L’autonomie croissante des agents IA impose aux outils de sécurité de dépasser la simple vérification d’une identité ou d’une permission. Une requête peut être techniquement autorisée tout en produisant une action incompatible avec les règles définies par l’entreprise. Avec Agent Identity, Rubrik introduit une analyse sémantique des politiques avant l’exécution des opérations sensibles. La nouvelle solution s’appuie sur SAGE, le framework de Rubrik Agent Cloud, afin d’évaluer les requêtes formulées par les agents et de les confronter aux politiques de sécurité.
L’enjeu est de replacer chaque action dans son contexte plutôt que de se limiter à une autorisation statique.
Comprendre ce que l’agent cherche à accomplir
Rubrik considère que les modèles traditionnels de sécurité sont mal adaptés aux agents autonomes, capables d’enchaîner rapidement des opérations au nom d’un utilisateur. « Les identifiants statiques n’ont jamais été pensés pour des acteurs autonomes », explique Dev Rishi, General Manager of AI chez Rubrik.
Agent Identity combine l’analyse sémantique de la requête, l’authentification de l’agent et la vérification des politiques avant qu’une opération ne soit exécutée. Lorsqu’une action ne respecte pas les règles établies, elle peut être bloquée en amont. Cette approche vise à tenir compte non seulement de l’identité qui effectue l’action, mais également de la nature de la demande qu’elle tente d’exécuter.
Des politiques qui suivent l’évolution des usages
Rubrik ajoute également une application dynamique des politiques de sécurité. La MCP Gateway centralise le contrôle des ressources MCP et des API utilisées par les agents. Cette évolution répond à la multiplication attendue des agents autonomes dans les systèmes d’information. Rubrik Zero Labs indique que 86 % des responsables IT et cybersécurité pensent que les capacités des agents IA dépasseront les moyens de protection de leur organisation au cours des douze prochains mois.
Rubrik mise ainsi sur une sécurité capable d’interpréter davantage le contexte des actions, plutôt que sur des contrôles uniquement conçus autour d’identifiants et de permissions statiques.
