Marre de jouer les concierges des clés de vos agents IA ?

Je vais vous faire une confession. Une partie de mes semaines, je ne la passe ni à vendre, ni à concevoir, ni même à faire travailler nos agents IA. Je la passe à leur tenir les clés.

Un jeton par-ci pour publier du code, une clé d’API par-là pour envoyer des e-mails, un accès au CRM pour l’agent qui met les fiches à jour. Je les génère, je les range, je les renouvelle, je les planque, et je les redonne au prochain agent qui en a besoin. Un concierge, en somme. La loge en moins, et sans les étrennes.

Ce texte de notre rubrique IA d’entreprise raconte cette corvée, pourquoi elle finit si souvent en fuite, et la solution qu’on a choisie pour nous, et qu’on peut installer chez vous.

À quoi ressemble la vie d’un concierge de clés ?

Un agent IA ne fait rien de plus que ce que ses accès lui permettent : c’est sa force et sa limite, comme l’explique notre article sur la boucle d’un agent IA. Celui qui publie du code a besoin d’un jeton pour le dépôt, celui qui envoie des devis d’une clé d’envoi d’e-mails, celui qui met le CRM à jour d’une clé d’API. Et chaque clé suit le même cycle :

Multipliez par le nombre d’agents, puis par les environnements (développement, préproduction, production), puis par les projets. Chez nous, ce sont six dépôts de code et des agents qui travaillent dans le cloud. Le calcul est vite fait, et il ne joue pas en faveur du concierge.

Pourquoi la corvée finit-elle si souvent en fuite ?

Parce qu’une corvée appelle des raccourcis, et que chaque raccourci a sa fuite attitrée :

• La clé collée dans la configuration de l’agent, « pour aller vite ». Elle y reste, et le fichier voyage : dans un dépôt de code, une sauvegarde, un message d’aide envoyé à un collègue.
• La clé qui n’expire jamais, « pour ne plus y penser ». Elle survit aux départs, aux projets abandonnés et aux prestataires partis.
• La même clé pour tout, « pour ne pas en gérer dix ». Le jour où elle fuit, tout s’ouvre d’un coup, et la changer casse tout en même temps.
• La clé envoyée par messagerie, « juste cette fois ». Elle y dort, lisible par quiconque entre dans la messagerie.

Ces raccourcis laissent des traces mesurables. GitGuardian, qui traque les secrets exposés à grande échelle, en trouve jusque dans les fichiers qui branchent les agents IA sur leurs outils, et sur les machines touchées par Shai-Hulud 2, une attaque menée par des paquets de code piégés :

Le renouvellement, l’étape qu’on saute

Des six gestes, c’est le plus pénible, et donc celui qu’on repousse. Le même rapport le résume en une phrase :

C’est tout le piège du concierge : plus une clé a de copies, plus la changer fait peur, et plus elle vit longtemps. Les risques que les agents ajoutent à ce tableau, de la consigne piégée à la clé d’IA revendue, sont détaillés dans notre article sur le coffre-fort de secrets.

Ce qu’un coffre-fort de secrets change pour le concierge

Un coffre-fort de secrets, c’est un endroit unique et chiffré où vivent les clés de l’entreprise, avec une identité pour chaque personne, chaque automatisation et chaque agent. Il ne supprime pas les clés. Il supprime le concierge.

