L’étude montre que les entreprises accordent aux agents IA l’accès à leurs systèmes critiques plus vite qu’elles ne mettent en place des garde-fous. Sans une sécurité complète des systèmes d’identité, les attaquants peuvent accélérer la compromission d’Active Directory, d’Entra ID ou d’Okta.
Semperis, spécialiste de la cyber-résilience et de la gestion de crise centrées sur l’identité, publie aujourd’hui les résultats d’une étude mondiale multisectorielle menée auprès de 1 100 organisations, visant à comprendre l’impact de l’IA sur la surface d’attaque des systèmes d’identité tels qu’Active Directory, Entra ID et Okta. L’étude révèle que l’IA redessine discrètement les contours des surfaces d’attaque des identités à l’échelle mondiale, et que les entreprises accordent aux agents IA l’accès à leurs systèmes critiques plus rapidement qu’elles ne mettent en place des garde-fous autour de ces nouvelles identités.
L’étude State of Identity Security in the AI Era révèle que 74 % des organisations en France, aux États-Unis, au Royaume-Uni, en Allemagne, en Espagne, en Italie, à Singapour et en Australie estiment que l’IA va intensifier les attaques contre l’infrastructure d’identité. Par ailleurs, 93 % font déjà appel à des agents IA ou prévoient de le faire pour des tâches de sécurité sensibles telles que la réinitialisation de mots de passe et l’accès VPN. 92 % indiquent que l’IA est installée sur au moins une partie des postes de travail avec accès aux clés SSH et de chiffrement. À l’échelle mondiale, seuls 32 % se disent très confiants dans leur capacité à reprendre le contrôle en cas d’exposition de leurs identifiants administrateurs. Aux États-Unis, 53 % des entreprises expriment cette confiance ; en France, ce chiffre tombe à 12 %.
« L’accélération du déploiement de l’IA génère une multitude de nouveaux agents au sein des entreprises mondiales, chacun doté de sa propre identité non humaine (NHI). Or, beaucoup d’entre elles font preuve d’un optimisme largement excessif quant à leur capacité à restaurer leur infrastructure d’identité après une compromission, alors même qu’elles ne cessent d’étendre ce paysage NHI », déclare Alex Weinert, directeur produit de Semperis.
À l’échelle mondiale, seules 65 % des organisations déclarent que les identités IA sont entièrement enregistrées, authentifiées et autorisées dans un système formel, et 6 % admettent ne pas les suivre du tout. Parmi les organisations qui effectuent ce suivi, 57 % utilisent le même système que pour les identités humaines, tandis que 43 % les authentifient et autorisent via un système distinct.
En France, l’écart de gouvernance est encore plus marqué : seules 53 % des organisations gouvernent pleinement leurs identités IA, soit 12 points en deçà de la moyenne mondiale et 19 points en dessous de l’Allemagne (72 %). Plus frappant encore, 11 % des organisations françaises admettent ne pas suivre leurs identités IA, soit le double de la moyenne mondiale (6 %) et le chiffre le plus élevé parmi les huit pays étudiés.
« Ce que révèle l’étude Semperis sur l’IA, ce n’est pas seulement la vitesse à laquelle l’IA s’intègre aux systèmes d’identité, mais le manque de préparation de nombreuses organisations pour se relever quand les choses tournent mal. Introduire l’IA au niveau de la couche d’identité présente des avantages opérationnels, mais cela doit s’accompagner de garde-fous, d’observabilité et d’une véritable capacité de reprise. C’est, au fond, une nouvelle dimension d’une question ancienne : êtes-vous suffisamment résilient pour faire face à une perturbation critique ? » déclare Grace Cassy, associée chez Ten Eleven Ventures.
Les organisations sont-elles prêtes face aux compromissions d’identité provoquées par l’IA ?
L’étude soulève une préoccupation majeure : l’IA est déployée à proximité d’infrastructures d’identité sensibles, alors que trop peu d’organisations se préparent aux conséquences potentielles. Plus d’un quart des organisations interrogées (29 %) font déjà appel à des agents IA pour gérer des tickets d’assistance liés à la sécurité, notamment la réinitialisation de mots de passe et les accès VPN. 65 % supplémentaires prévoient de le faire dans l’année à venir. Parallèlement, 92 % des répondants indiquent qu’une partie de leurs collaborateurs dispose de l’IA installée sur des postes locaux pouvant accéder aux clés SSH et de chiffrement.
