Principaux enseignements
- L'IA agentique est déjà déployée dans le secteur financier : contrôles de conformité, surveillance des transactions, préparation des audits, déclarations réglementaires… Par défaut, les agents opèrent sans aucune inspection de fichiers.
- Les agents financiers se connectent à des prestataires de paiement, à des progiciels de gestion intégrée (ERP), à des bases de données réglementées et à des portails d'audit. Chaque connexion constitue une frontière de confiance ; un seul fichier infecté peut les compromettre toutes.
- Les logiciels malveillants traditionnels (Emotet, Carbanak, FIN7) et les menaces émergentes (injection de messages) exploitent la confiance accordée aux agents à la vitesse de l'ordinateur, avant même qu'un être humain ne puisse intervenir.
- Les normes DORA, PCI DSS, les règles de la SEC en matière de divulgation des incidents cybernétiques, ainsi que les dispositions de la FINRA et de la FFIEC imposent toutes une gouvernance des processus de travail des agents, avec des obligations de signalement des incidents qui s'appliquent dès qu'un agent commet une erreur dans le traitement d'un dossier.
- L'inspection des fichiers avant leur traitement par l'agent est le contrôle essentiel qui fait défaut. MetaDefender™ Cloud intercepte chaque fichier grâce à plus de 20 moteurs, à la technologie Deep CDR™ et à Adaptive Sandbox , avant même que l'agent n'y ait accès.
Le mois de juillet 2026 a été pour le moins intéressant en matière de sécurité des IA agentiques. Anthropic et OpenAI ont toutes deux fait la une de l'actualité avec des événements majeurs ; ces deux entreprises ont en effet été impliquées dans des cas où des agents ont réussi à s'échapper de leurs environnements de test et à pirater des serveurs pourtant sécurisés.
Cette nouvelle n’a surpris personne. Dès février 2026, des études mettant en évidence la tendance des agents à se rebeller lorsqu’ils sont laissés sans surveillance ont commencé à faire surface. L’une d’entre elles, intitulée « Agents of Chaos », révèle que les agents sont capables de :
- se conformer aux consignes des non-propriétaires
- divulguer des données sensibles
- effectuer des actions destructrices au niveau du système
- se transmettre mutuellement des pratiques dangereuses
En résumé, l'IA agentique n'est pas encore, à l'heure actuelle, prête à prendre entièrement en charge les tâches quotidiennes. Cela n'est nulle part plus évident que dans le domaine de la finance, où l'autonomie des agents IA dépasse déjà le cadre de la surveillance.
Votre agent chargé de la conformité a traité environ 300 documents ce mois-ci, en extrayant des dossiers administratifs, des factures, des relevés de fournisseurs et des fichiers d'audit provenant des quatre coins de votre environnement de stockage. À quel moment de ce processus a-t-il vérifié si l'un de ces fichiers était réellement sécurisé ?
Si vous n'êtes pas sûr de la réponse :
- Vous n'êtes pas le seul ; la plupart des organismes financiers ne le font pas non plus.
- Répondre à cette question devrait être votre priorité n° 1.
Comment l'IA agentique élargit la surface d'attaque dans le secteur financier
En 2025, Gartner a constaté que 59 % des responsables financiers avaient mis en œuvre l'IA au sein de leurs services financiers. Bien que les chiffres pour 2026 ne soient pas encore disponibles, on peut supposer que les taux d'adoption ont augmenté. Les agents IA sont utilisés pour les contrôles de conformité, la surveillance des transactions, la préparation des audits ou les déclarations réglementaires.
Prenons l'exemple d'un processus mensuel type de contrôle de conformité. Un agent :
- Récupère des documents depuis SharePoint, Box ou Amazon S3
- Analyse et extrait les données, puis les valide en les comparant aux pièces justificatives
- Interroge Salesforce ou Stripe pour régulariser les écarts de paiement
- Crée des tickets Jira et les transmet au service financier ou au service juridique
- Envoie une notification aux équipes concernées via Teams ou par e-mail
- Élabore des rapports de conformité réglementaire et les exporte vers des parties prenantes externes
Cela représente six étapes, plusieurs systèmes et aucune vérification des fichiers. Chaque document qui entre dans le processus est considéré comme fiable. C'est à la fois le principe même du système et le problème qu'il pose.
Pourquoi les flux de travail financiers sont-ils davantage exposés aux risques de sécurité liés à l'IA agentique ?
