Contexte

Les équipes NAC d’Engie opèrent le réseau et la sécurité d’un groupe international. Des dizaines d’outils. Des milliers d’incidents par an. Beaucoup de tâches répétitives.

Le programme AI for NAC avait un objectif clair : mettre des agents IA au service de ces équipes. Avec une contrainte non négociable : sécurité, traçabilité et maîtrise des coûts dès le premier jour.

Le défi

  • Connecter des agents à un parc d’outils hétérogène, sans exposer de secrets ni ouvrir de flux non maîtrisés.
  • Mesurer la qualité des réponses d’un agent en continu, pas seulement en démo.
  • Passer un agent en production sans perdre la confiance des opérateurs.
  • Donner aux équipes, techniques ou non, les moyens de construire leurs propres outils.

Notre approche

Une plateforme construite from scratch. Agents sur Amazon Bedrock AgentCore avec Claude et le SDK Strands. AgentCore Gateway comme proxy MCP, avec traduction JWT vers SigV4. Authentification machine par IAM Roles Anywhere (certificats X.509), API Gateway privée, chiffrement par clés KMS dédiées.

16 serveurs MCP. Cisco, FortiGate, Palo Alto, Meraki, SD-WAN, Zscaler, Spectrum, Splunk, Observium, ServiceNow, CMDB, topologie Neo4j, AWS, Okta, travaux planifiés, Microsoft 365. Chaque agent accède aux outils dont il a besoin. Rien de plus.

La qualité mesurée en continu. Un framework d’évaluation en ligne à 14 évaluateurs. Un registre d’agents qui trace ce qui est approuvé et déployé. Un tableau de bord FinOps qui suit, pour chaque exécution, le coût, les tokens, l’énergie (Wh) et l’empreinte carbone (gCO2e).

Un cycle de vie shadow, suggest, auto. Un agent commence en observation, puis propose, puis agit. Il ne change de niveau qu’en validant cinq critères : récurrence, déterminisme, réversibilité, observabilité, consensus.

Une architecture cible V2. Event management multi-sources, routage déterministe plutôt qu’un agent orchestrateur, deux agents seulement, des skills réservés à ce qui demande vraiment un modèle. La V2 reste sur Bedrock AgentCore, dans la continuité du premier agent.

L’IA entre les mains des équipes. Une toolkit Claude Code (skills et workflows) pour que développeurs et non-développeurs créent leurs outils internes. Le NAC Hub pour les publier et les héberger sur AWS : API privée, réseau Engie uniquement, avec une marketplace interne qui catalogue les sites.

Résultats

  • 39 ingénieurs actifs, plus de 300 sessions et environ 1 milliard de tokens en cinq mois.
  • Un premier agent en production, le Monitoring Agent : environ 4 300 incidents par an ciblés et l’équivalent de 2,5 ETP libérés, avec une v1 en production prévue au T4 2026.
  • Un dossier d’architecture formel bilingue et une gouvernance reproductible pour chaque nouvel agent.
  • Une architecture du NAC Hub présentée à Engie le 20 octobre 2026.

Ce qu’on en retient

Un agent crée de la valeur quand il tourne sur une plateforme gouvernée, observable et sécurisée. La plateforme vient d’abord. Les agents suivent.