OrderBench : pourquoi un schéma JSON ne protège pas les agents LLM des commandes dangereuses

En juillet 2026, des chercheurs ont présenté OrderBench, un benchmark déterministe pour les agents LLM de restauration. Il montre que, même lorsqu'un modèle produit du JSON conforme à 100 % au schéma, environ 20 % des commandes du meilleur modèle restent sémantiquement fausses. La conclusion de l'étude est simple : la sortie structurée supprime les erreurs de parsing, mais ne garantit pas qu'une transaction soit sûre et exacte.

Qu'est-ce qu'OrderBench

OrderBench est un test déterministe qui mesure séparément six propriétés de la réponse d'un agent : la correction syntaxique, la validité vis-à-vis du schéma, la justesse de la décision de statut, la sémantique exacte des articles, le respect des contraintes et les confirmations de commande dangereuses. La motivation : les LLM jouent de plus en plus le rôle de « compilateur de transactions ». L'utilisateur formule son intention en langage courant, le modèle produit un objet structuré, puis une API l'exécute. JSON Schema et les modes de sortie structurée des fournisseurs éliminent toute une classe d'erreurs de parsing, mais ne permettent pas, à eux seuls, de savoir si la transaction que l'agent s'apprête à exécuter est correcte et sûre.

Ce que montre l'expérience

Les auteurs ont effectué 2400 appels via la plateforme Nebius Token Factory sur quatre modèles ouverts, dans deux modes : prompt simple et schéma JSON imposé. Résultat principal : une réponse valide vis-à-vis du schéma peut tout de même contenir de graves erreurs sémantiques. Avec le modèle le plus performant, les deux modes atteignent 100 % de validité au schéma, mais le taux de réussite sémantique plafonne autour de 80 % : une commande sur cinq est formellement correcte, mais fausse sur le fond. Chez les modèles plus faibles, la part de confirmations de commande valides au regard du schéma mais dangereuses se chiffre en pourcentages à deux chiffres.

• Benchmark : OrderBench, déterministe, pour les commandes de restaurant
• Volume : 2400 appels sur quatre modèles ouverts
• Plateforme : Nebius Token Factory
• Modes : prompt seul et schéma JSON imposé
• Chiffre clé : 100 % de validité au schéma pour environ 80 % de précision sémantique chez le meilleur modèle

Pourquoi le schéma ne suffit pas

La validité au schéma et la justesse de la commande sont deux choses distinctes, et c'est la conclusion centrale de l'étude. Un schéma JSON ne garantit que la forme de l'objet : les champs requis sont présents, les types correspondent. Il ne vérifie pas que l'agent a choisi le bon produit, qu'il a conservé les contraintes (allergies, substitutions, quantités) ni qu'il n'a pas confirmé une commande qu'il aurait fallu refuser. Une telle confirmation dangereuse reste totalement invisible pour le validateur de schéma : l'objet passe le contrôle et part vers l'API pour exécution, alors qu'il est erroné ou dangereux sur le fond.

«

La sortie structurée est une couche d'interface nécessaire, mais pas un substitut à la vérification métier et à une exécution fail-closed », indique le résumé de l'étude sur arXiv.

Ce que cela signifie

La sortie structurée résout le problème du parsing, pas celui de la confiance. L'étude déconseille explicitement aux développeurs de systèmes agentiques de s'en remettre au schéma comme garantie : il faut une seconde couche, composée d'une vérification métier et du principe fail-closed, selon lequel l'agent rejette la commande au moindre doute au lieu de la confirmer. Sinon, un JSON soigneusement formaté exécutera avec application, et sans bruit, des transactions erronées.

Questions fréquentes

Qu'est-ce qu'OrderBench ?

OrderBench est un benchmark déterministe pour les agents de commande en restauration, présenté en juillet 2026. Il évalue séparément six propriétés de la réponse, dont les confirmations de commande dangereuses que le validateur de schéma JSON ne détecte pas.

Un schéma JSON garantit-il qu'une commande est correcte ?

Non. Selon l'étude, avec le modèle le plus performant, les deux modes atteignent 100 % de validité au schéma, mais la précision sémantique est d'environ 80 %, et chez les modèles plus faibles, un pourcentage à deux chiffres de commandes passe le schéma tout en restant dangereux.

Que signifie fail-closed pour un agent ?

Fail-closed est un principe selon lequel, face à toute ambiguïté, l'agent rejette l'action au lieu de la confirmer. Les auteurs d'OrderBench le présentent, avec la vérification métier, comme un complément indispensable à la sortie structurée, car le schéma JSON seul n'écarte pas les commandes dangereuses.