Identités d'agents IA : ce que change le protocole MCP

Cent identités numériques non humaines pour une seule identité humaine : c'est la trajectoire vers laquelle filent vos systèmes d'information à mesure que les agents IA s'y installent, selon les données compilées par Delinea. Le 28 juillet 2026, Anthropic a activé le support de MCP 2026-07-28, la cinquième version du protocole qui connecte Claude à vos outils métier, avec une authentification durcie et une architecture entièrement repensée. Voici ce que ce changement signifie très concrètement pour la direction des systèmes d'information, et pour tout dirigeant qui a déjà déployé des agents IA en production.

MCP 2026-07-28 : la spec qui fait passer les connecteurs à l'échelle

Le protocole MCP (Model Context Protocol) dépasse aujourd'hui 400 millions de téléchargements mensuels de ses kits de développement, un volume multiplié par quatre en un an à peine, selon les chiffres publiés par Anthropic le 28 juillet 2026. Claude référence à présent plus de 950 connecteurs dans son annuaire public, utilisés chaque jour par des millions de personnes. Ce succès a un revers : plus un protocole se répand vite, plus la dette technique et les failles de sécurité qui l'accompagnent se répandent vite aussi.

Publiée le même jour par la fondation qui maintient le standard, la spec 2026-07-28 change la mécanique interne de MCP en profondeur. Fini la poignée de main initiale et la session ouverte entre un client et un serveur : chaque requête devient autonome, porte sa propre identité et peut atterrir sur n'importe quelle instance derrière un simple répartiteur de charge. Sur le plan technique, c'est un changement d'architecture. Sur le plan de la gouvernance, c'est une autre histoire.

La spec officialise aussi deux extensions qui existaient jusque-là à l'état expérimental. MCP Apps permet à un connecteur d'afficher une interface interactive directement dans la conversation, sans obliger l'utilisateur à changer d'onglet. Tasks structure la manière dont un agent gère un travail qui dure plusieurs minutes, voire plusieurs heures, avec un mécanisme d'interrogation régulière plutôt qu'un flux ouvert en permanence. Les deux fonctionnalités sortent du statut bêta pour devenir un cadre stable, sur lequel les éditeurs peuvent construire sans craindre un changement de règles au trimestre suivant.

Comparez l'ancien modèle à un appel téléphonique qui doit rester ouvert du début à la fin de la conversation. Le nouveau ressemble davantage à un échange de lettres recommandées : chaque message porte sa propre preuve d'identité, indépendamment des précédents. Un serveur MCP peut désormais tourner sur une infrastructure serverless ou en périphérie de réseau, sans avoir à retenir qui a dit quoi trente secondes plus tôt.

Combien de connecteurs votre entreprise a-t-elle déjà activés sans qu'aucune DSI n'en tienne un inventaire complet ? Dans la plupart des organisations que nous accompagnons, la réponse tient en un mot. Trop.

Le vrai sujet dans vos murs : l'explosion des identités non humaines

Cent identités non humaines pour une identité humaine. C'est la trajectoire que dessinent aujourd'hui les comptes machine, jetons d'API et agents autonomes dans les grandes organisations, d'après une analyse relayée par IT Social début 2026. Un agent IA qui lit vos e-mails, met à jour votre CRM et prépare un rapport dans SharePoint ne porte pas une seule identité : il en cumule plusieurs, une par système auquel il touche.

59 % des entreprises n'ont aujourd'hui aucune alternative viable à l'accès permanent à privilèges pour leurs agents IA et leurs identités non humaines, selon une étude Delinea. Autrement dit, plus d'une entreprise sur deux laisse tourner des agents avec des droits qu'elle ne sait pas révoquer proprement ni auditer a posteriori. Le chiffre qui suit est plus inquiétant encore : 90 % des organisations reconnaissent faire pression sur leurs propres équipes de sécurité pour assouplir les contrôles d'identité, au nom de la vitesse d'adoption de l'IA.

Ce phénomène porte un nom depuis quelque temps déjà : le shadow AI, ces agents et connecteurs déployés par une équipe métier sans jamais passer par la DSI. Nous décrivions ce risque en détail dans notre analyse du shadow AI en entreprise. La différence, en 2026, c'est que ces agents ne se contentent plus de lire des données : ils écrivent, modifient, suppriment, avec des jetons d'accès que personne ne pense à faire tourner.

Qui, dans votre organisation, sait précisément ce qu'un agent IA a le droit de faire une fois connecté à votre ERP ou à votre outil de gestion de la relation client ? Si la réponse vous demande plus de dix secondes de réflexion, vous n'êtes pas seul. C'est exactement le trou noir que la nouvelle génération de protocoles cherche à combler.

