Beyond Zero: Enterprise security for the AI era

À retenir

1. Date / source. 20 juillet 2026, ACM Queue vol. 24 n° 3, CC BY 4.0, signé Joseph Valente (Alphabet Security) et Michal Zalewski. Une seule référence bibliographique : le whitepaper BeyondCorp de 2014.
2. Cadrage clé. la frontière applicative est en fin de vie. Le zero trust classique a déplacé la confiance du réseau vers l'identité et l'appareil, mais a gardé l'application comme unité d'autorisation — unité trop grosse dès lors que l'accédant peut raisonner sur tout un corpus en quelques secondes. La nouvelle unité proposée est l'action individuelle sur la ressource individuelle, quel que soit le chemin d'accès (front-end, API, MCP). ### Les trois hypothèses de BeyondCorp que l'article abandonne 1. Les accédants sont humains. 2. Les actions se produisent à vitesse humaine. 3. L'application est la bonne frontière de confiance. Chacune tombe pour une raison différente : ce n'est pas un correctif, c'est un changement de modèle. ### Les quatre composants, dans l'ordre de la boucle | # | Composant | Contenu | |---|-----------|---------| | 1 | Autonomous governance | construit par IA un enterprise world model vivant — Qui (fonction, rôle, séniorité, humain contrôlant pour un agent), Quoi (compréhension sémantique de la sensibilité des données), Comment (assignations, patterns d'usage et de partage). Alimenté par les entrepôts RH et gestion de projet. Analogie explicite avec le world model d'une voiture autonome | | 2 | Event intake | signaux serveur (proxies, API, apps de productivité), client (état du navigateur, accès fichiers locaux, activité des processus, DLP), et activité agent (prompts, plans d'exécution, invocations d'outils). Hot cache pour l'évaluation à l'accès, long-term store pour l'inférence lente | | 3 | Reasoning engine | IA hiérarchique, distribuée serveur/endpoints. Rapide : ABAC granulaire, bloque à l'accès. Lente : anomalies complexes (un utilisateur accède à 500 % de fichiers de plus que son groupe de pairs). Verdict allow / deny / challenge, et les décisions deviennent elles-mêmes des attributs réutilisés ensuite | | 4 | Challenge infrastructure | challenges réversibles (justification, touche de clé de sécurité, approbation manager, selfie) vs containments durables, parfois levés seulement après entretien du salarié et de son manager | ### Le geste de conception : plancher / plafond Politiques statiques = le plancher (baseline de sécurité et de conformité, vérifiable statiquement) ; moteur de raisonnement dynamique = le plafond. Justification explicite : cela permet du dynamique « sans basculer vers un modèle entièrement dynamique, difficile à vérifier statiquement ». La totalité de la décision de sécurité n'est pas confiée au modèle. Même figure architecturale que l'anneau de contraintes de [[sfeir-code-review-anneau-contraintes-2026-07-30]]. ### Le vecteur d'attaque nommé « The exploitation of ambient authority, where an agent is granted the full, often overprovisioned permissions of its human user. » C'est le mécanisme par lequel une injection de prompt devient une exfiltration : l'agent n'a pas besoin d'escalader de privilèges, il en a déjà trop. La contre-mesure proposée n'est pas un filtre sur le prompt mais une vérification de cohérence d'intention — « User Intent + Agent Intent can be interpreted and checked to ensure alignment », et « The human actor must confirm that the access the agent is attempting is intended by the human. » ### L'exemple SalesGenie, utilisable tel quel Un agent interne autorisé à lire les rapports de vente interroge un document de planification stratégique. | Modèle | Verdict | Motif | |---|---|---| | BeyondCorp | ALLOW | certificat valide, machine autorisée, les deux identités peuvent lire les rapports de vente | | Beyond Zero | CHALLENGE puis CONTAIN | l'humain qui a promptté ne travaille que sur des comptes du Nord-Est, la donnée est au plus haut niveau (risque de délit d'initié), la politique exige une assignation de travail valide | Interventions en trois temps : confirmation d'intention par l'humain, demande d'approbation à l'équipe propriétaire, containment. « In the vast majority of cases, the decision to contain will be autonomous. » ### Le pari réel de l'architecture « Inference tasks must be front-loaded » : les budgets de latence à l'accès interdisent de raisonner à la volée, donc presque tout doit être précalculé. La qualité du contrôle d'accès devient alors exactement égale à la qualité des données RH et de gestion de projet. L'attribut « assignation de travail » qui décide de l'accès dans l'exemple SalesGenie suppose un niveau d'hygiène de données que peu d'organisations atteignent. Premier point à poser dans tout atelier de transposition. ### Réserves
3. Papier de vision, non retour d'expérience. aucune métrique de production, aucun taux de faux positifs, aucune échelle de déploiement, aucune latence — là où [[uber-engineering-agent-identity-crisis-zero-trust-spire-2026-05-21]] publiait deux mois plus tôt une P99 < 40 ms et des milliers d'agents en production.
