Cloudflare Identity-Aware AI Gateway : chaque requête IA désormais liée à un vrai employé

Comment les identités des employés sont liées aux requêtes IA

La passerelle se place derrière Cloudflare Access. Avant qu’une requête n’atteigne un fournisseur de modèle d’IA, l’utilisateur doit s’authentifier auprès du fournisseur d’identité (IdP) de l’organisation . Quand la requête arrive via un domaine personnalisé protégé par Access, Cloudflare valide l’utilisateur et l’état de son appareil, puis inscrit l’ID utilisateur Access vérifié dans les métadonnées de la requête sous la forme cf.user_id .

Cela remplace les clés API partagées et aveugles qui rendaient impossible l’attribution des requêtes à des personnes ou des systèmes spécifiques . Les équipes IT savent désormais exactement qui a sollicité quel modèle, à quelle heure et depuis quel appareil.

Visibilité et contrôle des coûts

Une fois les identités attachées, la passerelle débloque une gestion granulaire des coûts :

• Plafonds de dépenses par utilisateur — les équipes IT peuvent fixer des limites de dépenses au niveau individuel ou par équipe, et non plus seulement au niveau du compte .
• User Insights — une fonctionnalité compagnon qui apprend les habitudes normales d’utilisation de l’IA pour chaque utilisateur ou système automatisé, puis alerte en cas d’activité ou de dépenses anormales .
• Filtrage des logs et analytics par utilisateur — les requêtes peuvent être filtrées, auditées et analysées par identité authentifiée dans les tableaux de bord de logs et d’analytique .
• Signalement en temps réel — le système peut détecter quand un employé utilise un modèle coûteux pour des tâches simples qu’une alternative moins chère pourrait traiter .
• Fonctionnalités d’économie — les requêtes répétées peuvent être mises en cache pour réduire les coûts redondants ; les limites de débit arrêtent les utilisations incontrôlées avant qu’elles n’atteignent la facture .

Fonctionnalités de sécurité et de gouvernance associées

L’identité seule ne suffit pas — les entreprises ont aussi besoin de garde-fous :

• Data Loss Prevention (DLP) — des filtres automatiques suppriment les noms d’employés, mots de passe et autres données sensibles des requêtes avant qu’elles n’atteignent les fournisseurs d’IA externes .
• Garde-fous (Guardrails) — filtrage de contenu et application de politiques au niveau de la passerelle, tant pour les prompts d’entrée que pour les réponses des modèles .
• Limitation de débit — limitation des requêtes par utilisateur ou par passerelle pour empêcher les abus .
• Routage dynamique — une fonctionnalité bêta qui permet d’orienter les requêtes vers différents modèles en fonction des politiques .

Futur et capacités connexes

Cloudflare étend les contrôles basés sur l’identité aux agents autonomes :

• Cloudflare Wallets & cloudflare.pay — annoncés le 4 août 2026, ils donnent aux agents IA une identité stable et la capacité d’effectuer des achats dans les limites fixées par leurs créateurs humains .
• Code Mode — lancé pendant l’Agents Week (juillet 2026), conçu pour réduire les coûts de tokens pour les agents de codage .
• Détection de Shadow MCP — règles Cloudflare Gateway pour détecter les serveurs de protocole de contexte de modèle non autorisés .

Le service est disponible dès maintenant en bêta ouverte. Comme l’a résumé Dane Knecht, CTO de Cloudflare : « Les équipes ont la liberté de travailler avec n’importe quel modèle d’IA de leur choix. L’IT obtient la visibilité en temps réel, les garde-fous et les contrôles budgétaires dont elle a réellement besoin » .