Après les cryptoactifs, Ledger veut sécuriser l’action numérique à l’ère des agents IA

Début juillet 2026, Sysdig documentait JADEPUFFER, un agent offensif autonome ayant exploité une faille de Langflow, un framework open source destiné aux applications fondées sur les grands modèles de langage. Une fois entré dans le système, il a enchaîné reconnaissance, collecte d’identifiants, déplacement latéral et extorsion de bases de données. Lorsqu’une commande a échoué, il a diagnostiqué puis corrigé le problème en trente et une secondes. En résumé : la rupture ne tient pas à une nouvelle technique d’attaque, mais à leur orchestration autonome, rapide et désormais beaucoup plus accessible.

Fondée en France en 2014, Ledger s’est fait connaître par ses portefeuilles matériels, qui isolent les clés cryptographiques des ordinateurs et smartphones exposés. L’entreprise veut aujourd’hui appliquer ce principe à une question plus large : que se passe-t-il lorsque des agents d’IA préparent et déclenchent des actions à notre place ?

Dès qu’un agent peut accéder à des comptes, manipuler des données ou préparer une transaction, la question n’est plus seulement de savoir s’il raisonne correctement. Il faut déterminer qui l’a autorisé à agir, dans quelles limites, pendant combien de temps et avec quelle preuve. Pour Charles Guillemet, CTO de Ledger et fondateur de son laboratoire de sécurité offensive, le Donjon, l’IA fragilise l’économie même de la cybersécurité.

Le « suffisamment sûr » perd son sens

Aucun système n’est parfaitement sécurisé. Pendant des décennies, la défense a surtout consisté à créer une asymétrie économique : rendre l’attaque plus longue, plus coûteuse et plus incertaine que ne le valait la cible. Un logiciel imparfait pouvait rester suffisamment protégé si sa dernière faille exigeait des compétences rares, plusieurs mois de travail et un budget disproportionné. Cette asymétrie reposait sur une incertitude favorable au défenseur. La valeur d’un exploit est relativement prévisible, car il existe un marché structuré des vulnérabilités. Son coût de découverte, en revanche, ne l’est pas : nul ne sait à l’avance si une cible cédera en une semaine ou en un an. C’est cette incertitude, répétée sur des milliers de systèmes, qui rendait de nombreuses attaques économiquement irrationnelles.

L’IA réduit précisément cette incertitude. Elle accélère l’analyse de code, automatise une partie de la recherche de vulnérabilités et abaisse le niveau d’expertise nécessaire pour les exploiter. Dans le même temps, elle fait exploser la surface d’attaque en permettant de produire beaucoup plus de logiciels, souvent sans sécurité pensée dès la conception.

« Trouver des vulnérabilités et les exploiter coûte de moins en moins cher. Le coût tend vers zéro, même s’il n’est évidemment pas nul ». Charles Guillemet résume le problème ainsi : le défenseur doit obtenir 20 sur 20, tandis que l’attaquant n’a besoin que d’une seule faille. Un système à 19 sur 20 pouvait autrefois rester économiquement sûr parce que trouver la dernière vulnérabilité coûtait trop cher. Lorsque l’IA fait tomber ce coût, le « suffisamment sûr » cesse de l’être.

Les premiers signaux sont déjà visibles. Fin 2025, Anthropic révélait avoir interrompu une campagne d’espionnage attribuée à un acteur étatique chinois, dans laquelle son propre modèle avait exécuté 80 à 90 % des opérations contre une trentaine de cibles. L’IA aide aussi les défenseurs à détecter, analyser et corriger plus vite. Mais elle ne recrée pas l’asymétrie perdue : elle installe une course de vitesse dans laquelle le défenseur n’a toujours pas droit à l’erreur. La réponse doit donc changer de nature et limiter ce qu’un logiciel compromis peut réellement autoriser.

Quand l’intelligence se banalise, l’autorité devient critique

Charles Guillemet décrit une seconde mutation, parallèle. La compétition entre modèles se déplace progressivement de la puissance brute vers le coût par unité d’intelligence. À performance comparable, le prix de l’inférence s’effondre, les modèles spécialisés se multiplient et davantage de capacités s’exécutent localement, sur un ordinateur, un terminal ou au cœur d’une infrastructure d’entreprise.

