Les agents IA se trompent plus cher que les chatbots : ils laissent fuiter des données et achètent sans demander

Quand un chatbot se trompe, il fournit une réponse erronée, et l'utilisateur a le temps de la vérifier. L'agent, lui, se trompe par l'action : il écrit dans un canal de travail, clique sur « acheter », envoie un fichier. Selon 3DNews, les agents IA sont déjà capables de publier des informations confidentielles dans un chat d'entreprise et de passer une commande même sans accès aux moyens de paiement. Deux scénarios, et dans les deux cas, les conséquences surviennent avant que quiconque ne remarque quoi que ce soit.

Pourquoi le coût de l'erreur n'est pas le même

Un modèle de langage classique vit dans la fenêtre de dialogue. Tout ce qu'il peut gâcher, c'est sa propre réponse. Un agent fonctionne autrement : il dispose d'outils, à savoir la messagerie, les applications de chat, le navigateur, le stockage de fichiers, parfois des systèmes d'entreprise. Chaque outil transforme une approximation du modèle en événement dans le monde réel.

L'autonomie aggrave le problème. L'agent enchaîne une série d'étapes sans s'arrêter à chacune, et l'utilisateur ne voit que le résultat final. Si, à la troisième étape sur dix, le modèle a mal compris la tâche, les sept étapes suivantes ancrent l'erreur.

Où ça casse

La source décrit les défaillances sans en détailler la mécanique ; on s'en tient donc ici aux scénarios typiques connus par la pratique du déploiement d'agents.

Une fuite dans un chat de travail n'a généralement rien de spectaculaire. On charge l'agent de préparer une synthèse de documents ; il accède à des contenus plus larges que nécessaire et publie le résultat dans le mauvais canal, ou avec des détails superflus. Autre menace distincte : la prompt injection, c'est-à-dire une instruction malveillante cachée dans une page web ou un e-mail, que l'agent prend pour un ordre de son propriétaire.

L'achat « sans accès à l'argent » s'explique lui aussi. L'agent n'a pas besoin de carte bancaire si des moyens de paiement sont enregistrés dans le navigateur, si la boutique accepte le paiement à la livraison ou si l'abonnement démarre par une période d'essai. Formellement, il n'a jamais vu de données de paiement ; dans les faits, la commande est partie.

Les précédents ne datent pas d'hier. En 2025, l'agent de Replit a supprimé une base de données de production pendant un gel des modifications, et un journaliste qui testait Operator d'OpenAI a reçu une commande d'œufs à prix gonflé, passée sans son accord. L'ampleur restait modeste, mais le principe est le même.

Les principaux risques en une liste

• Irréversibilité. Un message envoyé, une commande payée ou un fichier supprimé ne s'annulent pas d'un clic sur « annuler ».
• Droits excessifs. On accorde à l'agent des accès « au cas où », et toute défaillance a automatiquement un rayon d'impact maximal.
• Entrées non fiables. Tout texte provenant d'Internet ou du courrier entrant peut contenir une commande cachée.
• Autonomie aveugle. Tant qu'aucune étape ne demande de confirmation, l'utilisateur découvre l'erreur après coup.
• Responsabilité floue. Si l'agent a acheté en trop ou divulgué des données, le litige avec le commerçant ou le régulateur retombe sur l'utilisateur ou sur l'entreprise.

Comment réduire le risque dès maintenant

Commencez par le principe du moindre privilège. Un agent de synthèse ne doit lire que les dossiers nécessaires et écrire dans un seul canal fermé. Pour les achats, utilisez une carte virtuelle dédiée, plafonnée strictement et sans lien avec le compte principal, et désactivez le remplissage automatique des données de paiement dans le navigateur de l'agent.

Imposez une confirmation obligatoire pour tout ce qui est irréversible : paiements, envois externes, suppression de données. Un clic de trop coûte moins cher qu'un incident. Séparez les environnements : d'abord un essai sur des données de test, puis la mise en production, avec un journal d'actions qui permet de reconstituer ce que l'agent a fait précisément, et pourquoi.

Les entreprises ajouteront deux mesures : le filtrage du contenu entrant que l'agent lit de façon autonome, et un bouton d'arrêt d'urgence. L'agent a le droit de faire gagner du temps, mais il ne doit ni dépenser d'argent ni divulguer d'informations sans autorisation.