Face à la multiplication des agents IA, capables de planifier des tâches et de provisionner des environnements de manière autonome, BlueFlag Security vient d’étendre sa plateforme de gouvernance pour contrôler spécifiquement les entités opérant sous identité de développeur. Cette mise à jour permet désormais de cartographier l’accès, le comportement et la supervision de tous les agents, qu’ils soient approuvés ou « fantômes », offrant même des options de remédiation automatisée.

Les chiffres sont sans appel : selon les données publiées par BlueFlag, 83 % des organisations utilisent des agents de codage IA qui n’ont pas reçu d’approbation formelle. Pire, 56 % des entreprises disposent d’agents autonomes fonctionnant avec leur propre identité. L’enjeu est d’autant plus grand que, lorsqu’un agent opère sous l’identité d’un développeur, celui-ci détient souvent des droits d’administrateur sans surveillance, et dans plus d’un cinquième des organisations, un agent autonome a déjà fusionné du code sans intervention humaine.

Raj Mallempati, PDG de BlueFlag Security, a résumé cette situation avec une franchise cinglante : « Un agent IA est maintenant l’identité la plus puissante et la moins gouvernée dans l’environnement de développement. » Il insiste sur le fait que ce niveau de confiance est, au mieux, malavisé, mais au pire, représente une menace potentiellement catastrophique pour l’entreprise.

Contrôle sur l’invisible du cycle de développement

La nouvelle fonctionnalité permet à la plateforme d’identifier et de classer chaque agent, qu’il soit humain, machine ou IA. Elle détermine si l’agent rédige, teste, révise ou déploie du code, et si son activité est rattachée à un développeur spécifique. Ce suivi ne s’arrête pas aux dépôts de code ; BlueFlag s’intègre avec des plateformes de détection des points d’extrémité (EDR) comme Crowdstrike et SentinelOne pour repérer les outils IA utilisés par les développeurs sur leurs machines personnelles, même si le code est généré en dehors du dépôt.

L’outil offre des mécanismes de supervision poussés. Il peut signaler les demandes de tirage (pull requests) validées par un agent IA ou les déploiements effectués sans révision humaine. Il permet aussi de forcer une vérification humaine avant toute fusion ou déploiement, permettant ainsi de documenter précisément où l’intervention humaine a eu lieu dans le processus.

De l’outil de codage à la gestion des risques

Le champ d’action de BlueFlag va au-delà du simple suivi des lignes de code. La plateforme établit un inventaire de toutes les applications du code qui emploient l’IA, détaillant les fournisseurs de modèles appelés et si le traitement s’effectue en interne ou chez un tiers. Chaque configuration est ensuite évaluée à l’aune de la liste OWASP Agentic Top 10 pour prioriser les actions correctives.

Un autre volet important concerne la mesure du retour sur investissement (ROI) de l’IA. BlueFlag croise les jetons consommés et les dépenses engagées avec le travail réel produit – commits, pull requests acceptées. Cela permet de déterminer, par modèle utilisé, si l’argent dépensé génère réellement du code utile ou si des licences payantes restent inertes.

Pour adresser les failles détectées, deux fonctionnalités de remédiation ont été ajoutées. Les utilisateurs peuvent choisir entre des instructions manuelles pas à pas, un script de remédiation généré automatiquement, ou un correctif en un clic, avec possibilité de retour arrière. Cela permet d’hygiéniser les identités sur-permissives ou de corriger les désalignements de configuration au sein des pipelines.

Kristie Pfosi, Directrice globale de la sécurité des systèmes d’information chez Marelli, a souligné l’urgence de ce contrôle interne : « Nous ne devrions pas avoir à accepter d’incertitudes dans notre propre environnement de développement, et l’IA agentique a agrandi ce fossé du jour au lendemain. »

Sources

• BlueFlag Security adds controls for AI agents working under developer identities, Help Net Security, 4 novembre 2026
• Exclusive: BlueFlag Security expands AI agent governance to cover unapproved coding agents, SiliconANGLE, 4 novembre 2026