Conséquence : bien plus de systèmes peuvent analyser, planifier et agir. À mesure que l’intelligence devient abondante, elle cesse d’être le principal point de contrôle. La ressource rare devient l’autorité. Les questions centrales sont bien sûr « que peut faire l’agent ? », mais aussi « qu’a-t-il le droit d’exécuter, au nom de qui et sous quelles conditions ? »

Ne pas sécuriser l’agent, sécuriser le passage à l’acte, c’est le principe du Ledger Agent Stack, ouvert aux développeurs en juin. Ledger ne prétend pas rendre l’agent invulnérable. L’architecture suppose au contraire qu’il peut se tromper, subir une injection de prompt ou évoluer dans un environnement déjà compromis.

L’agent peut analyser une situation et préparer une transaction, mais il ne détient pas la clé privée. Celle-ci reste isolée dans un Secure Element, la même famille de composants sécurisés que ceux utilisés dans les cartes bancaires ou les passeports électroniques. L’effet réel de l’opération est présenté sur l’écran sécurisé du dispositif Ledger, indépendamment de l’ordinateur ou du téléphone qui peut être compromis.

Eviter de donner des secrets à l'agent

L’attaque contre Bybit, en février 2025, illustre la nécessité de cette séparation. Près de 1,5 milliard de dollars d’actifs ont été volés après la compromission de l’interface utilisée pour préparer une transaction multisignature. Les signataires pensaient approuver une opération légitime alors que la logique sous-jacente avait été modifiée. Le problème n’était pas la cryptographie elle-même, mais l’écart entre ce que l’humain croyait autoriser et ce que le système exécutait réellement. « Notre objectif est d’éviter de donner des secrets directement à l’agent. L’agent prépare l’intention, puis l’utilisateur vérifie sur son device la transaction à laquelle il consent. » m'explique Charles Guillemet.

Cette séparation trace une frontière entre cognition et autorité. La couche probabiliste recherche, interprète et propose. Une couche déterministe contrôle si la proposition peut devenir un acte. Le matériel ne démontre pas que le modèle a raison ; il borne les conséquences de son erreur ou de sa compromission. Une puce n’interprète ni prompt ni argument : elle applique une règle cryptographique. La thèse de Ledger est donc plus précise qu’un simple « humain dans la boucle ». Il ne s’agit pas de protéger chaque raisonnement du modèle, mais le passage à l’acte : déplacer de l’argent, modifier un accès, engager une entreprise ou déclencher une opération irréversible.

L’autonomie est d’abord un problème de mandat

Faire confirmer chaque action par un humain supprimerait l’intérêt de l’autonomie. Mais accorder à un agent une permission générale reviendrait à lui signer un chèque en blanc. Entre les deux, Ledger veut encadrer l’action par des politiques d’autorisation précisant les comptes accessibles, les montants, les contrats, la durée du mandat et les niveaux d’approbation requis. Pour le CTO : « Tant que l’agent reste dans la policy définie, il peut agir automatiquement, sans humain dans la boucle. Dès qu’il en sort, l’humain est sollicité sur son device pour accepter ou refuser l’action. »

Cette logique existe déjà dans les offres B2B de Ledger, qui s’appuient sur des modules matériels sécurisés pour protéger les clés cryptographiques et encadrer les opérations sensibles. Une entreprise peut ainsi autoriser un opérateur à agir jusqu’à un certain montant quotidien, puis exiger l’approbation du directeur financier au-delà de ce seuil. Agent Intents et Agent Policies doivent rendre ce cadre plus générique et l’étendre au-delà des transactions blockchain.

Le point décisif est que l’identité ne vaut pas autorité. Savoir qui émet une demande ne dit pas qui l’a mandaté, pour quelle finalité, pendant combien de temps ni selon quelles règles de révocation. Un mandat interprétable par une machine doit être explicite, limité, traçable et réversible.