Un agent IA mal cadré ressemble à un stagiaire à qui l'on remettrait un badge maître dès le premier jour, sans jamais lui expliquer quelles portes il ne doit pas franchir. Il ne fera probablement rien de mal. Mais le jour où il ouvrira la mauvaise porte, personne ne pourra dire pourquoi il en avait la possibilité.

L'authentification durcie : ce que la DSI y gagne concrètement

Sur le terrain de l'automatisation de la sécurité elle-même, 29 % des organisations utilisent déjà des agents autonomes pour traiter leurs tickets de sécurité, et 64 % supplémentaires prévoient de franchir le pas dans les douze prochains mois. Additionnez les deux chiffres : 93 % des entreprises auront intégré ce niveau d'accès agentique d'ici la fin de l'année 2026. La sécurité elle-même devient un terrain d'expérimentation pour les agents qu'elle est censée encadrer.

MCP 2026-07-28 répond en partie à ce vertige. L'autorisation s'aligne désormais sur les déploiements OAuth 2.0 et OIDC de production, ce qui permet à un serveur MCP de se connecter à des systèmes d'identité d'entreprise comme Entra ou Okta sans contournement bricolé. Un administrateur provisionne un connecteur une seule fois pour toute l'organisation ; chaque utilisateur hérite ensuite de son accès via les groupes qu'il possède déjà dans son fournisseur d'identité, sans configuration manuelle de son côté. C'est exactement le mécanisme que mobilise Claude Cowork pour se déployer dans une organisation sans multiplier les comptes fantômes.

La spec ajoute aussi une validation d'émetteur conforme à la RFC 9207, qui referme une faille classique de confusion entre serveurs d'autorisation, et fait basculer l'enregistrement des applications vers des documents de métadonnées client plutôt que vers l'ancien enregistrement dynamique. Une fenêtre de douze mois minimum s'applique avant toute dépréciation définitive d'une fonctionnalité, de quoi laisser aux équipes techniques le temps de migrer sans être prises de court. Les quatre kits de développement principaux, TypeScript, Python, Go et C#, supportent déjà la nouvelle version dès le jour de son annonce.

Un autre changement, plus technique en apparence, touche directement à la confiance qu'une entreprise peut accorder à un agent autonome. Le protocole introduit un mécanisme de requêtes en plusieurs allers-retours : un agent qui s'apprête à supprimer des données ou à engager une dépense peut désormais interrompre son action, demander une confirmation explicite, puis reprendre exactement là où il s'était arrêté. Sur un système stateless, ce n'était pas trivial à construire. Pour une entreprise réglementée, c'est la différence entre un agent qui agit sous supervision et un agent qui agit, simplement, en espérant que personne ne s'en formalise.

Le vrai gain se loge ailleurs, dans un détail presque discret : un tableau de bord d'observabilité permet désormais de suivre, connecteur par connecteur, les erreurs, la latence et l'usage réel par produit. Pour une équipe sécurité qui doit prouver, lors d'un audit, qu'elle sait ce qui transite par ses connecteurs IA, ce n'est plus un détail. C'est la différence entre une réponse argumentée et un haussement d'épaules.

Secteur par secteur : ce qui change une fois la bascule faite

L'adoption n'a rien de théorique. 41 % des éditeurs logiciels sont déjà en production limitée ou large avec des serveurs MCP, selon le rapport Stacklok sur l'état du logiciel en 2026. Chez Honeycomb, plateforme d'observabilité utilisée par des équipes techniques du monde entier, près de 20 % des requêtes interactives mensuelles proviennent désormais d'agents, non d'humains. Le basculement n'est pas devant vous. Il est déjà en cours.

Dans une direction juridique, l'authentification gérée par l'entreprise change une donnée simple : qui peut interroger le connecteur relié à la data room d'une opération de fusion-acquisition. Plutôt que d'ouvrir l'accès à toute l'organisation ou de le fermer par excès de prudence, la DSI restreint l'usage du connecteur aux groupes de l'annuaire déjà en charge du dossier, sans créer un compte séparé pour chaque juriste impliqué.

