Le 27 octobre 2026, à TechXchange 2026 à Atlanta, IBM a détaillé son architecture d’identité et de contrôle pour les agents IA d’entreprise, ainsi que son intégration avec NVIDIA OpenShell. IBM attribue à Verify l’identité, l’autorisation et l’audit; HashiCorp Vault gère les secrets et les identifiants destinés aux systèmes qui ne peuvent pas utiliser directement des jetons délégués. Les niveaux de disponibilité varient selon les fonctions annoncées.
Verify gère l’identité, Vault les secrets
IBM présente IBM Agent Identity comme un registre central des agents. Il peut réunir leur propriétaire, leurs métadonnées, leur niveau de risque, leurs connexions approuvées aux outils et leur état dans le cycle de vie. IBM Verify prend en charge l’identité, l’autorisation, l’échange de jetons et l’audit.
HashiCorp Vault complète cette couche en protégeant les secrets et en fournissant des identifiants temporaires, ciblés sur un système donné, lorsque celui-ci ne peut pas recevoir directement un jeton délégué. La délégation permet à un agent d’agir pour le compte d’un utilisateur tout en conservant le contexte de l’utilisateur et celui de l’agent. IBM décrit les jetons associés comme de courte durée et limités à une tâche.
La distinction est utile pour évaluer l’architecture : Verify gère l’identité et les autorisations, tandis que Vault prend en charge les secrets et les identifiants dont certains systèmes cibles ont besoin. IBM présente également watsonx Orchestrate comme une voie d’intégration pour les agents qu’il crée ou gère, et non comme un remplacement obligatoire des fournisseurs d’identité existants.
Un identifiant durable, des autorisations limitées dans le temps
La documentation d’IBM décrit un identifiant Agent ID attribué à l’enregistrement de chaque agent et conservé lors du renouvellement de ses identifiants. L’identité de l’agent peut donc rester stable alors que les jetons et les identifiants utilisés pour une tâche sont temporaires et limités à cette tâche.
L’intégration distingue aussi deux responsabilités lors de l’enregistrement. Le développeur d’agent crée sa fiche et enregistre les clients OAuth, sans pouvoir modifier son état. L’approbateur peut activer l’agent, mais ne peut pas modifier ses données. Si un administrateur suspend un agent, ses clients OAuth associés sont désactivés et les nouvelles demandes de jeton échouent jusqu’à sa réactivation.
Des niveaux de disponibilité différents selon les fonctions
IBM indique que IBM Agent Identity, HashiCorp Vault 2.2 et watsonx Orchestrate Evaluate sont disponibles de manière générale. Vault 2.2 comprend, selon IBM, des comptes protégés pour les agents, le renouvellement automatique des identifiants et le chiffrement post-quantique. Evaluate sert à tester la qualité, l’exactitude et la conformité des agents avant leur déploiement, puis à les suivre en production et à surveiller l’utilisation des modèles et des jetons.
Secure Hub est en aperçu public. IBM watsonx Orchestrate Discover et Contain sont en aperçu technologique. Discover se connecte à Amazon Bedrock, Microsoft Foundry et Google Gemini pour repérer des agents, des modèles et des serveurs MCP, qui mettent des outils à disposition des applications via le Model Context Protocol. Contain comprend des environnements isolés et un bouton d’arrêt, selon IBM.
IBM a également annoncé l’intégration d’IBM Agent Identity et de Vault avec NVIDIA OpenShell, un environnement d’exécution sécurisé. IBM décrit cette association comme un moyen de rendre les actions des agents traçables et encadrées.
