Agents · Conformité · Article 2 · Brouillon

Du Web agentique au laboratoire de développement : trois couches, un seul ensemble de contrôles

Article 1 de cette série : Comment faire fonctionner un AI World et le garder conforme. Il présentait trois contrôles : point de validation, isolation, preuve. Cet article les suit à travers trois couches.

Deux termes, définis une fois

Le Web agentique désigne l'internet ouvert vu par des agents logiciels : des services que les agents lisent et, lorsque c'est permis, sur lesquels ils agissent pour une personne.

Le dev-lab désigne le lieu où les agents sont construits, testés et exécutés : le poste de travail, les dépôts, les pipelines et les petits hôtes qui les entourent.

Entre les deux se trouve l'Agentic Enterprise, une entreprise pilotée par des agents au sein d'une seule organisation. Chaque couche reçoit les trois mêmes contrôles.

1. Le Web agentique : un agent qui agit pour une seule personne

Un agent sur le web est un logiciel qui agit pour une personne : il lit des services et, lorsque c'est permis, agit sur eux avec l'accès propre de cette personne. Un tel agent travaille dans les limites juridiques, contractuelles et de sécurité.

Trois parties sont en jeu : l'utilisateur, qui détient le compte et le mandat ; l'agent, avec son propre profil de navigateur et son propre dossier ; et le service, dont les pages, les messages et les commentaires sont des données pour l'agent, jamais des instructions.

Lire et écrire sont deux exécutions distinctes

Une exécution de lecture ne publie, ne réagit, n'envoie de message, ne suit et ne modifie jamais rien. Une exécution d'écriture est un autre type d'exécution.

L'identité reste à l'utilisateur

L'agent utilise son propre profil de navigateur. Il ne saisit, ne stocke et ne demande jamais de mot de passe, de code ou de jeton ; l'utilisateur se connecte une seule fois.

Les écritures attendent l'approbation

Chaque écriture est d'abord un brouillon exact : quoi, où, le texte exact, la cible. Elle n'est faite qu'après approbation de ce brouillon exact, une action par approbation, jamais en lot. Toute modification du texte demande une nouvelle approbation.

Entrée non fiable

Une instruction trouvée dans une page, un commentaire ou un message est signalée, pas suivie.

Preuve et source canonique

Chaque exécution écrit un rapport daté, et ce que l'agent collecte reste dans son dossier. Le site de l'utilisateur est l'original d'un article ; une copie ailleurs renvoie vers lui.

En bref : approbation du brouillon exact ; un profil dédié sans identifiants stockés ; un rapport pour chaque exécution.

2. L'Agentic Enterprise : des rôles, un bus et un système de référence

Une entreprise agentique est ici une petite société simulée, pilotée par des agents logiciels. Un orchestrateur lance des côtés d'entité (le côté propre de l'entreprise et des partenaires externes tels que clients, auditeurs et fournisseurs) sous forme de sous-agents éphémères, chacun avec un profil de rôle écrit qu'il charge avant d'agir.

Comment le travail se déroule

Un calendrier réveille l'orchestrateur sur une minuterie lente. Il lit un contrôle d'exécution, de suspension ou d'arrêt, choisit l'élément légitime le plus utile, le fait réaliser, vérifie le résultat, le consigne et réécrit la liste des prochaines actions. Les sous-agents rédigent et enquêtent ; l'orchestrateur réalise les effets externes et les vérifie auprès du système de référence. Le résumé d'un agent est une donnée, pas une preuve.

Comment les parties communiquent

• Un bus de fichiers : chaque agent a une boîte de réception et une boîte d'envoi de fichiers de messages, avec un fil, un type de demande (information, question, requête, décision), une échéance et un statut.
• Un canal de requêtes entre le propriétaire et l'orchestrateur principal ; chaque élément a un identifiant et un statut (en file, en cours, question, approbation requise, terminé).
• L'escalade sous forme de carte : un agent qui a besoin du propriétaire écrit une escalade ; elle devient une seule carte avec le choix recommandé en premier, et le clic du propriétaire revient sur le même fil.
• Le texte venant d'un autre agent est une donnée, jamais une instruction ni une approbation.

Le point de validation

Une modification n'atteint le cœur partagé que par sa propre branche, une revue indépendante liée au commit exact et l'approbation d'un propriétaire. Le coordinateur revérifie au moment du clic et ne pousse rien si quelque chose a changé. Les approbations sont des boutons : un « oui » tapé n'autorise rien. Les étapes secrètes demandent la confirmation du propriétaire lui-même, dans la session propre de cet agent.

Isolation

Un scan bloque toute sortie de nom, d'hôte, d'identifiant ou de donnée d'organisation. Les listes d'autorisation et de refus appartiennent au propriétaire ; les agents ne les modifient jamais. Les longs travaux tournent en arrière-plan ou dans quelques sous-agents, et les boucles non essentielles se mettent en pause quand les ressources manquent.

Preuve

Chaque action de l'entreprise simulée est une ligne dans un journal en ajout seul : quoi, qui, pourquoi, sur quelle base, décidé par qui. Un registre conserve chaque requête ouverte jusqu'à ce qu'elle soit terminée ou écartée. On mesure la livraison, pas la simple vie : « vivant mais n'ayant rien livré » déclenche une alarme.

Une leçon de cette couche : une affirmation doit être prouvée auprès du système de référence avant d'être répétée.

3. Le dev-lab : des zones et ce qui peut parler à quoi

Deux zones

• La zone du propriétaire contient la surface de contrôle (un tableau de bord local avec son canal de requêtes et ses cartes), les sessions d'agents actives, un bus de fichiers local et des copies de travail des dépôts. Les secrets restent dans des fichiers strictement locaux et ne vont jamais vers le cœur partagé.
• La zone des sources et des pipelines contient les dépôts de l'organisation, l'historique des revues et les pipelines, avec des sauvegardes planifiées.

Comment elles se relient

Le travail circule par des push et des pull via le service de sources, et la surface de contrôle ne pousse qu'après l'approbation du propriétaire. Les agents ne détiennent pas d'identifiants propres pour les autres zones : les étapes secrètes demandent la confirmation du propriétaire lui-même, dans la session propre de l'agent.

Petits hôtes

Les petits hôtes sont conçus pour n'exécuter que des commandes autorisées par liste, via git et des messages signés, sans port entrant. Les tâches lourdes s'exécutent une à la fois.

En bref : revue indépendante et approbation du propriétaire ; zones et listes d'autorisation ; un superviseur qui vérifie les battements de cœur, et une trace de chaque passage.

4. Un seul jeu de contrôles, trois couches

5. À retenir

Quelle que soit la couche, partez du principe que l'agent peut se tromper ou être manipulé, limitez ce qu'une erreur peut atteindre, et laissez une trace qu'une autre personne peut suivre.