Pour une direction financière, le tableau de bord d'observabilité devient un outil d'audit à part entière : il permet de reconstituer, mois après mois, quel agent a touché quel système du reporting, une traçabilité que réclament de plus en plus les commissaires aux comptes. Chez un assureur, la possibilité de connecter un agent IA à un système interne via un tunnel réseau privé, sans exposer aucun point d'accès public ni ouvrir de règle de pare-feu entrant, répond directement aux exigences de Solvabilité II sur la protection des données de police et de sinistre. Un laboratoire pharmaceutique confronté aux mêmes enjeux gagne, de son côté, une preuve d'audit automatique sur les données de recherche que ses agents manipulent, un point sensible au regard de l'article 9 du RGPD sur les données de santé.

Un cabinet de conseil qui mène plusieurs missions clientes en parallèle profite du même mécanisme pour cloisonner ses agents mission par mission, sans qu'un connecteur ouvert pour un client puisse, par erreur de configuration, laisser filtrer une donnée vers un dossier concurrent.

Le fil conducteur, d'un secteur à l'autre, reste le même : la technologie ne remplace pas la gouvernance, elle lui donne enfin des outils concrets pour s'exercer. Sans ces outils, une DSI se contente de croiser les doigts en espérant qu'aucun connecteur ne dérape.

Comment préparer votre DSI avant la bascule complète

Concrètement, par où commencer ? Combien de connecteurs actifs pourriez-vous nommer là, tout de suite, sans consulter personne ? La première étape ne demande aucun outil nouveau : dresser l'inventaire réel des connecteurs et agents IA déjà actifs dans l'entreprise, avec pour chacun la question du badge et des portes qu'il ouvre posée plus haut. La plupart des directions informatiques découvrent, à ce stade, un écart net entre ce qu'elles pensaient avoir déployé et ce qui tourne réellement.

Vient ensuite la migration vers l'authentification gérée par l'entreprise, groupe d'annuaire par groupe d'annuaire, plutôt qu'utilisateur par utilisateur. C'est précisément le chantier que 59 % des entreprises n'ont toujours pas engagé, faute d'alternative crédible à l'accès permanent à privilèges. La fenêtre de douze mois minimum avant dépréciation complète, prévue par la spec, laisse justement le temps de le faire dans l'ordre plutôt que dans l'urgence. Nos programmes de formation Claude Cowork incluent désormais un volet dédié à cet inventaire, pensé pour les équipes IT autant que pour les utilisateurs métier.

Pour les systèmes les plus sensibles, ceux qu'aucune direction ne souhaite exposer sur l'internet public, les tunnels réseau privés changent la nature même de la décision à prendre. La question n'est plus si l'entreprise expose ce système ou non, mais comment elle le connecte en gardant le contrôle total du flux. Nous détaillions déjà cette logique de contrôle d'accès granulaire dans notre analyse des contrôles RBAC en production : la nouvelle spec MCP en devient un allié technique plutôt qu'un obstacle de plus à contourner.

En France, l'ANSSI a commencé à documenter précisément ce type de risque pour les déploiements agentiques, avec des recommandations qui rejoignent largement l'esprit de la nouvelle spec MCP : traçabilité systématique, moindre privilège par défaut, revue régulière des accès. Une entreprise qui aligne son déploiement Claude Cowork sur ces deux référentiels à la fois, protocole technique et doctrine nationale, part avec une longueur d'avance sur ses concurrents restés sur une architecture plus permissive.

Cette bascule prolonge directement l'autorisation gérée des connecteurs qu'Anthropic avait annoncée en juin dernier. Ce n'était qu'une première pierre. MCP 2026-07-28 en pose plusieurs autres d'un coup : architecture, authentification, observabilité, réseau. Aux équipes IT de les assembler avant que l'écart entre agents déployés et agents gouvernés ne devienne trop coûteux à rattraper.

Les identités ne couvrent qu'une partie de la surface à surveiller. Anthropic a complété le tableau le 6 août avec un scan de sécurité dédié aux skills et plugins tiers, qui vérifie ce qu'un fichier installé fait réellement de ses accès avant de le laisser tourner dans l'organisation. Gouvernance des identités et scan des skills se lisent comme les deux faces d'une même politique de contrôle.

MCP 2026-07-28 n'est pas une mise à jour technique de plus à ignorer jusqu'à la prochaine réunion de DSI. C'est la version du protocole qui rend enfin possible ce que la majorité des entreprises cherchent sans y parvenir : un accès aux agents IA à la fois large, tracé et révocable. Le sujet des identités non humaines ne se résoudra pas tout seul, et chaque mois d'attente ajoute son lot de comptes machine impossibles à auditer. Vous voulez évaluer où se situe votre organisation sur ces critères d'authentification, d'observabilité et de gouvernance des connecteurs IA ? Réservez un diagnostic de 30 minutes avec notre équipe.