Voyez tous les outils et agents IA que vos équipes utilisent vraiment.
La découverte du shadow AI de Lutril combine une extension Chrome, l’analyse des boîtes mail, les journaux de connexion et l’analyse de code pour faire remonter tous les outils et agents IA que vos équipes font tourner, validés ou non : rien ne manipule plus vos données dans l’ombre.
| Tool | Signal | Risk | ||
|---|---|---|---|---|
| ChatGPT | 84 | Chrome extension | high | — |
| Claude | 37 | OAuth grant | medium | Eng |
| Gemini | 52 | SSO sign-in | medium | — |
| Copilot | 19 | OAuth grant | low | Eng |
| Perplexity | 28 | Chrome extension | high | — |
| DeepSeek | 6 | Email scan | high | — |
En bref
- Extension Chrome
- Repère les outils IA au moment de l’usage, même quand ils contournent le SSO.
- Analyse des e-mails
- Lit l’expéditeur et l’objet des messages Google et Microsoft pour repérer les e-mails d’inscription des éditeurs d’IA.
- OAuth et SSO
- Récupère les autorisations et les journaux de connexion directement depuis votre fournisseur d’identité.
- Score de risque
- Classe chaque outil selon ses utilisateurs, l’exposition des données et sa politique d’entraînement.
D’où vient le signal.
Quatre sources indépendantes. Chacune attrape des outils que les autres manquent, la photo reste donc complète même quand les équipes contournent l’IT.
Extension Chrome
Déployée par votre MDM. Signale les domaines IA que les collaborateurs ouvrent dans le navigateur, y compris les outils qui ne passent jamais par le SSO.
Analyse des e-mails
Analyse les métadonnées des messages Google Workspace et Microsoft 365, expéditeur et objet uniquement, à la recherche des e-mails d’inscription et de bienvenue qu’envoient les éditeurs d’IA. Le corps des messages n’est jamais récupéré.
OAuth et SSO
Lit les autorisations OAuth et les journaux de connexion SSO pour montrer quelles applications d’IA détiennent un accès permanent via un compte Google ou Microsoft d’entreprise.
Analyse de code
Trouve les agents qui vivent dans vos dépôts GitHub et GitLab, branchés sur des clés d’API que personne ne suit.
Les questions que se posent les acheteurs
Comment repérer le shadow AI dans son entreprise ?
En croisant plusieurs signaux, car chacun en manque. Une autorisation OAuth n’existe que si quelqu’un se connecte avec Google ou Microsoft ; un outil adopté avec un e-mail et un mot de passe n’en laisse aucune, et un agent construit dans le code appelle une API avec une clé que votre fournisseur d’identité ne voit jamais. Lutril lit les autorisations OAuth, les e-mails d’inscription, les visites de domaines IA connus dans le navigateur et vos dépôts GitHub et GitLab, puis les fusionne en un seul inventaire par éditeur.
Que doit montrer un outil de découverte du shadow AI ?
Quatre choses : quels outils et agents IA sont utilisés, qui utilise chacun, ce que chacun peut atteindre, et un moyen d’agir. Dans Lutril, chaque éditeur a une fiche qui liste ses utilisateurs, les sources qui l’ont vu et les scopes OAuth qu’il détient, avec les scopes à risque signalés. De là, vous le marquez comme géré ou non géré, le bloquez ou révoquez son accès OAuth, et les agents découverts peuvent être promus dans le registre des agents avec un propriétaire.
Lutril détecte-t-il les modèles d’IA exécutés en local sur un ordinateur portable ?
Pas les modèles eux-mêmes. L’agent de poste de Lutril est conçu pour MCP : il lit la configuration MCP de 17 clients IA et observe les processus de serveurs MCP en cours, donc un serveur local branché dans Claude Desktop, Cursor ou LM Studio est trouvé, noté et passé en revue. Il n’inventorie pas les logiciels installés en général, donc un modèle servi par un environnement local sans serveur MCP, sans visite dans le navigateur, sans e-mail d’inscription et sans autorisation OAuth lui reste invisible. Lutril voit en revanche les traces autour : une visite sur un site d’IA catalogué comme Hugging Face via l’extension, un e-mail d’inscription d’un éditeur, ou du code d’agent qui arrive dans GitHub ou GitLab. L’inventaire logiciel général reste le rôle de votre MDM ou de votre EDR.
L’extension enregistre-t-elle l’historique de navigation ou lit-elle les prompts ?
Non. Elle compare sur le poste chaque nom d’hôte visité à un catalogue de domaines SaaS et IA connus et ne transmet le nom d’hôte qu’en cas de correspondance, jamais l’URL complète, le chemin, les paramètres ni le contenu de la page. Si la DLP des prompts est activée, les prompts saisis dans ChatGPT, Claude et Gemini sont analysés sur le poste et seul un décompte des types de données détectés en sort. L’extension est installée d’office via Google Workspace ou Intune, et chaque poste peut être révoqué individuellement.
Que lit l’analyse des e-mails ?
Uniquement les métadonnées : expéditeur, objet et date. Lutril y cherche les e-mails d’inscription et de bienvenue des éditeurs SaaS et IA, ce qui révèle les outils adoptés avec un e-mail et un mot de passe. Le corps des messages n’est jamais récupéré ni stocké, l’analyse s’active sur demande pour chaque espace de travail, et la première passe remonte 90 jours en arrière.
Comment l’analyse de code trouve-t-elle les agents IA dans les dépôts ?
Lutril se connecte à GitHub ou GitLab avec un jeton en lecture seule et analyse un instantané de chaque dépôt à la recherche de code d’agent, par exemple LangChain, CrewAI, AutoGen, LlamaIndex ou l’OpenAI Agents SDK, et de définitions d’agents déclarées en YAML ou JSON. Le code n’est jamais exécuté ni envoyé à un LLM. Chaque résultat porte un score de risque tiré de ses capacités déclarées et un propriétaire suggéré parmi les auteurs des commits, et peut être promu dans le registre des agents ou écarté.