Agents IA : ce qu'est un agent, ce qui le distingue d'un chatbot et ses risques

En une phrase : Un agent IA est un modèle de langage à qui l'on donne des outils et le droit de s'en servir seul, étape après étape, jusqu'à atteindre un objectif ; ce qui le rend utile le rend aussi vulnérable aux instructions cachées dans ce qu'il lit.

Le mot « agent » est partout dans les annonces des éditeurs d'IA, souvent sans définition. Cet explicatif repart des documents publiés par ceux qui conçoivent ces systèmes, Anthropic et OpenAI en tête, et des organismes de sécurité qui en décrivent les risques. Pour la définition courte, voir le glossaire ; pour l'actualité du sujet, la page Agents IA.

Ce qu'est un agent : un modèle, des outils, une boucle

Au départ, il y a un modèle de langage, le programme qui prédit la suite d'un texte. Seul, il ne sait que produire du texte. Pour en faire un agent, on lui ajoute deux choses.

Des outils. Ce sont des fonctions qu'il peut déclencher : lancer une recherche sur le web, lire un fichier, envoyer un courriel, exécuter du code, cliquer dans un navigateur. Le modèle n'exécute rien lui-même : il écrit une demande structurée (comme appeler l'outil de recherche avec tel mot-clé). Le logiciel qui l'entoure l'exécute et lui renvoie le résultat.

Une boucle. Le modèle lit ce résultat, décide de l'étape suivante, rappelle un outil, et ainsi de suite jusqu'à juger la tâche terminée. C'est cette boucle qui fait la différence.

Anthropic, l'éditeur de Claude (sa fiche), l'écrit simplement dans son guide « Building effective agents » du 19 décembre 2024 : les agents sont « généralement de simples modèles de langage qui utilisent des outils en fonction des retours de leur environnement, dans une boucle » (traduction Le Latent). Le même guide décrit la brique de base comme un modèle de langage « enrichi par des ajouts tels que la recherche d'informations, des outils et une mémoire » (traduction Le Latent).

La documentation du kit de développement d'agents d'OpenAI (sa fiche) dit la même chose en d'autres mots. Sur la page d'accueil de l'OpenAI Agents SDK, un agent est un modèle de langage « équipé d'instructions et d'outils » (traduction Le Latent), et le kit fournit une boucle intégrée qui tourne jusqu'à ce que la tâche soit terminée, des garde-fous qui vérifient les entrées et les sorties, et des mécanismes pour faire intervenir un humain en cours de route.

Agent ou simple automatisation ?

Anthropic fait une distinction utile entre deux familles de systèmes. Les « workflows » (enchaînements prédéfinis) sont des systèmes où modèles et outils sont orchestrés « par des chemins de code prédéfinis » : c'est le développeur qui a écrit l'ordre des étapes. Les agents, eux, sont des systèmes où le modèle « dirige dynamiquement ses propres processus et l'usage de ses outils » (traductions Le Latent, guide d'Anthropic). Beaucoup de produits vendus comme « agents » relèvent en réalité de la première catégorie, ce qui n'est pas un défaut : c'est souvent plus prévisible.

Ce qui le distingue d'un chatbot

Un chatbot classique répond à ta question dans la fenêtre de conversation. Si tu lui demandes de réserver un train, il t'explique comment faire. Un agent, s'il dispose des outils et des autorisations nécessaires, ouvre le site, remplit le formulaire et peut aller jusqu'au paiement.

Trois différences en découlent :

• Il agit hors de la conversation. Ses actions ont des effets réels : un fichier modifié, un message envoyé, un achat.
• Il lit des contenus que tu n'as pas écrits. Pages web, courriels, documents partagés : tout ce que ses outils lui renvoient entre dans son contexte, au même titre que tes consignes.
• Il enchaîne plusieurs étapes sans toi. Chaque étape peut contenir une erreur, et l'erreur suivante s'appuie sur la précédente.

