Agents IA : quelles preuves avant de leur donner le droit d’agir ?
Note exécutive TokenShift
Un agent peut accéder à une application sans connaître son mot de passe et disposer malgré tout de droits trop larges. Pour autoriser une tâche, un dirigeant doit savoir quelles opérations l’agent pourra exécuter, qui les validera et ce que l’équipe retrouvera si elle interrompt le travail.
Protéger les identifiants ne définit pas les droits
Anthropic présente Claude Duet comme un agent capable de travailler en arrière-plan dans des applications connectées. Selon sa documentation, la préversion était, au 26 octobre 2026, accessible sur liste d’attente aux abonnés Pro et Max aux États-Unis, hors offres Team et Enterprise. Cette annonce ne documente donc aucun déploiement dans une entreprise européenne régulée. Annonce d’Anthropic ; documentation Claude Duet.
1Password annonce un mécanisme dans lequel l’utilisateur approuve une demande de connexion sur son appareil, puis le gestionnaire remplit le formulaire sans transmettre le mot de passe à l’agent. Son communiqué présente encore l’intégration à Duet comme prochaine. Communiqué de 1Password.
Pour les appels entre applications, WorkOS décrit un autre mécanisme : Relay ajoute l’identifiant du fournisseur côté serveur, hors de l’environnement de l’agent. Sa documentation indique qu’une clé WorkOS reste à protéger et que Relay est en accès anticipé. Le message consacré à Relay dans TLDR était sponsorisé ; la description d’un mécanisme ne constitue pas une preuve indépendante de son efficacité. Documentation WorkOS.
Ces dispositifs visent à séparer l’agent des secrets de connexion. Ils ne renseignent pas, à eux seuls, les opérations qu’une session ouverte autorise. C’est sur cette seconde question que doit porter la décision de déléguer.
Partir de la tâche pour fixer les droits
Prenons un exemple hypothétique : une direction financière souhaite que l’agent prépare des relances de factures impayées, qu’un responsable examinera avant tout envoi. Il lui faut les factures concernées, leur statut de paiement et les coordonnées de facturation. Cette préparation ne requiert pas le droit de modifier un bénéficiaire, d’accorder une remise ou d’écrire à toute la base clients.
Le référentiel LLM06:2025 de l’OWASP distingue notamment l’excès de fonctions disponibles, de permissions et d’autonomie. Il recommande de faire appliquer les autorisations par les systèmes destinataires plutôt que de confier au modèle seul la décision de respecter une consigne. OWASP, LLM06:2025.
Dans cet exemple, demander à l’agent de « ne jamais envoyer » reste une consigne. Ne lui donner techniquement accès qu’à la création de brouillons limite l’action possible. Si le connecteur ne permet pas cette restriction, l’équipe peut réduire le périmètre envisagé, par exemple en préparant les relances depuis un export contrôlé et en gardant l’envoi dans le circuit habituel. Elle doit pouvoir montrer les droits effectivement accordés avant d’élargir la tâche.
Faire porter l’accord sur l’opération exécutée
Anthropic indique que Duet est conçu pour demander une approbation avant certains actes, dont l’envoi d’un message, un paiement, une signature ou une suppression. L’entreprise précise aussi que ses défenses contre les instructions malveillantes présentes dans les contenus consultés ne sont pas parfaites. Ces caractéristiques annoncées restent à éprouver sur la tâche envisagée. Documentation Claude Duet.
Pour les relances hypothétiques, une demande générale de « validation » donnerait peu de prise au responsable. Il devrait pouvoir examiner le destinataire, la facture, le montant encore dû, le texte et les pièces jointes, puis les rapprocher du dossier. Si l’un de ces éléments change après son accord, une nouvelle validation est nécessaire pour que l’opération exécutée corresponde à celle qu’il a examinée.
Ce contrôle entre aussi dans l’évaluation du bénéfice. Préparer davantage de messages ne démontre pas un gain si chaque proposition oblige à reconstruire le dossier. Le temps jusqu’à une relance acceptée, corrections et contrôle compris, ainsi que les erreurs de destinataire, de montant ou de statut, éclaireraient mieux la décision d’étendre ou non l’usage.
Vérifier ce qui reste après une interruption
Selon la documentation d’Anthropic, il n’est pas encore possible de voir le navigateur de Duet ni d’en prendre le contrôle. Déconnecter une application arrête les accès futurs, sans effacer de la mémoire de l’agent les informations déjà échangées. Couper l’accès, reprendre une tâche et traiter les données conservées sont donc trois vérifications distinctes. Documentation Claude Duet.
Avant toute extension, l’équipe devrait interrompre une tâche représentative et établir ce qui a été exécuté, ce qui reste en attente et l’état laissé dans chaque application. Pour les relances hypothétiques, le responsable aurait besoin de retrouver les brouillons, les éventuels messages envoyés et les dossiers encore à traiter. Les traces doivent relier la demande, l’accord et l’opération effectuée, sans recopier inutilement le dossier entier.
Le responsable métier doit pouvoir juger le résultat ; l’équipe technique doit pouvoir retirer les accès et fournir ces traces. Les annonces citées décrivent des mécanismes, mais ne démontrent ni le bénéfice de cette délégation ni sa reprise complète après interruption. Si les droits effectifs, l’opération approuvée et l’état récupérable ne peuvent pas être établis, la priorité est de les vérifier avant d’étendre les accès.