Lors d’une table ronde des RSSI organisée par le responsable de la sécurité de l’information d’Anthropic, Dev Rishi a posé une question simple : toutes les personnes présentes dans la salle avaient-elles écrit leurs politiques de gouvernance et de sécurité de l’IA ? Chaque main s’est levée – environ 14 personnes, selon son décompte. Son suivi, sur la manière dont chacun applique réellement ces politiques dans la pratique, a reçu une réponse différente. «Et tout le monde a ri», a rappelé Rishi, directeur général de l’IA chez Rubrik, lors de la discussion au coin du feu de VB Transform 2026 à Menlo Park. «C’était comme le sale secret dans la salle que tout le monde avait ces politiques, mais aucun moyen de les concrétiser.»
«Notre fondateur et CTO a en fait fait de gros efforts pour permettre à nos agents d’utiliser le mode YOLO», a déclaré Rishi au public. Cet aveu vient d’une société de sécurité des données cotée en bourse dont l’activité consiste à sauvegarder ce qu’il appelle les données les plus importantes au monde.
Le mode YOLO supprime l’invite d’autorisation des flux de travail de l’agent et permet à l’agent d’agir seul. Dans la version de Rubrik, une deuxième IA juge chaque action en temps réel par rapport à la politique au lieu d’un clic humain pour approuver. Rubrik mène d’abord l’expérience sur lui-même. Rishi traite l’autonomie comme une question de capacité réglée et une question de jugement ouverte. «Si vous demandez à l’agent d’agir de manière autonome, il le fera», a-t-il déclaré. «C’est une question que vous vous posez en interne. Est-ce que ça devrait être le cas ?»
Rubrik a mérité cette question à ses dépens. Lorsque les projets pilotes Claude Code et Cowork ont été déployés, l’entreprise exigeait que chaque commande s’exécute en mode demande, de sorte que l’employé qui l’émettait en portait la responsabilité, et le refoulement du développeur remplissait un seul fil de discussion Slack d’une profondeur de 120 messages.
«En gros, les développeurs repoussent, et ils disent que c’est comme le contrat de service iTunes. Je clique simplement sur vérifier, vérifier, vérifier, vérifier, vérifier, vérifier, vérifier», a déclaré Rishi. «Il n’y a aucun moyen que je puisse réellement lire cela. Et cela devient un théâtre de sécurité.» Environ 80 % des personnes interrogées sont dans la même situation, a déclaré Rishi, citant une étude de Rubrik Zero Labs selon laquelle la surveillance et l’approbation des actions des agents prennent plus de temps que les agents n’en gagnent. L’état de l’agent, le rapport d’avril à l’origine de ce chiffre, a interrogé plus de 1 600 responsables informatiques et de la sécurité.
SAGE est la raison pour laquelle Rubrik fait confiance au pari. Abréviation de Semantic AI Governance Engine, SAGE est la couche d’arbitrage au sein de Rubrik Agent Cloud qui surveille chaque action entreprise par un agent et lit l’intention sémantique qui la sous-tend, puis décide de l’entrée ou de la sortie de l’action par rapport aux politiques écrites en langage naturel. «Nous avons pris en compte ce que les gens disaient être humain, une bonne idée, et nous l’avons remplacé par l’IA dans la boucle», a déclaré Rishi, décrivant le discours adressé aux chefs de la sécurité qu’il a qualifié de nerveux à l’égard des systèmes non déterministes.
L’approbation de sécurité, et non le coût, bloque le retour sur investissement de l’IA
Le chemin de Rishi vers Rubrik est passé par Predibase, la startup d’infrastructure d’IA générative qu’il a cofondée et dirigée en tant que PDG jusqu’à ce que Rubrik accepte de l’acquérir en juin 2025. Avant cela, il a dirigé le produit ML chez Google dans l’équipe qui est devenue Vertex AI, a été le premier chef de produit de Kaggle alors qu’elle est passée d’environ un million à dix millions d’utilisateurs, et est titulaire d’un baccalauréat et d’une maîtrise en informatique de Harvard.
Au cours de ses trois premiers mois et demi chez Rubrik, Rishi a organisé 200 conversations avec des responsables informatiques et de sécurité au sein d’une clientèle qui ressemble au Global 2000, posant des questions ouvertes sur le coût, la latence, les performances et l’orchestration. «Assez régulièrement, ce que j’ai entendu à travers toutes ces conversations, c’est que tout cela est assez secondaire», a-t-il déclaré. «Le principal défi est en fait de savoir comment faire approuver cela du point de vue de la sécurité et des risques ? Je m’inquiète de toutes les différentes choses qui pourraient mal se passer. En fait, j’avais l’impression que c’était l’une des principales choses qui limitaient le retour sur investissement.»
