insights21 juillet 20268 min

Agents IA dans le navigateur : 5 contrôles d'accès avant la production

Note exécutive TokenShift

Un agent capable de lire une page, de cliquer et de saisir du texte n'est plus un simple assistant. En juillet 2026, Anthropic a documenté un navigateur intégré à Claude Code Desktop qui peut agir sur des sites externes, avec autorisation par site, profil séparé et sessions persistantes (Anthropic, 2026). Pour un COMEX, l'enjeu n'est donc plus seulement la qualité de la réponse: cet agent doit être gouverné comme un utilisateur privilégié.

Gouverner les actes, pas deviner les intentions

Le 6 juillet 2026, Anthropic a présenté son « J-space », un ensemble de représentations internes associé à certaines étapes de raisonnement. Les chercheurs précisent cependant qu'il représente moins d'un dixième de l'activité interne de Claude et que leur méthode n'en donne qu'une approximation (Anthropic, 2026).

C'est une avancée de recherche, pas une preuve d'audit pour chaque clic. Les consignes de sécurité d'Anthropic indiquent par ailleurs qu'un agent de navigateur capte le contenu visible à l'écran et peut être détourné par une instruction cachée dans une page, un courriel ou un document. Les classifieurs et listes d'autorisation réduisent ce risque sans l'annuler (Anthropic, 2026).

La bonne unité de contrôle est donc extérieure au modèle: qui agit, avec quels droits, sur quel objet, après quelle validation, et avec quelle preuve.

On ne met pas un agent en production parce que ses intentions paraissent bonnes. On le fait lorsque ses actions sont bornées, attribuables et révocables.

Le Passeport d'action: cinq contrôles avant la production

Le NIST, dans un document de cadrage de 2026, relie déjà identité de l'agent, authentification, moindre privilège, délégation humaine, audit et injection de prompt. Nous proposons de traduire ces questions en un Passeport d'action d'une page, approuvé par le propriétaire métier, la DSI et le risque.

1. Donner à l'agent une identité propre

L'agent ne doit pas emprunter la session d'un salarié ni utiliser un compte partagé. Il reçoit une identité technique dédiée, liée à un workflow, à un propriétaire métier et à un propriétaire technique. Ses justificatifs ont une durée de vie définie.

Pour les entités financières, le règlement délégué de DORA exige déjà l'identification unique des personnes et des systèmes ainsi qu'un cycle de vie des comptes (EUR-Lex, 2024). Le marqueur observable est simple: chaque action doit être attribuable à un agent, un mandat humain et un workflow.

2. Séparer lire, proposer et exécuter

L'autonomie se décide action par action.

| Niveau | Autorisé | Non autorisé | | --- | --- | --- | | Lire | Consulter une source approuvée | Modifier un enregistrement | | Proposer | Produire un brouillon ou un écart | Envoyer, publier ou valider | | Exécuter | Réaliser une action préautorisée | Étendre ses droits ou contourner une validation |

Un agent peut ainsi rapprocher une facture et un bon de commande, puis proposer une exception. Il ne doit pas pouvoir modifier le compte bancaire du fournisseur ni libérer le paiement dans le même chemin d'exécution.

3. Borner les domaines et les données

Une liste d'autorisation restrictive vaut mieux qu'une liste noire de quelques sites. Le Passeport précise les domaines accessibles, les catégories de données consultables, les transferts permis et la durée de session. Le profil de navigation reste isolé; la conservation des cookies n'est activée que si le workflow la justifie.

Le tableau de bord suit le nombre de domaines autorisés, les tentatives bloquées, les catégories de données exposées et les sorties de périmètre. Un agent ne devrait pas passer du web public à la messagerie puis à l'ERP au cours d'une même mission sans justification explicite.

4. Déclencher l'approbation selon l'impact

La validation humaine doit précéder toute action qui engage l'entreprise: message externe, modification d'une donnée de référence, décision concernant une personne, paiement, engagement contractuel ou publication. Le valideur voit l'action prévue, l'objet concerné, la différence avant/après, les sources utilisées et la possibilité de retour arrière.

Pour les systèmes à haut risque concernés, la Commission européenne rappelle que le déployeur doit surveiller le fonctionnement et confier la supervision à une personne équipée pour l'exercer (Commission européenne, 2026). Les indicateurs utiles sont le délai d'approbation, le taux de rejet, le taux de correction après exécution et le nombre d'escalades.

5. Conserver la preuve et tester la révocation

Un historique de conversation ne prouve pas ce qui s'est produit. Le journal d'action contient l'identité de l'agent, le mandat humain, la version du modèle, les sources lues, les outils appelés, les actes tentés, bloqués et exécutés, la validation, l'état avant/après et le résultat métier.

DORA impose notamment la journalisation des événements d'accès et, pour les systèmes soutenant des fonctions critiques ou importantes, une revue des droits au moins tous les six mois (EUR-Lex, 2024). Pour un agent, la révocation doit aussi être testée après chaque changement majeur. Les marqueurs sont la complétude de la trace, le temps de désactivation et la réussite du retour arrière.

Mini-cas: l'agent fournisseurs d'un assureur

Dans une compagnie d'assurance fictive, l'équipe finance teste un agent chargé d'analyser les factures en anomalie. Un mardi matin, un PDF reçu par courriel contient une instruction dissimulée qui demande d'ouvrir la fiche fournisseur et de remplacer l'IBAN.

Avec la session ouverte d'un comptable, l'agent dispose peut-être du droit technique de le faire. Une validation finale intitulée « tâche terminée » n'apporte aucun contrôle réel.

Avec le Passeport d'action, l'agent possède une identité dédiée. Il peut lire la boîte d'entrée et consulter l'ERP en lecture seule, extraire les écarts et préparer une proposition. La modification d'un tiers et la libération du paiement restent dans deux workflows séparés, avec les validations existantes. Le journal conserve le document source, l'action refusée et la décision humaine.

Le pilote est jugé sur des résultats observables: délai de traitement d'une exception, propositions acceptées sans correction, tentatives bloquées, actions entièrement attribuables, reprises manuelles et temps de révocation. Un débit supérieur ne compense jamais une trace incomplète.

Erreurs à éviter

Le compte emprunté: l'agent agit avec les droits et l'historique d'un salarié.
L'approbation aveugle: le valideur voit un résumé, mais ni l'objet ni la différence avant/après.
La liste noire rassurante: quelques sites sont interdits tandis que tout le reste demeure accessible.
Le journal de conversation: les échanges sont conservés, mais pas les actions réelles dans les systèmes.
Le pilote sans fin: comptes, cookies et permissions persistent après le test.

Décision à prendre dans les 30 jours

Inventoriez les agents, extensions et navigateurs capables de lire ou d'agir dans vos outils.
Choisissez un workflow étroit et nommez ses propriétaires métier, technique et risque.
Émettez son Passeport d'action: identité, matrice de permissions, liste d'autorisation, validations, journal et révocation.
Testez deux scénarios avant production: une injection dans un document non fiable et la désactivation immédiate de l'identité de l'agent.
Autorisez l'extension du périmètre uniquement sur preuves: valeur métier mesurée, droits respectés, validations effectives et trace complète.

Le modèle changera. Le navigateur changera. Le Passeport d'action doit rester le contrat opérationnel. Demandez-le cette semaine pour chaque agent déjà connecté à un système de l'entreprise.

Sources

Continuer la lecture

Voir toutes les analyses