Goldman Sachs restreint l'accès aux agents de codage IA aux ingénieurs suite à une revue de sécurité

Goldman Sachs a restreint l'accès aux agents de codage IA, limitant des outils tels que Claude Code d'Anthropic et GitHub Copilot de Microsoft exclusivement à son personnel d'ingénierie. Les directives internes, mises à jour en octobre 2026, retirent ces capacités aux traders et aux banquiers qui les utilisaient auparavant pour la modélisation des marchés et l'analyse des flux clients. Ce changement intervient quelques semaines seulement avant que Goldman n'agisse en tant que chef de file pour l'introduction en bourse attendue d'Anthropic.

Ce qui s'est passé

Cette restriction fait suite à un examen interne des risques de productivité et de sécurité associés à la génération et à l'exécution de code par des non-ingénieurs. Bien que le directeur de l'information (CIO) Marco Argenti ait loué le « vibe coding » par du personnel non technique en juillet, notant que les traders avaient construit des prototypes utiles que les ingénieurs pouvaient affiner, la banque a depuis inversé cette approche ouverte. Les traders et les banquiers ont exprimé leur frustration face à ce changement, car ils comptaient sur ces agents pour surveiller les flux de trading, modéliser les positions de marché et créer des supports visuels sans attendre les ressources d'ingénierie.

L'accès reste disponible pour les « Strats », un rôle hybride combinant trading, recherche quantitative et ingénierie logicielle, selon des sources proches du dossier. Un porte-parole de Goldman a déclaré que la firme met certains outils d'IA à disposition afin de déterminer les meilleurs cas d'utilisation dans toute l'organisation. Cette mesure est cohérente avec les actions précédentes d'avril 2026, lorsque Goldman avait retiré Claude de sa plateforme interne pour les banquiers à Hong Kong en raison d'interprétations contractuelles, bien que ChatGPT et Gemini y soient restés disponibles.

Malgré la restriction de l'accès général des employés aux agents de codage tiers, Goldman maintient un partenariat étroit avec Anthropic. Des ingénieurs d'Anthropic ont passé six mois à la banque plus tôt cette année pour aider à construire des agents basés sur Claude pour des fonctions back-office telles que la comptabilité des transactions et l'intégration des clients. Ces agents de niveau entreprise sont gérés directement par les équipes d'ingénierie de Goldman, garantissant qu'ils fonctionnent dans le cadre de normes de conformité strictes. Parallèlement, Goldman et Morgan Stanley se préparent à diriger l'IPO d'Anthropic, dont l'entreprise devrait être cotée sur Nasdaq sous le ticker ANT avant la fin novembre 2026.

Comment cela fonctionne

Les agents de codage IA comme Claude Code fonctionnent en lisant des fichiers, en écrivant des programmes et en les exécutant avec les mêmes privilèges d'accès que l'utilisateur. Dans un flux de travail d'ingénierie traditionnel, le code subit des revues rigoureuses, des tests et des contrôles de déploiement avant d'atteindre les environnements de production. Cependant, lorsque les traders ou les banquiers utilisent ces agents, ils créent souvent des scripts pour un usage personnel immédiat, contournant les vérifications standard du cycle de vie du développement logiciel. Cela crée un environnement d'IT fantôme où du code non examiné opère sur des machines traitant des informations clients sensibles.

Le risque principal réside dans le manque de transparence et de contrôle. Un trader utilisant un agent pour modéliser des positions peut ne pas comprendre comment le code généré gère les cas limites ou les conditions de marché inhabituelles, pouvant entraîner des pertes financières importantes. De plus, les banques sont légalement tenues de maintenir des barrières d'information entre différents départements, tels que la banque d'investissement et le trading, pour prévenir les conflits d'intérêts. Les outils construits ad hoc par les employés ne respectent pas intrinsèquement ces barrières, et les ingénieurs ne peuvent les auditer que s'ils sont explicitement sollicités, laissant des lacunes dans la surveillance de la conformité.

Détails clés

• Outils restreints : L'accès à Claude Code d'Anthropic et à GitHub Copilot de Microsoft est désormais limité aux ingénieurs et aux Strats.
• Chronologie : Les directives internes ont été mises à jour en octobre 2026, après la promotion de l'utilisation de l'IA par du personnel non technique par le CIO Marco Argenti en juillet.
• Restrictions précédentes : Goldman a interdit aux banquiers de Hong Kong l'utilisation de Claude en avril 2026 sur la base des termes du contrat.
• Partenariat continu : Les ingénieurs de Goldman continuent de travailler avec Anthropic sur des agents back-office pour la comptabilité des transactions et l'intégration des clients.
• Contexte IPO : Goldman est chef de file pour l'IPO d'Anthropic, dont la cotation sur Nasdaq sous le nom ANT est prévue en novembre 2026.
• Tendance sectorielle : JPMorgan et Schwab bloquent également les agents externes des comptes clients, tandis que Barclays prévoit d'équiper la moitié de ses développeurs avec Claude Code.

Pourquoi c'est important

Pour les leaders techniques et les fondateurs, cette décision met en évidence la tension entre innovation rapide et conformité réglementaire dans les industries à hauts enjeux. Permettre aux non-ingénieurs d'exécuter du code introduit un risque opérationnel significatif, car ces utilisateurs manquent de formation pour identifier les vulnérabilités de sécurité ou les erreurs logiques dans les scripts générés. Cet incident souligne que l'adoption de l'IA ne peut pas être purement ascendante (« bottom-up ») dans les secteurs réglementés ; les structures de gouvernance doivent évoluer parallèlement à l'accessibilité des outils pour prévenir les accès non autorisés aux données ou les violations de conformité.

Ce mouvement signale également une maturation du marché de l'IA d'entreprise, où une distinction est faite entre les chatbots grand public et les agents de codage autonomes. Alors que les chatbots assistent dans la récupération d'informations, les agents de codage modifient activement l'état des systèmes. Les entreprises doivent définir des modèles clairs de propriété pour le code généré par l'IA, en s'assurant que chaque script touchant les données de production a un ingénieur désigné responsable de sa maintenance et de sa sécurité. Sans cette responsabilité, les organisations font face à une augmentation de la responsabilité juridique et à une exposition financière potentielle due à une automatisation non vérifiée.

Ce que vous pouvez faire

• Définir des politiques de propriété : Établir des règles claires exigeant qu'un ingénieur nommé examine et assume la responsabilité de tout code généré par du personnel non technique avant qu'il n'interagisse avec les systèmes de production.
• Auditer l'utilisation actuelle : Identifier où les employés utilisent actuellement des agents IA pour la création de scripts ou l'analyse de données et évaluer si ces flux de travail contournent les contrôles de sécurité existants.
• Mettre en œuvre un accès basé sur les rôles : Restreindre les agents de codage autonomes au personnel ayant une formation formelle en ingénierie logicielle ou une expertise quantitative équivalente, similaire au modèle Strat de Goldman.
• Renforcer la surveillance : Déployer des outils qui journalisent et analysent les modèles d'exécution de code pour détecter les scripts non approuvés s'exécutant sur les appareils des employés, surtout ceux accédant à des données clients sensibles.
• Documenter les cas d'utilisation : Enregistrer les besoins commerciaux légitimes identifiés par les utilisateurs restreints, tels que la modélisation des marchés, pour informer le développement d'outils internes sécurisés construits par des ingénieurs répondant à ces demandes.
• Examiner les contrats fournisseurs : S'assurer que les accords avec les fournisseurs d'IA définissent clairement les régions prises en charge et les droits d'utilisation pour éviter des perturbations soudaines de service comme la restriction à Hong Kong.