Beyond Zero : Google déplace la frontière de confiance de l'application vers l'action

Le 27 juillet 2026, Heather Adkins et Archana Ramamoorthy ont publié sur le blog sécurité de Google un billet intitulé « Going Beyond Zero ». Il accompagne un papier de Joseph Valente et Michal Zalewski accepté dans ACM Queue (DOI 10.1145/3819083) sous le titre « Beyond Zero: Enterprise Security for the AI Era ». Douze ans après le white paper BeyondCorp qui a donné au Zero Trust sa forme industrielle, Google annonce que le modèle a atteint sa limite et propose sa relève.

Le geste est le même qu'en 2014 : Google décrit ce qu'il a construit en interne et invite l'industrie à s'en emparer. Aucune offre commerciale n'accompagne l'annonce, et les résultats cités proviennent de « prototypes et déploiements internes précoces ». Ce qui suit est donc une architecture de référence, pas un produit qu'un RSSI peut acheter en septembre.

Ce que BeyondCorp ne couvre plus

BeyondCorp reposait sur trois hypothèses que Valente et Zalewski déclarent périmées. Celui qui accède est humain. Il agit à vitesse humaine. Et l'application constitue la bonne frontière de confiance : une fois admis dans l'outil, l'utilisateur y circule librement.

Les agents cassent les trois d'un coup. Ils lisent, écrivent et appellent des outils à un rythme que le papier situe à dix fois celui d'un humain dans sa version ACM Queue (le preprint arXiv parle, lui, de plusieurs ordres de grandeur). L'infrastructure d'autorisation doit désormais absorber, selon les auteurs, des dizaines de millions d'actions machine concurrentes par seconde. Aucune revue SecOps a posteriori ne suit ce débit.

Valente et Zalewski nomment le mécanisme central : l'ambient authority. Un agent lancé par un collaborateur hérite de l'intégralité de ses permissions, y compris celles que personne n'a révisées depuis trois changements de poste. Il n'a pas besoin d'élever ses privilèges, il en a déjà trop. Un attaquant qui détourne cet agent par injection de prompt hérite du même trousseau. Wiz observe la même mécanique côté MCP et la formule sans détour : le protocole accorde au runtime du modèle une autorité ambiante sur des chaînes de confiance à plusieurs sauts, que les contrôles de périmètre et d'identité ne couvrent pas seuls.

Google résume sa réponse par une image : passer du château fort au système immunitaire. Royal Hansen en fait le titre de l'épisode 258 du podcast Cloud Security. Derrière la métaphore, une décision d'architecture précise : la frontière de confiance descend de l'application vers l'action individuelle sur une ressource.

Un plancher, un plafond et trois verdicts

Le papier tient sur cinq principes, mais deux portent l'essentiel. Le premier : l'autorisation s'évalue au niveau d'une action sur une ressource, jamais au niveau d'un outil entier, et de la même manière quel que soit le canal emprunté (front-end, API ou serveur MCP). Le second : Google refuse le tout-dynamique. Des politiques statiques granulaires forment un plancher que rien ne descend, et une couche IA forme un plafond qui durcit les scénarios à risque. Les auteurs justifient ce choix : un modèle entièrement inféré serait invérifiable statiquement.

Quatre composants s'organisent en boucle. L'Autonomous Governance maintient un Enterprise Security World Model, par analogie avec le modèle du monde d'une voiture autonome : qui sont les accédants (humains et agents, avec le contrôlant humain de chaque agent), quelle est la sensibilité sémantique des données, et sur quoi chacun est censé travailler d'après son historique et ses affectations. Les auteurs insistent sur un point d'ingénierie : les budgets de latence à l'accès obligent à pré-calculer ces attributs en amont.

L'Event Intake ingère les événements serveur, client et agent (prompts, plans d'exécution, invocations d'outils) dans un cache chaud pour la décision immédiate et un stockage long terme pour l'analyse. Le Reasoning Engine tranche à deux vitesses : de l'ABAC très granulaire pour bloquer dans l'instant, une détection d'anomalies plus lente pour repérer l'utilisateur qui ouvre 500 % de fichiers de plus que ses pairs. Il rend un verdict Allow, Deny ou Challenge. La Challenge Infrastructure exécute les exceptions : justification écrite, toucher de clé de sécurité, approbation du manager pour un export en masse, selfie de présence, ou confinement durable qu'une revue humaine seule peut lever.

