La maison connectée change de nature. Il y a peu, une enceinte intelligente exécutait des commandes et un robot aspirateur cartographiait votre sol. La génération actuelle agit à votre place, conserve des identifiants et accède à vos comptes. Les chercheurs en sécurité cités par BleepingComputer le formulent sans détour : chaque agent IA constitue de fait une identité, et la plupart des foyers ne le traitent pas comme tel.
Or une identité capable d'agir est aussi une surface d'attaque. Ce n'est pas une raison d'éviter la technologie, mais une raison de la configurer avec méthode. Voici ce qui a changé, et une liste de contrôle pour qui équipe une maison agentique en 2026.
Ce que l'« agent » ajoute au risque
Un appareil passif vous répond. Un agent décide et exécute. Quand un assistant peut réserver, acheter, se connecter ou enchaîner des tâches sur plusieurs services, une compromission ne se contente plus de fuiter des données : elle déclenche des actions. L'actualité sécurité de la semaine reflète ce basculement.
The Hacker News a décrit AutoJack, une attaque où une simple page web peut détourner un agent IA pour lui faire exécuter du code sur la machine hôte. L'agent lit une page dans le cadre d'une tâche ; la page contient des instructions qu'il suit, sans aucune validation de l'utilisateur. C'est le problème de fond des agents qui naviguent et agissent : le contenu qu'ils traitent peut devenir la commande.
Le contexte plus large aggrave la situation. 01net décrit un nouveau virus furtif ciblant plus de 200 applications bancaires et crypto, ainsi qu'une souche de rançongiciel qui désactive activement les antivirus, l'Europe figurant parmi les premières touchées. BleepingComputer note que les grandes fuites continuent de déverser en masse les données des consommateurs ; une récente violation gouvernementale au Texas a exposé plus de trois millions de permis de conduire. Et selon The Register, le matériel haut de gamme n'est pas épargné : un exploit BootROM de type checkm8 a été divulgué pour les iPhone équipés des puces Apple A12 et A13.
Aucune de ces menaces ne vise spécifiquement un robot domestique. Ce qui compte ici, c'est l'environnement. Vous ajoutez des appareils qui détiennent des identifiants et accomplissent des actions dans un paysage où le vol d'identifiants, le siphonnage de comptes et l'exécution de code sont monnaie courante.
La liste de contrôle
1. Traitez chaque agent comme un compte distinct, pas comme une fonction
Si un appareil ou un assistant se connecte à des services en votre nom, donnez-lui ses propres identifiants et son propre périmètre. Ne lui confiez pas votre messagerie ou votre mot de passe principal. Quand un service le permet, créez un compte dédié ou un accès délégué aux permissions limitées. L'objectif : compromettre un agent ne doit pas livrer tout le reste.
2. Limitez ce qu'un agent a le droit de faire
Les fonctions agentiques s'activent généralement capacité par capacité. N'activez que ce que vous utilisez. Un assistant qui peut lire votre agenda n'a pas besoin, en plus, d'une autorité de paiement. Si un produit regroupe achat, accès aux comptes et automatisation par défaut, resserrez le tout. Moins un agent peut agir, moins un agent détourné peut nuire.
3. Exigez une confirmation pour toute action qui touche à l'argent ou aux données
Toute étape qui dépense, transfère, supprime ou partage doit d'abord demander confirmation. Si un appareil propose un mode « confirmer avant d'agir », activez-le. C'est la protection la plus efficace contre un agent manipulé par le contenu qu'il traite.
4. Isolez les appareils connectés sur leur propre réseau
La plupart des routeurs proposent un réseau invité ou secondaire. Placez-y caméras, robots et appareils connectés, séparés de vos téléphones et ordinateurs. Un appareil compromis sur un réseau isolé ne peut pas atteindre facilement les machines qui détiennent vos véritables identifiants.
5. Maintenez le firmware à jour — et vérifiez l'historique avant d'acheter
La divulgation du BootROM de l'iPhone rappelle que même un matériel bien conçu doit être corrigé. Avant l'achat, vérifiez si le fabricant fournit des mises à jour de sécurité, et pour combien de temps. Un appareil qui cesse d'en recevoir devient un risque croissant. C'est un critère d'achat, pas une réflexion après coup.
6. Utilisez des mots de passe uniques et un gestionnaire de mots de passe
Avec des fuites qui déversent des millions d'enregistrements, la réutilisation des identifiants est la voie la plus probable pour qu'un attaquant vous atteigne. Un mot de passe unique par service, stocké dans un gestionnaire, limite les dégâts. Activez l'authentification multifacteur sur les comptes auxquels vos agents se connectent.
7. Protégez le téléphone qui pilote tout
Les logiciels malveillants visant les applications bancaires et crypto arrivent généralement par le smartphone, qui est aussi le centre de contrôle de la plupart des écosystèmes domestiques et d'assistance. N'installez des applications que depuis les boutiques officielles, maintenez le système d'exploitation à jour, et passez en revue les applications disposant de permissions d'accessibilité ou de superposition d'écran — celles dont abusent les chevaux de Troie bancaires.
Ce que cela implique pour les acheteurs
Les assistants qui agissent et les robots qui s'intègrent à vos comptes sont utiles. Ils font aussi passer le coût d'une compromission du simple désagrément à une action menée en votre nom. La réponse n'est pas de refuser la technologie, mais de juger un produit en partie sur sa gestion de l'identité, des permissions et des mises à jour, et de le configurer d'emblée avec ces garde-fous.
Au moment de comparer des appareils, mettez la sécurité sur le même plan que le matériel : permissions cloisonnées, étapes de confirmation, engagement de mise à jour avec une date de fin claire, et options d'isolement. Un produit qui traite votre agent comme une identité à protéger vaut davantage qu'un produit qui fait de l'agentivité un argument marketing.
Pour un suivi continu, consultez nos rubriques cybersécurité et robotique, ainsi que le glossaire pour les termes évoqués ci-dessus.