RBAC vs ABAC : choisir un modèle de contrôle d'accès pour les agents IA

RBAC accorde des permissions à des rôles nommés et affecte des sujets à ces rôles : une décision est donc une recherche dans les liaisons de rôles du sujet. ABAC évalue une politique au moment de la requête sur les attributs du sujet, de la ressource, de l'action et de l'environnement : une décision est donc un calcul. RBAC est plus facile à auditer ; ABAC est plus expressif. La différence se fait sentir lorsque quelqu'un demande qui peut accéder à une ressource : RBAC répond à partir d'un tableau, ABAC impose d'évaluer la politique.

‍

Sur le papier, oui — l'autorité appropriée d'un agent varie selon l'outil qu'il appelle, les données qu'il touche et la personne pour laquelle il agit. En pratique, la plupart des équipes déploient du RBAC avec des liaisons limitées à des ressources, car les attributs dont une politique d'agent aurait besoin sont soit indisponibles au moment de la décision, soit mieux traités en déléguant au système en amont au moyen d'identifiants par utilisateur. La perte d'auditabilité pèse aussi le plus lourdement sur les agents, qui sont justement ce que la revue de sécurité examine le plus.

Oui, et c'est le déploiement réel le plus courant. Les rôles forment l'ossature et quelques conditions s'appliquent là où c'est justifié. La version de TrueFoundry repose sur des liaisons de rôles RBAC et quatre contrôles : un périmètre par ressource, un OAuth par utilisateur pour que les permissions du système en amont s'appliquent, l'activation et la désactivation par outil, et une approbation humaine pour les appels d'outils sensibles. Ce n'est volontairement pas un moteur de politiques.

Oui. TrueFoundry s'exécute dans votre VPC, on-premise, en environnement air-gapped ou en hybride, de sorte que les prompts et les réponses ne quittent jamais votre domaine, même lorsque vous routez vers de nombreux fournisseurs.

Oui. Il comprend une MCP Gateway, une Agent Gateway et un MCP & Agents Registry avec un contrôle d'accès au niveau des outils. Les agents construits avec LangGraph, CrewAI, AutoGen ou un framework maison peuvent tous être gouvernés de manière centralisée.

Oui. La passerelle est compatible OpenTelemetry et s'intègre à Grafana, Datadog, Prometheus, ou à votre pile technologique préférée. Elle trace chaque requête, du prompt à l'exécution de l'outil et du modèle, vous offrant ainsi une journalisation unifiée sans avoir à remplacer ce que vous utilisez déjà.