Préparer les réseaux à l'arrivée de l'IA industrielle.
L'IA est un changement de paradigme : passer de l'observation passive à la prise de décision et à l'action. Préparez le réseau pour déployer l'IA sans en perdre le contrôle.
Dernière mise à jour:
Jusqu'ici, l'IA industrielle est surtout restée dans l'observation : maintenance prédictive, vision, tableaux de bord. Une nouvelle génération d'agents commence à aller plus loin : interroger des API, émettre des commandes, déclencher des processus. L'adoption n'en est qu'à ses débuts, mais la direction est claire, et elle fera progressivement évoluer le profil de risque.
À mesure que ces usages se généraliseront, l'IA agentique posera moins un problème de sécurité classique qu'un problème d'architecture. Une politique d'accès ou une solution endpoint contraint difficilement un agent qui opère dans le contexte d'un utilisateur légitime. La garantie la plus solide, celle qui ne délègue pas la contrainte à l'entité qu'elle est censée contrôler, reste le réseau. Le bon moment pour préparer l'architecture, c'est maintenant, pendant que le déploiement démarre.
des industriels européens déploient l'IA en production en 2026.
Cisco, Industrial AI Readiness 2026
des applications d'entreprise intégreront des agents IA d'ici fin 2026, contre 5 % en 2025.
Gartner, 2025
OWASP Top 10 pour les applications agentiques : les risques ne sont plus de contenu, mais d'architecture.
OWASP
Les risques classiques de l'OT sont documentés : protocoles legacy, réseaux à plat, équipements non patchables. L'IA agentique en ajoute trois autres, d'une nature différente.
L'agentique, c'est l'acte
Un agent IA n'observe pas le réseau, il agit dessus. Il interroge des équipements, modifie des configurations, déclenche des processus. Une commande mal émise, une vanne actionnée hors séquence, un paramètre changé sans validation : les conséquences ne sont pas des données corrompues, ce sont des incidents opérationnels.
Des technologies nouvelles dans des environnements anciens
L'OT a des cycles de vie longs : des automates prévus pour vingt ans, des protocoles conçus avant que la sécurité soit une préoccupation. Insérer une couche logicielle IA récente, évolutive et connectée dans cet environnement crée une surface d'attaque que le legacy n'est pas équipé pour absorber : mises à jour non maîtrisées, dépendances de chaîne logicielle, vulnérabilités propres aux modèles.
La traçabilité des actions
Qui a fait quoi, sur quelle instruction, à quelle heure ? Avec un agent autonome, la chaîne causale se complexifie, et les logs système existants n'ont pas été conçus pour capturer cette granularité. En cas d'incident, la reconstruction devient laborieuse, parfois impossible.
Un agent IA ne peut pas emprunter un chemin réseau qui n'existe pas. Si la connexion entre le segment où il s'exécute et l'automate cible n'est pas établie au niveau réseau, l'escalade est impossible, quels que soient ses droits applicatifs ou son comportement après une mise à jour.
C'est une garantie d'un autre ordre. Elle tient même si l'agent est compromis.
La microsegmentation définit ce qu'un segment peut faire : quels équipements il atteint, en lecture ou en écriture, sur quels protocoles. Appliquée à l'IA, elle produit une enclave : l'agent peut lire un capteur, mais pas envoyer de commande à l'automate. Cette règle vit dans la table de routage, pas dans la configuration de l'agent, et elle survit à une mise à jour du modèle.
L'IA lit l'historique, jamais l'automate en direct
Le déploiement le plus sûr ne donne pas à l'IA un accès direct aux automates de niveau 1 et 2. L'IA lit dans l'historian (PI, AVEVA, Ignition) ou une réplique en lecture (read replica), via une connexion OPC UA en lecture seule (read-only, port 4840), à l'intérieur d'une enclave de niveau 3 ou 3.5. L'historian contient déjà l'historique des points (tags) dont le modèle a besoin, et il se situe au-dessus de la boucle de contrôle : l'IA obtient ses données sans qu'aucun chemin ne la relie à un équipement qu'elle pourrait actionner. Il n'existe aucun chemin d'écriture de l'enclave IA vers le contrôle en direct. Si le modèle a besoin qu'une consigne change, cette demande sort de l'enclave comme une proposition pour un humain ou un processus encadré, pas comme un ordre transmis directement sur le réseau.