À l'exception des hacktivistes ou des acteurs soutenus par des États, la plupart des cyberattaquants s'attaquent principalement aux secteurs les plus lucratifs, sans autre objectif que celui-là. L'année dernière, les secteurs visés étaient l'industrie manufacturière, la santé, la finance et les administrations publiques ; autant de secteurs disposant à la fois de riches bases de données et ayant beaucoup à perdre.
Dans le cas d'un vol direct, les pirates s'attaquent aux réseaux de paiement, aux comptes bancaires et aux infrastructures blockchain afin de détourner directement des fonds. Les organismes financiers sont également pris pour cible en raison de la pression intense à laquelle ils sont soumis pour assurer la continuité de leurs activités, respecter la conformité et préserver la confiance du public, ce qui les rend plus enclins à payer des rançons pour récupérer l'accès à leurs systèmes.
Les opérations spécifiques à un secteur d'activité peuvent également entrer en ligne de compte. Les flux de travail d'Agentic s'interfacent avec des prestataires de paiement, des systèmes ERP, des portails réglementaires, des solutions de stockage dans le cloud et des portails d'audit. Chacune de ces connexions constitue une « frontière de confiance », et chaque frontière de confiance représente un point de défaillance unique potentiel.
L'IA agentique gagne du terrain grâce à sa rapidité d'exécution, comparable à celle d'une machine, et à toutes les promesses de gains de productivité qui en découlent. Mais c'est justement dans cette rapidité que réside le danger.
Auparavant, la seule chose qui permettait de repérer une facture malveillante ou un rapport d'audit infecté était le fait qu'un utilisateur prenne le temps de réfléchir avant de l'ouvrir. L'IA d'Agentic supprime complètement ce point de contrôle. Un fichier infecté qui aurait autrefois passé une journée dans la boîte de réception d'un utilisateur est désormais analysé, lu et traité en quelques secondes.
Les entreprises sont également confrontées au problème des employés qui utilisent des outils d'IA en dehors des canaux réglementés ou qui partagent des données non autorisées avec ces outils. En 2023, des ingénieurs de Samsung ont téléchargé du code source propriétaire et des comptes-rendus de réunions internes sur ChatGPT. L'été dernier, le directeur par intérim de la CISA a téléchargé des documents gouvernementaux sensibles dans une session publique de ChatGPT.
Si des outils de messagerie instantanée non réglementés peuvent déjà entraîner un tel risque d'exposition, les flux de travail automatisés non réglementés, qui disposent d'un accès direct aux systèmes de paiement et aux données réglementaires, augmentent considérablement les enjeux.
Scénarios de menaces réelles pour l'IA agentique dans le secteur financier
Les familles de logiciels malveillants qui ciblent le secteur financier depuis plus d’une décennie n’ont pas besoin d’évoluer beaucoup pour exploiter les flux de travail « agentiques ». Appelez cela des logiciels malveillants « agentiques » basés sur l’IA si vous le souhaitez : mêmes charges utiles, mais une propagation plus rapide et nécessitant moins de supervision. Pour n’en citer que quelques-uns :
- Emotet, ce cheval de Troie bancaire s'est propagé pendant des années via des e-mails de spam déguisés en factures et avis de paiement, utilisant des documents Word comportant des macros comme vecteur de diffusion ; la CISA l'a classé parmi les familles de logiciels malveillants dont la remédiation est la plus coûteuse. Dans un workflow automatisé, le mécanisme s’applique directement. Un agent ingère la pièce jointe « facture » dans le cadre du traitement courant des documents. En l’absence de sécurité des fichiers assurée par un agent IA à ce stade, rien ne l’empêche de la synchroniser dans SharePoint, dans le cadre de l’indexation normale, ou de la partager sur Teams par l’agent lui-même.
- Carbanak était un braquage bancaire d’un milliard de dollars réalisé à l’aide de factures malveillantes. Les attaquants ont utilisé des pièces jointes Word et CPL malveillantes pour s’introduire dans le système, puis se sont déplacés à travers les systèmes internes pour atteindre les services de traitement des paiements, les distributeurs automatiques de billets et les virements SWIFT. Le braquage initial a nécessité environ deux ans de mouvements latéraux patients menés par des opérateurs humains. Dans un environnement agentique, un agent disposant d’un accès permanent aux systèmes ERP ou de paiement pourrait, en principe, atteindre la même catégorie de systèmes en une seule action automatisée.
- FIN7 a bâti sa carrière sur des e-mails de spear-phishing contenant des documents Office qui exploitaient des vulnérabilités connues, ce qui a conduit au vol d’identifiants et à l’exfiltration de données de cartes de paiement et de dossiers financiers auprès de plus de 100 organisations. Il suffit de transmettre ce même document à un agent disposant de droits autonomes pour traiter les e-mails ou les fichiers pour que l’ingestion, l’exposition des identifiants et l’exfiltration s’enchaînent sans qu’une personne n’ait jamais examiné le fichier.
