Des agents sous GPT-4o-mini et GPT-5.2 enfreignent les règles en silence dans les tests τ²-bench

Des chercheurs se sont penchés sur les agents IA bâtis sur des grands modèles de langage capables d'utiliser des outils (tool-using LLM agents). Leur constat : ces agents peuvent enfreindre en silence les politiques mêmes qu'ils sont censés respecter, alors que la tâche semble menée à bien. Les travaux ont été publiés sur arXiv le 7 juillet 2026.

Qu'est-ce qu'une violation silencieuse de politique ?

Dans certains environnements, un outil peut techniquement exécuter n'importe quel appel bien formé, même s'il contrevient aux règles du domaine (policy-permissive environments). Il en résulte un « état erroné silencieux » : une réservation annulée, un nombre de passagers modifié, une réclamation traitée sans vérification. Ni l'outil ni le compte rendu de l'agent ne signalent la moindre erreur.

L'équipe a testé ce scénario sur le benchmark τ²-bench, dans le domaine du transport aérien. Chez l'agent « économique », 78% de tous les échecs relevés étaient précisément des violations silencieuses d'état, sans une seule erreur d'outil. Le taux d'échec global se reproduit sur des ensembles de seeds indépendants : il ne s'agit donc pas d'un bruit d'échantillonnage.

Quel gain apportent les portes déterministes ?

Les auteurs proposent une intervention légère : des contrôles déterministes en lecture seule (gates). Avant d'autoriser une écriture, ils examinent l'appel proposé et l'état courant du système.

• Un ensemble de quatre portes a fait passer la réussite sur l'intégralité du benchmark de 29,6% à 42,0% avec le modèle gpt-4o-mini (+12,4 points de pourcentage ; P=0,0012)
• L'effet s'est reproduit sur un ensemble indépendant de 15 seeds (+12,3 points ; P=0,0008)
• Sur les 26 des 50 tâches où les portes se sont effectivement déclenchées, la réussite a progressé de +19,2 points
• Sur le modèle phare gpt-5.2, avec les paramètres de raisonnement par défaut, le même ensemble de portes a fait passer la réussite de 61,2% à 71,6% (+10,4 points ; P=0,020, mais sur un échantillon de seulement 5 exécutions et sans réplication de l'expérience)

Deux contrôles négatifs délimitent la portée de la méthode : un domaine retail autonome, où les outils veillent eux-mêmes au respect de la politique, et le benchmark BFCL. Les portes sont utiles là où les outils laissent passer des violations de politique, et n'ont quasiment aucun effet là où les outils la font déjà respecter d'eux-mêmes.

Qu'est-ce que cela signifie ?

Même des modèles phares comme gpt-5.2 continuent de tenter des écritures qui violent la politique : le problème ne disparaît pas à mesure que la qualité du modèle progresse. Les auteurs soulignent que les portes déterministes ne garantissent pas la réussite de la tâche dans son ensemble. En revanche, elles bloquent de manière fiable une catégorie précise de violations silencieuses à la frontière de l'action, c'est-à-dire au moment exact où l'agent s'apprête à modifier réellement le système.

Questions fréquentes

Qu'est-ce que τ²-bench ?

C'est un benchmark destiné à tester des agents IA dotés d'outils dans le domaine du transport aérien. Les chercheurs s'en sont servis pour identifier et mesurer les violations silencieuses de politique.

Comment fonctionnent les portes déterministes ?

Ce sont des contrôles en lecture seule qui, avant toute écriture, analysent l'appel d'outil proposé et l'état courant du système, puis bloquent les appels qui enfreignent les règles du domaine.

La méthode fonctionne-t-elle sur les modèles de pointe ?

Oui : sur gpt-5.2 avec le raisonnement par défaut, le même ensemble de quatre portes a fait passer la réussite de 61,2% à 71,6%. Les auteurs précisent toutefois que ce résultat repose sur un petit échantillon de 5 exécutions et n'a pas encore été reproduit.