MCP 2.0 expliqué : sécuriser les agents IA avant qu’ils ne se sécurisent eux-mêmes

Remarque : le terme « MCP 2.0 » est utilisé ici de manière informelle pour désigner la nouvelle génération du Model Context Protocol. Le MCP utilise quant à lui un système de numérotation des versions basé sur la date (par exemple, la dernière version en date est celle du 25/11/2025 au moment de la publication du présent document) et ne définit pas officiellement de version 2.0.

Les agents IA ne se contentent plus de répondre à des questions : ils passent à l’action. Ils lisent des fichiers. Ils modifient des systèmes. Et dans certains cas, ils prennent des décisions qui ont des répercussions sur l’ensemble de l’entreprise.

C’est pourquoi le Model Context Protocol (MCP) 2.0 revêt une telle importance.

Dans un épisode récent de STRIVE, la série de Commvault consacrée au leadership éclairé en matière de « Readiness », j’ai rencontré Werner Nel, responsable de la sécurité et de l’intelligence artificielle chez Commvault, afin d’analyser en détail ce que le MCP 2.0 change réellement – et pourquoi les responsables de la sécurité ne peuvent pas se permettre de le considérer comme une simple mise à jour mineure des spécifications.

Il ne s’agit pas d’une discussion théorique. C’est un regard concret sur la manière dont les entreprises peuvent favoriser l’innovation en matière d’IA sans élargir leur zone d’impact.

Points clés : ce que le MCP 2.0 change réellement

• Le MCP 2.0 marque un tournant : on passe de l’adoption de l’IA à la responsabilisation.
• OAuth peut permettre un accès avec le moins de privilèges possible pour les agents d’IA.
• Les schémas structurés peuvent contribuer à limiter l’injection de prompts et les abus.
• Les flux d’interrogation peuvent intégrer des points de pause critiques pour les actions à haut risque.
• Le MCP 2.0 peut contribuer à améliorer la sécurité, mais n’élimine pas le risque.
• Il est essentiel de bien comprendre les prérogatives des agents et leur champ d’action.

Pourquoi le MCP 2.0 marque un tournant

Le MCP 1.x était axé sur l’adoption.

Il offrait aux entreprises un moyen de connecter des modèles d’IA à de véritables outils et à de véritables données. Mais comme l’explique Werner, cette première vague n’a jamais été conçue pour répondre à la question la plus difficile : comment permettre aux agents IA d’effectuer un véritable travail au sein de l’entreprise, sans qu’ils ne deviennent un risque pour la sécurité ?

Le MCP 2.0 constitue la première tentative sérieuse du secteur pour répondre à cette question.

Au lieu de se concentrer uniquement sur la connectivité, il met l’accent sur l’autorisation, le contrôle et la visibilité – trois aspects qui préoccupent profondément les équipes de sécurité, d’autant plus que les agents passent du statut d’assistants en lecture seule à celui d’acteurs dotés d’un réel pouvoir.

Les trois évolutions les plus importantes en matière de sécurité

1. OAuth fait son entrée dans MCP. MCP 2.0 intègre la prise en charge d’OAuth, offrant ainsi aux entreprises un moyen standardisé d’attribuer des autorisations et d’appliquer le principe du « privilège minimal ». Au lieu de s’appuyer sur de vagues hypothèses de confiance, les agents voient leur champ d’action strictement limité à ce qu’ils sont autorisés à faire — et rien de plus.
2. Les schémas structurés contribuent à réduire le risque d’injection de commandes. Ils agissent comme une liste blanche pour les actions des agents. Si un outil n’est pas explicitement défini dans le schéma, il ne s’exécutera pas. Cela permet de réduire le risque d’injection de commandes et d’autres techniques de manipulation qui étaient plus faciles à exploiter dans les implémentations précédentes.
3. Les flux d’élucidation intègrent un « bouton pause ». Ils permettent de suspendre les workflows en cours d’exécution afin qu’une étape à haut risque puisse déclencher une confirmation, une validation, voire une élévation des privilèges. Cela aide les équipes à passer d’une approche « enregistrer et espérer » à un contrôle plus réfléchi des actions sensibles.

