Le mois dernier, j’ai passé mon propre parc Azure au scanner que je construis. Je m’attendais à un rapport propre : c’est mon environnement, je l’ai monté moi-même, et j’ai quinze ans d’IT derrière moi.
Il a trouvé un port SSH ouvert sur Internet.
Le mien. Sur une machine que j’administre, avec une certification d’architecte Azure dans la poche.
Je le raconte pour une raison précise, et ce n’est pas l’humilité de façade. Ce n’était pas un manque de compétence : je sais parfaitement qu’un port d’administration ne s’expose pas au monde entier. C’était un manque de vérification. L’écart entre « je sais comment ça devrait être configuré » et « j’ai mesuré comment c’est réellement configuré ».
Cet écart ne se comble pas avec de l’expérience. Il ne se comble pas non plus avec de la documentation, ni avec une revue d’architecture. Il se comble avec un contrôle qui mesure l’état réel, et qui le mesure de l’extérieur.
Maintenant transposez. Une machine avec un port ouvert, c’est simple : un port, un protocole, une règle. Un agent IA en production, c’est autre chose. Il lit des documents que vous ne contrôlez pas. Il appelle des outils. Il consomme un budget. Il peut agir sur vos systèmes. La surface d’exposition n’est plus une liste de ports : c’est un comportement.
Si une exposition aussi classique qu’un SSH ouvert peut survivre chez quelqu’un dont c’est le métier, qu’est-ce qui survit autour d’un agent qui a le droit d’appeler vos API internes ?
La question n’est pas « est-ce que votre équipe est compétente ». Elle l’est probablement. La question est : quand avez-vous mesuré, pour la dernière fois, au lieu de supposer ?
J’ai corrigé mon port. Puis j’ai relancé le contrôle pour vérifier qu’il était bien fermé — parce qu’un correctif non revérifié n’est qu’une intention de plus.