La France se distingue par la vulnérabilité de sa posture en matière de sauvegardes : les organisations françaises mettent à jour leurs sauvegardes immuables et air-gapped seulement 10,6 fois par semaine en moyenne, contre 17,5 fois à l’échelle mondiale, soit le taux le plus faible parmi les huit pays étudiés et 40 % en deçà de la moyenne mondiale. À titre de comparaison, l’Australie, les États-Unis et l’Italie atteignent environ 20 mises à jour par semaine.
« La tendance à surestimer sa capacité de reprise après une cyberattaque est un phénomène bien réel à l’échelle mondiale, en particulier lorsque l’identité se trouve dans le périmètre d’impact. Sur le papier, les organisations disposent de plans et de sauvegardes ; dans les faits, les défaillances d’identité transforment des incidents techniques en crises commerciales prolongées, révélant un écart dangereux entre résilience perçue et réalité », déclare Chris Inglis, premier directeur national de la cybersécurité des États-Unis et conseiller stratégique de Semperis.
« Le nombre croissant d’agents IA, chacun doté de sa propre identité non humaine (NHI), aggrave une problématique déjà bien réelle : les entreprises peinent à sécuriser une présence numérique qui ne cesse de s’étendre », explique Guido Grillenmeier, Principal Technologist EMEA chez Semperis. « Les agents IA peuvent amplifier les risques cyber, notamment lorsque des attaquants cherchent à s’en servir pour escalader des privilèges. Cette même dynamique offre toutefois aux entreprises l’opportunité d’affiner leurs stratégies de sécurité, de gagner en transparence sur les identités, et de renforcer leurs capacités défensives et leur résilience à un niveau inédit ».
Point positif : 83 % des répondants ont indiqué que la gouvernance des identités IA constitue une priorité pour les prochains mois.
Comment les organisations peuvent-elles gouverner ces identités difficiles à contrôler ?
Quelques bonnes pratiques à suivre :
- Traiter les agents explicitement comme des NHI au sein du tissu d’identité.
- Appliquer des principes de moindre privilège, d’accès suffisant et d’accès en temps réel (just-in-time) aux agents, avec la même rigueur que pour les humains.
- Séparer les périmètres de confiance des agents et des humains le cas échéant.
- Recourir à des analyses de type UEBA pour détecter les comportements d’agents « zombies » ou anormaux.
- Veiller à ce que l’organisation soit en mesure de rétablir rapidement ses systèmes d’identité dans un état de confiance en cas de compromission.
Accédez à l’étude complète ici : https://www.semperis.com/the-state-of-identity-security-in-the-AI-era/
Méthodologie
Pour réaliser cette étude, Semperis s’est associée aux experts de Censuswide, cabinet international de conseil en études de marché. Au début de l’année 2026, Censuswide a interrogé 1 100 organisations en France, aux États-Unis, au Royaume-Uni, en Allemagne, en Italie, en Espagne, en Australie et à Singapour.
###
À propos de Semperis :
Semperis est un acteur de référence de la cyber-résilience et de la gestion de crise centrées sur l’identité, au service des plus grandes entreprises et agences gouvernementales à travers le monde. Conçue pour les environnements hybrides et multi-cloud, notamment Active Directory, Entra ID et Okta, la plateforme Semperis aide les organisations à prévenir, détecter, répondre et se remettre des cyberattaques ciblant les identités.
Les cyberattaques modernes se jouent désormais au niveau de l’identité, où les défaillances peuvent rapidement se transformer en crises majeures pour l’entreprise. La plateforme Semperis, enrichie par l’IA, unifie la défense du cycle de vie des identités et la gestion de crise : renforcement des infrastructures d’identité, détection et confinement des menaces actives, reprise rapide et fiable, et coordination sécurisée hors bande lorsque les systèmes critiques sont indisponibles, le tout soutenu par une équipe experte en forensic et réponse à incident.
Dans le cadre de sa mission, Semperis propose de nombreuses ressources à la cybercommunauté dont la conférence primée sur la protection de l’identité hybride HIP, le Podcast HIP, ainsi que les outils gratuits de protection des identités Purple Knight et Forest Druid. Plus de 1 000 organisations, dont plus de 25 % des 100 plus grandes entreprises américaines, font confiance à Semperis.
Entreprise privée, Semperis est basée à Hoboken (New Jersey) et accompagne des clients à l’échelle internationale, dans plus de 40 pays.
