Les grandes banques américaines détectent des agents IA tiers opérant à l'intérieur des comptes clients sans leur autorisation, comme l'a rapporté Axios ce matin. Certains de ces agents semblent agir au-delà des instructions données par leurs utilisateurs. Les dirigeants bancaires ont qualifié la situation d'effrayante auprès d'Axios, et les plus grands prêteurs réagissent rapidement : Morgan Stanley a commencé à bloquer les agents externes, tandis que JPMorgan, Bank of America et Citi restreignent leur accès.
Les banques ont toujours su qu'être authentifié ne signifie pas être autorisé. Elles ont passé des décennies à bâtir des contrôles sur ce principe : habilitations, plafonds de transaction, vérification renforcée, surveillance des fraudes. Mais ces contrôles ont été conçus pour des humains. Ils partent du principe que la personne qui se connecte est celle qui agit, et qu'elle agit à une vitesse humaine.
Les agents IA font voler en éclats ces deux postulats. Beaucoup se connectent avec des identifiants que les clients leur ont eux-mêmes transmis, puis agissent au sein de la session du client avec les mêmes droits d'accès que lui. Et ils fonctionnent à la vitesse d'une machine, 24 heures sur 24.
Les contrôles actuels se demandent si le client a le droit de faire quelque chose. Avec un humain au clavier, cela suffisait : celui qui demande et celui qui agit sont la même personne. Avec un agent, les contrôles se heurtent à une seconde question pour laquelle ils n'ont jamais été conçus. Le client a-t-il vraiment demandé cela ? Trop souvent, les banques ne le découvrent qu'après coup.
Voilà où se situe la faille. Les contrôles n'ont pas failli. Ils sont simplement incapables de distinguer de manière fiable le client du logiciel qui détient son mot de passe.
Bloquer les agents, ou les limiter à un accès en lecture seule, est une première étape logique. Mais cela ne peut pas être la dernière. Les dirigeants bancaires ont confié à Axios savoir que les clients continueront d'utiliser ces agents, et les leaders du secteur posent déjà les bonnes questions. Brian Moynihan, directeur général de Bank of America, a déclaré qu'un humain devrait approuver toute sortie d'argent d'un compte, et sa banque élabore des protocoles définissant la façon dont les agents interagissent avec les comptes et qui est responsable lorsqu'un agent autorise un paiement. Quant à Morgan Stanley, qui bloque aujourd'hui les agents externes, la banque avait annoncé en juin qu'elle autoriserait les agents de ses clients entreprises à se connecter à ses plateformes de plans d'actionnariat via un canal approuvé.
Ce n'est pas une contradiction. C'est le modèle. La question n'est pas de savoir s'il faut laisser entrer les agents, mais quelle porte ils empruntent et ce qu'ils ont le droit de faire une fois à l'intérieur. Les banques ont déjà procédé ainsi, en obligeant les agrégateurs de données à abandonner les mots de passe des clients au profit de connexions approuvées. Les agents nécessitent la même transition, pour les actions comme pour les données.
Cette transition exige une nouvelle architecture fondée sur des micro-autorisations en temps réel. Chaque action tentée par un agent est vérifiée au moment même où il essaie de l'exécuter, en la confrontant à ce que le client a autorisé et aux conséquences de l'action, via des contrôles situés en dehors du modèle d'IA. La gouvernance passe ainsi de l'après-coup à l'avant-coup. Chaque requête est soumise à quatre tests, trois avant son exécution et un après :
- Identité. Qui agit, et pour le compte de qui ? Un agent doit utiliser ses propres identifiants, jamais le mot de passe du client.
- Autorité. Qu'est-ce que le client a réellement autorisé, dans quelles limites et pour quelle durée ?
- Politique. Quelles règles métier s'appliquent à cette requête ?
- Preuve. L'action a-t-elle été réalisée correctement, une seule fois, et avec une trace vérifiable ?
L'intensité des contrôles est proportionnelle aux enjeux. Consulter un solde nécessite un client vérifié. Transférer de l'argent exige le respect de plafonds fixés par le client ou son approbation en temps réel, ainsi que des vérifications antifraude. Modifier un mot de passe reste la prérogative exclusive du client. Le modèle propose ; le système autorise.
J'ai défendu un argument similaire cette semaine en réponse à Satya Nadella, qui a appelé à séparer « la fourniture d'intelligence de l'autorité exercée sur celle-ci ». Ce même principe guide notre façon de concevoir nos solutions chez Netomi.
Le secteur bancaire est un signal d'alerte précoce, pas un cas isolé. Le mois dernier, Amazon a empêché l'agent Muse de Meta de faire des achats sur sa plateforme. Le lendemain, Shopify annonçait un processus de paiement agentique pour Muse via Shop Pay. De la finance au commerce de détail, toutes les entreprises sont désormais confrontées à la même question : comment accueillir les agents IA légitimes sans perdre le contrôle.
Plus tôt ce mois-ci, nous avons finalisé un cadre répondant précisément à cette question. Nous le rendons public aujourd'hui. « Agents IA grand public : gouverner la nouvelle interface entre clients et entreprises » est la version technique complète de cet argumentaire : les contrôles, l'architecture de référence, les niveaux de risque et la manière de les mettre en œuvre.
Le client peut déléguer la tâche. L'entreprise ne peut pas déléguer sa responsabilité.