Au sens du modèle de Purdue, l'enclave IA se place au niveau 3.5, la DMZ industrielle entre l'entreprise (niveaux 4 et 5) et le réseau de contrôle (niveaux 0 à 2), aux côtés de l'historian et des hôtes de rebond (jump hosts), pas sur le réseau de contrôle avec les automates. Le trafic cyclique entre automates et E/S (PROFINET temps réel, EtherNet/IP implicite en UDP 2222, interrogation Modbus continue) reste sur le sous-jacent (underlay) et ne traverse jamais le point de contrôle ; seules les sessions routables de supervision, d'ingénierie et d'IA empruntent l'overlay et sont relayées et contrôlées. C'est ce qui répond à la question de la latence sans inventer de chiffre : la boucle temps réel n'emprunte tout simplement pas ce chemin.
Que se passe-t-il si le point de contrôle est indisponible ? Access Gate régit le chemin d'accès IA vers OT, pas la boucle de contrôle. S'il redémarre, le procédé continue de tourner, les automates et IHM locaux ne sont pas touchés, et la collecte de l'historian reste sur son propre chemin. Ce qui s'arrête, ce sont les nouveaux accès IA et prestataires relayés, ce qu'il est justement prudent de suspendre. Le comportement fail-open ou fail-closed se décide équipement par équipement et est journalisé ; Access Gate fonctionne en paire haute disponibilité (hot-standby) avec bascule, et le bris de glace (break-glass) est authentifié et tracé. Parce qu'il fonctionne à côté du réseau plutôt qu'au milieu de la boucle cyclique, il ne constitue pas un point de défaillance unique pour la production.
Pour le mécanisme lui-même, voir qu'est-ce qu'un proxy industriel (industrial proxy) et sécuriser un automate (PLC) legacy.
Access Gate est une solution Zero Trust pour les environnements industriels et opérationnels. Sans agent sur les équipements, sans reconfiguration réseau, sans arrêt de production. Dans un déploiement IA, elle couvre quatre fonctions.
Inventaire et cartographie
Visibilité dès le premier jour : automates, capteurs, IHM, serveurs SCADA. Le point de départ pour définir les enclaves et les règles d'interaction.
Enclaves granulaires
Des segments réseau logiques avec des règles de flux précises : quels équipements sont accessibles, en lecture ou en écriture, sur quels protocoles, à quelles heures. Sans recâblage physique.
Contrôle des interactions IA
Chaque flux entre l'enclave IA et l'OT passe par le proxy Access Gate : authentification de la session, application des autorisations, enregistrement. L'agent atteint ce pour quoi il est autorisé, rien d'autre.
Audit et traçabilité
Une trace complète de chaque session : identité, équipements contactés, commandes émises, durée, résultats. Stockée hors de portée de l'agent, exploitable par un SIEM ou en investigation forensique.
Préparer les réseaux à l'arrivée de l'IA.
Ce qui change avec l'IA agentique, les trois risques pour l'OT, et comment le réseau reste la seule garantie. Huit pages, sourcées.
Déploiement en 3 semaines
Visibilité dès le premier jour, enclaves au rythme des projets IA. Sans agent, sans recâblage, sans coupure. La production passe avant tout.
L'IA reste utile
Un réseau préparé n'empêche pas l'IA d'être utile. Il empêche qu'elle soit dangereuse, et rend possible une adoption progressive et documentée.
Pour l'architecture qui rend cela possible, voir cybersécurité industrielle : 5 risques et comment les couvrir et conformité NIS2 pour les industriels.
