Gigflow, c’est neuf personnes. Nous construisons un produit, nous en assurons le support, et personne chez nous n’a la sécurité pour métier. À la place, nous avions un VPN que tout le monde partageait, un panneau d’administration avec un seul identifiant, une base de données de staging que deux agents pouvaient atteindre parce que quelqu’un avait collé une chaîne de connexion dans une config Cursor, et un agent de support sur Claude qui avait, techniquement, le droit de supprimer des clients.
Rien de tout cela n’était une décision. C’étaient neuf personnes qui avançaient vite. Quand un client nous a demandé, dans un questionnaire de sécurité, quels systèmes d’IA avaient accès à ses données, j’ai écrit « aucun », puis je suis allé vérifier. Cet article raconte ce qui s’est passé après.
Avant
- Une seule config WireGuard pour toute l’équipe. Quand notre premier développeur est parti, nous l’avons renouvelée. La deuxième fois, personne ne l’a fait.
- La base de staging et le panneau d’administration interne accessibles via ce VPN par n’importe qui, depuis n’importe quel portable, y compris celui qui a été oublié dans un train.
- Un agent de support sur Claude avec une clé API complète vers notre propre backend, pour qu’il puisse consulter les commandes. Consulter, mais aussi annuler, rembourser et supprimer, parce que c’est ce que permet une clé complète.
- Des agents Cursor sur trois portables avec la chaîne de connexion de staging. Chaque agent gardait son propre contexte; aucun ne le partageait; tous l’oubliaient le lundi.
- Aucun journal nulle part qui m’aurait permis de remplir honnêtement le questionnaire.
Ce que nous utilisons maintenant
Les quatre. Ce n’était pas prévu; nous avons commencé par le tunnel et nous avons continué à trouver la chose suivante dans la même console.
Le tunnel. Un connecteur à côté de la base de staging et un autre à côté du panneau d’administration. Le VPN a disparu. Les gens se connectent avec Google Workspace, le panneau d’administration vérifie le groupe, et nos deux freelances ont accès exactement au panneau d’administration, et à rien d’autre. L’histoire du portable du train ne peut plus se reproduire, parce qu’il n’y a plus rien sur un portable qui ouvre une porte.
L’endpoint unifié. L’agent de support se connecte à mcp.flowplane.eu/gigflow en tant que la personne du support qui l’utilise. Nous avons importé la spec OpenAPI de notre propre backend et obtenu des outils aux noms comme orders.get et orders.refund. Get est autorisé pour le support. Refund est autorisé pour deux personnes et exige que l’agent agisse au nom de l’une d’elles. Delete n’est pas un outil. Il a fallu un après-midi, et c’était la première fois que je lisais notre propre spec d’API de bout en bout.
La mémoire. C’est là que j’étais sceptique. Nous avons créé un coffre d’équipe pour le support: les particularités du produit, les problèmes connus, notre façon de formuler les choses. Chaque agent de support le lit, en tant que la personne qui le fait tourner, et n’y écrit que lorsque cette personne confirme. Ensuite, chacun de nous a reçu un coffre personnel. Cursor sur mon portable retient mes conventions et celles de personne d’autre. La chaîne de connexion de staging ne se trouve dans aucun d’eux, parce qu’elle n’a pas besoin d’y être; la base de données est maintenant un outil.
Watchtower. Nous l’avons activé la quatrième semaine, surtout par curiosité. La cinquième semaine, il a envoyé ceci.
C’était Tom, qui testait un nouveau prompt demandant à l’agent de « passer en revue les commandes récentes » sans préciser combien. Rien de malveillant. Mais c’était la première fois qu’un système d’IA dans notre entreprise faisait quelque chose de bizarre et qu’un humain l’apprenait en moins d’une minute, grâce à un système qui n’avait rien lu d’autre que le journal.
Le questionnaire demandait quelle IA a accès à quoi. Maintenant, j’exporte un CSV et je le joins.
Ce que ça nous a coûté
- Deux après-midis pour le tunnel et l’endpoint, un pour la mémoire, dix minutes pour le Watchtower.
- Neuf utilisateurs et quatre agents sur la formule équipe. Moins que le boîtier VPN que nous comptions remplacer depuis longtemps.
- Un questionnaire de sécurité rempli honnêtement, qui nous est revenu signé.
Si vous êtes une petite équipe avec des agents et sans responsable sécurité, mon conseil n’est pas « achetez ceci ». C’est: allez vérifier ce que vos agents peuvent réellement faire aujourd’hui. Vous saurez alors si vous avez besoin d’une porte unique, et si c’est le cas, voici celle que nous avons choisie.