Les recherches de VentureBeat Pulse présentées sur la scène Transform plus tôt dans la journée confirment l’écart que Rishi n’arrêtait pas d’entendre. Les deux tiers des entreprises, soit 66 %, autorisent déjà ou préparent activement un déploiement en production sans aucun examen humain, mais seulement 5 % font pleinement confiance aux évaluations automatisées qui prendraient cette décision.
Une IA qui lit ce que les règles ne peuvent pas lire
Les propres politiques de Rubrik ont révélé pourquoi les règles écrites ne parviennent pas à être appliquées. Une règle interne stipule que les agents doivent respecter la politique d’utilisation des données clients de Rubrik, qui semble applicable jusqu’à ce que quelqu’un essaie. «La politique d’utilisation des données clients de Rubrik est comme un document juridique de trois pages», a déclaré Rishi. «Je ne sais pas du tout comment écrire ça là-dedans, en règle générale.» Lorsqu’on lui a demandé sur scène comment une équipe de personnes chargées de l’infrastructure de l’IA s’est attaquée à un problème propre aux ingénieurs en sécurité, Rishi a répondu : « avec beaucoup de naïveté et d’innocence, honnêtement ». Son équipe a parié que les modèles capables de comprendre le langage pourraient contrôler d’autres modèles, et SAGE est devenu la réponse.
L’argument en faveur du placement d’un modèle devant le tribunal se résume à une question de précision. Une règle telle que « les agents ne devraient pas pouvoir modifier les champs de revenus dans Salesforce » échoue dans les outils conventionnels, car Salesforce ne délimite pas les champs qui comptent comme revenus, a expliqué Rishi, de sorte que les administrateurs se contentent d’approuver chaque action Salesforce à la main. SAGE lit l’intention à la place et agit en tant que juge, en tenant compte du contexte organisationnel, qui peut distinguer une recherche inoffensive de la modification interdite par la politique.
C’est en gardant un petit juge que l’économie fonctionne. SAGE fonctionne sur un petit modèle de langage qui, selon Rishi, fonctionne à un coût et une latence bien inférieurs à ceux d’un LLM frontière. «Si je vous disais, ne vous inquiétez pas, vous serez en sécurité et gouverné, mais je vais doubler votre coût et votre latence, vous me diriez de sortir de la pièce», a déclaré Rishi.
Lorsque Rishi a demandé qui parmi le public s’était inquiété de la consommation symbolique au cours de l’année écoulée, la moitié des mains s’est levée. «Et je suppose que l’autre moitié est probablement trop paresseuse pour lever la main», a-t-il déclaré.
SAGE est une agrégation de juges basée sur un réglage fin efficace des paramètres que Rubrik utilise pour adopter des variantes spécifiques à une tâche d’un modèle de base avec un contexte organisationnel partagé. Un juge surveille les hallucinations liées à l’utilisation d’outils tandis qu’un autre supprime les informations personnelles avant qu’elles ne puissent partir, chacun fonctionnant selon sa propre politique exécutoire. Les équipes de sécurité et GRC ont commencé à écrire des règles financières dans la même couche, y compris une politique interne interdisant les dépenses d’IA sur des projets personnels.
Le tiercé fatal
Lorsqu’on lui a demandé quelles attaques l’inquiétaient le plus, Rishi a souligné le tiercé trio mortel, le terme que le chercheur en sécurité Simon Willison a inventé en juin 2025 pour désigner un agent qui détient des données privées tout en récupérant du contenu que personne n’a vérifié, avec un canal pour envoyer ce qu’il trouve au monde extérieur. Le danger, selon Rishi, réside dans ce qui se produit lorsque les autorisations légitimes individuelles s’empilent. Un agent ayant obtenu l’accès à Salesforce et à la messagerie électronique sur les informations d’identification d’un employé n’a encore rien fait de mal, avec encore étant le mot clé. «Un exemple très simple est qu’un agent peut commencer à extraire des données de Salesforce, puis décider de les divulguer et de les exfiltrer accidentellement via un e-mail», a-t-il déclaré au public. Une société de services financiers qu’il a rencontrée le matin de la séance lui a fait comprendre qu’aucune des autorisations individuelles n’est mauvaise en soi et que l’agent a besoin de chacune d’entre elles pour faire son travail. «Il devrait avoir une autorisation pour chacun de ces systèmes, mais c’est la combinaison qui finit par devenir vraiment destructrice», a déclaré Rishi.
