Le multicloud est désormais une réalité pour les entreprises. 88 % des organisations opèrent dans des environnements hybrides ou multicloud, tandis que 81 % utilisent deux fournisseurs de services cloud ou plus pour des charges de travail critiques (Source : 2026 State of Cloud Security Report) . Le défi en matière de sécurité est donc passé de la protection des environnements cloud individuels à la compréhension de l’interaction des identités, charges de travail, données et permissions entre ces environnements.
Le risque le plus important réside dans ce qui relie ces environnements et ce qui circule entre eux.
Des outils de sécurité à une plateforme de sécurité connectée
La sécurité du cloud n’a pas commencé avec une plateforme unique. Elle s’est développée grâce à un ensemble de fonctionnalités spécialisées. Les organisations ont déployé des CSPM pour évaluer la posture du cloud, des CWPP pour protéger les charges de travail, des CIEM pour gérer les permissions, des KSPM pour sécuriser Kubernetes, des DSPM pour protéger les données et, plus récemment, des AI-SPM pour adresser les risques de sécurité liés aux charges de travail et applications AI. Chaque outil répondait à un besoin réel. Le problème est apparu lorsque ces outils ont fonctionné de façon indépendante. Un attaquant ne navigue pas dans une entreprise selon la catégorie de produits. Un seul chemin d’attaque peut débuter par une mauvaise configuration cloud, passer par une identité surprotégée, atteindre une charge de travail et finalement exposer des données sensibles. Les contrôles individuels peuvent tous fonctionner comme prévu, mais les équipes de sécurité peuvent tout de même passer à côté des relations entre eux. C’est ce fossé que l’industrie tente maintenant de combler.
La réponse a été la cloud native Application Protection Platform (CNAPP). Plutôt que de traiter la posture, la charge de travail, l’identité, la donnée et la sécurité des applications comme des disciplines distinctes, la CNAPP les réunit afin d’offrir une vision plus connectée du risque dans le cloud. L’orientation de l’industrie devient de plus en plus claire. L’acquisition par Google de Wiz pour environ 32 milliards de dollars a souligné l’importance stratégique de la consolidation de la sécurité native cloud. Parallèlement, Microsoft continue de positionner Defender for Cloud comme une plateforme de sécurité unifiée à travers Azure, AWS et Google Cloud. Palo Alto Networks a également fait évoluer Prisma Cloud vers Cortex Cloud, réunissant la sécurité cloud à la détection et réponse cloud. Les détails varient selon les fournisseurs, mais le virage stratégique est le même :
La sécurité cloud évolue d’une collection de produits ponctuels vers des plateformes connectées qui peuvent comprendre les risques tout au long du cycle de vie cloud.
La CNAPP est en train de devenir la base. Mais ce n’est pas la fin de l’histoire.
Le cloud compte maintenant un nouveau type d’utilisateur
Tandis que les plateformes de sécurité cloud se consolident, la nature des activités dans le cloud évolue.
Les agents AI deviennent des participants actifs dans les environnements d’entreprise.
Contrairement aux applications traditionnelles ou aux utilisateurs humains, les agents peuvent interpréter de l’information, prendre des décisions et agir. Ils peuvent lire des courriels, interroger des bases de données, invoquer des API, créer des ressources et interagir avec des applications, souvent avec une intervention humaine limitée. Cela introduit un défi fondamental sur l’identité. Les systèmes d’identités d’entreprise étaient principalement conçus autour des personnes et de comptes machines relativement prévisibles. Les systèmes agentiques introduisent des identités qui peuvent être créées rapidement, fonctionner de façon autonome, accéder à de multiples services et potentiellement disparaître une fois la tâche complétée. L’échelle est également différente. Les identités non humaines peuvent maintenant dépasser les identités humaines dans les environnements d’entreprise dans un rapport d’environ 50 pour 1, bien que ce ratio varie beaucoup selon les organisations et les architectures. Cela signifie que les organisations ne protègent plus que les employés, applications et charges de travail : elles protègent aussi des acteurs autonomes. Et ces acteurs peuvent franchir les frontières du cloud.
