Les banques bloquent déjà les agents qui se connectent avec les identifiants que leurs clients leur ont transmis. JPMorgan affirme bloquer les services de partage d'identifiants qui déplacent de l'argent, tout en travaillant sur une méthode pour le faire correctement.
Nous entrons dans une période de schisme. Certaines entreprises construisent une porte d'entrée pour les agents, tandis que d'autres bloquent leurs voies d'accès. Walmart vient d'annoncer une passerelle d'agents (Agent Gateway) basée sur MCP, débutant par une bêta pour développeurs, ainsi que des profils d'agent prévus le mois prochain avec des limites de dépenses.
Lors de la conférence téléphonique sur les résultats de Meta, Zuckerberg a déclaré que le shopping était le cas d'usage le plus courant de Muse, avec un panier moyen supérieur à 200 $. C'est indéniablement un problème financier, et la récompense pour celui qui le résoudra est colossale.
David Sacks soutient que les banques devraient prendre en charge un accès que les clients peuvent accorder, limiter et révoquer. Je suis d'accord sur la direction. La question la plus difficile est de savoir comment.
Pour votre banque, votre agent ressemble à un énorme problème de fraude et de responsabilité.
Transmettre mon identifiant ne dit pas à la banque quel agent l'utilise, ce que je lui ai demandé de faire, ni si l'action correspond à mon instruction. Un client peut approuver un accès sans pour autant approuver tout ce qu'un agent pourrait tenter.
Je sens qu'une carte s'impose.
Il y a quatre couches : Entrée, Identité, Outils et Intention.
1. Entrée : offrir à l'agent un moyen d'accès pris en charge.
Le Personal Agent Protocol, ou PAP (désormais appelé Poppy), offre aux entreprises un moyen de publier la façon dont les agents peuvent interagir avec elles : où se connecter, quelles interfaces sont proposées et quels accès seront accordés.
Mon agent découvre ces informations et utilise un flux de connexion pris en charge. J'approuve l'accès ; l'entreprise décide de ce qu'elle autorise. Cet accès peut être limité et révoqué. Bank of America et Wells Fargo sont des partenaires de conception, ce qui signifie qu'ils contribuent à le façonner, et non qu'ils promettent que mon agent pourra utiliser leurs applications bancaires dès demain.
Le Trusted Agent Protocol (TAP) de Visa permet à un agent d'achat de se présenter avec des informations signées : « Je suis un agent d'achat approuvé via le programme de Visa, je fais des achats pour ce client, et voici comment il paiera. » Le marchand peut vérifier ces informations avant de le laisser continuer. Il doit tout de même vérifier si j'ai approuvé l'achat.
Web Bot Auth permet au site web de vérifier qui exploite l'agent. Se prétendre « Muse » ne suffit pas ; le site vérifie la signature de la requête par rapport à la clé publique de l'opérateur. TAP utilise cette approche pour les agents d'achat.
Ces éléments sont complémentaires : « Salut, je suis un bot, je suis un gentil bot, et j'aimerais faire quelque chose. »
2. Identité : apporter la preuve dont le service a besoin.
Le protocole x401 de Proof permet au service de demander des preuves concernant la personne derrière l'agent. La banque indique ce dont elle a besoin, l'agent présente une attestation, et la banque la vérifie. « Mon agent dit que je suis Simon » est une simple affirmation ; une attestation signée par un émetteur de confiance lui donne une valeur probante.
OpenID for Verifiable Presentations (OpenID4VP) est la manière dont le portefeuille présente cette attestation. x401 demande la preuve ; OpenID4VP aide à la fournir.
Les standards FIDO sous-tendent les clés d'accès (passkeys). Je déverrouille la mienne avec mon visage, mon empreinte digitale ou le code PIN de mon appareil, et mon appareil envoie une signature que le service peut vérifier. Mes données biométriques restent sur mon appareil. Cela m'authentifie sans transmettre mon mot de passe à l'agent, mais cela n'établit pas mon identité légale à lui seul.
Un client existant de la banque pourrait n'avoir besoin que de s'authentifier. Un nouveau client ou un service restreint pourrait également nécessiter une identité ou une éligibilité vérifiée.
3. Outils : donner à l'agent une opération précise.
MCP permet à la banque de décrire ce qu'un agent peut faire et comment le demander. « Pour bloquer une carte, appelez cet outil et donnez-moi l'identifiant de la carte. » L'agent envoie l'identifiant ; la banque renvoie un résultat.
WebMCP propose des outils structurés via le navigateur, afin que l'agent puisse utiliser un outil de blocage de carte au lieu de deviner sur quel bouton cliquer. Une API fournit une interface logicielle directe. MCP peut décrire une opération pendant qu'une API effectue le travail en arrière-plan.
