GOUVERNANCE

Socure se prépare à vérifier des agents IA, pas seulement des humains — la bonne question n'est pas qui est l'agent, c'est qui a cliqué pour l'autoriser

Dans un entretien publié le 16 août 2026 par Biometric Update, le directeur produit de Socure, Chung-Man Tam, décrit une chaîne de confiance en quatre étapes — identité de la personne, autorité déléguée, identité et périmètre de l'agent, conformité de chaque action à ce périmètre — et prédit que « vérifier les agents deviendra aussi courant que vérifier les humains ». Socure a mesuré une hausse de plus de 8 000 % des attaques de fraude pilotées par IA sur son réseau en 2025. Ce que l'entretien ne dit jamais, c'est comment cette « autorisation » se traduit concrètement, action par action, au moment précis où ça compte.

Le 16 août 2026, Biometric Update publie un long entretien avec Chung-Man Tam, directeur produit de Socure — la plateforme de vérification d'identité qui a clos le deuxième trimestre 2026 à 364 millions de dollars de revenu récurrent annuel, en hausse de 63 % sur un an, et qui sert plus de 3 000 clients dans plus de 190 pays, dont 18 des 20 plus grandes banques américaines. Tam y décrit un basculement structurel, pas un effet de mode : la question historique de l'identité numérique — « cette personne est-elle réelle ? » — cède la place à une question plus large — « qui ou quoi se trouve de l'autre côté, et avec quelle autorité ? ». Des agents autonomes ouvrent déjà des comptes, déplacent de l'argent et prennent des décisions au nom d'employés et de clients, et l'infrastructure d'identité construite pour des humains ne sait pas encore répondre à cette réalité. Socure a mesuré une hausse de plus de 8 000 % des attaques de fraude pilotées par IA sur son réseau en 2025 — un chiffre que Tam attribue à un « multiplicateur de force » : un fraudeur humain a des limites physiques sur le nombre de comptes qu'il peut ouvrir en une journée, un agent autonome n'en a aucune. Le modèle que propose Socure est une chaîne de confiance à quatre maillons : vérifier la personne, vérifier qu'elle a délégué son autorité, vérifier l'identité et le périmètre exact de l'agent auquel elle l'a déléguée, puis vérifier que chaque action de cet agent reste dans ce périmètre. « Aujourd'hui, on vérifie la personne et on fait confiance à la session », résume Tam. « Demain, il faudra vérifier la personne, vérifier qu'elle a délégué son autorité, vérifier l'identité et le périmètre de l'agent, puis vérifier que l'action entreprise reste dans ce périmètre. » Socure mise sur l'extension de ses graphes d'identité existants plutôt que sur une pile de confiance séparée pour les agents : « quand on vérifie la légitimité d'un agent, ça profite à toute organisation du réseau », dit-il.

C'est une infrastructure sérieuse, construite pour un problème réel — mais pas forcément le problème de tout le monde. Sur une plateforme qui reçoit des agents appartenant à des milliers d'organisations tierces, impossible de savoir a priori si un agent qui se présente est vraiment celui qu'il prétend être : c'est exactement le terrain où l'identité cryptographique d'agent, l'autorité déléguée et la surveillance comportementale en réseau de Socure ont un sens, et où AppH n'aurait probablement pas de meilleure réponse. Mais ce n'est pas le terrain d'AppH. Chaque compte AppH fait tourner un seul agent, écrit et opéré par AppH de bout en bout — il n'y a jamais de question de savoir « quel agent tiers vient de se connecter », parce qu'il n'y en a qu'un, et qu'on sait déjà qui il est. La question qui compte vraiment n'est donc jamais « cet agent est-il authentiquement celui qu'il prétend être » — elle est déjà réglée par construction — mais « un humain a-t-il réellement cliqué pour approuver cette action précise avant qu'elle ne parte ». C'est la logique du flux d'approbation des Automatisations chez AppH : un agent propose un devis, une relance, une consolidation comptable — et rien ne part tant que le patron n'a pas cliqué, action par action, journalisée dans un audit trail append-only déployé depuis cet été sur les Automatisations, la Maintenance de flotte et les Rendez-vous. Pas de token d'autorité chiffré, pas de graphe de confiance réseau — un bouton, et un humain qui doit le presser. Plus simple que ce que construit Socure, et pour le problème précis qu'AppH a, largement suffisant.

Il y a une vraie tentation, en lisant cet entretien, de conclure que Socure construit une brique dont tout éditeur d'agents IA aura bientôt besoin — et pour une partie du marché, celle des plateformes multi-locataires qui hébergent des agents d'origines multiples et non maîtrisées, c'est probablement vrai : elles ne peuvent pas se contenter d'un bouton, elles ont besoin de savoir cryptographiquement qui agit avant de se poser la question de qui autorise. Mais généraliser ce besoin à tout produit qui touche à des agents IA serait une erreur de catégorie, et une PME qui achète un agent AppH pour sa comptabilité n'a pas ce problème-là : elle a un seul agent, opéré par un seul éditeur, et la vraie question n'a jamais été « qui est cet agent » mais « qui a dit oui avant qu'il agisse ». Socure invente une infrastructure d'identité pour un monde où l'autorité se délègue à travers des chaînes d'agents inconnus les uns des autres ; AppH répond à une question plus étroite et plus vérifiable : chez nous, il n'y a jamais eu d'action d'agent sans clic humain, pas parce qu'on l'a promis dans un communiqué, mais parce que c'est ce que fait littéralement le produit, à chaque fois, sans exception qu'on pourrait désactiver. La profondeur de l'identité d'agent est un vrai sujet pour le marché que sert Socure ; ce n'est jamais un substitut à la question de savoir qui a appuyé sur le bouton.

Vérifié par un humain d'AppH