Le multinuage est désormais une réalité pour les entreprises. 88 % des organisations fonctionnent dans des environnements hybrides ou multinuages, tandis que 81 % utilisent deux fournisseurs de services cloud ou plus pour les charges de travail critiques (Source : 2026 State of Cloud Security Report) . Le défi de la sécurité est donc passé de la protection des environnements cloud individuels à la compréhension des interactions entre identités, charges de travail, données et autorisations dans l’ensemble de ces environnements.
Le plus grand risque réside dans ce qui relie ces environnements et dans ce qui circule entre eux.
Des outils de sécurité à une plateforme de sécurité connectée
La sécurité cloud n’a pas commencé avec une seule plateforme. Elle a évolué grâce à un ensemble de capacités spécialisées. Les organisations ont déployé CSPM pour évaluer la posture cloud, CWPP pour protéger les charges de travail, CIEM pour gérer les autorisations, KSPM pour sécuriser Kubernetes, DSPM pour protéger les données et, plus récemment, AI-SPM pour traiter les risques de sécurité associés aux charges de travail et applications AI. Chaque outil répondait à un besoin réel. Le problème est apparu lorsque ces outils ont fonctionné de manière indépendante. Un attaquant ne se déplace pas dans une entreprise selon les catégories de produits. Un chemin d’attaque unique peut commencer par une mauvaise configuration cloud, passer par une identité sur-autorisée, atteindre une charge de travail et finalement exposer des données sensibles. Les contrôles individuels peuvent fonctionner comme prévu, mais les équipes sécurité peuvent tout de même manquer la relation entre eux. C’est cette lacune que l’industrie tente maintenant de combler.
La réponse a été la cloud native Application Protection Platform (CNAPP). Plutôt que de traiter la posture, les charges de travail, l’identité, la sécurité des données et des applications comme des disciplines distinctes, CNAPP les regroupe pour offrir une vision plus connectée du risque cloud. L’orientation du secteur est de plus en plus claire. L’acquisition de Wiz par Google pour environ 32 milliards de dollars a souligné l’importance stratégique de la consolidation de la sécurité cloud native. Parallèlement, Microsoft continue de positionner Defender for Cloud comme une plateforme de sécurité unifiée sur Azure, AWS et Google Cloud. Palo Alto Networks a quant à lui fait évoluer Prisma Cloud vers Cortex Cloud, réunissant la sécurité cloud avec la détection et la réponse dans le cloud. Les détails diffèrent selon les fournisseurs, mais le virage stratégique reste le même :
La sécurité cloud passe d’une collection de produits ponctuels vers des plateformes connectées, capables de comprendre les risques à l’échelle du cycle de vie du cloud.
CNAPP est en train de devenir la base. Mais ce n’est pas la fin de l’histoire.
Le cloud compte désormais un nouveau type d’utilisateur
Tandis que les plateformes de sécurité cloud se consolident, la nature de l’activité à l’intérieur du cloud évolue.
Les agents AI deviennent des participants actifs dans les environnements d’entreprise.
Contrairement aux applications traditionnelles ou aux utilisateurs humains, les agents peuvent interpréter l’information, prendre des décisions et agir. Ils peuvent lire des courriels, interroger des bases de données, invoquer des API, créer des ressources et interagir avec des applications, souvent avec une intervention humaine limitée. Cela introduit un enjeu fondamental en matière d’identité. Les systèmes d’identité d’entreprise ont été conçus principalement autour des personnes et de comptes machines relativement prévisibles. Les systèmes agents introduisent des identités pouvant être créées rapidement, fonctionner de façon autonome, accéder à plusieurs services et potentiellement disparaître une fois leur tâche accomplie. L’échelle est également différente. Les identités non humaines peuvent désormais dépasser en nombre les identités humaines dans une proportion d’environ 50:1 dans les environnements d’entreprise, bien que ce ratio varie considérablement selon les organisations et les architectures. Cela signifie que les organisations ne sécurisent plus seulement les employés, applications et charges de travail, mais aussi les acteurs autonomes. Et ces acteurs peuvent franchir les frontières des clouds.