4. Incohérence interne d'ordre de grandeur. l'énoncé du problème parle de « tens of millions of concurrent machine-driven actions per second », l'abstract et la conclusion de « thousands of decisions per second » — quatre ordres de grandeur d'écart. Ne pas citer les deux chiffres sans le signaler.
5. Chiffres non sourcés. « AI agents access data at 10 times the rate of humans », assertion centrale, sans source.
6. Coût du faux positif non quantifié. l'article affirme que seule « a tiny percentage » des containments remonterait à une revue humaine, sans donnée. Or contenir un salarié innocent coûte un entretien sécurité avec son manager ; à l'échelle, ce taux décide de la déployabilité du modèle.
7. La circularité n'est pas examinée. le système qui défend contre des attaques pilotées par l'IA est lui-même un moteur de raisonnement IA. Aucune mention des attaques contre le reasoning engine — empoisonnement des données RH qui alimentent le world model, injection dans les documents analysés sémantiquement, manipulation lente de sa propre baseline comportementale. ### L'angle mort européen Le dispositif décrit est aussi un appareil de surveillance des salariés : selfie pour prouver qu'on est devant sa machine, signaux client-side, baselining comportemental contre le groupe de pairs, et dérivation depuis les données RH de ce que le salarié devrait faire. Pas un mot sur le RGPD, la proportionnalité, l'information des instances représentatives, ni sur le fait qu'un containment révoqué après entretien du salarié et de son manager a une qualification en droit du travail. C'est le premier obstacle de transposition, et il est absent du texte. ### L'appel à l'industrie, utile comme grille de lecture des offres à venir 1. Architectures ouvertes — API standardisées d'introspection d'agent, moyen standard d'analyser chaîne de raisonnement et usage d'outils en temps réel. 2. Standards d'identité agentique — annotations rendant chaque action attribuable à un agent + un utilisateur contrôlant + une tâche. 3. Frameworks de décision externalisée — faire d'un point d'évaluation de politique opéré par l'entreprise cliente un first-class citizen de tout produit SaaS. Le plus lourd politiquement : il demande aux éditeurs d'accepter qu'un tiers décide des accès dans leur produit. Le NIST a lancé un effort sur la sécurité des agents. ### Lecture de positionnement BeyondCorp (2014) n'était pas un produit mais une publication qui a créé une catégorie — le ZTNA/SASE, devenu un marché en une décennie. Beyond Zero rejoue le même mouvement : publier tôt, en CC BY, dans une revue de praticiens, avec un appel à normalisation. À lire comme un document de structuration de marché autant que comme une architecture. Publié la veille du retour d'expérience d'Anthropic sur son SDLC sécurisé — [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]] : Anthropic sécurise la production de code par les agents, Google l'accès des agents aux données. Désambiguïsation : l'enterprise world model de cet article (représentation vivante de l'organisation servant l'autorisation) n'a aucun rapport avec les world models génératifs de Google DeepMind, bien que les deux viennent de Google. Même expression, objets distincts — à ne pas fusionner dans le graphe.