Les agents IA d’entreprise inondent le web. Ils naviguent, interrogent des API, remplissent des formulaires et exécutent des tâches multi‑étapes au nom des utilisateurs et des organisations.
Le problème est que la plupart des infrastructures web ne peuvent pas les distinguer des bots malveillants, selon Forbes.
Cette distinction devient chaque trimestre plus importante. Les entreprises qui bloquent tout le trafic non humain risquent d’interrompre des workflows légitimes pilotés par l’IA. Celles qui laissent tout passer s’exposent au scraping de données, au bourrage d’identifiants et à la fraude.
L’ampleur du problème
Le trafic de bots empoisonne le web depuis des années. Les défenses traditionnelles, y compris les CAPTCHA, la limitation de débit et les listes de réputation d’adresses IP, ont été conçues pour un modèle de menace spécifique. Ce modèle supposait que des acteurs malveillants exécutaient des scripts pour automatiser des tâches malicieuses.
Les agents IA brisent cette hypothèse. Un agent IA bien conçu se comporte comme un utilisateur humain prudent. Il parcourt les pages dans l’ordre, fait des pauses entre les requêtes et répond de manière dynamique aux invites. Les outils standard de détection de bots le classent comme faible risque.
Dans le même temps, un acteur malveillant peut entraîner un modèle léger à imiter le comportement d’un agent légitime. L’écart entre un agent IA d’entreprise de confiance et un scraper bien camouflé s’est considérablement réduit au cours des 18 derniers mois.
Ce que les entreprises font aujourd’hui
Plusieurs approches gagnent du terrain auprès des équipes de sécurité des entreprises.
Les jetons d’identité d’agent représentent une première méthode. Un agent IA s’authentifie à l’aide d’un justificatif signé de manière cryptographique avant d’accéder à un service. Le service vérifie ce justificatif par rapport à un registre connu d’agents approuvés. Cela reflète la manière dont OAuth gère l’autorisation des applications pour les utilisateurs humains.
L’empreinte comportementale constitue une autre couche. Même si un agent présente des justificatifs valides, les systèmes de sécurité suivent les schémas de session, notamment le rythme des requêtes, la profondeur de navigation et les séquences d’appels API. Les écarts par rapport aux modèles attendus déclenchent des étapes de vérification supplémentaires.
La liste blanche fondée sur la déclaration d’intention est plus expérimentale. Dans ce modèle, les agents déclarent la tâche qu’ils souhaitent accomplir au début d’une session. Le système hôte n’accorde l’accès qu’aux ressources nécessaires à cette tâche déclarée. Tout accès en dehors de ce périmètre est automatiquement signalé.
Aucune approche unique ne s’est imposée comme standard. La plupart des déploiements d’entreprise combinent deux ou trois de ces méthodes.
Le lien avec la crypto
L’essor des agents IA recoupe directement l’écosystème crypto et Web3. Les agents autonomes opérant sur des réseaux blockchain sont de plus en plus courants. Ils exécutent des transactions, gèrent des portefeuilles, votent dans des systèmes de gouvernance et interagissent avec les échanges décentralisés.
Dans ce contexte, la distinction entre bot et agent a des enjeux financiers. Un agent malveillant qui imite un bot de trading légitime pourrait vider un portefeuille ou manipuler un pool de liquidité avant qu’un humain ne consulte le journal de session.
Plusieurs projets blockchain développent des cadres d’identité on‑chain spécifiquement pour les agents IA. L’idée est d’attacher un identifiant décentralisé vérifiable à chaque agent, créant un enregistrement vérifiable de chaque action qu’il effectue à travers les protocoles. Les cadres d’agents basés sur Solana (SOL) comptent parmi les plus actifs dans ce domaine, en partie parce que le débit de transactions de Solana permet des opérations d’agent à haute fréquence à faible coût.
Contexte
Le marché des agents IA a fortement crû depuis fin 2024. Les premiers déploiements étaient principalement des outils à finalité étroite, automatisant des tâches uniques comme le tri des e‑mails ou la planification de calendrier. Début 2026, des agents autonomes multi‑étapes, capables de naviguer sur le web, d’écrire du code et d’exécuter des transactions financières, sont passés des démonstrations de recherche aux produits commerciaux. Ce changement a augmenté le volume de trafic web généré par des agents de plusieurs centaines de pour cent d’une année sur l’autre, selon les rapports d’infrastructure des grands fournisseurs de cloud. Yellow.com a suivi l’intersection entre l’infrastructure IA et les marchés crypto dans sa récente couverture (voir les précédents articles de Yellow), qui a abouti à un accord pour construire des centres de données IA en Amérique du Nord.
À lire aussi : BTC And ETH Fall Overnight As Japan Data Adds Fresh Pressure To Geopolitical Selloff
La suite
La pression réglementaire commence à émerger. L’AI Act de l’UE contient des dispositions sur la prise de décision automatisée qui pourraient, à terme, imposer la divulgation de l’agent au moment de l’accès au web. Aux États‑Unis, aucune norme fédérale équivalente n’existe encore, mais plusieurs propositions au niveau des États en sont aux premières étapes législatives.
Des groupes industriels, dont le World Wide Web Consortium, étudient des normes techniques pour l’authentification des agents. Les progrès sont lents. Parvenir à un consensus entre éditeurs de navigateurs, fournisseurs de logiciels d’entreprise et sociétés de sécurité prend du temps.
Pour l’instant, les entreprises les plus exposées sont celles qui exploitent des API à forte valeur sans couches d’authentification robustes. Les services financiers, les plateformes de santé et les bourses crypto entrent dans cette catégorie. Chacune a des raisons de traiter la question de l’identification des agents comme urgente plutôt que théorique.
La fenêtre pour mettre en place des standards avant que le trafic d’agents ne devienne ingérable se rétrécit. Les chercheurs en sécurité qui étudient les écosystèmes de bots estiment que le trafic généré par des agents pourrait représenter la majorité des requêtes web hors CDN d’ici deux à trois ans si l’adoption se poursuit au rythme actuel.
À lire ensuite : America Runs A Bitcoin Node: What The Government's Move Means For The Network