Les outils de prévention des pertes de données (DLP) ont été conçus pour un modèle de menace spécifique : un humain copiant des fichiers sur une clé USB, collant du texte sensible dans un email personnel ou téléchargeant des documents sur un service cloud non autorisé. Ces outils fonctionnent en interceptant les transferts de données au niveau du terminal ou du réseau, en inspectant le contenu selon des règles de motifs, et en bloquant ou alertant en cas de violation.
L’IA agentique brise ce modèle de façon architecturale, pas superficielle. Ce n’est pas que les agents sont meilleurs pour contourner la DLP, c’est qu’ils opèrent via des canaux que la DLP n’a jamais été conçue pour inspecter.
Pourquoi la DLP échoue face aux agents : trois lacunes structurelles
Lacune 1 : mouvement de données API-first
La DLP traditionnelle se concentre sur les terminaux, activité du presse-papiers, écritures dans le système de fichiers, téléchargements via navigateur. L’IA agentique déplace les données via des appels API. Quand un agent lit un enregistrement Salesforce, interroge une base via un serveur MCP ou envoie un résumé à un webhook externe, il effectue des requêtes HTTP authentifiées entre services. Il n’y a ni copie de fichier, ni événement presse-papiers, ni téléchargement navigateur.
La plupart des outils DLP n’ont aucune visibilité sur le mouvement de données au niveau API. Même les solutions DLP inspectant le trafic réseau ne peuvent généralement pas déchiffrer, analyser et appliquer des politiques aux charges JSON structurées circulant entre plateformes SaaS via des connexions de service OAuth authentifiées. Les données quittent l’organisation par des canaux que la DLP n’a jamais appris à surveiller.
L’implication : si votre couverture DLP s’arrête au terminal ou se concentre sur les transferts de fichiers et emails, une part significative des mouvements de données pilotés par agents lui est invisible par conception.
Lacune 2 : pas de presse-papiers, pas de capture d’écran
Les fournisseurs DLP ont beaucoup investi dans la surveillance du presse-papiers et l’analyse du contenu d’écran, précisément parce que les humains exfiltrent des données en copiant-collant. Les agents n’utilisent pas de presse-papiers. Ils appellent des API, traitent les réponses en mémoire et transmettent les données entre outils de manière programmatique.
Cela signifie que toute la catégorie d’inspection de contenu DLP, correspondance de motifs sur le contenu du presse-papiers, OCR des captures d’écran, analyse du corps d’email, ne s’applique pas aux flux de données générés par les agents. Un agent synthétisant des PII clients depuis un CRM et les incluant dans un appel API vers une plateforme d’analyse externe contourne totalement la DLP presse-papiers car aucune opération presse-papiers n’a eu lieu.
Lacune 3 : exfiltration sémantique à l’échelle de la fenêtre contextuelle
Même lorsque la DLP inspecte le contenu, passerelles email, filtrage web proxy, elle fonctionne par correspondance de motifs : expressions régulières pour numéros de carte bancaire, reconnaissance d’entités nommées pour champs PII, blocage de mots-clés pour marqueurs de documents confidentiels.
Les agents peuvent synthétiser et transformer les données de manière à contourner la correspondance de motifs. Un agent qui lit une liste de noms de clients et de soldes de comptes, puis génère un « résumé d’analyse de marché » contenant les mêmes informations, mais en prose plutôt qu’en champs structurés, contournera les règles DLP cherchant des motifs de numéros de compte ou des étiquettes de champs PII.
C’est de l’exfiltration sémantique : le contenu informationnel est préservé mais les marqueurs syntaxiques sur lesquels s’appuie la DLP sont transformés. À l’échelle de fenêtres contextuelles de plus de 100 000 tokens, les agents peuvent traiter des référentiels documentaires entiers et produire des sorties synthétisées contenant l’information essentielle sans aucun des motifs surveillés par la DLP.
À quoi ressemble la détection avec les agents
Les architectes sécurité doivent comprendre à quoi ressemble réellement l’exfiltration pilotée par agent dans la télémétrie, car elle ne ressemble ni à une menace interne ni à un événement de malware.
Cela ressemble à : un compte de service (ou un compte utilisateur agissant comme exécuteur d’agent) effectuant des appels API de lecture à haut volume vers des systèmes internes, suivis d’appels d’écriture vers des points de terminaison externes. Le volume de lecture est le signal clé, les agents lisent beaucoup plus de données que nécessaire pour accomplir une tâche unique, car ils opèrent sur un contexte récupéré plutôt que sur des requêtes ciblées spécifiques.
En pratique, cela signifie que le signal de détection est comportemental plutôt que basé sur le contenu : motifs d’accès inter-systèmes anormaux, séquences inhabituelles d’appels API, pics de volume de lecture depuis des comptes habituellement peu actifs en lecture, et opérations d’écriture vers des destinations externes après des lectures internes.
Ce qui fonctionne réellement : une approche de remplacement en couches
La réponse n’est pas d’abandonner la DLP, elle détecte toujours un ensemble significatif d’événements de perte de données pilotés par des humains. La réponse est de construire des contrôles supplémentaires spécifiquement pour les flux de données des agents.
1. Passerelle Agent avec Audit Structuré
Toutes les invocations d’outils agents doivent passer par une passerelle qui enregistre l’appel complet, quel outil, quelles données ont été lues, quelle a été la sortie, quels systèmes externes ont été écrits. C’est l’équivalent agent du niveau d’inspection de contenu de la DLP. Sans télémétrie structurée au niveau agent, vous êtes à l’aveugle.
2. Permissions d’Outils Sensibles à la Classification des Données
Implémentez la classification des données au niveau du contrôle d’accès. Les agents pouvant lire des données Confidentielles ou Restreintes doivent obtenir une approbation explicite pour transmettre ces données à tout outil accessible en externe. L’application de la classification se fait au niveau d’accès aux outils, pas au niveau d’inspection du contenu, car au moment où le contenu atteint un point d’inspection DLP, il peut déjà avoir été transformé.
3. Contrôles de Sortie sur les Résultats des Agents
Considérez la sortie des agents comme un canal potentiel d’exfiltration. Mettez en place des limites de nombre de tokens sur la quantité de matériel classé Confidentiel pouvant apparaître dans une seule sortie externe. Exigez des étapes de revue humaine avant que les agents puissent envoyer de grandes sorties synthétisées vers des systèmes externes.
4. Analyse Comportementale des Identités d’Agents
Instrumentez les identités d’exécution des agents (comptes de service, clés API utilisées par les frameworks agents) avec des bases comportementales. Alertez en cas de pics significatifs de volume de lecture au-dessus de la base, apparition de nouvelles destinations externes dans les motifs d’appels d’écriture, ou séquences d’accès inter-systèmes hors des flux de travail attendus.
La DLP n’est pas morte, mais pour les organisations déployant des IA agentiques, elle doit être augmentée par une approche fondamentalement différente de la gouvernance des données. Les organisations qui comprennent cette distinction tôt éviteront la classe de violation que les fournisseurs DLP ne sont pas encore équipés pour prévenir.
