Une promesse de productivité qui arrive avant la maturité sécurité
OpenClaw illustre parfaitement le moment actuel de l’IA agentique : une technologie assez simple à déployer pour séduire les petites entreprises, mais assez puissante pour déplacer le risque cyber hors des cadres habituels. Contrairement à un chatbot classique, un agent ne se contente pas de répondre. Il peut se connecter à des messageries, consulter des données, invoquer des outils, déclencher des actions et maintenir un contexte dans la durée.
Dans un entretien publié par TechRadar, Saulius Lazaravičius, vice-président produit chez Hostinger, présente OpenClaw comme un accélérateur pour les PME : réponses plus rapides, suivi des prospects, automatisation administrative, support client et workflows toujours actifs. Hostinger pousse cette vision avec une offre de déploiement en un clic, où l’hébergement, les crédits IA, la maintenance, les sauvegardes et certaines protections de base sont intégrés. Le message commercial est clair : les agents IA ne remplacent pas d’abord les employés, ils donnent à de petites équipes une capacité opérationnelle continue.
Mais c’est précisément cette continuité qui change la nature du risque. Un agent branché à Slack, WhatsApp, Telegram, un navigateur, un CRM, une boîte courriel ou un dépôt documentaire n’est plus seulement une interface conversationnelle. Il devient un acteur logiciel, doté de permissions, de mémoire, d’outils et parfois d’une identité technique. Pour une PME sans équipe sécurité dédiée, cette différence est fondamentale.
Ce que dit l’étude MATRA sur OpenClaw
La prépublication arXiv intitulée MATRA: Modeling the Attack Surface of Agentic AI Systems -- OpenClaw Case Study propose un cadre de modélisation des menaces pour les systèmes agentiques. Les auteurs partent d’un constat simple : les organisations disposent de listes de risques pour les grands modèles de langage, mais manquent encore de méthodes pratiques pour traduire ces risques dans une architecture agentique concrète.
MATRA commence par une évaluation des actifs à protéger, puis utilise des arbres d’attaque pour estimer comment un impact peut se produire dans un déploiement donné. L’étude applique ce cadre à un agent personnel basé sur OpenClaw et s’intéresse aux effets de contrôles architecturaux comme le sandboxing réseau et le principe du moindre privilège. Autrement dit, la question n’est pas seulement : « le modèle peut-il être trompé ? » Elle devient : « que peut faire l’agent si le modèle est trompé ? »
Il faut toutefois lire cette source avec prudence. arXiv est un dépôt de prépublications : la mise en ligne rapide favorise la circulation des idées, mais ne constitue pas une validation scientifique complète par les pairs. La fiche indique une présentation acceptée à un atelier lié à IEEE EuroS&P 2026, ce qui donne un contexte académique sérieux, mais ne transforme pas le papier en standard opérationnel. Sa valeur, pour les PME, est ailleurs : il donne un vocabulaire et une méthode pour discuter de risques qui restent trop souvent abstraits.
Pourquoi les agents élargissent la surface d’attaque
Le danger spécifique des agents IA tient à la combinaison de trois éléments : autonomie, connecteurs et privilèges. Un chatbot isolé peut produire une mauvaise réponse. Un agent trop permissif peut lire un document confidentiel, envoyer un courriel, modifier un ticket, déclencher un script, consulter une base de données ou appeler une API.
Les agences de cybersécurité des pays du Five Eyes, dont la CISA, la NSA, l’ACSC australien, le Centre canadien pour la cybersécurité, le NCSC néo-zélandais et le NCSC britannique, ont publié des lignes directrices consacrées à l’adoption prudente des services d’IA agentique. Leur message est sévère : les agents doivent être traités comme des systèmes informatiques à part entière, intégrés aux pratiques existantes de cybersécurité, et non comme de simples assistants logiciels. Le document insiste sur les risques de privilège, de mauvaise configuration, de comportement inattendu, de défaillance structurelle et de responsabilité difficile à établir.
OWASP, de son côté, classe déjà l’injection de prompt parmi les vulnérabilités majeures des applications fondées sur les grands modèles de langage. Dans un système agentique, l’injection indirecte devient plus inquiétante : un message, une page web, un fichier joint ou une entrée dans une base de connaissances peut contenir des instructions malveillantes que l’agent interprète comme une consigne. Si l’agent dispose ensuite d’outils légitimes, l’attaque ne ressemble pas forcément à une intrusion classique. Elle ressemble à une action normale exécutée par un compte autorisé.
