Agents IA, le Shadow IT 2.0

sécuriser Copilot, Power Automate et les autorisations Graph

Les bots Copilot Studio, les flux Power Automate et des autorisations Graph trop généreuses transforment les agents IA en Shadow IT 2.0 : ils déplacent des données en silence, souvent sans identité propre, sans responsable et sans journaux d’audit. Cet épisode examine les deux faces : là où les agents apportent un vrai gain de productivité et là où ils échouent dans la pratique. Vous y trouverez aussi une architecture de référence pour des agents gérés dans Microsoft 365 et un schéma simple d’évaluation des risques.

▶ Agents IA, le Shadow IT 2.0 : sécuriser Copilot, Power Automate et les autorisations Graph (Doublage IA)

Au programme :

1. Pourquoi les agents deviennent du Shadow IT 2.0 : autorisations Graph déléguées en lecture totale, outils de navigateur, passerelles MCP et fuite de données par copier-coller ou téléversement, tandis que Copilot retrouve les données surpartagées dans SharePoint et OneDrive
2. L’identité d’abord : un Entra Agent ID propre à chaque agent, des blueprints par type d’agent avec un sponsor responsable, l’accès conditionnel et un kill switch, car l’accès conditionnel conçu pour les humains ne protège pas les agents qui s’exécutent en tant qu’utilisateurs
3. Le moindre privilège : des rôles d’application Graph plutôt que des autorisations déléguées, un accès SharePoint limité à des sites précis et un accès Exchange limité à des boîtes aux lettres partagées définies
4. Des garde-fous à l’exécution : étiquetage automatique Purview, DLP sur les terminaux et les navigateurs pour les domaines d’IA avec messages pédagogiques, Global Secure Access d’abord une semaine en mode journalisation puis en liste d’autorisation, serveurs MCP compris, et environnements gérés Power Platform
5. Le barème de risque : six domaines (identité, données, autorisations, réseau, surveillance, cycle de vie) notés chacun de 0 à 5, plus un playbook opérationnel avec registre des agents, revues d’accès trimestrielles et gestion des incidents

Cet épisode est une version française doublée par IA de la vidéo animée du M365 Show présentée par le Microsoft MVP Mirko Peters.