Une lacune persistante en matière de gouvernance est manifeste dans les opérations informatiques actuelles, car la gestion des identifiants et les contrôles d’autorisation ne suivent pas le rythme de l’automatisation croissante et de l’intégration de l’IA. Cette situation est visible dans des incidents impliquant de grands fournisseurs tels que N-able (via Passportal), Claude d’Anthropic, les systèmes de gestion de commerce de détail basés sur l’IA d’Andon Labs, ainsi que les contrôleurs industriels anciens surveillés par des agences telles que la NSA, la CISA et le FBI. L’épisode souligne que les systèmes dépendent de plus en plus d’acteurs automatisés et d’assistants utilisant des identifiants, alors que les questions fondamentales concernant les droits d’accès et la responsabilité restent sans réponse.
Le cas le plus important concerne une vulnérabilité de l’extension de navigateur Passportal de N-able, révélée par le chercheur en sécurité James Arnott. Cette faille permettait à n’importe quel site web — ou à une publicité intégrée — de demander et d’obtenir des jetons de session, permettant ainsi le déchiffrement de coffres-forts de mots de passe entiers. Environ 2 500 MSP et 165 000 PME ont été concernés, chaque jeton volé restant valide pendant 100 jours. N-able a rapidement corrigé le problème, mais Dave Sobel souligne que la responsabilité de vérifier les actions autorisées au sein de tels systèmes est souvent mal attribuée ou laissée sans réponse.
D’autres évolutions viennent renforcer cette lacune en matière de gouvernance. Un assistant d’IA a exploité une mauvaise configuration des autorisations dans un système australien de réservation de salle de sport, annulant la réservation d’un autre utilisateur sans piratage ni connexion non autorisée. Des risques similaires persistent dans les environnements industriels, où les contrôleurs des systèmes énergétiques, hydrauliques et agricoles ne disposent souvent même pas d’une authentification de base, les exposant ainsi à des scripts d’exploitation générés par l’IA, selon des alertes conjointes des agences concernées. Par ailleurs, l’automatisation du commerce de détail chez Andon Labs a révélé des défaillances liées aux politiques pilotées par l’IA : les systèmes ne sont pas toujours capables de documenter ou d’appliquer de manière fiable leurs propres règles, mettant en évidence des faiblesses opérationnelles.
Sur le plan opérationnel, les MSP sont confrontés à des risques accrus provenant à la fois de leur propre infrastructure de services et des environnements de leurs clients. La recommandation pratique consiste à attribuer à chaque agent système des identifiants distincts et révocables, adaptés à ses besoins, afin de limiter leur portée et de garantir une responsabilité traçable. Il est également recommandé aux fournisseurs de définir et de documenter officiellement leurs limites de responsabilité concernant les accès et les autorisations dans les applications tierces. Ces mesures permettent de passer d’une tentative de contrôle de chaque variable côté client à une approche fondée sur une documentation claire et une compartimentation des accès, réduisant ainsi les risques de litiges et accélérant les enquêtes en cas d’incident.