- L’injection de prompt est une menace qui est déjà bien réelle, et non plus hypothétique. Microsoft a révélé l’existence d’EchoLeak (CVE-2025-32711), une vulnérabilité d’injection de prompt « zéro clic » dans Microsoft 365 Copilot, où des instructions cachées intégrées dans un e-mail poussaient Copilot à les exécuter automatiquement. L’injection de prompt est une nouvelle catégorie d’attaques qui ne nécessite même pas de logiciel malveillant pour fonctionner ; elle ne peut donc absolument pas être identifiée par une détection basée sur les signatures. C’est précisément ce qui en fait la plus difficile à détecter parmi les quatre.
Quant à la réalité du secteur financier :
- Le coût moyen d'une violation causée par Shadow AI peut atteindre 4,63 millions de dollars, soit 670 000 dollars de plus qu'une violation classique.
- Près de la moitié (48 %) des professionnels de la sécurité ont classé l'IA agentique comme le premier vecteur d'attaque en 2026.
- Et seules 33 % des organisations disposent des données de base nécessaires à la mise en place de pratiques solides en matière de sécurité de l'IA.
Comment les cadres réglementaires régissent l'IA agentique
La plupart des cadres réglementaires du secteur financier ont déjà intégré l'IA agentique dans leurs règles de conformité, en imposant aux organisations de faire correspondre le comportement des agents aux mêmes dispositifs de contrôle que ceux utilisés pour les autres flux de travail. L'IA agentique constitue donc un enjeu réglementaire et se trouve au cœur de la manière dont les contrôleurs définissent désormais les risques liés à l'IA dans les services financiers.
- DORA considère les agents d’IA comme des systèmes TIC. La loi étant en vigueur depuis le 17 janvier 2025, les entités financières de l’UE doivent intégrer les défaillances des agents dans les mêmes piliers de gestion des risques TIC, de signalement des incidents et de tests de résilience qui s’appliquent à tous les autres systèmes. L’autorité allemande BaFin l’a confirmé directement dans ses lignes directrices de janvier 2026 : les agents et les modèles de langage (LLM) ne bénéficient d’aucun régime distinct et doivent s’inscrire dans les cadres de gouvernance et de tests DORA existants. Un dossier mal géré par un agent constitue, au sens de la DORA, un incident TIC comme un autre.
- PCI DSS s'applique à tout système qui stocke, traite ou transmet des données de titulaires de cartes, ou qui pourrait compromettre la sécurité de ces données ; le Conseil des normes de sécurité PCI a explicitement précisé que cela inclut les systèmes d'IA ayant accès à des informations de paiement protégées. Une facture ou un relevé traité par un agent relève du champ d'application de la norme PCI au même titre qu'un système géré par un humain, ce qui signifie que les mêmes contrôles s'appliquent, qu'il s'agisse d'un agent ou non.
- Règles de la SEC en matière de divulgation des incidents de cybersécurité imposent aux sociétés cotées de divulguer les incidents de cybersécurité significatifs dans un délai de quatre jours ouvrés à compter de la constatation de leur caractère significatif. La règle ne fait aucune distinction entre un incident provoqué par une erreur humaine et un incident provoqué par un agent autonome. Si un fichier sur lequel un agent a agi s'avère exposer des données significatives, le délai de divulgation commence à courir de la même manière que pour toute autre violation.
- La FINRA et la FFIEC ont placé la gouvernance de l'IA au cœur de leur examen. Le rapport annuel 2026 de la FINRA sur la surveillance réglementaire consacre sa première section à l'IA générative et à l'IA agentique, en formulant des attentes concernant les tests, la surveillance, la vérification humaine et la conservation des données relatives aux activités pilotées par l'IA.
En résumé : une infection de type « file-based » propagée par l'IA peut déclencher un incident informatique au sens de la loi DORA, constituer une violation du champ d'application de la norme PCI DSS, donner lieu à une évaluation de l'importance relative au regard des règles de la SEC, et être signalée comme une lacune en matière de surveillance par les inspecteurs de la FINRA ou de la FFIEC.
Cinq mesures à l'intention des responsables de la sécurité financière
Comme annoncé, le contrôle de l'IA agentique s'effectue au niveau du fichier ; en d'autres termes, tout commence par une question : que contientle fichier que cet agent s'apprête à traiter ?