Agent2Agent (A2A) permet à mon agent de confier une tâche à l'agent de l'entreprise et de suivre sa progression. Cela ne prouve pas que j'ai autorisé la tâche.
Le navigateur est la façon dont les agents accéderont à de nombreux services dans un avenir prévisible. Ils cliqueront à travers les pages parce que c'est ce qui est disponible, et une fenêtre contextuelle inattendue peut faire échouer la mission.
L'entreprise garde toujours le contrôle de l'accès. Découvrir un outil « transférer de l'argent » ne donne pas à mon agent la permission de vider mon compte.
4. Intention : faire correspondre l'action à ce que j'ai approuvé.
Cette sensation de panique quand on ne trouve plus son téléphone est déjà assez pénible sans devoir prévenir chaque banque une par une. Je veux que mon agent bloque mes cartes et verrouille l'appareil. « Bloque ma carte » n'est pas une autorisation pour transférer mon solde ou modifier les détails de mon compte.
Un achat ajoute des conditions. Si je demande à mon agent de réserver un hôtel, « adapté » signifie des poids libres de plus de 25 livres, un mini-réfrigérateur et une annulation gratuite, car les voyages changent à la dernière minute. Je pourrais approuver une chambre spécifique, des dates précises et 200 $ par nuit, frais inclus.
L'approbation n'est qu'une étape. Le service destinataire doit ensuite faire correspondre la réservation réelle à ces conditions. Une chambre à 190 $ avec 60 $ de frais supplémentaires dépasse ma limite. Signer un paiement ne prouvera pas non plus que l'hôtel possède la salle de sport que je voulais.
x401 peut également demander une action signée. Je passe en revue les conditions sur mon appareil, je les approuve, et le service vérifie la réponse signée avant de continuer. Cela peut couvrir les modifications de compte et les documents ainsi que les paiements, là où le fournisseur le prend en charge.
Verifiable Intent de Mastercard fournit à l'entreprise une preuve signée reliant mon autorisation à l'achat effectué par l'agent. Elle vérifie que les signatures et la transaction respectent les limites, plutôt que de croire l'agent sur parole.
L'AP2 de Google relie les autorisations de passage en caisse et de paiement, appelées mandats. Le marchand vérifie ce que l'agent est autorisé à acheter ; le fournisseur de paiement vérifie s'il peut utiliser mon moyen de paiement pour cette transaction.
Visa Intelligent Commerce fournit des instructions et des contrôles de paiement. J'authentifie une instruction ; l'agent demande des identifiants de paiement, et Visa vérifie la requête et le paiement du marchand par rapport à cette instruction. TAP aide à reconnaître l'agent ; ces contrôles régissent le paiement.
L'authentification forte du client en Europe offre une comparaison utile en matière de sécurité renforcée : pour les paiements à distance concernés, l'approbation est liée au montant et au bénéficiaire. Cela ne nous donne pas une autorisation universelle pour toute l'opération « téléphone perdu ».
L'entreprise doit tout de même dire oui.
En fin de compte, les consommateurs doivent garder le contrôle sur ce que font les agents.
Oui, chaque banque doit encore accorder l'accès à son service. Mon instruction ne peut pas donner d'autorisation au nom de la banque. Les protocoles pour tout cela existent, ils doivent simplement être assemblés, et l'agent doit me rendre compte de ces résultats pour que je sache ce qui est protégé et ce qui nécessite encore mon attention.
Votre appétence pour le risque peut varier.
Je suis prêt à laisser un agent effectuer des achats de quelques centaines de dollars sans intervenir. Mais au-delà, je veux qu'il me consulte et laisse une piste d'audit d'un agent connu qui a fait... des choses.
Si nous avons
- Des permissions consommateur (via les intentions)
- Liées aux identités des créateurs d'agents et des humains.
- Qui peuvent demander des permissions aux entreprises et aux banques
- Et qu'il existe ensuite une piste d'audit pour l'ensemble
Nous n'aurons plus d'agents non autorisés.
Bien sûr, le problème est que « autorisé » signifie souvent « payant ». L'accord d'accès aux données entre JPMorgan et Plaid inclut déjà une tarification, et il a fallu près d'une décennie pour aboutir à cet accord.
Vous pensez vraiment que les banques ne vont pas exiger davantage de Meta ?
Nous avons passé des années à faciliter la vie des clients pour qu'ils cliquent sur les bons boutons. Désormais, leur agent arrive avec une instruction.
Nous devons permettre de prouver son autorité et d'accomplir la tâche.
Et cela pourrait signifier que les banques soient rémunérées au passage.
Si vous avez apprécié cet article, j'écris sur brainfood.xyz - venez y jeter un œil :)