OpenClaw : un cas d’école parce qu’il est utile
OpenClaw est un bon cas d’étude non parce qu’il serait intrinsèquement plus dangereux que les autres agents, mais parce qu’il est représentatif. Son dépôt GitHub le décrit comme un assistant personnel exécuté sur les appareils ou l’infrastructure de l’utilisateur, avec de nombreux canaux pris en charge, dont WhatsApp, Telegram, Slack, Discord, Microsoft Teams, Matrix et d’autres services. Hostinger ajoute une couche de simplicité avec son déploiement managé, isolé en conteneur selon l’entreprise, et destiné aux utilisateurs qui ne veulent pas administrer eux-mêmes un serveur.
Cette démocratisation crée un décalage. Les fournisseurs optimisent l’expérience d’installation : moins de friction, moins de configuration, plus de cas d’usage immédiats. Les attaquants, eux, observent les mêmes surfaces : secrets d’API, permissions d’écriture, intégrations de messagerie, mémoire persistante, fichiers de configuration, compétences ou extensions tierces. Le risque n’est pas seulement technique ; il est organisationnel. Une PME peut brancher un agent à son service client avant d’avoir défini qui valide une action risquée, qui lit les journaux, qui révoque les accès et qui répond à un incident.
D’autres travaux récents sur arXiv renforcent cette lecture. ClawSafety soutient que la sûreté d’un agent ne dépend pas uniquement du modèle, mais de tout l’échafaudage logiciel autour de lui. Une autre prépublication sur les défenses système contre l’injection indirecte de prompt plaide pour des contrôles d’architecture, pas seulement pour de meilleurs prompts. Une taxonomie consacrée aux vulnérabilités d’OpenClaw souligne aussi que les failles peuvent se situer dans la passerelle, le sandbox, les plugins, le navigateur, les règles d’exécution ou les couches de prompt.
Ce que les PME devraient retenir maintenant
La première mesure n’est pas d’abandonner les agents, mais de réduire leur rayon d’explosion. Un agent chargé de résumer des courriels ne devrait pas pouvoir supprimer des messages, modifier des règles de transfert ou exporter toute une boîte de réception. Un agent de support ne devrait pas avoir accès aux données de facturation sans justification. Un agent de veille ne devrait pas partager les mêmes privilèges qu’un agent de déploiement technique.
Le principe du moindre privilège doit devenir la règle de base : permissions minimales, durée limitée, séparation des environnements, secrets protégés, journaux exploitables et validation humaine pour les actions sensibles. Microsoft, dans sa documentation sur les systèmes agentiques autonomes sécurisés, recommande notamment des listes d’outils autorisés, des validations déterministes, du red teaming continu, des filtres d’entrée et de sortie, ainsi que des contrôles d’identité et d’accès pour les agents. Le NIST, dans son profil de gestion des risques pour l’IA générative, rappelle pour sa part l’importance de la gouvernance, de la documentation, du suivi, de l’évaluation et de la réponse aux incidents.
Concrètement, une PME devrait commencer par des cas d’usage non sensibles : tri d’informations publiques, résumé de documents non confidentiels, brouillons de réponses, veille concurrentielle, préparation de rapports. Les workflows qui touchent aux paiements, aux ressources humaines, aux contrats, aux identifiants, au code de production ou aux données clients devraient rester derrière des approbations humaines explicites.
La prospective : vers une sécurité agentique native
La prochaine étape du marché ne sera pas seulement la multiplication des agents. Ce sera la multiplication des plans de contrôle pour agents : inventaire, identité, permissions, surveillance, tests adversariaux, politiques d’exécution et boutons d’arrêt. Les entreprises voudront savoir non seulement quel modèle répond, mais quel agent a agi, avec quel outil, sur quelle donnée, selon quelle autorisation et avec quelle possibilité de retour arrière.
Pour les fournisseurs comme Hostinger, l’enjeu sera de prouver que la simplicité n’efface pas la sécurité. Une offre managée peut réduire certains risques de configuration, de mise à jour et d’exposition serveur. Elle peut aussi concentrer la dépendance envers l’infrastructure du fournisseur et rendre les compromis de sécurité moins visibles pour l’utilisateur final. TechRadar, en publiant un entretien avec un dirigeant de Hostinger, documente bien la dynamique d’adoption, mais cette source reste liée à un discours de fournisseur et à un contexte commercial. Elle doit donc être lue avec des sources indépendantes comme arXiv, OWASP, NIST et les agences gouvernementales.
La leçon d’OpenClaw est donc plus large que le produit lui-même. Les PME entrent dans une phase où l’IA ne conseille plus seulement : elle agit. Chaque action automatisée économise du temps, mais chaque permission accordée devient un actif à protéger. L’enthousiasme autour des agents IA est compréhensible. La maturité sécurité, elle, doit maintenant rattraper la vitesse d’adoption.