Les signaux d’alerte sont déjà visibles. Une recherche de SailPoint a révélé que 80 % des organisations utilisant des agents AI ont constaté que ceux-ci effectuaient des actions non prévues, telles qu’accéder à des systèmes auxquels ils n’auraient pas dû accéder ou partager des données inappropriées. Parallèlement, une étude de la Cloud Security Alliance de 2026 a révélé que 68 % des organisations ne peuvent clairement distinguer l’activité des agents AI de celle des humains. Cette même étude a indiqué que 74 % des répondants affirment que les agents reçoivent souvent plus d’accès que nécessaire, tandis que 79 % pensent que les agents créent de nouveaux chemins d’accès difficiles à surveiller. Il ne s’agit pas simplement d’enjeux de gouvernance AI.
Ce sont des enjeux de sécurité des identités.
L’identité devient le plan de contrôle
C’est pourquoi l’identité émerge comme le nouveau périmètre de sécurité. Les environnements cloud sont de plus en plus accessibles par l’entremise d’identités plutôt que de frontières réseau traditionnelles. Les permissions déterminent quelles charges de travail peuvent communiquer, quelles applications peuvent accéder à des données, quelles API peuvent être invoquées et quelles actions un agent peut poser. Lorsque ces identités couvrent plusieurs nuages, un identifiant compromis ou une permission excessive peut devenir une voie de passage à travers l’entreprise. Le défi devient encore plus grand lorsqu’il s’agit d’une identité non humaine. Un employé a généralement un rôle établi, un gestionnaire, une fonction d’affaires et un cycle de vie. Un agent AI peut être créé pour une tâche précise, recevoir l’accès à plusieurs systèmes et être appelé à agir de façon autonome. Ses permissions doivent donc être évaluées dans leur contexte, et non pas simplement accordées puis oubliées. Cela exige des organisations qu’elles repensent la gouvernance des identités. Chaque agent devrait avoir un responsable clair, un objectif défini, des permissions appropriées et un cycle de vie vérifiable. L’accès devrait être limité au nécessaire, accordé pour la durée requise et évalué continuellement selon l’évolution du contexte. Autrement dit :
Les agents AI ont autant besoin de gouvernance des identités que les utilisateurs humains, mais les contrôles doivent être conçus pour une activité à la vitesse des machines.
Les investissements de Microsoft dans la gestion des agents, des identités et de la sécurité reflètent ce virage plus large vers la protection des agents AI au fur et à mesure de leur intégration aux flux de travail des entreprises.
Une seule identité compromise peut encore tout changer
L’importance de l’identité n’est pas théorique. En juillet 2026, la Bank of Baroda a révélé qu’une fuite de données était liée au compromis du compte courriel d’un seul employé, précisant que ses systèmes bancaires centraux n’avaient pas été consultés et demeuraient sécurisés. Des rapports concernant l’incident ont allégué que jusqu’à 1 To de données, y compris de l’information client, avaient été exposées; la banque a indiqué avoir lancé une enquête médico-légale et avisé les autorités concernées. La signification de la sécurité du cloud n’est pas simplement la taille de l’ensemble de données signalé. Il s’agit du point d’entrée. Cet incident rappelle qu’un attaquant n’a pas forcément besoin de compromettre la partie la plus sophistiquée de l’infrastructure d’une organisation. Une identité, avec le mauvais accès au mauvais moment, peut devenir le point de départ d’un problème de sécurité beaucoup plus important.
Le fossé en matière de sécurité s’accroît
Au-delà de l’identité, les équipes de sécurité sont également confrontées à trois défis convergents :
- Prolifération des outils : Le 2026 Cloud Security Report a constaté que 69 % des organisations considèrent la prolifération des outils et le manque de visibilité comme un obstacle majeur à l’efficacité de la sécurité cloud. Plus de technologie ne génère pas automatiquement plus de visibilité. Sans corrélation, cela peut générer plus de bruit.
- Pénurie de compétences : Le même rapport a constaté que 74 % des organisations signalent un manque de professionnels qualifiés en cybersécurité, alors que 59 % en sont encore aux premières étapes de la maturité de leur sécurité cloud.
- Attaques à la vitesse des machines : Les attaquants utilisent l’automatisation et l’AI pour repérer vulnérabilités, services exposés, identifiants et mauvaises configurations plus rapidement que les opérations de sécurité traditionnelles ne peuvent réagir. 66 % des organisations n’ont pas confiance en leur capacité à détecter et à répondre aux menaces cloud en temps réel.