La solution qu’on a choisie, pour nous et pour vous

En octobre 2026, on a choisi pour nos propres agents un coffre libre et audité, et nos clés vont y passer une à une, en commençant par celles des agents. C’est aussi celui qu’on vous propose, avec ces avantages :

• Chez vous, ou hébergé en Europe. Le coffre s’installe sur votre serveur, même coupé d’Internet, ou dans un cloud hébergé dans l’Union européenne, toujours à votre nom. Si votre secteur exige un hébergeur qualifié, comme SecNumCloud en France, il s’installe chez cet hébergeur : c’est vous qui choisissez où il tourne, pas son éditeur.
• Personne ne lit vos clés. Les valeurs sont chiffrées de bout en bout : elles ne se déchiffrent que chez vous, jamais sur le serveur du coffre ni chez son hébergeur, à une exception près, traitée plus bas. Nos accès, eux, disparaissent à la remise des clés.
• Pas même vos IA. Un agent ne reçoit jamais la vraie valeur. Selon le montage, il obtient le résultat de l’action, ou une fausse clé, un leurre. Le relais vérifie chaque requête au regard de vos règles, puis remplace le leurre par la vraie clé au moment où elle part vers le service prévu. Un agent berné par une consigne cachée n’a rien à divulguer.
• Un environnement, ses clés. Développement, préproduction, production : chaque environnement a ses propres clés, et l’agent qui fait des essais ne touche jamais celles de la production. Le coffre montre d’un coup d’œil quelle clé manque à quel environnement.
• Une identité par agent. Chaque agent, chaque automatisation et chaque personne a la sienne, avec ses seuls droits. Un agent dérape, un prestataire s’en va : vous coupez cet accès-là, et les autres continuent. Notre guide sur la gouvernance de l’IA en entreprise montre comment découper ces droits.
• Une clé changée une fois, à jour partout. Le coffre pousse lui-même la nouvelle valeur vers vos chaînes de publication, votre hébergement et vos outils. Pour les services qui le permettent, chaque agent peut même recevoir des clés neuves, à durée de vie courte.
• Un historique et un journal. Une valeur écrasée par erreur se restaure en un clic, et chaque lecture est inscrite : qui, quelle clé, quand, depuis où.
• Rien de fait maison. Chaque ligne du code qui protège vos clés est publique et auditable. L’éditeur est audité par un tiers indépendant (SOC 2 de type 2), et son logiciel testé régulièrement par une société de sécurité. Si vous changez de prestataire, le coffre reste à vous.

Nos agents travaillent déjà ainsi quand ils publient du code : le jeton est ajouté en route par la couche réseau, et il n’entre jamais dans leur environnement de travail. Le coffre étend ce principe à toutes nos clés.

Ce que le coffre ne fait pas à votre place

Deux autres limites méritent d’être dites. D’abord, pour pousser lui-même une clé vers vos outils, le serveur du coffre doit pouvoir la déchiffrer. C’est pour cela qu’on l’installe chez vous ou chez un hébergeur européen à votre nom, et que les clés qui pèsent le plus (argent, noms de domaine, comptes administrateurs) vivent dans un espace qui ne se synchronise jamais et reste chiffré de bout en bout. Ensuite, un coffre ne répare pas une clé qui a déjà fuité : elle se change, sans discussion.

Par où commencer ?

Par une liste : les clés que vos agents et vos automatisations utilisent, où elles vivent, qui les a créées, et quand elles expirent. Si elle tient sur une page, tant mieux. Si personne n’est capable de l’écrire, vous avez votre réponse. Et si vos agents ne sont encore qu’un projet, c’est le meilleur moment : le coffre se pose plus facilement avant eux qu’après, et notre guide pour intégrer l’IA dans l’entreprise en donne les étapes.

Ensuite, notre offre Coffre-fort IA fait le reste : l’inventaire de vos secrets et des fuites déjà là, l’ouverture du coffre à votre nom, le branchement de vos outils et de vos agents un par un, puis la remise des clés. Comptez de 2 900 à 4 900 € selon le nombre d’outils et d’agents, et deux à trois semaines. Avant tout, on vérifie avec vous en 20 minutes que c’est le bon chantier. Et pour que chaque agent ait aussi son budget et ses plafonds, notre pack IA au juste coût s’y branche.

Bref : le meilleur concierge est celui dont on n’a plus besoin. Si vous voulez rendre votre tablier, écrivez-nous.

Questions fréquentes