CoreWeave Forge et le vide d'identité des agents : la conformité IA en entreprise se complique

CoreWeave a dévoilé Forge le 30 septembre lors de son événement Fully Connected à San Francisco, selon Data Center Knowledge. L'entreprise le présente comme une plateforme logicielle intégrée pour développer, exécuter et améliorer en continu les modèles et agents IA. Forge est disponible en éditions Free, Pro et Enterprise. Il unifie les produits existants avec de nouveaux logiciels pour l'entraînement, l'inférence, l'évaluation, l'observabilité et le développement d'agents.

Agent Lens marque le début de la discussion sur la conformité. CoreWeave le décrit comme un outil d'observabilité et d'amélioration continue pour les agents en production. Il analyse les traces et génère des informations exploitables.

Lors d'un point presse, Corey Sanders, vice-président senior de la gestion de produit, a déclaré que CoreWeave est passé d'un fournisseur d'infrastructure centrée sur l'IA à un prestataire offrant « une multitude de services IA permettant aux clients de construire des applications IA sur notre plateforme ». L'entreprise a également présenté un réseau de partenaires avec des intégrations validées. VAST Data, CrowdStrike et ClickHouse figurent parmi les premiers partenaires, rapporte Data Center Knowledge. Côté matériel, CoreWeave indique que la Nvidia Vera Rubin NVL72 est désormais disponible sur sa plateforme cloud. L'entreprise IA Cognition est le premier client à exécuter des charges de travail dessus, opérationnel en deux jours. L'analyste IDC Dave McCarthy a déclaré à la publication que CoreWeave tente de se distinguer des fournisseurs de cloud IA spécialisés comme Nebius, Lambda et Vultr, tout en faisant face à AWS, Google Cloud et Microsoft Azure.

Le problème de gouvernance n'est pas propre à un seul fournisseur. Un cadre publié par The Hacker News le 28 septembre décrit la gestion des identités et des accès pour les agents IA comme une discipline à part. Chaque agent doit être traité comme une identité non humaine avec un propriétaire humain, une finalité définie, une autorisation limitée, une date d'expiration et une surveillance continue. L'article cite le Top 10 d'OWASP pour les applications de grands modèles de langage. Il y figure l'agence excessive, désignée LLM06, ce qui signifie qu'un agent doté de larges fonctionnalités, permissions ou d'une autonomie étendue exerce des capacités au-delà de sa tâche approuvée.

Selon le cadre, l'attribution statique de rôles ne peut pas limiter ce comportement. L'examen de la configuration ne peut pas le mesurer. L'écart entre l'accès prévu exprimé par les plateformes d'identité et ce que les agents exécutent réellement est l'endroit où les programmes de conformité stagnent souvent.

L'article liste cinq modes de défaillance : absence de propriété, secrets à longue durée, délégation illimitée, instanciation invisible et absence d'expiration. Tous les environnements ne présentent pas les cinq, mais chacun correspond à une couche de contrôle qu'un cadre d'identité d'agent doit fournir. Les régulateurs agissent sur des terrains voisins. Le 24 septembre, le Federal Reserve Board a demandé des commentaires publics sur deux propositions relatives à l'établissement d'un cadre réglementaire pour les émetteurs de stablecoins de paiement supervisés par le Board, dans le cadre de la loi GENIUS, selon le communiqué de presse du Board. La première proposition exigerait un adossement complet par des actifs de réserve admissibles, tels que les bons du Trésor à court terme et d'autres actifs liquides de haute qualité, ainsi que des exigences de capital normalisées, des normes de gestion des risques et des règles pour les entreprises qui sécurisent les actifs adossant les stablecoins. La seconde créerait un processus de demande adapté pour les banques souhaitant émettre des stablecoins de paiement, incluant un plan d'affaires, des informations financières, des appels et des audiences. La période de commentaires se termine 60 jours après la publication dans le Federal Register.

Hors du secteur financier, la pression de conformité se manifeste dans les achats. Un article de Unite.AI publié le 1 octobre soutient que les achats deviennent l'outil réglementaire le plus puissant de l'IA. Les acheteurs d'entreprise imposent des clauses contractuelles que les régulateurs n'ont pas encore inscrites dans la loi.

Le même jour, IBM a annoncé le déploiement auto-hébergé d'IBM Bob pour aider les entreprises à progresser sur la souveraineté et la gouvernance IA, selon la salle de presse d'IBM. Aucune des deux annonces ne s'accompagnait de pouvoirs d'exécution. Ensemble, elles décrivent où la conformité IA en entreprise est réellement décidée : dans les contrats et l'architecture de déploiement, plutôt que dans les lois. Les choix d'infrastructure font partie de ce tableau. Les entreprises choisissent de plus en plus des centres de données en colocation pour héberger l'inférence IA. Selon Data Center Knowledge, l'inférence fonctionne mieux à des densités d'armoires plus élevées que la plupart des centres de données d'entreprise hérités ne peuvent soutenir. Les installations de colocation modernes soutiennent des armoires de 35 kW avec refroidissement par air et des armoires de 70 à 150 kW utilisant un refroidissement liquide optionnel. Le même article cite l'étude Cloud Computing Study 2026 de Foundry, qui constate que 74% des entreprises ont accéléré leurs migrations vers le cloud l'an dernier. Le Private Cloud Outlook 2026 de VMware indique que 83% des entreprises ont terminé ou planifient de rapatrier des charges de travail du cloud public, poussées par des préoccupations de sécurité, de coûts, de conformité et de performance.

L'énergie est la contrainte que les régulateurs commencent déjà à tester. Le 19 septembre, les régulateurs de Caroline du Nord ont rejeté la demande de Duke Energy de construire une centrale à gaz de 255 mégawatts dans le comté de Richmond. C'est un rejet rare pour un panel qui défère souvent à la principale utilitaire de l'État, rapporte Canary Media.

La décision de 23 pages indique qu'une licence serait prématurée car la croissance des centres de données est trop incertaine et le risque pour les consommateurs trop grand pour justifier un feu vert pour l'installation, estimée à 584 000 000 $. La décision indique également que Duke « doit démontrer comment l'ajout de cette nouvelle capacité de génération et ses coûts seront cohérents avec le White House Ratepayer Protection Pledge », signé par Duke et plus de 200 autres utilitaires en mars. Le tableau n'est pas uniforme. Le cadre de The Hacker News et l'argument d'achat de Unite.AI traitent la gouvernance comme un problème de conception que les entreprises peuvent résoudre en interne. Les propositions de stablecoin du Federal Reserve, en revanche, sont une réglementation formelle avec une période de commentaires publics. Et la décision de Duke est une commission d'État qui dit à un utilitaire que les prévisions de demande basées sur les centres de données ne sont pas assez fiables pour justifier de nouvelles capacités fossiles. Trois régulateurs différents, trois mécanismes différents, un sujet partagé.

Pour les entreprises qui déploient des agents maintenant, la question pratique est de quelles preuves elles peuvent produire. Le cadre de The Hacker News le dit clairement : les constats de configuration décrivent la possibilité, tandis que la télémétrie décrit ce qui s'est passé.

Agent Lens de CoreWeave est une réponse commerciale à cette exigence. S'il satisfait les auditeurs, les assureurs ou les régulateurs est une question que les premiers clients de Forge répondront en production, pas lors d'une keynote de lancement.