Processus de Vérification KYA Étape par Étape

Comment fonctionne une vérification KYA moderne : de l'identification de l'agent à la surveillance continue. Guide technique pour les entreprises.

Les phases d'une vérification KYA moderne

Vérifier l'identité d'un agent IA est différent de vérifier celle d'une personne. Il n'y a pas de carte d'identité à scanner ni de visage à comparer. Le KYA repose sur des identifiants cryptographiques, des chaînes de délégation et l'analyse comportementale.

Étape 1 : Enregistrement de l'agent

L'agent se présente à la plateforme avec ses identifiants. Cet enregistrement peut être initié par le développeur ou par l'utilisateur (mandant).

Ce qui est vérifié :

Identifiant unique : Un ID cryptographique (clés publiques ou DIDs) identifiant l'agent de manière univoque.
Métadonnées de l'agent : Nom, version, modèle de base, capacités déclarées et objectif.
Signature du développeur : Certificat numérique garantissant que l'agent n'a pas été modifié.
Liaison avec le mandant : Justificatif prouvant qu'une personne ou entreprise vérifiée par KYC a autorisé l'agent.

Technologies impliquées : PKI, DIDs (Decentralized Identifiers), Verifiable Credentials.

Étape 2 : Vérification de la chaîne de confiance

Le système vérifie l'intégrité de l'ensemble de la chaîne :

Développeur → Agent : La signature numérique est-elle valide ? Le certificat est-il en cours de validité ?
Mandant → Agent : Le jeton de délégation est-il authentique ? A-t-il été émis par le mandant vérifié ?
Mandant → KYC : Le mandant a-t-il été vérifié par un processus KYC valide ?

Si un maillon de la chaîne échoue, l'agent est rejeté.

Étape 3 : Vérification des permissions et du périmètre

Périmètre d'opérations : Quelles actions peut-il effectuer ?
Limites quantitatives : Montant maximal par opération, nombre d'opérations par heure/jour.
Restrictions géographiques : Depuis quelles juridictions peut-il opérer ?
Restrictions temporelles : Fenêtre d'activité, expiration des permissions.

Technologies impliquées : OAuth 2.0 avec extensions pour agents, moteurs de politiques (OPA, Cedar), JWT avec claims de périmètre.

Étape 4 : Évaluation du risque initial

Un profil de risque est généré basé sur :

Réputation du développeur : Fournisseur connu ? Incidents précédents ?
Historique de l'agent : Agent nouveau ou avec un historique d'opérations réussies ?
Profil du mandant : Historique propre ? PEP ?
Contexte de la demande : L'opération est-elle cohérente avec le périmètre déclaré ?

Niveau de risque	Résultat
Faible	Accès immédiat avec surveillance standard
Moyen	Accès avec limites réduites et surveillance renforcée
Élevé	Accès refusé ou vérification supplémentaire requise

Étape 5 : Émission du jeton de session

Si l'agent réussit toutes les vérifications, il reçoit un jeton de session :

Jeton signé : Contient l'identité, le périmètre, les limites et la date d'expiration.
Durée de vie limitée : Les jetons expirent (15 minutes à 24 heures) et doivent être renouvelés.
Révocable : La plateforme peut invalider le jeton à tout moment.

Étape 6 : Surveillance continue

Analyse comportementale

Schémas d'utilisation : L'agent opère-t-il dans son schéma habituel ?
Cohérence avec le périmètre : Les opérations demandées sont-elles dans ses permissions ?
Anomalies temporelles : Opère-t-il à des heures inhabituelles ?

Limitation de débit intelligente

Limites contextuelles par type d'opération, montant cumulé et vitesse d'escalade.

Détection de compromission

Surveillance des changements brusques de comportement, demandes hors périmètre, tentatives d'escalade de privilèges et opérations depuis des localisations inhabituelles.

Étape 7 : Révocation et réponse aux incidents

Révocation du jeton : Perte d'accès immédiate.
Notification au mandant : Alerte avec les détails de l'incident.
Blocage temporaire : Quarantaine jusqu'à confirmation du mandant.
Génération du dossier : Documentation de toutes les actions pour investigation.

Étape 8 : Génération du dossier de conformité

Chaque vérification génère un dossier numérique incluant : identité vérifiée, résultat de la chaîne de confiance, périmètre autorisé, log des opérations, alertes et horodatages. Stocké chiffré pour audits réglementaires.

Temps réels de vérification

Phase	Temps
Enregistrement et présentation des identifiants	50-100 ms
Vérification de la chaîne de confiance	100-200 ms
Vérification du périmètre et des permissions	10-50 ms
Évaluation du risque	50-100 ms
Émission du jeton	10-20 ms
Total vérification initiale	200-500 ms
Vérification par requête (avec jeton)	1-5 ms

Intégration dans votre plateforme

SDK de vérification : Bibliothèques pour Python, Node.js, Java, Go.
Plugin API Gateway : Plugins pour Kong, Envoy ou AWS API Gateway.
Middleware : Composants s'insérant dans votre stack existant.
Webhook d'événements : Notifications en temps réel.

Questions fréquentes

Chaque agent doit-il être vérifié à chaque requête ?

Non. La vérification complète se fait une fois. Ensuite, le jeton de session est validé en millisecondes.

Comment différencie-t-on un agent légitime d'un bot malveillant ?

Par la chaîne de confiance. Un agent légitime présente des identifiants signés par un développeur reconnu et un jeton de délégation d'un mandant vérifié.

Le KYA fonctionne-t-il avec les agents de n'importe quel fournisseur ?

Oui, tant que l'agent supporte les standards ouverts d'identité (DIDs, Verifiable Credentials, OAuth 2.0).

Vous souhaitez voir le processus KYA en action ? Demandez une démo sur Joinble et découvrez comment l'identité d'un agent IA est vérifiée en moins de 500 millisecondes.