Les signes avant-coureurs sont déjà visibles. Une étude de SailPoint a révélé que 80 % des organisations utilisant des agents AI ont rapporté que ces agents avaient effectué des actions non intentionnelles, notamment accéder à des systèmes auxquels ils n’auraient pas dû accéder ou partager des données inappropriées. Par ailleurs, une étude de la Cloud Security Alliance en 2026 a révélé que 68 % des organisations ne peuvent pas clairement distinguer l’activité des agents AI de celle des humains. La même étude indique que 74 % des organisations estiment que les agents reçoivent souvent plus d’accès que nécessaire, tandis que 79 % croient que les agents créent de nouveaux chemins d’accès difficiles à surveiller. Il ne s’agit pas seulement d’enjeux de gouvernance AI.
Il s’agit de problèmes de sécurité des identités.
L’identité devient le plan de contrôle
C’est pourquoi l’identité émerge comme la nouvelle frontière de la sécurité. Les environnements cloud sont de plus en plus accédés via des identités plutôt que selon des frontières réseau traditionnelles. Les autorisations déterminent quelles charges de travail peuvent communiquer, quelles applications peuvent accéder aux données, quelles API peuvent être invoquées et quelles actions un agent peut réaliser. Lorsque ces identités couvrent plusieurs clouds, un identifiant compromis ou une autorisation excessive peuvent créer un passage dans toute l’entreprise. Le défi est encore plus grand si l’identité n’est pas humaine. Un employé a généralement un rôle, un gestionnaire, une fonction d’affaires et un cycle de vie bien établis. Un agent AI peut être créé pour une tâche spécifique, recevoir l’accès à plusieurs systèmes et devoir agir de manière autonome. Ses autorisations doivent donc être évaluées dans le contexte et non simplement accordées une fois pour toutes. Cela exige des organisations qu’elles repensent la gouvernance des identités. Chaque agent doit avoir un propriétaire clair, un objectif défini, des autorisations appropriées et un cycle de vie vérifiable. L’accès doit être limité à ce qui est nécessaire, accordé pour la durée requise et continuellement réévalué au gré des changements. En d’autres termes :
Les agents AI ont besoin d’une gouvernance des identités tout aussi sérieuse que les utilisateurs humains, mais les contrôles doivent être conçus pour des activités à la vitesse machine.
Les investissements de Microsoft en gestion des agents, identité et sécurité reflètent ce virage plus large vers la sécurisation des agents AI alors qu’ils s’intègrent aux workflows d’entreprise.
Une seule identité compromise peut tout changer
L’importance des identités n’est pas théorique. En juillet 2026, la Bank of Baroda a révélé qu’une fuite de données impliquait le piratage du compte courriel d’un seul employé, précisant que les systèmes centraux bancaires n’avaient pas été accessibles et restaient sécurisés. Des reportages sur l’incident ont allégué que jusqu’à 1 To de données, y compris des renseignements clients, auraient été exposés ; la banque a affirmé avoir lancé une enquête judiciaire et averti les autorités compétentes. La signification de la sécurité du cloud ne réside pas uniquement dans l’ampleur du jeu de données signalé. C’est la porte d’entrée. Cet incident rappelle qu’un attaquant n’a pas forcément besoin de compromettre l’élément le plus sophistiqué de l’infrastructure d’une organisation. Une identité, avec le mauvais accès au mauvais moment, peut devenir le point de départ d’un problème de sécurité bien plus vaste.
La faille de sécurité s’élargit aujourd’hui
Outre l’identité, les équipes de sécurité font face à trois défis qui convergent :
- Prolifération des outils : Le rapport 2026 sur la sécurité cloud indique que 69 % des organisations considèrent la prolifération des outils et les lacunes de visibilité comme un obstacle majeur à une sécurité cloud efficace. Plus de technologies ne crée pas automatiquement plus de visibilité. Sans corrélation, cela peut générer plus de bruit.
- Pénurie de compétences : Le même rapport indique que 74 % des organisations rapportent un manque de professionnels en cybersécurité qualifiés, tandis que 59 % demeurent à un stade précoce de maturité en sécurité cloud.
- Attaques à vitesse machine : Les attaquants utilisent l’automatisation et l’AI pour découvrir vulnérabilités, services exposés, identifiants et mauvaises configurations plus rapidement que les centres d’opérations de sécurité traditionnels ne peuvent répondre. 66 % des organisations n’ont pas une grande confiance dans leur capacité à détecter et à répondre aux menaces cloud en temps réel.
