L’adoption des applications d’IA générative en entreprise entre dans une nouvelle phase. Il ne s’agit plus seulement d’assistants qui rédigent des textes ou résument des réunions, mais d’agents capables de consulter des données internes, d’appeler des outils externes et de prendre des décisions dans des processus métiers réels. C’est dans ce contexte que surgissent des risques bien plus sérieux. Gartner prévoit qu’en 2028, 25 % de toutes les applications d’IA générative en entreprise connaîtront au moins cinq incidents de sécurité mineurs chaque année, contre seulement 9 % en 2025. De plus, d’ici 2029, il est estimé que 15 % de ces applications connaîtront au moins un incident grave annuel, alors qu’en 2025, ce pourcentage n’était que de 3 %.
Ce avertissement n’est pas fortuit. Gartner établit un lien direct entre cette augmentation du risque et la croissance de l’IA agéntique ainsi que l’utilisation de technologies telles que le Model Context Protocol (MCP), une norme ouverte conçue pour connecter modèles, outils, données et systèmes externes. Selon le cabinet, le problème réside dans le fait que le MCP a été conçu en privilégiant l’interopérabilité, la facilité d’utilisation et la flexibilité, sans intégrer par défaut des mécanismes de sécurité forts. Cela signifie que nombre d’erreurs ne se révéleront pas dans des scénarios extrêmes, mais lors d’usages quotidiens normaux.
En très peu de temps, le MCP est devenu une pièce maîtresse du nouvel écosystème d’agents. Présenté en 2024 par Anthropic comme une norme ouverte pour établir des connexions bidirectionnelles entre sources de données et outils IA, il est déjà supporté par OpenAI dans certains de ses composants pour développeurs, étant considéré comme un protocole qui tend à devenir une norme de facto. Plus ce modèle se répand, plus la surface d’attaque s’élargit : davantage de serveurs MCP, de connecteurs tiers, d’agents avec permissions, et autant de possibilités qu’une mauvaise configuration entraîne une fuite de données, une escalade de privilèges ou une automatisation dangereuse.
Le risque ne réside pas dans la théorie, mais dans la manière dont les agents se connectent
Ce avertissement de Gartner est logique lorsqu’on examine le fonctionnement de ces applications. Une application agéntique moderne peut lire une documentation interne, consulter un CRM, exécuter des actions dans un système de tickets, résumer du contenu provenant d’un site web externe et transmettre un résultat à un autre service. Chacun de ces actes semble rationnel séparément. Le problème survient quand ces actions sont combinées dans un seul flux, impliquant un accès à des données sensibles, une ingestion de contenu non fiable et une communication extérieure. Gartner qualifie cette combinaison de “zone interdite” ou “zone à risks” en raison du danger élevé d’exfiltration de données.
Ce n’est pas une préoccupation abstraite. La documentation officielle de sécurité du MCP reconnaît que ce protocole comporte des risques spécifiques et recommande aux implémenteurs de concevoir des flux robustes de consentement et d’autorisation, d’appliquer des contrôles d’accès adéquats, de documenter clairement les implications en matière de sécurité et de prendre en compte la confidentialité dès la conception. En clair, ni le protocole ni la norme ne garantissent à eux seuls la sécurité de l’entreprise si celle-ci connecte des agents à des ressources sensibles sans un fort contrôle de gouvernance.
Une deuxième source de risque concerne les composants tiers. Gartner alerte sur des vulnérabilités cachées dans les serveurs MCP, les bibliothèques et connecteurs largement réutilisés. Ce phénomène rappelle une leçon classique de la sécurité : lorsque une technologie se déploie rapidement, l’écosystème d’intégration tend à se développer plus vite que les pratiques de revue et de sécurité maturées. Ce pattern est classique pour toute nouvelle plateforme, mais avec une différence majeure : le coût d’une erreur peut désormais être considérablement plus élevé, puisque l’agent ne voit pas uniquement des données, il peut également agir dessus.
