8 actus IT chaudes de la semaine

Ce qui manque dans les comités où je siège, ce n'est pas « qu'est-ce qu'on autorise à l'agent » mais « qu'est-ce qu'il fait avant même qu'on lui ait rien demandé ». GitSpawn le prouve noir sur blanc : dans aucune des équipes produit touchées, personne n'a un jour statué que l'agent aurait le droit d'exécuter du code au contact d'un dépôt inconnu — ce droit est arrivé emballé avec le comportement par défaut, jamais nommé, jamais signé par personne. C'est exactement ce que confirme l'étude Okta publiée cette semaine : 88 % des RSSI français constatent du Shadow AI dans leurs équipes, mais quand ils le détectent, un quart se contente de notifier l'utilisateur et de rappeler la politique interne — comme si le sujet relevait d'un manquement individuel plutôt que d'une délégation de droits jamais instruite en amont. Un agent n'est pas une fonctionnalité qu'on active : c'est un périmètre d'action qu'on délègue à quelque chose qui décide seul de ce qu'il regarde et de ce qu'il exécute pour « être utile » — et déléguer des droits, c'est un acte de management, jamais une case cochée dans un onboarding produit. Ce que je fais changer dans mes missions depuis cet été : l'audit d'un agent avant déploiement ne porte plus seulement sur ce qu'on l'autorise à faire sur demande, mais sur son comportement par défaut, hors toute instruction — et ce comportement-là remonte désormais au même niveau de validation qu'un accès réseau accordé à un prestataire externe. Ça ajoute une heure de comité. Ça évite de découvrir, comme cette semaine, qu'un simple git status suffisait à tout perdre.