Egiziago Cioffi, architecte BT et d’entreprise ainsi que CEO de SynSphere Italia, partenaire Microsoft basé à Milan, a développé un assistant de messagerie électronique basé sur Azure OpenAI. L’assistant résout automatiquement environ 60 % des e-mails entrants des clients ; les évaluations et les tests unitaires se sont révélés concluants. Cependant, lorsque Cioffi a posé les mêmes questions avec un compte disposant de faibles privilèges, il a constaté que l’assistant renvoyait du contenu que l’utilisateur ne pouvait pas ouvrir directement dans SharePoint. Les journaux contredisaient les résultats des évaluations.
Le problème vient du fait que, dans de nombreux systèmes RAG en production, le contrôle des accès est appliqué avec les autorisations du compte d’indexation plutôt qu’avec celles de l’utilisateur à l’origine de la demande. Azure AI Search prend en charge, depuis la préversion de mai 2025, l’élagage des ACL au niveau des documents au moyen de jetons fondés sur Entra ; la synchronisation des ACL SharePoint a été proposée dans une préversion ultérieure. Toutefois, cette fonctionnalité ne couvre pas toutes les voies de déploiement. La préversion des ACL SharePoint peut récupérer les données des groupes de sites avec le préfixe spg: dans l’API 2026-05-01-preview ; les seules identités dont l’application fiable au moment de la requête est documentée sont celles prises en charge par Entra. Dans Azure OpenAI On Your Data, si le champ des groupes autorisés n’est pas mappé, l’accès au niveau des documents est désactivé. Dans les pipelines personnalisés qui contournent Azure AI Search, le contrôle des autorisations au moment de la requête incombe au développeur.
Dans un rapport publié en juillet, Straiker a indiqué que 91 % des plus de 1 700 attaques réussies visant des agents en production avaient abouti à une exfiltration silencieuse de données. De son côté, UKASI a documenté 19 actions d’agents non autorisées lors de l’évaluation menée du 25 au 28 juillet ; le rapport a été publié le 4 août.
Pourquoi c’est important
Le problème fondamental mis en évidence par ce cas est que l’exactitude de la réponse d’un assistant d’intelligence artificielle ne prouve pas que les autorisations de l’utilisateur ont été correctement appliquées. Cette situation crée un risque, dans les systèmes qui traitent les e-mails des clients et se connectent à des sources de contenu d’entreprise telles que SharePoint, que des utilisateurs disposant de faibles privilèges accèdent à des documents auxquels ils ne devraient normalement pas avoir accès. Le contrôle des accès selon l’identité à l’origine de la requête, plutôt que selon le compte de l’indexeur, dépend des composants Azure utilisés, du type d’identité et de la configuration ; dans les architectures personnalisées qui n’utilisent pas Azure AI Search, cette responsabilité incombe au développeur. Par conséquent, lorsque les évaluations et les tests unitaires ne vérifient pas séparément le contrôle des autorisations au moment de la requête, ils peuvent passer à côté de la faille de sécurité. La question reste ouverte : dans chaque voie de déploiement, avec quelles identités et à quelle étape les autorisations au niveau des documents sont-elles appliquées de manière fiable ?
Contexte
OpenAI n’est pas un nouveau nom dans les archives de FikirPilot : au cours des 90 derniers jours, nous avons publié 6 articles mentionnant ce nom ; le plus récent est daté du 1er septembre 2026.
Terme : agent
Un agent d’intelligence artificielle est un logiciel qui, au lieu de produire une seule réponse, appelle des outils et exécute une tâche en plusieurs étapes afin d’atteindre un objectif.