À partir de cette réponse, on peut dégager un ensemble de bonnes pratiques (qui devraient devenir des habitudes) :
- Considérez toutes les données entrantes comme non fiables, y compris les fichiers provenant de sources internes de confiance, et acheminez-les via une couche d'analyse dédiée avant même qu'un agent n'y ait accès.
- En partant du principe du « zéro confiance », combinez des politiques de sécurité et d'inspection à plusieurs niveaux afin de déterminer si le fichier est compromis ou non.
- Définir ce que l'on entend par « actions destructrices » dans le contexte de l'IA agentique, puis établir des définitions explicites des politiques.
- Vérifiez et sécurisez les chemins de circulation des données entre les systèmes utilisés par vos agents : stockage, CRM, prestataires de paiement, gestion des tickets, outils de communication.
- Protégez les environnements de stockage tels que SharePoint et S3 grâce à une analyse déclenchée par les événements, afin que les fichiers soient vérifiés dès leur arrivée, et non après qu’un agent soit déjà intervenu sur ceux-ci.
Comment la solution « Cloud » de MetaDefender™ s'intègre dans le pipeline
Les scénarios de menace évoqués ci-dessus ne sont techniquement possibles que si un fichier parvient à un agent avant que quiconque n’ait confirmé qu’il est inoffensif. MetaDefender™ Cloud intervient et élimine la menace. Voici comment.
Un fichier entre dans le pipeline, qu’il provienne d’une boîte de réception, d’un disque partagé ou d’un portail de téléchargement. MetaDefender Cloud l’intercepte avant même que l’agent IA n’y ait accès. À partir de là, plus de 20 moteurs anti-malware (grâce à la technologie Metascan™ Multiscaning ), la technologie Deep CDR™, Proactive DLP™ et la Adaptive Sandbox fonctionnent en parallèle :
- Les moteurs recherchent des signatures connues.
- La technologie Deep CDR™ découpe et reconstitue le fichier de manière à ce qu'aucun contenu actif ne subsiste, qu'il ait été détecté ou non.
- L'outil « Adaptive » (Sandbox ) exécute des fichiers dans un environnement isolé afin d'observer leur comportement.
- Proactive DLP masque les données sensibles avant qu'elles ne soient transmises.
Si le fichier est malveillant, il est bloqué avant même d'atteindre les agents connectés. Et l'ensemble du processus peut être mis en correspondance avec les éléments de preuve exigés par les auditeurs DORA, PCI DSS et SEC.
Sans MetaDefender Cloud , le workflow agentique fonctionne à l’aveugle ; les fichiers sont directement intégrés dans le workflow d’IA sans aucune analyse à aucun stade de ce parcours, de sorte que les logiciels malveillants, les macros malveillantes et les injections de prompt passent inaperçus. Personne n’a de visibilité sur le contenu des fichiers ni sur les menaces qu’ils contiennent jusqu’à ce qu’un incident survienne en aval. Un seul document malveillant peut se transformer en incident à l’échelle de l’entreprise en quelques minutes, compte tenu de la rapidité avec laquelle un agent peut se synchroniser, partager et agir. Et lorsqu’une autorité de régulation demande finalement des preuves de ce qui s’est passé et à quel moment, il n’y a aucune piste d’audit à fournir.
Grâce à cela, ce même fichier passe par un point de contrôle avant même que l'agent ne le détecte. L'idée principale consiste à déplacer l'emplacement de ce point de contrôle. En le plaçant en amont de l'agent, la vitesse de ce dernier cesse d'être un handicap. C'est là tout le principe d'une sécurité basée sur l'IA agentique bien conçue.
Commencez avec MetaDefender Cloud
L'IA agentique démontre tout ce qu'il est possible de réaliser lorsque les contrôles de conformité, la préparation des audits et la surveillance des transactions s'effectuent en quelques minutes au lieu de plusieurs jours. Mais un fichier infecté arrive, et rien ne parvient à l'arrêter.
Voulez-vous imaginer les conséquences d'une telle vitesse en cas d'erreur ou de fichier malveillant, lorsqu'aucun contrôle n'est effectué au préalable ? Déplacez le point de contrôle. Placez-le en amont de l'agent plutôt qu'après l'incident, et l'exposition aux menaces liées aux fichiers ne sera plus une question de chance.
Discutez avec un expert de la sécurisation de votre pipeline d'IA agentique avec MetaDefender Cloud .
Questions fréquemment posées
Qu'est-ce que l'IA agentique et pourquoi engendre-t-elle de nouveaux risques en matière de cybersécurité ?
