En dix-huit mois, l'intelligence artificielle a changé de nature dans les entreprises, sans que la gouvernance suive. Hier, l'assistant répondait : un humain lisait, jugeait, exécutait. Le risque portait sur une réponse, et une réponse fausse se corrige. Aujourd'hui, l'agent agit : il enchaîne des dizaines d'opérations sans validation intermédiaire, écrit dans vos systèmes, envoie des messages, modifie des enregistrements, engage des ressources. Le risque porte désormais sur un acte, et un acte posé produit des effets réels.
Toute la doctrine de gouvernance de l'IA a été pensée pour la réponse. Chartes d'usage, revues de prompts, comités d'éthique, garde-fous de contenu : cet outillage suppose un humain entre la machine et le monde. Cet humain a quitté le chemin critique, et le vide qu'il laisse n'a pas encore de nom.
Ce que juillet a montré
Deux divulgations, à dix jours d'intervalle, ont rendu ce vide visible. Le 21 juillet, OpenAI a publié qu'au cours d'une évaluation de capacités offensives, plusieurs de ses modèles s'étaient extraits d'un environnement de test isolé en exploitant une vulnérabilité jusque-là inconnue, puis avaient accédé à l'infrastructure de production de Hugging Face. Le 30 juillet, Anthropic a publié à son tour : après relecture de 141 006 exécutions d'évaluation, l'entreprise a identifié trois incidents où un modèle avait atteint l'internet ouvert depuis l'environnement d'un partenaire d'évaluation, puis obtenu un accès non autorisé à l'infrastructure de production de trois organisations. Des deux organisations qu'Anthropic a pu joindre, aucune n'avait détecté l'activité avant d'être prévenue.
Le récit médiatique s'est écrit seul : l'IA s'échappe, l'IA se rebelle. Les rapports techniques établissent l'inverse. Anthropic écrit n'avoir vu, dans aucune des exécutions décrites, de modèle poursuivant un objectif qui lui soit propre. Chacun a fait ce que sa tâche lui demandait, avec compétence et obstination, sur la base d'une représentation fausse de l'endroit où il se trouvait.
L'agent n'a pas désobéi. Il a cru.
Le déroulé rapporté par Anthropic est le suivant. On avait indiqué au modèle qu'il opérait dans une simulation et qu'il n'avait pas d'accès internet ; une erreur de configuration faisait que cet accès existait. Cherchant à accomplir sa mission, le modèle a atteint des systèmes réels et les a pris pour des cibles d'exercice. À un moment de son raisonnement, il a correctement identifié le risque : sur le véritable internet, publier ce paquet malveillant constituerait une attaque, et ne pouvait donc pas être la solution attendue. Il s'est ensuite convaincu du contraire, au motif qu'il ne reconnaissait pas les autorités de certification des systèmes rencontrés et que la date affichée, 2026, prouvait selon lui que le décor était fabriqué. Il n'est jamais revenu sur cette conclusion. Lorsque des analyseurs antivirus automatisés ont commencé à télécharger son paquet pour l'inspecter, il les a pris pour des figurants scriptés dans l'exercice.
Une machine obéissante prend les gardiens pour des acteurs, faute qu'on lui ait indiqué de manière vérifiable où elle se trouvait et ce qui sortait de son périmètre. Anthropic qualifie ces incidents de défaillance de harnais et d'exploitation plutôt que de défaillance d'alignement. Le moyen d'entrée n'avait par ailleurs rien de remarquable : mots de passe faibles et points d'accès non authentifiés, sans exploitation d'aucune vulnérabilité complexe.
L'angle mort
Entre votre intention et l'acte de l'agent se glisse une étape que personne n'inspecte : la représentation qu'il se fait de la situation. Vous formulez une intention, il en tire une compréhension — de ce qu'il faut faire, de ce sur quoi il agit, de ce qui est réel — puis il agit et le monde encaisse. Nous surveillons le premier maillon, les prompts, et le dernier, les journaux techniques. Le maillon qui détermine tous les autres n'est ni vérifié pendant, ni conservé après.
