur. Le score se calcule à chaque réponse, sans rien envoyer : vos réponses restent dans votre navigateur et disparaissent quand vous fermez la page.

• Oui : la protection est en place et vous l'avez vérifiée.
• Non ou Je ne sais pas : les deux comptent comme un risque. Ne pas savoir si l'agent peut lancer une commande sans demander, c'est déjà une faille.
• Non concerné : proposé seulement quand la question peut ne pas s'appliquer (pas de messagerie, pas de serveur MCP, pas d'interface exposée…). Il ne compte pas.

Le résultat donne un score de risque sur 100 (0 = toutes les protections en place), un niveau, et la liste des corrections à faire, de la plus importante à la moins importante, avec un lien vers le guide ou la définition utile quand ils existent sur le site.

La méthode : 20 protections pondérées

Chaque question vaut un nombre de points ; le total fait 100. Le score additionne les points des protections absentes ou inconnues. Les poids sont un choix éditorial : plus une mesure évite des dégâts graves et irréversibles, plus elle pèse. Les six plus lourdes :

• 8 — Faites tourner l'agent dans un conteneur, une machine virtuelle ou un compte système dédié, sans accès à votre session principale.
• 8 — Activez la validation des commandes ; n'autorisez d'office que les commandes en lecture seule.
• 7 — Limitez l'agent à un dossier de travail ; jamais votre dossier personnel entier, vos clés SSH ou vos sauvegardes.
• 7 — N'exposez pas le tableau de bord de l'agent sur Internet : écoute sur localhost, accès par VPN ou tunnel authentifié.
• 7 — Exigez une confirmation humaine pour tout ce qui ne se rattrape pas : suppression, envoi, paiement, publication.
• 7 — Traitez tout contenu lu comme une donnée, jamais comme un ordre : consigne explicite, séparation des outils de lecture et d'action, validation avant toute action déclenchée par un contenu externe.

Le niveau suit trois paliers : 0 à 20, risque faible ; 21 à 50, risque modéré ; au-delà de 50, risque élevé. Les questions couvrent cinq familles : l'isolation (bac à sable, dossiers, réseau, exposition), les actions (validation par un humain dans la boucle, injection de prompt, messagerie), les secrets et données (moindre privilège, clés dédiées, modèle local), les extensions (serveurs MCP, skills) et la surveillance (journaux, mises à jour, sauvegardes, arrêt d'urgence).

Pourquoi ces protections

Un agent IA n'est pas un simple chatbot : il agit. Il lit des fichiers, lance des commandes, envoie des messages, appelle des services avec vos clés. Le risque principal ne vient pas d'une IA malveillante mais de deux causes très banales : une erreur d'interprétation (l'agent supprime le mauvais dossier) et une instruction cachée dans un contenu qu'il lit (une page web, un e-mail ou un document qui lui demande d'envoyer vos fichiers ailleurs). La seconde, l'injection de prompt, n'a pas de parade complète aujourd'hui : c'est pourquoi la plupart des questions portent sur la limitation des dégâts plutôt que sur la prévention.

Le danger maximal apparaît quand trois conditions se cumulent : l'agent a accès à des données privées, il lit des contenus externes, et il peut communiquer vers l'extérieur. Supprimer une seule des trois coupe la chaîne de l'exfiltration de données. Les questions sur le réseau sortant, la messagerie et les dossiers servent à cela. Elles recoupent les risques décrits par le OWASP Top 10 for LLM Applications 2025 : injection de prompt, divulgation d'informations sensibles, chaîne d'approvisionnement, autonomie excessive et consommation non bornée.

Les extensions forment la chaîne d'approvisionnement de l'agent : un serveur MCP ou un skill installé sans relecture peut contenir des instructions ou du code qui s'exécutent avec vos droits. Le guide Choisir un serveur MCP explique comment trier. Pour une mise en place pas à pas, voyez Sécuriser un agent.

Les limites du diagnostic

• C'est une auto-évaluation. Le score vaut ce que valent vos réponses ; il ne remplace pas un audit de sécurité ni un test d'intrusion.
• Les poids sont des choix. Un agent qui ne touche qu'à un dossier de brouillons n'a pas les mêmes enjeux qu'un agent qui paie des factures : adaptez votre lecture à ce qu'il peut casser.
• Un score bas n'est pas une garantie. Aucune combinaison de réglages ne rend un agent invulnérable à l'injection de prompt ; elle en réduit les conséquences.
• Refaites-le. Après chaque nouvelle extension, nouvel accès ou changement de modèle, le profil de risque change. Méthode revue le 25 octobre 2026.