Les agents d'IA réécrivent les règles du mouvement latéral

Les équipes de sécurité ont passé des décennies à se demander si une identité dispose de trop d'accès. Les agents d'IA soulèvent une question plus difficile : comment pouvons-nous déterminer quels chemins un système autonome peut découvrir, compte tenu de l'accès qu'il possède déjà ?

Une personne peut essayer plusieurs moyens pour accomplir une tâche. Une application déterministe suit le flux écrit par son développeur. Mais un agent d'IA est implacable dans sa quête de résultat. En mai 2026, OpenAI a annoncé que l'un de ses modèles avait réfuté une conjecture d'Erdős de 1946 en géométrie discrète, en travaillant largement sur des pistes qu'un mathématicien abandonnerait car trop fastidieuses.

Le même principe s'applique à la cybersécurité. Un agent d'IA peut tester des milliers d'actions, abandonner les routes qui échouent, découvrir des identifiants, changer d'outils et continuer. Cette persistance est en partie ce qui rend les agents utiles, mais elle change aussi notre façon de concevoir le mouvement latéral. Le risque lié aux agents d'IA comporte deux dimensions :

• L'accès définit le rayon d'impact possible
• L'autonomie détermine ce qu'un agent peut faire sans intervention humaine

Chacune de ces dimensions peut poser un risque en soi, mais leur combinaison modifie le modèle de sécurité. Le comportement d'un agent ne peut être prédit de manière fiable, mais l'identité et l'intention rendent l'accès gouvernable.