L'IA agentique et le réseau industriel
risques nouveaux à couvrir
L'IA agentique désigne des systèmes qui n'observent plus seulement, ils agissent : ils interrogent des API, émettent des commandes, modifient des paramètres et déclenchent des processus, sans validation intermédiaire. Contrairement à une IA passive qui produit des recommandations qu'un humain exécute ensuite, un agent exécute lui-même. Dans un contexte industriel, cela déplace le point de contrôle : l'agent hérite des droits réseau de l'utilisateur dans le contexte duquel il s'exécute.
L'IA générative produit du contenu, texte, image ou code, à la demande. L'IA agentique va plus loin : elle enchaîne des actions pour atteindre un objectif, en appelant des outils, des API et des systèmes. La générative répond, l'agentique agit. C'est cette capacité d'action autonome qui change le profil de risque sur un réseau industriel, car un agent qui atteint un automate peut lui envoyer des commandes.
La contrainte la plus fiable est le réseau, pas la configuration de l'agent. On isole le déploiement IA dans une enclave microsegmentée dont les interactions avec l'OT sont décrites et imposées au niveau réseau : l'agent atteint ce pour quoi il est autorisé, rien d'autre, et chaque flux est tracé indépendamment de lui. Access Gate met cela en place sans agent sur les équipements et sans coupure de production. Si le chemin réseau n'existe pas, l'escalade est impossible, même si l'agent est compromis.
Une IA passive produisait des recommandations qu'un humain exécutait ensuite. Une IA agentique exécute elle-même, et elle hérite des droits réseau de l'utilisateur dans le contexte duquel elle s'exécute. Si l'agent peut atteindre l'IHM d'un automate, il peut lui envoyer des commandes. Le décideur humain sort de la boucle, et avec lui disparaît le point de contrôle naturel qui existait jusque-là.
Un agent s'exécute dans le contexte d'un utilisateur légitime, avec ses credentials et sa session, et il est optimisé pour accomplir sa tâche. Demander à l'agent, ou à la couche applicative, de se contraindre lui-même, c'est déléguer la contrainte à l'entité que l'on cherche à contrôler. Seul le réseau impose une limite qui tient même si l'agent est compromis : si le chemin réseau n'existe pas, l'escalade est physiquement impossible.
Un VLAN segmente le trafic de diffusion mais ne contrôle pas les flux entre segments avec la granularité nécessaire. Un équipement dans un VLAN peut toujours en atteindre un autre si une route existe et qu'aucune règle ne l'en empêche. La microsegmentation Zero Trust inverse le principe : tout est interdit par défaut, et chaque flux autorisé est décrit explicitement, dans la table de routage plutôt que dans la configuration de l'agent.
Non. Access Gate se déploie sans agent sur les équipements existants, sans reconfiguration réseau et sans arrêt de production, en superposition de l'infrastructure en place. La visibilité est disponible dès le premier jour, les enclaves se construisent au rythme des projets IA. Un déploiement type, cartographie puis enclave IA puis durcissement progressif, s'étend sur trois semaines pour un site de taille standard.
NIS2 impose de documenter et maîtriser les accès aux systèmes critiques, y compris les accès automatisés. Un agent IA qui agit de manière autonome doit être contrôlé, tracé et contenu exactement comme un accès humain. Sans traçabilité réseau indépendante de l'agent, intégrer l'IA dans un environnement NIS2, NERC CIP ou soumis à audit reste une prise de risque difficile à documenter et à défendre.
Deux références récentes présentent l'IA agentique comme un problème d'architecture plutôt que de filtrage de contenu : l'OWASP Top 10 pour les applications agentiques (décembre 2025) et le NIST Cyber AI Profile (projet préliminaire, décembre 2025). Côté conformité, NIS2 et NERC CIP imposent déjà de documenter et de maîtriser les accès aux systèmes critiques, y compris les accès automatisés : un agent IA autonome doit donc être contrôlé, tracé et contenu exactement comme un utilisateur humain. Cela s'aligne aussi sur la logique des zones et conduits (zones and conduits) de la CEI 62443 (IEC 62443).