Google illustre l'ensemble par un scénario. Un agent nommé SalesGenie, autorisé à lire des rapports de vente, tente d'ouvrir un document stratégique classé « Highly Confidential ». La vérification BeyondCorp passe : identités et certificats sont valides. Beyond Zero relève l'écart entre le périmètre de travail de l'utilisateur (des comptes Financial Services du Nord-Est) et la donnée demandée, sert deux challenges, puis, après échec et inférence approfondie révélant une exfiltration, applique un confinement sans attendre d'humain.

Dimension	BeyondCorp (2014)	Beyond Zero (2026)
Frontière de confiance	Application ou outil	Action individuelle sur une ressource
Vitesse de décision	Vitesse humaine	Vitesse machine, milliers de décisions par seconde
Type de politique	Statique	Plancher statique + plafond dynamique inféré
Attributs de contexte	Identité et posture de l'appareil	Identité, appareil, comportement, sensibilité de la donnée
Intention	Non évaluée	Intention utilisateur et intention agent, confrontées à celle de la politique
Fenêtre observée	L'action seule	La fenêtre d'activité, avant et après l'action
Investigation	A posteriori	Quasi temps réel, réinjectée dans la décision suivante
Challenges et confinements	Hors politique	Déclenchés par la politique elle-même

MCP entre par la grande porte

Valente et Zalewski traitent MCP comme un canal d'accès de plein droit, au même rang que le front-end et les API. Ils appellent l'industrie à converger sur trois chantiers : des API normalisées d'introspection des agents permettant d'inspecter une chaîne de raisonnement en cours, un standard d'identité agentique rendant chaque action attribuable à un agent, un utilisateur contrôlant et une tâche, et des points d'évaluation de politique externalisés que tout éditeur SaaS pourrait brancher.

Ce troisième point a des chances d'aboutir. Le NIST CAISI a lancé son AI Agent Standards Initiative le 17 février 2026, et le NCCoE a publié dans la foulée un concept paper qui propose d'appliquer OAuth 2.0, OpenID Connect et SPIFFE/SPIRE aux agents. La bascule stateless de la spécification MCP 2026-07-28 va dans le même sens : une requête auto-descriptive portant des en-têtes exploitables se prête à l'interception par une passerelle de politique, là où une session opaque ne s'y prêtait pas.

Le volume justifie l'urgence. Wiz recense des serveurs MCP dans 80 % des environnements cloud analysés, dont environ un sur six expose au moins un serveur à Internet. Gartner projette de son côté qu'une entreprise du Fortune 500 exploitera plus de 150 000 agents d'ici 2028, contre moins de quinze en 2025, et que 13 % des organisations estiment aujourd'hui disposer d'une gouvernance des agents adéquate. La Cloud Security Alliance et Entro Security mesurent un ratio moyen de 45 identités non humaines pour une identité humaine, qui monte à 144 pour 1 en environnement cloud-native. Ces trois chiffres décrivent le même angle mort : personne ne sait qui accède à quoi.

La critique porte sur un point précis

La réception a été rude, et elle vise juste. Sur Hacker News, l'objection dominante tient en une phrase de l'utilisateur stogot : « Zero trust is deterministic. AI is non-deterministic. Non-deterministic access controls is Terrible idea. » Someone1234 la reformule en termes d'ingénierie : un LLM peut signaler une menace pour revue humaine, un contrôle d'accès doit rester une frontière dure plutôt qu'une frontière incohérente.

Deuxième reproche, formulé par kriro puis développé par Chris Blask dans un essai remarqué : concentrer le raisonnement dans un cerveau superviseur déplace le vecteur d'attaque au lieu de le supprimer. Blask écrit que le régulateur central « est aussi une fourmi, simplement la plus grosse fourmi de la colonie », et que Beyond Zero ne supprime pas l'ambient authority mais la concentre dans le plan de sécurité. L'objection est solide : le World Model agrège les données RH, les identités, les projets et la classification des données de toute l'entreprise. Compromettre cette pièce vaut mieux que compromettre n'importe quel agent.

Blask formule aussi la limite conceptuelle la plus utile pour un architecte. L'intention n'est pas une lecture de capteur. On journalise ce qui a été demandé, on en infère une incohérence qui justifie un challenge, et on n'établit jamais ce que la personne voulait vraiment ni ce qu'elle avait institutionnellement le droit de faire. D'où sa règle, qui vaut critère de conception : le raisonnement de risque peut réduire l'autorité, il ne doit jamais la créer. Un système qui respecte cette règle reste défendable devant un auditeur. Un système qui l'enfreint accorde des droits sur la base d'une inférence probabiliste.