Aperçu : MCP 2.0 en action

Cet aperçu met en évidence pourquoi l’autorité, la portée et la réversibilité sont les trois questions les plus importantes que les entreprises devraient se poser lors du déploiement d’agents d’IA.

Les lacunes que le MCP 2.0 ne comble pas (et pourquoi c’est important)

Le MCP 2.0 représente un grand pas en avant, mais ce n’est pas la ligne d’arrivée. Comme le souligne Werner dans STRIVE, il existe encore des lacunes importantes dont les entreprises doivent tenir compte lors des déploiements en conditions réelles.

Par exemple, les entreprises ne peuvent toujours pas prouver de manière cryptographique qu’un serveur MCP est bien l’original authentique (par opposition à un clone ou à une copie modifiée). De même, même si le protocole améliore l’autorisation et la discipline en matière de saisie, les organisations doivent toujours réfléchir à la signature des outils et des binaires, ainsi qu’à l’environnement dans lequel les serveurs et les modèles MCP s’exécutent – car une compromission peut se traduire par un accès étendu selon le mode de déploiement.

Conclusion : MCP 2.0 améliore le protocole, mais les organisations doivent toujours prendre des décisions éclairées en matière de confiance, de confinement, de surveillance et de contrôle.

Un cadre simple pour évaluer les risques liés aux agents IA

L’un des moments les plus concrets de cet épisode est le cadre d’analyse des risques en trois questions proposé par Werner, que les RSSI et les architectes peuvent appliquer immédiatement :

• De quelles autorisations mon agent dispose-t-il ?
• Quelle est l’étendue de la zone d’impact ?
• Dans quelle mesure l’action entreprise est-elle réversible ?

Ces questions aident les équipes à passer de discussions générales sur les « risques liés à l’IA » à des décisions concrètes concernant les autorisations, le confinement et la manière de gérer les actions à fort impact qui peuvent être difficiles à annuler.

Regardez l’épisode complet de STRIVE

Cet article n’aborde que la surface du sujet. Dans le podcast STRIVE complet de 20 minutes, vous découvrirez :

• Pourquoi le MCP 2.0 a évolué si rapidement.
• Les priorités actuelles des RSSI.
• Quelle direction le MCP 3.0 est susceptible de prendre.
• Comment les équipes de sécurité peuvent suivre le rythme alors que les agents gagnent en autonomie.

Regardez l’épisode STRIVE dans son intégralité sur Readiverse. Approfondissez le sujet et évaluez votre propre niveau de Readiness.

FAQ

Q : Qu’est-ce que le MCP 2.0 ?

R : Le MCP 2.0 est un protocole mis à jour qui régit la manière dont les modèles d’IA interagissent avec les outils et les données d’entreprise, en mettant fortement l’accent sur la sécurité, l’autorisation et le contrôle.

Q : En quoi le MCP 2.0 diffère-t-il du MCP 1.x ?

R : Le MCP 1.x était axé sur la connectivité et l’intégration. Le MCP 2.0 donne la priorité à la sécurisation de ces interactions.

Q : Le MCP 2.0 élimine-t-il les risques de sécurité liés à l’IA ?

R : Non. Il peut contribuer à améliorer les pratiques de sécurité, mais doit s’accompagner d’une architecture et d’une gouvernance solides.

Q : Qu’est-ce qu’un flux d’élucidation ? R : Un flux d’élucidation permet aux workflows d’IA de s’interrompre pour demander une confirmation avant d’exécuter des actions à haut risque. Chris Mierzwa est directeur principal du marketing de portefeuille chez Commvault.

Articles connexes

• La frontière causale : combler le fossé entre intelligence et résilience
• Les dernières améliorations d’Arlie : votre assistant IA, nouveau et amélioré
• Le point de vue d’un directeur informatique : renforcer la résilience des entreprises à l’ère de l’IA
• Data Activate : exploiter le potentiel des données fiables au service de l’innovation en matière d’IA