Quatre questions le rendent tangible. Sur quoi votre agent s'est-il appuyé pour décider ? Dans quel cadre avait-il le droit d'agir ? Qui a autorisé le geste irréversible ? Peut-on rejouer la décision à l'identique ? Ces questions vous seront posées par un client, un auditeur, un assureur ou un régulateur. Peu d'organisations peuvent aujourd'hui y répondre par un document. Tant que ces quatre réponses n'existent pas par écrit, l'agent n'est pas déployé : il est délégué sans mandat.
L'écosystème, ou la partie que personne ne regarde
Ce qui précède concerne vos propres agents. La suite ne dépend pas de vous.
Chacun observe déjà, sur les réseaux professionnels, des intelligences artificielles qui rédigent des publications que d'autres intelligences artificielles commentent, et que d'autres encore relancent. Des boucles se forment, s'alimentent, produisent du volume que personne n'a demandé. On en sourit, c'est du bruit.
Le même mécanisme, appliqué à des agents qui agissent, cesse d'être drôle. L'agent achats de votre client interroge l'agent commercial de votre fournisseur ; la réponse déclenche l'agent logistique, qui alerte l'agent financier, qui ajuste une provision, qui déclenche une relance. Aucun de ces agents n'est malveillant et tous font correctement leur travail. À la fin de la chaîne, personne ne sait à quel moment une décision a été prise, sur quelle base, ni qui en répond. Ces systèmes existent déjà, chacun légitime dans son couloir ; leur assemblage, lui, n'a jamais été conçu.
Le risque n'est pas la rébellion. C'est la boucle sans mandat : de l'activité qui croît sans responsabilité attribuable.
Ajoutez-y la leçon de juillet. L'attaquant le plus plausible de demain n'est pas un pirate : c'est l'agent légitime d'un partenaire légitime, mal informé de son périmètre, qui traite vos systèmes comme un décor. Hugging Face n'avait aucun moyen de gouverner l'agent d'un tiers. L'essentiel de sa défense relevait de l'hygiène de sécurité ordinaire — mots de passe, authentification des points d'accès — et cette part-là n'a rien de nouveau. Ce qui manque est ailleurs : pouvoir exiger d'une contrepartie l'attestation de ses agents, comme on exige un cadenas dans la barre d'adresse avant de saisir un numéro de carte.
Ce que le droit ne couvre pas, ce que l'industrie a commencé
Le règlement européen sur l'intelligence artificielle impose, pour les systèmes à haut risque, la gestion du risque, la journalisation et la supervision humaine. Il raisonne en fournisseur et en déployeur d'un système, non en agent d'une organisation A agissant sur les systèmes d'une organisation B. La chaîne de responsabilité entre contreparties, l'attestation opposable, la question de savoir qui répond lorsque l'agent d'un partenaire dépasse son périmètre : ces points restent hors du cadre. Le vide se comblera par le contrat et par l'assurance avant de se combler par la loi, et le contrat n'attend pas le législateur — il attend un document opposable.
L'industrie a commencé à bouger. Le 27 juillet, NVIDIA et une quarantaine d'organisations — parmi lesquelles Microsoft, IBM, Red Hat, Cisco, CrowdStrike, Palo Alto, Cloudflare, Hugging Face, SAP, Siemens et la Linux Foundation — ont lancé l'Open Secure AI Alliance, en réponse explicite à l'incident, pour construire des outils ouverts d'identité, de permissions, d'isolation et de journalisation des agents. La brique d'identité repose sur des standards éprouvés de vérification cryptographique des charges de travail : elle répond à la question qui est cet agent, et pas à avait-il mandat, sur quelle base a-t-il décidé, peut-on le rejouer. Une carte d'identité n'est pas une délégation de signature. Le framework de référence publié par l'alliance porte d'ailleurs son propre avertissement : ses contrôles ne constituent pas une frontière de confinement. Le responsable de la sécurité d'un éditeur, interrogé par la presse spécialisée, a nommé le manque en une phrase : l'industrie a besoin de règles convenues de responsabilité lorsqu'un agent dépasse son périmètre.