Restent les faux positifs. firasd juge que le comportement inhabituel mais légitime est sous-pondéré et préfère des garde-fous réversibles, une fenêtre d'annulation sur les suppressions, un journal d'événements sur les envois, à un jugement probabiliste. billyp-rva cite l'ingénieur qui répare une panne depuis ses vacances. luma anticipe le coût d'exploitation : un équipement non déterministe dans le chemin réseau, et l'équipe qui l'exploite devient l'éponge à tickets de l'entreprise. Aucune métrique publique de taux de faux positifs n'accompagne l'annonce, ce qui laisse ces objections sans réponse chiffrée.

Ce que le calendrier européen impose

Le socle principal de l'AI Act entre en application le 2 août 2026, demain à l'échelle d'un programme de sécurité. Un moteur d'autorisation qui arbitre l'accès de collaborateurs à des données RH, de santé ou juridiques tombe dans une catégorie exigeante : documentation technique, traçabilité, transparence et supervision humaine effective. NIS2 réclame des mesures proportionnées pour les entités essentielles et importantes. Le RGPD impose l'analyse d'impact et l'article 32. Un verdict d'accès produit par inférence doit rester auditable, contestable et réversible, le point que la communauté attaque depuis le premier jour.

L'ANSSI a déjà tracé une limite en amont. Son bulletin CERTFR-2026-ACT-016 du 13 avril 2026 proscrit le déploiement en production d'assistants personnels autonomes sur les postes de travail tant que ces produits ne sont pas stabilisés, et liste cinq risques : compromission du poste, fuite vers des ressources externes, droits d'accès démesurés, partage de secrets d'authentification, perte de maîtrise avec actions destructrices irréversibles. Ces cinq risques sont exactement ceux que Beyond Zero prétend traiter. Les organisations françaises se retrouvent donc à devoir gouverner un problème dont l'outillage de référence n'est pas encore disponible.

Le World Model pose enfin une question de souveraineté que le papier n'aborde pas. Un modèle vivant de l'entreprise, nourri par les RH, l'IAM, les projets et la classification des données, constitue l'un des actifs les plus sensibles du système d'information. Sa localisation, son hébergement et sa gouvernance deviennent des décisions de premier plan, au même titre que celles que nous documentons dans la matrice de souveraineté agentique.

Ce que nous en retenons

Le diagnostic est juste, l'implémentation reste à démontrer. L'ambient authority héritée par les agents est le trou béant des architectures Zero Trust actuelles, et descendre la frontière de confiance au niveau de l'action est la bonne réponse. Google le dit avec l'autorité de celui qui a déjà fait bouger l'industrie une fois. Rien n'oblige en revanche à confier l'arbitrage à un modèle probabiliste pour obtenir ce grain fin.

Le plancher statique porte la valeur immédiate. Écrire des politiques déterministes par action sur les ressources critiques ne demande ni IA ni produit Google. OPA, Cedar ou un moteur équivalent suffisent, et le travail reste valable quelle que soit la couche contextuelle ajoutée ensuite. C'est le prolongement direct du plan de contrôle que nous recommandons pour gouverner une flotte d'agents.

La règle de Blask est un critère d'architecture testable. Le raisonnement de risque réduit l'autorité, il ne la crée jamais. Une architecture qui respecte cette contrainte reste explicable devant un auditeur AI Act et supporte un mode dégradé : si le moteur d'inférence tombe, le plancher statique tient. Une architecture qui l'enfreint accorde des accès qu'aucun humain ne peut justifier après coup.

Que faire dès maintenant

1. Inventorier les identités non humaines. Agents, comptes de service, connecteurs, serveurs MCP internes et exposés. Les ratios cités plus haut rendent l'exercice rentable dès la première semaine, et il conditionne tout le reste. Notre checklist d'autorisation d'un agent autonome donne la trame.
2. Cadrer l'usage des assistants autonomes par une note DSI et RSSI alignée sur CERTFR-2026-ACT-016, et bloquer en proxy ceux qui échappent au contrôle.
3. Attribuer chaque action d'agent à un agent, un utilisateur contrôlant et une tâche, ce que nous appelons le passeport agent. Sans cette attribution, aucune décision contextuelle n'est auditable.
4. Écrire les politiques par action sur les ressources les plus sensibles, en policy-as-code déterministe, avec MFA ou FIDO et journalisation exhaustive. Seuil avant de passer à la suite : 80 % des ressources critiques couvertes par une politique par action.
5. Déployer le scoring contextuel en observation. Détection et challenge d'abord, sans blocage automatique, le temps de mesurer le taux de faux positifs. Seuil avant d'autoriser un confinement autonome : moins de 2 % de faux positifs sur les challenges, et un impact productivité mesuré.
6. Garder une voie de recours humaine sur tout confinement, et un chemin de rollback sur toute action réversible. C'est la réponse d'ingénierie aux objections de firasd et de Blask, et c'est aussi ce que réclame la supervision humaine effective de l'AI Act.