« L’humain dans la boucle » devient alors un mécanisme d’escalade plutôt qu’un contrôle permanent : l’agent agit dans un périmètre prédéfini, et l’humain n’intervient que lorsque le risque, le montant ou la nature de l’action franchit un seuil. Tout l’enjeu est de solliciter la bonne personne, au bon moment et avec une présentation suffisamment claire pour éviter la fatigue d’approbation.

Proof of Human : une preuve parmi d’autres

Ledger prévoit également un mécanisme de Proof of Human, destiné à établir qu’un être humain est bien présent ou intervient dans une action numérique. Mais l’expression recouvre plusieurs problèmes distincts : prouver qu’un dispositif authentique a été utilisé, qu’un être humain est présent, qu’il s’agit d’une personne unique, qu’elle possède une identité déterminée ou qu’elle est réellement habilitée à autoriser l’action. Aucune de ces preuves ne remplace les autres. « Il n’existe pas de solution qui permette de prouver avec certitude que l’on interagit avec un humain. L’objectif est de rendre beaucoup plus difficile pour un agent de se faire passer pour cette personne. » souligne Charles Guillemet.

Ledger envisage de combiner l’attestation d’un dispositif authentique, une identité issue d’un passeport électronique et des preuves à divulgation nulle de connaissance permettant de confirmer certains attributs, comme le fait d’avoir plus de 18 ans, sans révéler toute l’identité.

La biométrie peut apporter un signal complémentaire de présence, mais elle ne doit pas devenir un secret maître. Une caractéristique biométrique n’est ni véritablement secrète ni facilement révocable. Le Proof of Human n’est donc qu’une brique d’un problème plus large : établir une autorité légitime au moment précis de l’action.

De la propriété numérique à l’action numérique

Ledger ne se limite déjà plus à la sécurisation des cryptoactifs. Son système d’exploitation et son environnement applicatif prennent en charge des usages de signature et d’authentification, notamment via une application compatible avec les passkeys et le standard FIDO2. La feuille de route 2026 ajoute l’identité des agents, les intentions, les politiques d’autorisation et le Proof of Human. Le CTO de Ledger estime que le changement est clé : « Aujourd’hui, nous sommes très orientés crypto, mais nous voulons rendre le système de policies et d’intentions aussi générique que possible, afin d’adresser toutes les actions qu’un agent pourrait proposer. »

Pour l'entreprise, ce déplacement stratégique n'est pas anodin. Ledger protégeait la propriété numérique ; elle veut désormais sécuriser la capacité d’action : paiements, trésorerie, identifiants, accès et opérations préparées par des agents. Ce positionnement traduit une conviction plus large de Charles Guillemet : face à l’effondrement du coût de l’attaque, les opérations critiques devront davantage s’appuyer sur la cryptographie, l’isolation matérielle et des preuves vérifiables plutôt que sur la seule confiance accordée au logiciel.

La difficulté ne sera toutefois pas seulement technique. Il faudra rendre les politiques interopérables, compréhensibles et auditables, organiser leur révocation, éviter les validations machinales et attribuer la responsabilité lorsqu’un agent respecte un mandat mal conçu. Il faudra aussi prouver que l’action est bien autorisée par la bonne personne : non seulement un humain identifié, mais celui qui dispose réellement de l’autorité requise. Le matériel peut prouver qu’une règle a été appliquée ; il ne peut pas démontrer qu’elle était pertinente. La prochaine génération de confiance devra donc associer intégrité technique, preuve d’autorité et qualité de gouvernance.

« Dans un monde agentique où l’on a de moins en moins confiance dans ce qui est exécuté et par qui, le hardware et les racines de confiance deviennent de plus en plus importants. » estime le CTO. La prochaine bataille de l’IA portera donc autant sur l’autorité que sur les modèles : qui a autorisé quoi, dans quelles limites, avec quelle possibilité de révocation et sous quelle responsabilité ? À mesure que l’intelligence devient abondante, l’enjeu ne sera plus de savoir jusqu’où un agent peut aller, mais de pouvoir établir, pour chaque action, qui l’a mandaté, dans quelles limites et sous quelle responsabilité.