Agents IA à mémoire : décider ce qu’ils peuvent transmettre

Un agent peut avoir besoin d’une note pour traiter un dossier sans être autorisé à la transmettre. Avec une mémoire persistante, cette note peut rester accessible lorsqu’il change de tâche ou d’interlocuteur. Il faut donc décider ce qu’il conserve, pour quel usage et à qui il peut le communiquer.

Meta présente Active Memory, associé à Muse Wonder, comme une capacité à retrouver les informations pertinentes d’une conversation à l’autre. L’entreprise indique aussi avoir entraîné ses modèles à éviter le partage d’informations privées sans autorisation. Ces capacités annoncées ne définissent toutefois pas les droits de transmission propres à une banque ou à un assureur. Meta, 2026

Préparer les informations destinées au tiers

Prenons un scénario hypothétique. Un assureur confie à un agent l’organisation d’une intervention après un sinistre. Le dossier contient l’adresse du bien, les disponibilités de l’assuré et une note interne sur un différend contractuel. Le prestataire demande des précisions avant son déplacement. L’adresse et les disponibilités peuvent lui être nécessaires. Cette demande ne justifie pas de lui transmettre la note.

Nous recommandons de matérialiser cette distinction dans les accès. Le composant qui prépare l’intervention consulte les éléments nécessaires du dossier. Celui qui échange avec le prestataire reçoit une fiche limitée aux informations communicables pour cette mission. Il a ainsi moins de données confidentielles à écarter lui-même.

Cette séparation demande du travail : définir le contenu de la fiche, le maintenir et prévoir le traitement des demandes auxquelles elle ne permet pas de répondre. Le métier décide ce que le prestataire doit recevoir. L’équipe technique traduit cette décision en accès et en contrôles, avec le DPO et le RSSI selon les données et les mécanismes concernés. Le responsable du processus reste identifié.

OWASP recommande de limiter les fonctions et les permissions des agents, et de faire appliquer les autorisations par les systèmes qu’ils appellent. OWASP, 2025 Dans notre scénario, cela se traduit ainsi :

• Le connecteur d’envoi accède à la fiche destinée au prestataire désigné, sans accès à l’ensemble du dossier.
• Une demande sur le différend contractuel est transmise à une personne habilitée.
• Si l’envoi nécessite une validation humaine, la personne voit le destinataire et le contenu exact proposé.

La même logique s’applique dans le temps. Une autorisation donnée pour un envoi précis ne vaut pas pour tous les échanges suivants. À la fin de la mission, le responsable vérifie ce qui doit rester accessible et jusqu’à quand. Un changement de prestataire ou la réouverture du dossier appelle un nouvel examen des droits de transmission.

Tester la conversation jusqu’à son terme

La première réponse ne suffit pas à évaluer ce dispositif. Dans le préprint Loose Lips, les auteurs observent davantage de divulgations au fil des échanges dans certaines configurations. Leur étude repose sur des profils synthétiques, des dialogues en anglais et des évaluateurs automatisés. La comparaison selon la longueur des conversations ne porte que sur un sous-ensemble des modèles étudiés. Elle ne mesure ni les incidents en entreprise ni le comportement de Muse Wonder. Sharma et ses coauteurs, 2026

Nous en tirons une conséquence pratique : les essais doivent inclure les relances et les reprises après interruption. Des dossiers fictifs peuvent mêler les informations nécessaires à la mission et celles dont la transmission est interdite. L’équipe fait varier le destinataire et ses demandes, puis examine l’échange complet : quelles données sont parties, d’où viennent-elles et quelle autorisation permettait de les envoyer ?

Ces essais doivent aussi montrer comment le travail avance lorsqu’une demande dépasse le contenu de la fiche. Un blocage justifié et un blocage inutile n’appellent pas la même correction. Il peut être nécessaire d’enrichir la fiche, de revoir une règle ou de conserver une validation humaine.

Le gain de temps se mesure sur ce traitement complet, à qualité de service comparable avec le processus existant. Préparer les données, valider les messages, reprendre les échanges et corriger les erreurs mobilise du temps humain. Ce temps doit être examiné avec le délai de résolution, les transmissions hors périmètre et les blocages.

Avant d’autoriser des envois autonomes à des tiers, le responsable du processus doit pouvoir examiner une conversation complète, les informations effectivement transmises et le traitement d’une demande hors périmètre. Des essais satisfaisants permettent d’envisager un usage délimité, sans garantir l’absence de divulgation future. Cette vérification est à reprendre lorsque le modèle, la mémoire ou les connecteurs changent.

Sources

• Meta, 2026 : présentation de Muse Wonder et d’Active Memory.
• Sharma et ses coauteurs, 2026 : Loose Lips, protocole, résultats et limites.
• OWASP, 2025 : autonomie excessive, permissions et contrôles des actions.