Contrôle d'accès
Brivo branche son contrôle d’accès sur les assistants IA : bonne idée, à condition de garder la main
De quoi parle-t-on ?
MCP, pour Model Context Protocol, est un standard qui permet à un assistant IA (Claude, ChatGPT, Gemini…) de se connecter à un logiciel métier pour y lire des données ou y déclencher des actions. Brivo, acteur américain du contrôle d’accès hébergé dans le cloud, a annoncé le 27 octobre un serveur MCP destiné à ses revendeurs et intégrateurs.
Concrètement, l’intégrateur peut poser des questions comme « quelles centrales sont hors ligne ? » ou « quels sites ont un firmware ancien ? ». L’outil sait aussi :
- suivre l’évolution des comptes, portes et centrales sur douze mois ;
- remonter l’état des équipements : centrales hors ligne, versions de firmware, erreurs de lecteurs et de portes ;
- détailler chaque site : nombre de portes, fonctions activées, paramètres ;
- préparer des rapports clients, des tickets de support ou des devis.
Une bêta privée est aussi annoncée pour les utilisateurs finaux.
Ce que ça change pour un intégrateur
Sur le papier, c’est très séduisant. La maintenance d’un parc de contrôle d’accès, c’est beaucoup de temps passé à naviguer dans des consoles pour savoir ce qui est en défaut, ce qui doit être mis à jour, et ce qui mériterait une visite. Pouvoir obtenir en une question la liste des centrales hors ligne ou des firmwares à jour, c’est un vrai gain pour préparer une tournée de maintenance ou un rendez-vous client.
Le suivi des versions de firmware me plaît particulièrement. C’est un sujet de cybersécurité souvent négligé dans le contrôle d’accès : une centrale qui tourne depuis cinq ans avec son firmware d’origine, on en croise beaucoup trop.
Lecture seule : le bon réflexe
Brivo précise que la version initiale est en lecture seule : impossible de modifier des paramètres, d’éditer un compte ou de verrouiller une porte via l’assistant. Les requêtes respectent aussi les droits du profil administrateur utilisé.
C’est exactement ce que j’attends d’un éditeur sérieux. Un assistant IA qui pourrait ouvrir une porte à partir d’une phrase mal comprise, ou d’une instruction cachée dans un document qu’il lit, ce serait un nouveau vecteur d’attaque. Dans le contrôle d’accès, l’action physique doit rester traçable et maîtrisée.
Mes points de vigilance
- Les données partent vers un service d’IA : noms de sites, configuration, parfois des informations sur les utilisateurs. Vérifiez ce que votre contrat avec le fournisseur d’IA prévoit, et ce que vos clients ont accepté (RGPD inclus).
- Un compte dédié et limité : connectez l’assistant avec un profil aux droits strictement nécessaires, jamais avec le compte super-administrateur.
- La suite : le jour où l’écriture sera possible, il faudra exiger une validation humaine et une journalisation de chaque action.
- Vérifier les réponses : l’IA résume, elle peut se tromper. Pour un audit ou un rapport client, on recoupe avec la console.
Mon avis
On voit arriver l’IA dans tous les logiciels de sûreté, souvent sous forme de gadget. Ici, l’usage est concret et le périmètre prudent. L’offre est pour l’instant très américaine, mais je parie que d’autres éditeurs de contrôle d’accès suivront. Mon conseil : intéressez-vous au sujet dès maintenant, mais gardez toujours le principe du moindre privilège en tête.
Sources
Photo : © Brivo (visuel de presse), via SecurityInfoWatch.