Anthropic le reconnaît dans son guide : la nature autonome des agents implique « des coûts plus élevés et un risque d'erreurs qui s'accumulent » (traduction Le Latent). L'éditeur conseille de chercher d'abord la solution la plus simple possible et de n'augmenter la complexité qu'en cas de besoin, et recommande des tests poussés dans des environnements isolés (« sandbox »), avec des garde-fous adaptés.

Des cas documentés

Piloter un ordinateur : l'outil « computer use » d'Anthropic

La documentation de l'outil « computer use » d'Anthropic décrit un outil qui donne à Claude des captures d'écran et le contrôle de la souris et du clavier, pour interagir de façon autonome avec un bureau d'ordinateur. Le modèle « voit » l'écran par images successives, décide où cliquer, puis regarde le résultat : c'est la boucle décrite plus haut, appliquée à une interface graphique.

La même page liste les précautions recommandées par l'éditeur : utiliser une machine virtuelle ou un conteneur dédié avec des droits minimaux, ne pas donner au modèle accès à des données sensibles comme des identifiants de connexion, limiter l'accès à internet à une liste de domaines autorisés, et demander à un humain de confirmer les décisions qui ont des conséquences réelles, comme accepter des cookies, conclure une transaction financière ou accepter des conditions d'utilisation.

Brancher des outils : le protocole MCP

Le Model Context Protocol (MCP) est un standard ouvert pour connecter des applications d'IA à des systèmes extérieurs. Anthropic l'a publié en open source le 25 novembre 2024, comme un « nouveau standard pour connecter les assistants d'IA aux systèmes où vivent les données » (traduction Le Latent).

La documentation officielle du protocole le compare à un port USB-C : de la même façon que l'USB-C standardise le branchement des appareils électroniques, MCP standardise le branchement des applications d'IA à des sources de données (fichiers, bases de données), à des outils (moteurs de recherche, calculatrices) et à des enchaînements de tâches. La même page cite parmi les clients compatibles Claude et ChatGPT, ainsi que les éditeurs de code Visual Studio Code et Cursor. Elle cite des usages possibles : un agent qui accède à ton agenda Google et à Notion, ou Claude Code qui génère une application web à partir d'une maquette Figma.

Techniquement, la spécification (révision du 28 juillet 2026) distingue l'application hôte (l'assistant que tu utilises), les clients (les connecteurs à l'intérieur de cette application) et les serveurs, qui fournissent des données, des modèles de requêtes et des outils que le modèle peut exécuter.

Le risque principal : l'injection de prompt

Puisqu'un agent lit des contenus extérieurs et agit en conséquence, quelqu'un peut cacher dans ces contenus des instructions qui détournent son comportement. C'est l'injection de prompt.

L'OWASP, fondation de référence en sécurité des applications, la classe au premier rang (LLM01) de son Top 10 des risques des applications de modèles de langage, édition 2025. Elle la définit comme une vulnérabilité qui survient quand les requêtes (prompts) « modifient le comportement ou la sortie du modèle de manière non voulue » (traduction Le Latent). Elle distingue l'injection directe, quand l'utilisateur lui-même tape des instructions malveillantes, et l'injection indirecte, quand le modèle reçoit ces instructions depuis une source externe, comme un site web ou un fichier. C'est la seconde qui concerne surtout les agents.

Un cas concret, décrit dans la documentation d'Anthropic : « dans certaines circonstances, Claude suit des commandes trouvées dans un contenu même lorsqu'elles contredisent tes instructions », notamment des instructions placées sur une page web ou dans une image (traduction Le Latent). L'éditeur indique avoir entraîné son modèle à résister à ces injections et ajouté des classifieurs qui analysent les captures d'écran pour repérer les tentatives et pousser le modèle à vérifier auprès de l'utilisateur. Il précise que les précautions de base restent importantes même avec ces classifieurs.

