Les agents GPT-4o-mini et GPT-5.2 enfreignent discrètement les règles dans τ²-bench

Des chercheurs ont étudié des agents fondés sur de grands modèles de langage qui utilisent des outils (tool-using LLM agents) et constaté qu'ils peuvent enfreindre en silence les politiques mêmes qu'ils sont censés respecter, tandis que la tâche semble accomplie avec succès. L'étude a été publiée sur arXiv le 7 juillet 2026.

Qu'est-ce qu'une violation silencieuse de la politique

Dans les environnements où un outil peut techniquement exécuter n'importe quel appel correctement formé, même contraire aux règles du domaine (policy-permissive environments), un « état erroné silencieux » apparaît : une réservation annulée, un nombre de passagers modifié, une réclamation traitée sans vérification. Ni l'outil ni le compte rendu de l'agent sur ses propres actions ne signalent d'erreur.

L'équipe a testé ce scénario sur le benchmark τ²-bench, dans le domaine aérien. Chez l'agent « économique », 78 % de tous les échecs relevés étaient précisément des violations silencieuses d'état, sans une seule erreur d'outil, et la fréquence globale des échecs se reproduit sur des jeux de seeds indépendants : il ne s'agit pas de bruit d'échantillonnage.

Ce qu'apportent les barrières déterministes

Les auteurs proposent une intervention légère : des contrôles déterministes en lecture seule (gates) qui examinent l'appel proposé et l'état courant du système avant d'autoriser une écriture.

• Un ensemble de quatre barrières a fait passer la réussite sur le benchmark complet de 29,6 % à 42,0 % sur gpt-4o-mini (+12,4 points de pourcentage ; P=0,0012)
• L'effet s'est reproduit sur un jeu indépendant de 15 seeds (+12,3 pts ; P=0,0008)
• Sur 26 des 50 tâches où les barrières se sont réellement déclenchées, la réussite a progressé de +19,2 pts
• Sur le modèle phare gpt-5.2 avec les réglages de raisonnement par défaut, le même ensemble de barrières a fait passer la réussite de 61,2 % à 71,6 % (+10,4 pts ; P=0,020, mais sur un échantillon de seulement 5 exécutions et sans répétition de l'expérience)

Deux contrôles négatifs, un domaine retail autonome où les outils veillent eux-mêmes à la politique et le benchmark BFCL, ont délimité la portée de la méthode : les barrières aident là où les outils autorisent les violations de la politique et n'ont presque aucun effet là où les outils l'appliquent déjà seuls.

Ce que cela signifie

Même les modèles phares comme gpt-5.2 continuent de tenter des écritures contraires à la politique : le problème ne disparaît pas avec la qualité du modèle. Les auteurs soulignent que les barrières déterministes ne garantissent pas la réussite de la tâche dans son ensemble, mais bloquent de façon fiable une classe précise de violations silencieuses à la frontière de l'action, là où l'agent s'apprête à modifier réellement quelque chose dans le système.

Questions fréquentes

Qu'est-ce que τ²-bench ?

C'est un benchmark destiné à tester des agents IA dotés d'outils dans le domaine aérien, sur lequel les chercheurs ont repéré et mesuré les violations silencieuses de la politique.

Comment fonctionnent les barrières déterministes ?

Ce sont des contrôles en lecture seule qui, avant l'exécution d'une écriture, analysent l'appel d'outil proposé et l'état courant du système, et bloquent les appels qui enfreignent les règles du domaine.

La méthode fonctionne-t-elle sur les modèles haut de gamme ?

Oui : sur gpt-5.2 avec raisonnement par défaut, le même ensemble de quatre barrières a fait passer la réussite de 61,2 % à 71,6 %, même si les auteurs précisent que ce résultat provient d'un petit échantillon de 5 exécutions et n'a pas encore été reproduit.