Vos API sont déjà appelées par des agents

Un développeur de votre équipe travaille avec un assistant de code. Pour s’épargner des copier-coller, il monte un serveur MCP devant l’API interne de suivi des incidents. Une heure de travail, une variable d’environnement, son propre jeton dedans. Ça marche, et il n’en a parlé à personne, parce qu’il n’y avait rien à dire.

Dans vos journaux, rien d’anormal non plus. Un jeton valide, un consommateur connu, des appels bien formés. Sauf que ce n’est plus lui qui appelle.

Personne n’a désobéi

C’est le mécanisme des API fantômes et du contournement de la plateforme. Une intégration sauvage ne naît pas d’une mauvaise intention. Elle naît d’un délai, d’un outil disponible, et de l’absence d’un chemin officiel plus rapide.

Ce que le cas des agents ajoute, c’est l’héritage des droits. Le serveur MCP porte les credentials de la personne qui l’a monté. Pas un compte de service, pas un sous-ensemble choisi. Tout ce que cette personne peut faire, l’agent peut le faire.

Or ce qu’elle peut faire dépasse presque toujours ce dont l’agent a besoin. Un développeur traîne des droits de lecture large, hérités d’une astreinte ou d’une migration. Ils dormaient. Une boucle d’agent ne les laisse pas dormir.

Pourquoi ça ne se voit pas

Trois raisons, et aucune n’est un défaut de votre outillage.

Le serveur écoute en local, sur un port haut, à l’intérieur de l’outil du développeur. Aucun inventaire d’actifs ne le voit, parce qu’il ne ressemble à rien de ce que ces inventaires cherchent.

L’appel qui arrive chez vous, lui, est parfaitement légitime. Même jeton, même adresse de sortie, même client HTTP. La gateway ne voit pas un agent, elle voit un consommateur autorisé.

Et la grille de contrôle n’a pas la question. Une revue de sécurité d’API demande qui appelle et avec quelle preuve. Elle ne demande pas encore si un modèle décide de la séquence des appels.

Sur les serveurs exposés en ligne, les mesures existent maintenant. Une étude de 2026 a validé 7 973 serveurs MCP joignables, dont 40,55 % servent leurs outils sans aucune authentification. Sur les serveurs à OAuth réellement testés, tous portaient au moins un défaut.

Ce que ça change dans vos journaux

Vous ne détecterez pas un agent à son en-tête. Certains clients s’annoncent, la plupart non, et rien n’oblige personne. La détection se fait sur la forme du trafic, et elle est plus facile qu’on ne le croit, parce qu’un agent ne ressemble pas à une main humaine.

La rafale. Des dizaines d’appels en quelques secondes, puis plus rien pendant dix minutes. Un écran produit un appel par geste, à peu près régulièrement espacé.

La séquence. Une lecture large, puis une lecture ciblée quelques appels plus tard. L’agent liste avant de choisir, et il liste bien plus souvent qu’un client compilé qui connaît déjà son chemin.

Les erreurs de forme. Un taux de 4xx anormal sur les paramètres, avec des valeurs plausibles mais fausses. Un client compilé se trompe une fois, à la mise en service. Un modèle se trompe autrement, et à chaque tâche.

L’horaire. Le trafic suit la session de travail d’une personne, pas les heures ouvrées de son service. Et il continue pendant qu’elle déjeune.

Le même jeton, deux régimes. Une identité qui produit à la fois du trafic d’écran et du trafic en rafale est le signal le plus fiable de tous. Ce n’est pas la même main.

Un dernier signal, plus cher à obtenir et plus difficile à ignorer : le coût par tâche. Quand l’aval est un modèle, la facture arrive souvent avant le rapport d’audit.

L’interdiction ne marche pas

Le réflexe est d’interdire, et il coûte deux fois. Il ne supprime pas l’usage, il le déplace hors de vue, sur une machine personnelle ou dans un outil que personne ne journalise. Et il fait perdre le seul moment où cet usage était encore observable.

Cette classe d’incident vient de gens de la maison qui font leur travail. Ce qui la fait reculer, c’est un chemin officiel plus rapide que le contournement. Pas une note de service.

Quatre semaines, dans cet ordre

1. Mesurer. Passer quatre-vingt-dix jours de journaux de gateway aux cinq signaux ci-dessus. Le résultat est une liste d’identités humaines qui produisent du trafic d’agent, et elle n’est jamais vide.
2. Nommer. Donner à ce trafic une identité qui ne soit pas celle d’un humain. Tant qu’un agent emprunte le jeton d’une personne, aucune décision d’autorisation ni aucun audit ne tient debout.
3. Ouvrir un chemin. Trois API en lecture, bien décrites, exposées par la plateforme. C’est l’objet de l’article exposer ses API à des agents, et la mécanique est dans la couche agentique.
4. Fermer. Seulement après. Fermer avant d’ouvrir ne ferme rien, ça déménage.

Le contre-poids honnête

Tout le monde n’est pas concerné, ni au même degré. Les mesures de trafic agentique publiées cette année sont dominées par les crawlers d’entraînement, qui n’ont rien à voir avec ce sujet. Un opérateur de réseau observe même un recul du trafic d’agents dans presque toutes les verticales depuis fin 2025.

Ce qui est vrai partout, en revanche, c’est l’écart entre l’usage réel et l’inventaire. La question n’est donc pas de savoir si les agents vont arriver. C’est de savoir combien il y en a déjà chez vous, et personne ne le sait sans regarder.