FIDO Alliance, Google et Mastercard élaborent un standard pour les agents IA dans le shopping en ligne

Les agents IA qui font des achats à votre place sortent du stade du concept. La question n'est plus « le feront-ils », mais « avec quel niveau de sécurité », et c'est celle que FIDO Alliance, Google et Mastercard ont décidé de traiter.

Pourquoi c'est devenu urgent

Le shopping autonome n'est plus une expérience. OpenAI a lancé Operator, un agent qui pilote le navigateur en temps réel, cherche des produits, choisit les bons articles et clique sur « Payer » sans intervention humaine. Google a présenté Agent Mode dans Chrome, Anthropic teste Computer Use, et des dizaines de startups intègrent des fonctions similaires aux moteurs de recherche et aux navigateurs.

Le problème : il n'existe aucun standard unique pour authentifier les agents IA lors des transactions. Chaque entreprise règle la question à sa façon, ou l'ignore purement et simplement. Tant que le shopping par agents reste une fonction de niche, les risques sont gérables. Quand elle sera présente sur chaque smartphone, ce sont les utilisateurs qui paieront le prix de ce manque de coordination.

Sans protocole commun, des failles évidentes apparaissent :

• L'agent effectue des achats sans le consentement explicite de l'utilisateur
• Un attaquant intercepte la session de l'agent et réalise des transactions non autorisées
• L'agent tombe sur une boutique de phishing et lui transmet les coordonnées de la carte
• Plusieurs agents concurrents passent la même commande en double
• L'absence de plafonds de budget entraîne des dépenses imprévues

Qui s'empare du sujet

FIDO Alliance, organisation à but non lucratif qui a créé les standards passkey et d'authentification sans mot de passe, aujourd'hui pris en charge par Apple, Google, Microsoft et la plupart des grandes banques, a annoncé un partenariat avec Google et Mastercard. L'objectif : élaborer un standard ouvert d'authentification des agents IA lors des opérations de paiement, un protocole qui relierait l'identité de l'agent, le consentement de l'utilisateur et l'infrastructure de paiement en une seule chaîne sécurisée.

Ce n'est pas la première fois que FIDO Alliance s'attaque à un chantier de cette ampleur. Il y a quelques années, les codes SMS semblaient indissociables de la banque en ligne. Aujourd'hui, les passkeys les remplacent sur toutes les grandes plateformes. C'est le partenariat avec Apple, Google et Microsoft qui a fait des passkeys, d'un projet académique, un véritable changement du marché. Sans acteurs d'infrastructure de ce calibre, tout standard reste une recommandation sur le papier.

Google contrôle Chrome et Android, les plateformes par lesquelles transite l'essentiel des achats en ligne dans le monde. Mastercard exploite l'un des plus grands réseaux de paiement, qui traite des milliards d'opérations chaque année. Ensemble, elles couvrent toute la chaîne : authentification → navigateur → transaction.

Comment la protection pourrait fonctionner

Les spécifications précises sont encore en cours d'élaboration, mais la logique d'architecture se déduit des précédents standards de FIDO Alliance : un protocole ouvert, accessible à tout développeur, et non une solution propriétaire d'une seule entreprise. Éléments clés probables :

• Jetons délégués : l'agent reçoit une clé limitée à usage unique, et non un accès permanent aux coordonnées de la carte
• Vérification contextuelle : le système de paiement confirme que l'opération est initiée par un agent autorisé, dans des paramètres convenus à l'avance
• Limites explicites : l'utilisateur fixe un budget, les boutiques autorisées et les catégories de produits
• Journal d'audit : chaque action de l'agent est consignée et reste consultable pour vérification

Si les grandes plateformes et les réseaux de paiement adoptent le standard, les développeurs d'agents devront le prendre en charge. Ainsi fonctionne la normalisation des infrastructures : celui qui contrôle l'infrastructure fixe les règles.

Ce que cela signifie

La course aux agents IA autonomes bat son plein, et le secteur reconnaît enfin qu'un déploiement rapide sans standards de sécurité crée des risques réels pour les utilisateurs. L'initiative de FIDO Alliance, Google et Mastercard cherche à fixer les règles avant que les transactions par agents ne se généralisent et ne deviennent coûteuses.

Si les standards s'imposent, confier à un agent le soin de commander des courses ou d'acheter un billet d'avion pourrait s'avérer plus sûr que saisir soi-même ses coordonnées bancaires sur un site inconnu.