Des agents qui manipulent de l’argent réel : ce qu’il faut trancher

Le goulot d’étranglement n’est pas l’orchestration, c’est la confiance. Un agent qui dépense, encaisse ou négocie agit dans un environnement adversarial, sur des horizons longs, avec un objectif, le profit, qui récompense aussi les raccourcis. Voici l’architecture que je défends, les arbitrages que je trancherais en premier et ce que je voudrais vérifier dans votre produit.

Note de Samuel Radat, mise à jour le 3 novembre 2026.

Le modèle propose, des règles décident

Un LLM ne sépare pas de façon fiable les instructions des données : un message client, un mail fournisseur ou une page web peut contenir une injection. La sécurité ne peut donc pas reposer sur le comportement du modèle. Elle se construit autour de lui, dans du code déterministe qu’aucun texte ne peut convaincre. C’est le Zero Trust appliqué aux agents : l’agent est un acteur non fiable et chaque action passe par un point de contrôle.

Les expériences publiques vont dans le même sens. Sur Vending-Bench 2, les meilleurs modèles plafonnaient en septembre 2026 à environ un quart de ce qu’atteindrait une bonne stratégie humaine. Dans Project Vend, la boutique tenue par un agent est devenue rentable surtout grâce aux procédures et aux outils ajoutés autour de lui.

pointillé : non fiableplein : déterministe

Entrées

Messages clients, mails fournisseurs, pages web. Tout est non fiable par défaut, et chaque contenu garde la trace de sa provenance.

Agent

Raisonne et propose une action typée : nature, montant, contrepartie, justification. Il ne détient aucun secret.

Moteur de politiques

Confronte chaque action à des règles écrites en code, hors du modèle.

dépense_jour + montant ≤ plafond
prix ≥ coût × (1 + marge_min)
contrepartie ∈ autorisées
outil_privilégié ⇒ source_fiable
  • ExécuteAction réversible, dans les limites.
  • EscaladeIrréversible ou au-delà d’un seuil : validation humaine ou délai d’annulation.
  • RefuseHors politique : journalisée, motif renvoyé à l’agent.

Exécution par capacités

Carte virtuelle plafonnée par l’émetteur, jeton éphémère limité à une opération. Même un agent compromis ne peut pas dépasser le plafond.

Journal

Inaltérable, en ajout seul : chaque décision est rejouable. Il alimente les evals et le coupe-circuit.

Les arbitrages à trancher en premier

Chacun oppose deux objectifs légitimes. Pour chacun, ce que je trancherais et ce que je mesurerais pour savoir si j’ai eu raison.

Autonomie ou vitesse de lancement

Chaque garde-fou ralentit le produit. Sans garde-fou, le premier incident efface ce que la vitesse a rapporté.

Je tranche. Des paliers d’irréversibilité plutôt qu’un curseur global. Ce qui est réversible et plafonné part en autonomie dès le premier jour. Un nouveau bénéficiaire, un engagement contractuel ou une allégation publique passent par validation ou délai d’annulation. L’autonomie s’élargit palier par palier, sur preuves.

Je mesure. Incidents pour 1 000 actions, part des actions escaladées, délai de validation.

Qui tient l’argent

Encaisser pour le compte des utilisateurs simplifie le produit, mais fait de la plateforme un service de paiement.

Je tranche. Au départ, la plateforme ne détient jamais les fonds : comptes et cartes au nom de chaque business via un établissement agréé, plafonds appliqués côté émetteur. Si l’encaissement pour reverser devient nécessaire, c’est un chantier réglementaire à part entière (DSP2, agrément ou adossement, cantonnement des fonds, LCB-FT), à ouvrir tôt.

Je mesure. L’exposition maximale par business et agrégée, à tout instant.

Modèle fort ou coût d’inférence

L’inférence pèse directement sur la marge, mais une économie sur le modèle se paie en résultats que l’utilisateur ne voit pas. Dans Project Deal (Anthropic, avril 2026), les agents sur modèle plus fort obtenaient de meilleurs prix sans que les participants perçoivent l’écart.

Je tranche. Un routage par criticité : modèle fort pour les décisions économiques (prix, négociation, dépense), modèles légers pour le volume répétitif, cache sur tout le reste.

Je mesure. Le coût d’inférence par business actif et par mois, rapporté au résultat généré.

Mesurer sans vérité terrain

Le profit est un signal tardif, bruité et sans contrefactuel. Attendre le P&L pour itérer, c’est itérer une fois par trimestre.

Je tranche. Des simulateurs par type de business pour rejouer des mois en quelques minutes, des evals au niveau de chaque décision (prix, dépense, réponse client), des suites adversariales (injections, négociateurs agressifs, faux fournisseurs) et un mode fantôme avant chaque élargissement d’autonomie.

Je mesure. La distribution des résultats sur l’ensemble des business, médiane et premier décile, plutôt qu’une moyenne tirée par les meilleurs.

Un même agent, des milliers de business

L’uniformité fait progresser tout le parc d’un coup, mais elle corrèle les défaillances : un exploit trouvé une fois les touche tous. Des agents identiques convergent aussi vers les mêmes niches, qu’ils saturent.

Je tranche. Des déploiements progressifs par cohortes, un coupe-circuit global et par fonctionnalité, un budget d’erreur, et une diversité contrôlée des stratégies d’un business à l’autre.

Je mesure. Le rayon d’impact d’un incident, en nombre de business touchés, et la concentration des niches.

Croissance ou loyauté des messages

Un agent qui optimise le chiffre d’affaires découvre les raccourcis : remises excessives, promesses invérifiables, faux avis. Sur Vending-Bench 2, les modèles les plus performants commercialement étaient aussi ceux qui recouraient à la tromperie.

Je tranche. Toute communication sortante passe par un contrôle des allégations : seules les affirmations vérifiables dans les données produit sortent, et tout est journalisé. En droit français, celui qui agit pour le compte d’un professionnel peut être lui-même qualifié de professionnel : le risque de pratique commerciale trompeuse est aussi celui de la plateforme.

Je mesure. Taux d’allégations bloquées, réclamations, rétrofacturations.

Les 90 premiers jours

  1. Semaines 1 et 2

    Cartographier toutes les actions que les agents peuvent prendre, les flux financiers et les incidents passés. Établir le modèle de menace et journaliser chaque décision là où ce n’est pas déjà le cas.

  2. Semaines 3 à 6

    Poser la couche de contrôle : moteur de politiques, paliers d’irréversibilité, plafonds côté émetteur, coupe-circuit. Lancer les premières suites d’evals adversariales.

  3. Semaines 7 à 12

    Boucler l’amélioration : simulateurs, mode fantôme, métriques sur l’ensemble des business, routage des modèles. Élargir l’autonomie là où les preuves le permettent.

En continu : recruter les premiers profils, en commençant par l’infrastructure et les evals.

Ce que je voudrais vérifier dans votre produit

Qui écrit

Samuel Radat. Cinq ans en cybersécurité chez Chimere, rachetée par Ekinops début 2026 : Rust, ZTNA, protocoles réseau bas niveau. Fondateur de HART Solutions System, automatisation IA sécurisée dès la conception pour les secteurs régulés.

Profil LinkedIn

Historique des versions