L'IA agentique désigne les systèmes d'IA capables de récupérer des données de manière autonome, d'effectuer des actions sur l'ensemble des systèmes connectés et de mener à bien des tâches en plusieurs étapes sans nécessiter l'approbation d'un humain à chaque étape. Dans le domaine de la finance, cette autonomie signifie qu'un simple fichier peut déclencher des actions telles que l'extraction de données, des requêtes système, la création de tickets ou la génération de rapports externes, le tout avant même qu'un humain ne l'ait examiné.
Comment un seul fichier infecté peut-il compromettre le fonctionnement d'un agent d'IA ?
Un agent peut récupérer un fichier malveillant à son insu, puis effectuer des opérations sur celui-ci. Il peut s'agir de synchroniser le fichier sur différents systèmes de stockage, de le partager via des canaux de communication ou d'exécuter le code intégré dans le contexte d'exécution propre à l'agent, le tout sans passer par l'étape de vérification manuelle qui permettait auparavant de détecter ces attaques.
Qu'est-ce que l'injection de prompt et quel est son impact sur les agents d'IA financiers ?
L'injection de prompts consiste à dissimuler des instructions au sein d'un document, que l'agent d'IA interprète comme des commandes. Comme aucun code malveillant n'est impliqué, les antivirus traditionnels et les outils de détection de logiciels malveillants ne la signalent pas, ce qui la rend particulièrement difficile à détecter dans les flux de travail financiers qui traitent de grands volumes de documents externes.
En quoi l'IA « fantôme » expose-t-elle les établissements financiers à des fuites de données ?
Le terme « Shadow AI » désigne l'utilisation par les employés d'outils d'IA en dehors des canaux approuvés et réglementés. Une fois que ces données échappent au contrôle de l'entreprise, elles ne peuvent plus être récupérées et il n'existe aucune piste d'audit à des fins de conformité.
Quelles sont les réglementations applicables à l'IA agentique dans le secteur des services financiers ?
Les normes DORA, PCI DSS, les règles de la SEC en matière de divulgation des incidents cybernétiques et les normes d'inspection de la FINRA/FFIEC concernent toutes l'utilisation de l'IA agentique dans le secteur financier, bien qu'aucune n'ait été rédigée spécifiquement à cet effet. Chacune d'entre elles exige une combinaison de mesures de gouvernance, de tests, de traitement des données validées et de signalement des incidents, auxquelles les flux de travail agentiques doivent se conformer.
Comment puis-je ajouter une protection des fichiers à un pipeline d'agents IA existant ?
Intégrez une couche d'analyse dédiée entre la réception des fichiers et leur traitement par l'agent. Chaque fichier est ainsi inspecté avant que l'agent n'intervienne, plutôt que de compter sur l'agent lui-même pour détecter les contenus malveillants.
En quoi l'analyse des fichiers se distingue-t-elle des antivirus classiques ?
Les solutions antivirus traditionnelles s'appuient principalement sur des signatures de logiciels malveillants connues. MetaDefender Cloud combine plusieurs techniques d'analyse, la technologie Deep CDR™ (qui reconstitue les fichiers afin d'en extraire tout contenu actif potentiellement malveillant) et le sandboxing pour détecter les menaces « zero-day » et les documents malveillants que les outils basés sur les signatures ne parviennent pas à détecter.
Quelle est la différence entre la sécurité basée sur l'IA agentique et la sécurité traditionnelle des terminaux ?
La sécurité traditionnelle des terminaux protège l'appareil sur lequel un fichier est stocké. La sécurité par IA basée sur des agents doit protéger l'ensemble du pipeline, depuis l'ingestion jusqu'à tous les systèmes auxquels l'agent se connecte. Un outil de sécurité des terminaux ne détecte un fichier que s'il passe par un appareil géré ; un agent, quant à lui, peut ingérer, transformer et traiter un fichier au sein de solutions de stockage dans le cloud, d'outils SaaS et de systèmes de paiement sans qu'un terminal géré n'intervienne jamais.
Les attaques par injection de prompt peuvent-elles être détectées par les outils de sécurité traditionnels ?
Non. L’injection « Prompt » dissimule des instructions en texte clair au sein d’un document ; il n’y a ni code malveillant, ni faille d’exploitation, ni signature à détecter. Les antivirus traditionnels et les outils EDR ne sont pas en mesure de la détecter. La détection nécessite une inspection tenant compte du contenu et un environnement de test (sandboxing) permettant d’observer le comportement d’un agent IA lors du traitement du document, ce qui est précisément ce qu’offre la solution « Adaptive »Sandbox de MetaDefender Cloud .