Deux événements changeraient cette lecture. Si Google, ou un autre acteur, commercialise une offre disponible sur ce modèle, la question make-vs-buy se rouvre. Si le régulateur européen durcit l'exigence d'explicabilité des décisions automatisées d'accès, les moteurs auditables prennent le pas sur l'inférence, et le plafond dynamique restera cantonné à la détection.

---

Sources

• blog.google : Heather Adkins et Archana Ramamoorthy, « Going Beyond Zero: A New Paradigm For Enterprise Security », 27 juillet 2026 (annonce, filiation avec BeyondCorp, statut de prototypes et déploiements internes précoces).
• arxiv.org : Joseph Valente et Michal Zalewski, « Beyond Zero: Enterprise Security for the AI Era », preprint arXiv:2605.22985, accepté dans ACM Queue (DOI 10.1145/3819083, 20 juillet 2026) : cinq principes, architecture à quatre composants, verdicts Allow/Deny/Challenge, World Model, scénario SalesGenie, appel aux standards ouverts.
• Rory Ward et Betsy Beyer, « BeyondCorp: A New Approach to Enterprise Security », ;login:, vol. 39, n° 6, 2014, pp. 6-11 (acte de naissance industriel du Zero Trust).
• cybrsecmedia.com : Chris Blask, « Beyond Zero: How We Got Ants in Cybersecurity », 27 juillet 2026 (concentration de l'ambient authority dans le plan de sécurité, intention contre télémétrie, règle « réduire l'autorité sans jamais la créer »).
• news.ycombinator.com : discussion « Google's Beyond Zero: Enterprise Security for the AI Era » (commentaires stogot, Someone1234, kriro, firasd, billyp-rva, luma cités verbatim).
• nist.gov : « Announcing the AI Agent Standards Initiative », 17 février 2026, et le concept paper NCCoE « Accelerating the Adoption of Software and AI Agent Identity and Authorization » (OAuth 2.0, OpenID Connect, SPIFFE/SPIRE).
• wiz.io : « Understanding Model Context Protocol Security in 2026 » et State of AI in the Cloud 2026 (serveurs MCP dans 80 % des environnements cloud, environ un sur six exposé à Internet, autorité ambiante sur des chaînes de confiance multi-sauts).
• Cloud Security Alliance et Entro Security, « The Non-Human Identity Governance Vacuum », 20 mai 2026 (ratio moyen de 45:1, jusqu'à 144:1 en cloud-native).
• Gartner, communiqué du 28 avril 2026 (plus de 150 000 agents par entreprise du Fortune 500 d'ici 2028, contre moins de quinze en 2025 ; 13 % des organisations estimant leur gouvernance des agents adéquate).
• cert.ssi.gouv.fr : bulletin CERTFR-2026-ACT-016, 13 avril 2026 (assistants personnels autonomes proscrits en production sur les postes de travail, cinq risques identifiés).
• cloud.withgoogle.com : Cloud Security Podcast EP258, « Why Your Security Strategy Needs an Immune System, Not a Fortress », avec Royal Hansen (métaphore du système immunitaire, tension entre sécurité probabiliste et audits déterministes).
• forrester.com : framework AEGIS (Agentic AI Enterprise Guardrails for Information Security), convergence analyste sur la gouvernance des agents.

Note de fiabilité : Beyond Zero est une architecture de référence publiée par Google, pas un produit disponible ; les bénéfices annoncés proviennent de prototypes et déploiements internes non vérifiables indépendamment, et aucune métrique de faux positifs n'est publiée. Le rythme d'accès des agents diffère entre les deux versions du papier (dix fois celui des humains côté ACM Queue, plusieurs ordres de grandeur côté preprint arXiv). Les chiffres Wiz, Gartner et CSA/Entro sont des estimations d'éditeurs et d'analystes portant sur des périmètres différents, non auditées. Le fil Hacker News a été analysé à un stade précoce de la discussion : les commentaires cités sont verbatim mais ne couvrent pas le fil complet. Les lectures « plancher statique », « règle de Blask comme critère d'architecture » et la trajectoire en six étapes relèvent de l'analyse de SFEIR.