La gestion traditionnelle des identités et des accès n’a jamais pris en compte cette combinaison car elle reposait sur le jugement de l’employé détenant les informations d’identification, a expliqué Rishi, et les agents n’en fournissent aucun. «Je peux vous dire que le nombre de fois où Claude Code a tenté de divulguer une partie de notre code source sensible vers un référentiel GitHub public est incroyablement élevé», a-t-il déclaré. Couper complètement les agents des ressources publiques irait à l’encontre de leur objectif, ce qui ramènerait le problème à statuer sur l’intention dans son contexte plutôt qu’à révoquer l’accès.
Une enquête distincte de VentureBeat June Pulse auprès de 107 entreprises interrogées qualifiées cartographie exactement le rayon d’explosion de ce modèle. Ce matin-là, sur la scène Transform, l’étude VentureBeat a rapporté que 69 % des entreprises appliquent le partage d’informations d’identification quelque part dans leur flotte d’agents. Les entreprises partageant des informations d’identification n’importe où ont été touchées plus souvent, signalant un incident de sécurité ou un quasi-accident à un taux de 63,5 % (47 sur 74), contre 40,9 % (9 sur 22) où chaque agent porte sa propre identité.
Les attaques qu’aucun tour ne révèle
Rubrik Agent Cloud a atteint la disponibilité générale en février, même si tout ce que Rishi a décrit n’y est pas encore livré. Le backtesting commence tout juste à se déployer. La fonctionnalité rejoue les actions historiques des agents et les appels aux outils d’une organisation contre une nouvelle politique, montrant où la politique serait intervenue et où une action serait passée sans être interceptée, avec des modifications de politique appliquées en temps réel. Rishi a qualifié ces archives de l’une des réserves de données les plus précieuses qu’une entreprise possède.
La détection et le blocage en temps réel s’avèrent être le point d’entrée plutôt que l’ensemble du produit. Certaines attaques ne déclenchent jamais une règle à action unique. «Aucune tournure individuelle de la conversation n’a posé de problème, mais si vous considérez la session comme une trace complète, cela a fini par être problématique», a déclaré Rishi. Agent Cloud exécute une analyse par lots sur des traces de sessions entières toutes les heures ou tous les jours et fait apparaître ce que Rubrik appelle des informations, les problèmes qu’aucun garde-fou individuel n’a détecté. Le même rapport de Zero Labs révèle que 88 % d’entre eux déclarent ne pas avoir la capacité d’annuler les actions des agents sans interruption du système, une lacune en matière de récupération qui correspond parfaitement au secteur d’activité d’origine de Rubrik.
Un RSSI sceptique posera la question à laquelle le coin du feu n’a pas répondu. SAGE est un modèle non déterministe contrôlant d’autres modèles non déterministes, et Rishi n’a proposé aucun taux de faux positifs ou de faux négatifs pour le juge lui-même. La chose la plus proche que l’architecture apporte à une réponse est l’auditabilité, puisque les backtests et les informations par lots laissent tous deux une trace consultable par l’homme de chaque appel effectué par SAGE et de tout ce qui l’a dépassé. Pour l’instant, qui surveille l’observateur est une trace de reçus plutôt qu’une référence. Jusqu’à ce que cette référence existe, l’IA dans la boucle reste un pari opérationnel plutôt qu’un contrôle quantifié.
Trois questions ressortent de la séance pour les équipes de sécurité. Combien de garde-corps actuellement en production dépendent d’un clic humain et qu’arrive-t-il à cette charge de travail à mesure que le nombre d’agents augmente ? Est-ce que quelque chose dans la pile applique une intention sémantique, ou est-ce que tout cela autorise et refuse des listes ? Et l’équipe peut-elle tester le comportement des agents par rapport à une nouvelle politique, puis dérouler une session à plusieurs tours sans mettre les systèmes hors service ?
Le timing de Rishi a un marché derrière lui. Dans la même étude de VentureBeat, 82 % des entreprises considèrent toujours les garde-fous et les contrôles cloud intégrés de leur principal fournisseur d’IA comme leur principale couche de sécurité des agents, et 59 % prévoient d’adopter, d’ajouter ou de remplacer les outils de sécurité des agents au cours des 12 prochains mois. Seuls 12 % d’entre eux incluent un produit d’identité d’agent dans ce qu’ils envisagent, même si le partage des informations d’identification reste la norme. Chaque RSSI présent à cette table ronde Anthropic disposait d’un document de politique et d’aucun mécanisme d’application, et Rubrik a construit un produit pour l’espace entre les deux. Le mode YOLO est le pari qu’une IA surveillant d’autres IA puisse enfin concrétiser les politiques.
Suscríbete y recibe las historias más importantes del día.
Al suscribirte aceptas nuestros términos y condiciones y política de privacidad.
