Deux annonces, un seul jour, le même message
Le 27 juillet, plus de trente éditeurs ont versé en open source les contrôles de sécurité essentiels pour les agents sous l'égide de la Linux Foundation, et la brique d'identité des charges de travail de cet ensemble était SPIFFE et SPIRE. Adopter le standard qui décide de ce qu'un agent d'intelligence artificielle est autorisé à être est devenu gratuit ce matin-là. L'après-midi, Keyfactor annonçait son intention d'acquérir Cofide, une société britannique bâtie précisément sur ces standards et dont l'effectif tient en six personnes. Les conditions financières n'ont pas été divulguées, et l'équipe comme la technologie rejoignent immédiatement l'acquéreur.
Pourquoi c'est important : les deux événements paraissent se contredire et ne le font pas. L'un a fait de la spécification un bien public. L'autre a mis un prix sur la capacité à l'exploiter. Lus ensemble le même jour, ils répondent à une question que les dirigeants se posent depuis que des agents apparaissent en production : si le contrôle se standardise, le problème disparaît-il ? Non. Il change simplement de ligne budgétaire.
Ce que fait réellement Cofide
Cofide se décrit comme une plateforme d'identité fondée sur des standards ouverts qui sécurise les charges de travail applicatives et les agents d'intelligence artificielle dans n'importe quel environnement cloud. Concrètement, elle remplace les secrets statiques, c'est-à-dire les clés d'API, les jetons et les identifiants de comptes de service à longue durée de vie qui s'accumulent dans tout parc, par des identités cryptographiques éphémères que la charge de travail emporte automatiquement. Elle s'appuie sur SPIFFE et SPIRE pour l'émission d'identité, et sur OAuth et OIDC pour l'échange d'habilitations. Pour les agents, elle délivre une identité d'agent vérifiée tout en préservant l'identité de l'utilisateur par échange de jetons au franchissement des frontières de service.
Le point décisif pour les agents : un agent d'intelligence artificielle agit de sa propre initiative, appelle des interfaces externes et franchit régulièrement des frontières de confiance. Un identifiant statique ne peut exprimer qui a demandé l'action, seulement quelle clé a servi. Séparer l'identité propre de l'agent de l'autorité déléguée par la personne pour laquelle il agit, c'est la différence entre une piste d'audit qui nomme un être humain et une piste qui nomme un secret partagé.
Gratuit à adopter n'est pas gratuit à exploiter
Le directeur produit et technologie de Keyfactor, Gün Akkor, a énoncé la thèse le plus clairement dans l'annonce : les clients s'enlisent dans la sécurisation de leurs charges de travail parce que c'est difficile sur le plan opérationnel, et non parce que la technologie serait insuffisante. C'est un fournisseur décrivant honnêtement son propre marché, et c'est aussi la bonne lecture des deux annonces de la journée. Le goulet d'étranglement n'a jamais été la spécification. Le goulet, c'est délivrer une identité à chaque charge de travail, la renouveler à intervalles très courts, la révoquer quand la charge disparaît et produire la preuve que tout cela a eu lieu.
La conséquence budgétaire : lorsqu'un contrôle devient un standard ouvert, le coût de licence tend vers zéro tandis que le coût d'exploitation ne bouge pas d'un centime. Une équipe qui lit un standard gratuit comme un contrôle gratuit financera le pilote et non l'exploitation. Les éditeurs achètent l'exploitation, car c'est là que réside le revenu durable, et ils l'achètent auprès de gens qui l'ont déjà assurée plutôt que de la construire.
Vingt et un jours après un milliard de dollars
Keyfactor a levé plus d'un milliard de dollars auprès de Summit Partners le 6 juillet. Vingt et un jours plus tard, la première chose visible faite avec un bilan de cette taille fut de racheter une société de six salariés. Cela mérite qu'on s'y arrête. Rien dans une équipe de six personnes ne suggère du code rare : les mises en œuvre d'une spécification ouverte ne sont pas rares par définition. Ce qui est rare, c'est le nombre de gens ayant exploité l'identité des charges de travail dans un parc de production et sachant où elle casse.
Certes : une acquisition aussi modeste constitue aussi une option bon marché pour un acheteur de la taille de Keyfactor, et il serait erroné d'y lire un verdict mûrement pesé sur le marché. Le fondateur, Matthew Bates, avait cofondé Jetstack, que Venafi a racheté en mars 2020 : c'est donc une deuxième sortie de la même personne dans la même couche. Ce qu'il faut retenir n'est pas le prix. C'est que la compétence en identité machine continue d'être absorbée par une poignée de fournisseurs de certificats au lieu de donner naissance à des sociétés indépendantes.
Ce qu'il faut inscrire au budget de l'an prochain
Trois lignes, dans cet ordre. D'abord un inventaire : combien d'identités non humaines existent dans votre parc, combien détiennent des habilitations permanentes, et combien n'ont pas été revues depuis un an. On ne finance pas un programme de rotation face à un chiffre dont on ne dispose pas. Ensuite le coût d'exploitation : quelqu'un porte nommément la responsabilité de l'émission, du renouvellement et de la révocation, et si ce n'est personne aujourd'hui, ce ne sera personne après le pilote non plus. Enfin la preuve : NIS2 attend un contrôle d'accès et une gestion des vulnérabilités documentés, et l'identité éphémère produit ce registre en continu là où les secrets statiques n'en produisent aucun.
En définitive : l'ouverture du standard a supprimé votre excuse pour attendre, pas votre obligation d'y affecter des moyens. Si dans douze mois un auditeur demande comment un agent de votre parc a prouvé son identité, la réponse viendra de ce que vous avez financé cette année. Une spécification dont l'adoption ne coûte rien n'est pas la même chose qu'un contrôle dont le maintien ne coûte rien.
À lire ensuite: Un seul message a atteint les clés SSH | Une IA de test a piraté une entreprise pour tricher
