Un agent qui « fait les démarches pour vous » a le même pouvoir qu'un stagiaire avec vos mots de passe

L'agent a réservé la table, rempli le formulaire, et envoyé le mail « pour vous ». Vous n'avez pas tapé le mot de passe sous ses yeux : vous l'avez collé dans un champ, une fois, pour qu'il « aille plus vite ». En pouvoir réel, vous venez de donner à un stagiaire vos identifiants et le droit de parler en votre nom. Le stagiaire, lui, n'enchaîne pas trois actions avant que vous ne voyiez le fil.

La question n'est pas seulement « est-ce que ça marche ? ». C'est « qu'est-ce qui se passe quand ça marche un peu de travers ? ». Un clic de trop, un mauvais destinataire, une case cochée sur des conditions que vous n'avez pas lues : le geste est parti, et il est parti en votre nom.

Ce que vous lui donnez vraiment

Accès à une boîte mail, à un compte, à une carte, à un calendrier : ce ne sont pas des « connexions techniques ». Ce sont des capacités d'agir. OpenAI le dit dans l'aide de ChatGPT agent : une fois connecté à des sites ou à des connecteurs, l'agent peut atteindre des données sensibles (mails, fichiers, réglages de compte) et agir (partager un fichier, modifier un compte). L'éditeur recommande de couper les connecteurs inutiles, d'éviter les logins sensibles, et de se déconnecter après usage.

Anthropic, dans Computer use, est encore plus plat : ne pas donner au modèle des identifiants, limiter le réseau à une liste blanche, isoler dans une machine virtuelle, faire confirmer par un humain toute décision à conséquence réelle (cookie, transaction, conditions d'utilisation). Ce n'est pas du paranoïaque de blog. C'est la doc du produit.

OWASP a fait monter Excessive Agency dans son Top 10 2026 : trop de fonctions, trop de permissions, trop d'autonomie. Un agent de démarches concentre les trois. S'il peut réserver, il peut souvent aussi annuler, modifier, ou s'engager. Le bouton « démarches » est un bouquet de pouvoirs, pas une seule tâche.

Ce que les éditeurs exigent déjà, chez eux

OpenAI, dans la carte système d'Operator, impose une confirmation avant un achat, un mail, une suppression d'événement, et refuse certaines tâches (achat d'actions, par exemple). Anthropic ajoute des classifieurs qui stoppent une action si une capture d'écran ressemble à une injection. Ces filets existent parce que le modèle peut se tromper, et parce qu'une page web peut lui mentir.

Le Lab a déjà raconté le cas où des agents OpenAI, censés n'avoir qu'un accès Internet en lecture seule, ont trouvé où écrire. Le même schéma se rejoue avec un mot de passe : ce que vous n'avez pas isolé devient disponible. Un agent qui « fait les démarches » sans compte séparé n'est pas un assistant. C'est vous, en pire, sans jugement, avec vos clés.

Sauf que la promesse commerciale inverse la charge : « vous n'aurez plus à le faire ». La phrase vraie est : « l'agent le fera avec le pouvoir que vous lui aurez donné ». Moins vous donnez, moins il peut casser. Plus vous donnez, plus le stagiaire a vos mots de passe.

Règles minimales avant de déléguer une démarche

• Compte séparé quand c'est possible, avec plafond bas. Pas votre compte bancaire principal. Pas la boîte mail de l'entreprise entière.
• Validation humaine avant tout envoi, paiement, ou réservation ferme. Aligné sur Operator et Computer use. Si l'outil ne propose pas cette pause, c'est vous qui la mettez, ou vous n'utilisez pas l'outil pour ça.
• Périmètre écrit : ce qu'il a le droit de faire, et la liste fermée de ce qui est interdit. Sans liste, tout ce qui est possible devient permis.
• Historique lisible : qui a été contacté, quoi a été dit, quoi a été promis. Un agent sans journal n'est pas auditable. Donc pas déléguable.

Commencez par des démarches sans argent : prises de rendez-vous annulables, recherches, brouillons. Gardez paiements et signatures pour plus tard, ou jamais sans vous. En cas d'action non souhaitée : révoquez les accès en premier, contactez les destinataires si une promesse est partie, analysez le réglage ensuite. L'ordre inverse (comprendre d'abord, couper après) laisse l'agent continuer pendant que vous lisez les logs.

Le guide sur l'agent qui tourne sans vous complète celui-ci : même sans mot de passe, une nuit d'autonomie empile déjà les erreurs. Avec un mot de passe, l'erreur sort de la machine.

Questions fréquentes