Le protocole MCP pose le même constat dans sa spécification : les outils « représentent une exécution de code arbitraire et doivent être traités avec prudence », et les descriptions du comportement d'un outil doivent être considérées comme non fiables si elles ne viennent pas d'un serveur de confiance (traduction Le Latent). Le texte demande que l'application obtienne le consentement explicite de l'utilisateur avant d'invoquer un outil, et que l'utilisateur comprenne ce que fait chaque outil avant de l'autoriser.

En France, l'ANSSI aborde le sujet dans son guide « Recommandations de sécurité pour un système d'IA générative » du 29 avril 2024. Elle y cite les risques « d'injection de requête indirecte » liés à l'envoi de données non maîtrisées à un modèle, comme le contenu d'un courriel reçu ou d'une page web trouvée par une recherche, et juge ces usages « d'autant plus problématiques dans le cas où des actions pourraient être effectuées sans une validation humaine ». Sa recommandation R27 : « limiter voire proscrire les actions automatiques » déclenchées par un système d'IA à partir d'entrées non maîtrisées. Sa recommandation R9 demande qu'un système d'IA ne puisse pas exécuter de manière automatisée des actions critiques, comme des transactions bancaires. Le guide s'adresse d'abord aux organisations qui déploient ces systèmes, mais le raisonnement vaut pour un usage personnel.

Ce que ça change pour toi : des précautions sourcées

Aucune de ces sources ne promet un agent sans risque. Les précautions qu'elles recommandent se recoupent, et la plupart s'appliquent à un usage grand public :

• Ne confie à un agent que ce que tu pourrais vérifier. Anthropic recommande de faire confirmer par un humain les décisions aux conséquences réelles ; l'OWASP liste l'approbation humaine des actions à haut risque parmi ses mesures de prévention (page LLM01).
• Donne-lui le minimum de droits. L'OWASP recommande le contrôle des privilèges et le principe du moindre privilège ; Anthropic, d'éviter de lui donner accès à des identifiants ou à des données sensibles. Un agent qui navigue pour toi n'a pas besoin d'être connecté à ta banque. Sur la protection de tes données, voir notre rubrique Vie privée.
• Méfie-toi des contenus qu'il lit pour toi. Une page web, un courriel ou un document partagé peuvent contenir des instructions cachées. C'est le cœur de l'injection indirecte décrite par l'OWASP et l'ANSSI. Les escroqueries qui exploitent l'IA sont suivies dans notre rubrique Arnaques et deepfakes.
• N'installe pas n'importe quel connecteur. La spécification MCP rappelle que les outils exécutent du code et que leurs descriptions ne sont pas fiables si le serveur ne l'est pas : un connecteur MCP trouvé au hasard mérite la même méfiance qu'un logiciel inconnu.
• Relis avant de valider. Les erreurs s'accumulent d'une étape à l'autre, rappelle Anthropic ; un agent peut aussi produire une hallucination au milieu d'une tâche par ailleurs réussie.

Ce qu'on ne sait pas encore

Les éditeurs décrivent leurs défenses (entraînement du modèle, classifieurs, demandes de confirmation), mais aucune des sources consultées n'affirme que l'injection de prompt est résolue : Anthropic écrit au contraire que ses précautions de base restent nécessaires. L'efficacité réelle de ces protections face à des attaques ciblées n'est pas mesurée de façon indépendante dans ces documents.

Le vocabulaire reste aussi flou : un même mot désigne un enchaînement prévu à l'avance et un système réellement autonome. Avant de confier une tâche à un « agent », la bonne question est donc : quels outils a-t-il, quelles actions peut-il faire sans te demander, et que lit-il en chemin ? Pour suivre les nouveaux modèles qui alimentent ces agents, voir la rubrique Modèles et le hub Comprendre.

Pour aller plus loin : ce qu’un agent peut garder en mémoire dépend de sa fenêtre de contexte, et ses erreurs ressemblent souvent à des hallucinations en chaîne.