Cela crée un déséquilibre fondamental ; l’environnement est opérationnel à la vitesse machine. L’attaquant agit à la vitesse machine. Le défenseur ne peut plus se reposer sur des processus manuels.
De la visibilité à la sécurité autonome
La solution n’est pas un autre tableau de bord. Pendant des années, les équipes de sécurité se sont concentrées sur la collecte de plus de télémétrie et la génération d’alertes supplémentaires. L’étape suivante consiste à transformer ces informations en contexte, priorisation et action. C’est là que l’évolution du CNAPP prend tout son sens. La plateforme de sécurité cloud moderne doit connecter les signaux à travers le code, la configuration cloud, les identités, les charges de travail, les données et les activités à l’exécution. Plus important encore, elle doit comprendre comment ces signaux s’articulent entre eux. Une mauvaise configuration isolément peut présenter un risque faible, une identité sur-autorisée isolément peut sembler gérable et une base de données exposée peut générer une alerte additionnelle. Mais réunissez ces trois éléments, et le risque peut changer radicalement. La plateforme de sécurité doit donc comprendre les parcours d’attaque, le contexte des identités et l’impact sur l’entreprise, et pas simplement les alertes individuelles. Et de plus en plus, elle doit réagir automatiquement. L’objectif n’est pas de voir plus.
L’objectif est de comprendre plus, de prioriser plus rapidement et d’agir avant que le parcours d’attaque ne devienne un incident.
La question que les CISOs devraient se poser en 2026
Cela change la discussion sur la sécurité multinuage. Au lieu de demander :
« Comment puis-je sécuriser mes clouds ? »
La question la plus importante est :
« Qui et quoi circule dans mes environnements cloud, à quoi sont-ils autorisés et saurais-je si l’un d’eux adopte soudainement un comportement inhabituel ? »
La sécurité multinuage ne consiste plus simplement à instaurer des contrôles plus stricts autour d’AWS, Azure ou Google Cloud séparément. Ces environnements sont de plus en plus reliés, et les plateformes de sécurité rassemblent de plus en plus leurs contrôles. Le défi le plus difficile est de comprendre la couche identité et activité reliant le tout. Il s’agit de l’employé dont les identifiants couvrent plusieurs plateformes. Du compte de service dont personne n’a vérifié les autorisations récemment. De la clé API devenue sans bruit une passerelle permanente vers une application. De la charge de travail qui circule entre les environnements. Et de plus en plus, ce sont les agents AI qui peuvent prendre des décisions et poser des actions sans attendre l’intervention d’un humain. La surface d’attaque est donc devenue plus dynamique et beaucoup plus difficile à définir.
Quatre priorités pour les entreprises en 2026
- Considérez le CNAPP comme la base, non la finalité : La consolidation crée la visibilité et le contexte nécessaires pour comprendre les risques dans l’ensemble du cloud. Mais les organisations doivent s’appuyer sur cette base pour évoluer vers la détection, la priorisation et la réponse en continu.
- Établir un inventaire des identités non humaines : On ne peut pas gouverner ce que l’on ne voit pas. Les comptes de service, identités de charges de travail, clés API et agents AI ont besoin d'une propriété, d’un objectif et de contrôles de cycle de vie clairs.
- Faire de l’identité un point de contrôle de sécurité principal : Le principe du moindre privilège, l’accès juste à temps, l’autorisation contextuelle et la vérification continue devraient s’appliquer tant aux humains, qu’aux charges de travail et agents.
- Adaptez-vous à la vitesse de l’attaquant : Les menaces automatisées nécessitent une détection et une réponse automatisées. Les équipes de sécurité devraient permettre de plus en plus aux plateformes de contenir, révoquer, isoler ou corriger rapidement les risques clairement définis sans attendre une intervention manuelle.
L’avenir de la sécurité multinuage portera donc moins sur la construction de murs plus hauts autour des clouds individuels que sur l’établissement d’une confiance continue pour tout ce qui relie et circule entre eux. La sécurité multinuage n’est plus une question de sécuriser chaque cloud isolément, mais de sécuriser les identités, charges de travail, données et agents AI qui circulent entre eux.
