Résumé

  • Le 15 octobre, ServiceNow a annoncé AI Passport, un justificatif signé pour ses agents et ceux de tiers, avec vérification de portée en cours d'exécution ; sa disponibilité est prévue au quatrième trimestre 2026.
  • Le projet public du 22 octobre consigne l'identité et le contexte professionnel. Sa vérification de révocation peut arrêter l'agent entier, tandis que chaque système destinataire fixe les droits sur les actions.

Un nom sur la carte, une décision à la porte

À l'accueil, un badge indique qui entre. Devant le service comptable, il faut une autre réponse : cet agent peut-il modifier une facture ? Le nom AI Passport réunit ces deux questions sous une même bannière. Le projet public, lui, les sépare. Cette séparation déterminera qui tient le guichet des permissions.

Dans son annonce du 15 octobre, ServiceNow promet un justificatif cryptographique aux agents maison et tiers, ainsi qu'une vérification de leur portée à l'exécution. L'entreprise vise une disponibilité au quatrième trimestre 2026. Le projet public v1 daté du 22 octobre fait une proposition plus précise : il inscrit l'émetteur, l'agent, son responsable, son unité, son fournisseur, son niveau de risque, sa finalité, les identités liées et l'adresse où vérifier une révocation. Il dit expressément ne définir aucune politique. Les contraintes décrivant ce que l'agent peut faire viendraient dans une version ultérieure.

Le vérificateur doit d'abord authentifier l'agent par un autre moyen, rapprocher cette identité du justificatif, contrôler la signature et la durée de validité, puis interroger le service de révocation. Le texte consacré à cette vérification ne donne qu'un feu rouge : il retire un droit de continuer, il n'en crée aucun. En v1, la révocation concerne l'agent entier. Le champ revoked_scopes existe, mais aucun type d'entrée n'est enregistré et le serveur v1 renvoie un tableau vide. Si le serveur ne répond pas, le système appelant refuse ; des règles de cache bornent la durée de vie d'une réponse.

Le dépôt officiel permet une mise en œuvre libre de redevance. Le format ouvert peut donc circuler au-delà de ServiceNow. Mais l'émetteur doit rattacher l'agent à un responsable réel et à des dossiers d'entreprise ; chaque passerelle doit décider s'il peut lire une facture, modifier un ticket ou déclencher un paiement. ServiceNow construit son propre émetteur au contact de ses données et de ses processus. C'est là que se situe la valeur commerciale : devenir le bureau où se règlent, jour après jour, les permissions.

Le client peut éprouver la promesse sur une seule facture. Il autorise un agent à la lire, lui refuse la modification du montant, puis retire son justificatif. Le fournisseur doit montrer la règle qui distingue ces gestes et le délai avant que le retrait soit effectif. Un passeport circule facilement ; la qualité du contrôle se mesure au moment où l'entreprise ferme une porte précise.

Sources