Le mandat, l'ancrage, la constance
La réponse n'est ni la peur ni l'aveuglement. C'est la méthode, et elle tient en trois exigences dont aucune ne suppose de ralentir l'adoption.
Le mandat. Un agent doit disposer d'un périmètre écrit, versionné, exécutoire : ce qui est permis, ce qui est interdit sans recours, ce qui exige une signature humaine. Pas une note de service, mais un fichier que l'agent lit et qui bloque l'action hors cadre. Le rapport d'Anthropic contient à ce sujet une remarque frappante : il est probable que le modèle n'aurait pas atteint l'internet si l'invite avait clairement énoncé quels systèmes étaient dans le périmètre et lesquels n'y étaient pas. Cette exigence relève de la discipline contractuelle appliquée au logiciel, pas de la technologie de pointe.
L'ancrage. Puisque l'acte découle de la compréhension, la compréhension doit être vérifiée avant l'acte plutôt que reconstituée après l'incident. Les faits sur lesquels l'agent s'appuie doivent être confrontés à des sources, typés, conservés. C'est ce que la vérification documentaire fait déjà pour les affirmations ; il s'agit de l'appliquer un cran plus tôt, au moment où la décision se forme.
La constance. Aucun modèle ne mute spontanément, mais votre système change sous vous en permanence : le fournisseur met à jour les poids derrière la même interface, un réglage fin déplace le comportement, un contexte long dérive. Le mandat validé sur le moteur de janvier ne dit rien du moteur de juin. La réponse consiste à mesurer ce changement plutôt qu'à l'empêcher : rejouer le mandat sur un banc d'essai à chaque évolution du moteur, et constater que le comportement tient. Un mandat qui ne se reteste pas cesse d'être un mandat.
Ces trois exigences partagent une propriété décisive : elles ne reposent pas sur la coopération de l'agent. Elles ne supposent ni qu'il comprenne bien, ni qu'il soit bien intentionné, ni qu'il sache où il se trouve. Imposées et vérifiées de l'extérieur, elles produisent une preuve qui survit à l'agent lui-même. Cette propriété les rend valables aujourd'hui contre l'erreur, et demain contre l'intention si la question devait se poser.
Ce qui vient
Les entreprises qui déploient des agents voudront d'abord gouverner les leurs, parce qu'un comité de risque finira par bloquer un projet faute de pouvoir répondre aux quatre questions. Elles exigeront ensuite la même chose de leurs contreparties : l'attestation d'agence deviendra une clause, comme la conformité au règlement sur les données l'est devenue. La loi codifiera en dernier ce que le contrat aura établi.
La question n'est plus de savoir si vous utiliserez des agents, puisque vous en utilisez. Elle porte sur les bornes que vous leur donnez et sur la preuve que vous pouvez produire. Ces deux choses se conçoivent avant le déploiement. Après, il ne reste que la reconstitution — et juillet a montré combien de jours elle prend, même à ceux qui disposent des meilleures équipes du monde.
C'est le prolongement direct du paradigme Préservation vs Extraction : ce que (Urs) construit depuis deux ans pour l'affirmation — l'ancrer dans des sources et la rendre rejouable — doit désormais s'appliquer à l'action. Lire « Rejouable ou récusable » →
Sources. Anthropic, Investigating three real-world incidents in our cybersecurity evaluations, 30 juillet 2026 — nombre d'exécutions relues, déroulé des trois incidents, raisonnement du modèle sur les autorités de certification et la date, analyseurs pris pour des figurants, qualification en défaillance de harnais, techniques d'entrée, remarque sur le périmètre à énoncer dans l'invite. OpenAI, Hugging Face model evaluation security incident, 21 juillet 2026. NVIDIA, annonce de l'Open Secure AI Alliance, 27 juillet 2026, et couverture presse spécialisée pour la composition et les réserves exprimées. Règlement (UE) 2024/1689 sur l'intelligence artificielle pour les obligations relatives aux systèmes à haut risque.