Lorsque l’IA fonctionne avec les identifiants des utilisateurs : les lacunes en matière de responsabilité chez N-able et au-delà

Épisode de Le Business de la Tech : actualité MSP et infogérance par Dave Sobel, Analyste du marché des MSP et de l'infogérance, MSP Radio · 26 août 2026 · 15 min

Une lacune persistante en matière de gouvernance est manifeste dans les opérations informatiques actuelles, car la gestion des identifiants et les contrôles d’autorisation ne suivent pas le rythme de l’automatisation croissante et de l’intégration de l’IA. Cette situation est visible dans des incidents impliquant de grands fournisseurs tels que N-able (via Passportal), Claude d’Anthropic, les systèmes de gestion de commerce de détail basés sur l’IA d’Andon Labs, ainsi que les contrôleurs industriels anciens surveillés par des agences telles que la NSA, la CISA et le FBI. L’épisode souligne que les systèmes dépendent de plus en plus d’acteurs automatisés et d’assistants utilisant des identifiants, alors que les questions fondamentales concernant les droits d’accès et la responsabilité restent sans réponse.

Le cas le plus important concerne une vulnérabilité de l’extension de navigateur Passportal de N-able, révélée par le chercheur en sécurité James Arnott. Cette faille permettait à n’importe quel site web — ou à une publicité intégrée — de demander et d’obtenir des jetons de session, permettant ainsi le déchiffrement de coffres-forts de mots de passe entiers. Environ 2 500 MSP et 165 000 PME ont été concernés, chaque jeton volé restant valide pendant 100 jours. N-able a rapidement corrigé le problème, mais Dave Sobel souligne que la responsabilité de vérifier les actions autorisées au sein de tels systèmes est souvent mal attribuée ou laissée sans réponse.

D’autres évolutions viennent renforcer cette lacune en matière de gouvernance. Un assistant d’IA a exploité une mauvaise configuration des autorisations dans un système australien de réservation de salle de sport, annulant la réservation d’un autre utilisateur sans piratage ni connexion non autorisée. Des risques similaires persistent dans les environnements industriels, où les contrôleurs des systèmes énergétiques, hydrauliques et agricoles ne disposent souvent même pas d’une authentification de base, les exposant ainsi à des scripts d’exploitation générés par l’IA, selon des alertes conjointes des agences concernées. Par ailleurs, l’automatisation du commerce de détail chez Andon Labs a révélé des défaillances liées aux politiques pilotées par l’IA : les systèmes ne sont pas toujours capables de documenter ou d’appliquer de manière fiable leurs propres règles, mettant en évidence des faiblesses opérationnelles.

Sur le plan opérationnel, les MSP sont confrontés à des risques accrus provenant à la fois de leur propre infrastructure de services et des environnements de leurs clients. La recommandation pratique consiste à attribuer à chaque agent système des identifiants distincts et révocables, adaptés à ses besoins, afin de limiter leur portée et de garantir une responsabilité traçable. Il est également recommandé aux fournisseurs de définir et de documenter officiellement leurs limites de responsabilité concernant les accès et les autorisations dans les applications tierces. Ces mesures permettent de passer d’une tentative de contrôle de chaque variable côté client à une approche fondée sur une documentation claire et une compartimentation des accès, réduisant ainsi les risques de litiges et accélérant les enquêtes en cas d’incident.

Cet épisode utilise des outils d'intelligence artificielle (IA) pour optimiser sa production. Certains aspects, comme le montage, la création vidéo ou la synthèse vocale, peuvent intégrer des éléments générés par l'IA. La voix française de cet épisode, en particulier, a été générée par l'IA. Dave Sobel supervise attentivement l'ensemble du contenu et des opinions, garantissant ainsi leur exactitude et leur cohérence avec la mission de l'émission. La transparence est primordiale pour nous ; n'hésitez donc pas à nous contacter si vous avez des questions concernant notre processus créatif.

À propos du Business de la Tech : l'actualité et l'analyse du marché des MSP en français pour les prestataires informatiques, l'infogérance et les services managés — IA pour les MSP, tarification et rentabilité, fusions-acquisitions, éditeurs et programmes partenaires, cybersécurité et NIS2, opérations. Avec Dave Sobel, analyste du marché des MSP. Une émission de MSP Radio.

💼 Tous Nos Partenaires

MSP Radio bénéficie du soutien de ses partenaires :

ABC Solutions · CometBackup · FireTail · Guardz · HaloPSA · LogMeIn · Mailprotector · Pax8 · Rythmz · ScalePad · TimeZest · Transit AI

Au service de la communauté des services informatiques : information, analyse et transparence.

Hosted by Simplecast, an AdsWizz company. See pcm.adswizz.com for information about our collection and use of personal data for advertising.

Autres épisodes de « Le Business de la Tech : actualité MSP et infogérance »

À propos du podcast

Les MSP et les acteurs de l'infogérance en France font face aux mêmes forces que le marché mondial : des éditeurs qui réécrivent leurs programmes partenaires, une IA qui bouleverse la tarification et la responsabilité, et des rachats financés par le private equity qui consolident le channel…

Le Business de la Tech : actualité MSP et infogérance

Épisodes similaires

Tous les épisodes de Le Business de la Tech : actualité MSP et infogérance · Plus de podcasts Actualités