Injection de prompts, chaîne d’approvisionnement et permissions mal conçues
Parmi les menaces qui résument bien cette période, se distingue la prompt injection. Selon OWASP, elle représente l’un des principaux risques pour les applications basées sur de grands modèles linguistiques (LLM). Il s’agit de manipuler les réponses du modèle par des entrées malicieuses, dans le but d’altérer son comportement, y compris pour contourner des mesures de sécurité. Dans un système agéntique, cette manipulation ne se limite pas à une réponse incorrecte : elle peut se traduire par une commande exécutée, un compromis de données ou une action erronée autorisée.
Gartner insiste donc sur le fait que les entreprises ne doivent pas simplement transposer les permissions conçues pour des utilisateurs humains aux agents sans adaptation. Il est recommandé de mettre en place des mécanismes d’authentification et d’autorisation spécifiques aux agents, avec des privilèges strictement limités, et de faire l’objet de revues formelles pour chaque cas d’usage. Il faut également renforcer les mesures contre des menaces déjà identifiées : injection de contenu, exposition de données sensibles, vulnérabilités dans la chaîne d’approvisionnement et escalades de privilèges lorsque le modèle tente d’aider mais finit par faire n’importe quoi.
Gartner souligne enfin que cette complexité accrira la difficulté de gouverner ces systèmes. Plus les agents seront déployés dans différents domaines, plus la gestion des accès, la conformité réglementaire et la responsabilité opérationnelle deviendront ardues. Ainsi, il recommande que ce soient des experts de domaine qui définissent les barrières et règles d’usage, et que chaque serveur MCP ait une propriété clairement identifiée au sein de l’organisation. La sécurité ne peut pas se limiter à une revue en fin de processus : elle doit naître dès la conception du système.
Utiliser l’IA à bon escient plutôt que tenter de la freiner
Les prévisions de Gartner ne signifient pas que les entreprises doivent renoncer à l’IA agéntique, mais elles appellent à modérer leur enthousiasme. En 2025 et 2026, beaucoup ont commencé à déployer des agents combinant enthousiasme, pression concurrentielle et peu de rigueur en matière de sécurité. Le message clair aujourd’hui est que plus une application d’IA générative est utile et connectée, plus elle doit faire l’objet de contrôles formels, de limites bien définies et d’une architecture fondée sur le principe de moindre privilège.
Au fond, MCP et les agents amènent l’IA au cœur de l’opérationnel de l’entreprise. Elles ne restent plus en phase expérimentale ou en démonstration. Elles commencent à toucher directement aux systèmes, aux données et aux processus opérationnels, ce qui modifie totalement l’enjeu. Les incidents mineurs seront d’abord le symptôme d’un écosystème encore immature. Le vrai défi sera d’empêcher que cette accumulation d’erreurs courantes ne conduise à des défaillances graves, coûteuses ou réglementaires.
Questions fréquentes
Que prévoit précisément Gartner concernant la sécurité de l’IA générative en entreprise ?
Gartner estime qu’en 2028, 25 % des applications d’IA générative en entreprise connaîtront au moins cinq incidents de sécurité mineurs par an, contre seulement 9 % en 2025. De plus, en 2029, ce chiffre passera à 15 % pour les incidents graves, contre 3 % aujourd’hui.
Pourquoi le MCP accroît-il les risques dans les applications agéntiques ?
Parce qu’il facilite l’interopérabilité mais ne garantit pas la sécurité. Si un agent peut accéder à des données sensibles, manipuler du contenu non fiable et communiquer avec l’extérieur dans un seul flux, le risque d’exfiltration ou d’abus augmente considérablement.
Que signifie un incident mineur dans une application d’IA d’entreprise ?
Gartner ne propose pas une taxonomie rigide, mais évoque notamment l’exposition de données, des vulnérabilités dans des composants tiers, des erreurs de permissions ou des échecs liés à des patterns connus tels que l’injection de contenu ou l’aide excessive du modèle.
Que recommande Gartner pour atténuer ces risques ?
Mettre en place des revues de sécurité spécifiques aux cas d’usage impliquant MCP, privilégier les scénarios à faible risque, exclure les configurations dangereuses, définir une authentification et une autorisation adaptées pour les agents, et faire en sorte que les experts de domaine soient responsables des règles et de la propriété des serveurs MCP.
source : gartner