Cela crée un déséquilibre fondamental; l’environnement fonctionne à la vitesse de la machine. L’attaquant opère à la vitesse de la machine. Le défenseur ne peut pas rester dépendant de processus manuels.
De la visibilité à la sécurité autonome
La réponse n’est pas un nouveau tableau de bord. Depuis des années, les équipes de sécurité se concentrent sur la collecte de plus de données télémétriques et la génération de plus d’alertes. La prochaine étape consiste à transformer cette information en contexte, en priorisation et en action. C’est ici que l’évolution de la CNAPP prend toute son importance. La plateforme moderne de sécurité cloud doit relier les signaux produits par le code, la configuration du cloud, l’identité, les charges de travail, les données et les activités en temps réel. Plus important encore, elle doit comprendre comment ces signaux se relient entre eux. Une mauvaise configuration, en soi, peut présenter peu de risque, une identité surprotégée, en soi, peut aussi sembler gérable et une base de données exposée peut générer une alerte de plus. Mais la combinaison de ces trois conditions peut faire évoluer le risque de façon radicale. La plateforme de sécurité doit donc comprendre les chemins d’attaque, le contexte d’identité et l’impact sur l’entreprise, plutôt que de se limiter à des alertes individuelles. Et, de plus en plus, elle doit réagir automatiquement. Le but n’est pas de voir plus.
L’objectif est de comprendre plus, de prioriser plus vite et d’agir avant qu’un chemin d’attaque ne devienne un incident.
La question que les CISOs devraient se poser en 2026
Cela modifie la conversation sur la sécurité multicloud. Plutôt que de se demander :
« Comment protéger mes environnements de cloud? »
La question la plus importante est :
« Qui et quoi circulent entre mes environnements cloud, à quoi sont-ils autorisés et saurais-je si l’un d’eux a soudainement un comportement anormal? »
La sécurité multicloud ne consiste plus simplement à imposer des contrôles plus stricts autour de AWS, Azure ou Google Cloud séparément. Ces environnements sont de plus en plus connectés et les plateformes de sécurité rassemblent de plus en plus leurs contrôles. Le défi le plus difficile est de comprendre la couche identitaire et l’activité qui les connecte. Cela inclut l’employé dont les identifiants couvrent plusieurs plateformes. Le compte de service qui dispose de permissions que personne n’a vérifiées récemment. La clé API qui est discrètement devenue un point d’accès permanent à une application. La charge de travail qui circule entre les environnements. Et, de plus en plus, les agents AI peuvent prendre des décisions et agir sans attendre l’intervention d’un humain. La surface d’attaque est donc devenue plus dynamique et bien plus difficile à définir.
Quatre priorités pour les entreprises en 2026
- Considérer la CNAPP comme fondation, pas comme aboutissement : La consolidation crée la visibilité et le contexte nécessaires pour comprendre les risques dans tous les environnements cloud. Mais les organisations devraient s’appuyer sur cette base pour évoluer vers la détection, la priorisation et la réponse continues.
- Développer un inventaire des identités non humaines : On ne peut pas gérer ce qu’on ne voit pas. Les comptes de service, identités de charges de travail, clés API et agents AI nécessitent un propriétaire clair, un but défini et des contrôles de cycle de vie.
- Faire de l’identité un point de contrôle de sécurité principal : Le moindre privilège, l’accès juste-à-temps, l’autorisation contextuelle et la vérification continue devraient s’appliquer autant aux humains, charges de travail et agents.
- S’aligner sur la vitesse de l’attaquant : Les menaces automatisées requièrent la détection et la réponse automatisées. Les équipes de sécurité devraient de plus en plus laisser les plateformes contenir, révoquer, isoler ou corriger les risques clairement identifiés sans attendre une intervention manuelle.
L’avenir de la sécurité multicloud, c’est donc moins la construction de murs plus élevés autour de chaque cloud, que l’établissement d’une confiance continue autour de tout ce qui connecte et circule entre eux. La sécurité multicloud n’est plus une question de sécuriser chaque cloud isolément, mais de protéger les identités, charges de travail, données et agents AI qui circulent entre eux.
