J’ai scanné mon propre parc Azure. Il a échoué.

Le mois dernier, j’ai passé mon propre parc Azure au scanner que je construis. Je m’attendais à un rapport propre : c’est mon environnement, je l’ai monté moi-même, et j’ai quinze ans d’IT derrière moi.

Il a trouvé un port SSH ouvert sur Internet.

Le mien. Sur une machine que j’administre, avec une certification d’architecte Azure dans la poche.

Je le raconte pour une raison précise, et ce n’est pas l’humilité de façade. Ce n’était pas un manque de compétence : je sais parfaitement qu’un port d’administration ne s’expose pas au monde entier. C’était un manque de vérification. L’écart entre « je sais comment ça devrait être configuré » et « j’ai mesuré comment c’est réellement configuré ».

Cet écart ne se comble pas avec de l’expérience. Il ne se comble pas non plus avec de la documentation, ni avec une revue d’architecture. Il se comble avec un contrôle qui mesure l’état réel, et qui le mesure de l’extérieur.

Maintenant transposez. Une machine avec un port ouvert, c’est simple : un port, un protocole, une règle. Un agent IA en production, c’est autre chose. Il lit des documents que vous ne contrôlez pas. Il appelle des outils. Il consomme un budget. Il peut agir sur vos systèmes. La surface d’exposition n’est plus une liste de ports : c’est un comportement.

Si une exposition aussi classique qu’un SSH ouvert peut survivre chez quelqu’un dont c’est le métier, qu’est-ce qui survit autour d’un agent qui a le droit d’appeler vos API internes ?

La question n’est pas « est-ce que votre équipe est compétente ». Elle l’est probablement. La question est : quand avez-vous mesuré, pour la dernière fois, au lieu de supposer ?

J’ai corrigé mon port. Puis j’ai relancé le contrôle pour vérifier qu’il était bien fermé — parce qu’un correctif non revérifié n’est qu’une intention de plus.

Le cas complet — la règle exacte, la requête Resource Graph à rejouer et ce que le constat prouve ou non — est documenté dans « Le port SSH que je n’avais pas vu ». Ce texte-ci s’intéresse à la suite : ce que cet écart implique quand la surface n’est plus un port, mais un comportement.

Vérifier ce point dans votre environnement

Ce que cela change à l’échelle d’un grand compte

• La surface d’un agent est un comportement, pas une liste de ports. Lire des documents non maîtrisés, appeler des outils, consommer un budget, agir sur des systèmes : chacun de ces gestes est une exposition. L’inventaire classique ne les voit pas.
• La compétence de l’équipe n’est pas la variable. L’écart survit chez les gens compétents — c’est précisément pour cela qu’il faut un contrôle exécuté, indépendant de la confiance qu’on accorde à l’équipe.
• Un correctif non revérifié est une intention. À l’échelle d’un parc, la boucle corriger → re-mesurer → archiver la paire avant/après est ce qui transforme une action technique en preuve opposable.

Frontière de preuveExécution en laboratoire. Le scan décrit a été conduit sur un environnement appartenant à Geek Guru ; le détail et ses limites sont documentés dans l’analyse liée ci-dessus. La transposition aux agents IA est un raisonnement, pas une mesure : aucun runtime d’agents client n’a été observé pour ce texte.