Face à la montée en puissance des agents d’IA, qui accélèrent le rythme des opérations en entreprise, Google annonce Beyond Zero, un nouveau modèle de sécurité. Ce paradigme vise à étendre les concepts de confiance zéro jusqu’au niveau de l’autorisation de chaque action, sécurisant tant les humains que les agents sans surcharger l’expérience utilisateur.

L’approche, présentée initialement dans le papier « Beyond Zero: Enterprise Security for the AI Era » publié dans ACM Queue, repose sur cinq principes fondamentaux. Elle vise à remplacer l’autorisation globale par une évaluation fondée sur l’action et la ressource individuelle. Cette nuance est importante, car elle permet, par exemple, de différencier l’accès à une donnée spécifique de l’accès à l’application dans son ensemble.

Le modèle Beyond Zero intègre une sécurité à la fois statique et dynamique. Des politiques statiques granulaires sont associées à des contrôles dynamiques qui appliquent des mesures de sécurité accrues lors de scénarios complexes ou à haut risque. De plus, le système est conçu pour s’enrichir automatiquement en contexte, analysant qui fait quoi, sur quelle donnée, et quels risques sont potentiels.

Ce système peut, en cas de signaux de risque, déclencher des enquêtes automatiques ou imposer des défis de vérification. Un agent d’IA tente une action ; si le contexte est suspect, le système peut lui demander de fournir des données de télémétrie supplémentaires avant d’autoriser le passage. C’est une granularité inédite.

Le défi de la vitesse et de l’autonomie

Cette transition répond à une réalité nouvelle. Selon Chris Betz, CISO de Google Cloud, le secteur a franchi un seuil où les attaques peuvent atteindre une vitesse et une sophistication qui dépassent la capacité de réponse humaine manuelle. Les entreprises ne gèrent plus des applications statiques, mais un « tissu vivant d’agents autonomes » qui gèrent des contrats ou des chaînes logistiques en temps réel.

Les risques ne se limitent plus aux fuites de données classiques. L’enjeu majeur devient l’intégrité des décisions. Lorsqu’un agent prend une décision importante, il faut pouvoir reconstituer l’intégralité du processus : quelles données sont entrées, comment le modèle a raisonné, quels outils a-t-il appelés, et pourquoi la politique l’a autorisé. Sans cette « trace de décision » inviolable, on ne peut ni auditer, ni faire confiance à ces systèmes.

Le modèle Beyond Zero cherche à résoudre cette tension entre l’agilité qu’apportent les agents et la nécessité d’un contrôle total. Il pousse la vérification au niveau de chaque transaction, traitant chaque agent comme une « identité de première classe » dotée de ses propres accès strictement limités.

Au-delà de la défense logicielle

Cette évolution vers des systèmes autonomes complexes doit être vue en parallèle avec les efforts contre les menaces plus classiques. D’ailleurs, d’autres rapports soulignent la complexification des escroqueries transnationales. Les pertes dans la région Asie-Pacifique ont atteint 114,1 milliards de dollars US en 2025, et plus de 40 % des consommateurs d’ASEAN ont signalé avoir été victimes de fraudes, selon un rapport de l’ONU cité par Google.

Face à cela, Google renforce ses défenses sur ses plateformes. Par exemple, Android a introduit une détection des appels frauduleux pilotée par l’IA, fonction basée sur la technologie RCS ouverte. L’entreprise participe aussi à des initiatives collectives, comme l’Accord industriel contre les escroqueries en ligne, pour partager les renseignements sur les menaces.

Si la proposition de Beyond Zero concerne la sécurisation interne des processus autonomes d’entreprise, les actions en Asie-Pacifique montrent que la bataille est menée sur deux fronts : les infrastructures internes sophistiquées et la résilience communautaire face aux fraudes organisées. Google continuera de partager des détails techniques et des stratégies de déploiement au fur et à mesure de son travail.

Sources

• Going Beyond Zero: A New Paradigm For Enterprise Security, blog.google
• Working collaboratively to fight scams in Asia Pacific, blog.google
• Cloud CISO Perspectives: Our security forecast for 2027, Google Cloud, 9 novembre 2026