La porte et le reçu : les agents IA passent du contrôle à l'admission vérifiable

💡 En résumé

Le débat sur la sécurité de l’IA change de forme, et la journée du 22 septembre 2026 le montre par accumulation plutôt que par une annonce spectaculaire. Là où les discussions portaient sur l’alignement du modèle — ses valeurs, ses refus, sa fidélité — la recherche publiée ce jour-là traite d’un objet plus étroit et plus opérationnel : la porte. Qui autorise une action, sur quelle base, et qu’est-ce qui reste comme preuve après coup.

Un papier propose de séparer l’approbation exacte d’une action de son admission locale durable, avec un jeton signé à durée courte et un reçu d’admission couplé à la consommation du nonce dans une transaction SQLite. Un autre mesure ce qui se passe quand l’état d’une tâche est montré, dicté ou imposé par une porte qui refuse les actions violant cet état — et trouve que l’imposition est payante lorsque les échecs sont décidables par l’état et fréquents, et nuisible quand le jugement de la porte est faux. Un troisième fait apparaître un résultat contre-intuitif : sur du travail répété, les agents ne sont d’accord avec eux-mêmes que dans 26 à 62 % des cas, et former des habitudes déterministes rend auditable — donc rend aussi fiable une mauvaise habitude qu’une bonne.

À l’autre bout du même fil, un benchmark évalue les agents de code sur la génération de primitives d’exploitation contre de vrais noyaux Linux et Windows. Et hors de la recherche, deux dossiers d’infrastructure rappellent que la question de la porte n’est pas seulement technique : aux États-Unis, 68 milliards de dollars de projets de centres de données ont été perturbés par des opposants locaux au deuxième trimestre 2026, et le dossier d’introduction en bourse de Nscale montre que 85 % de ses 103 milliards de contrats dépendent de deux clients, avec des jalons qualifiés de « stricts » comme condition de survie.

Autrement dit : la gouvernance se déplace du caractère du modèle vers les conditions d’admission — et ces conditions sont désormais mesurables.

🔥 Tendances

De l’autorisation avant l’action : ce qui est gagné et ce qui ne l’est pas

Le papier ZeroGate pose un problème de conception que tout système d’agents gouverné rencontre : déplacer l’autorisation plus tôt raccourcit la frontière de dispatch, mais peut aussi admettre une action dont la charge utile, l’autorité ou l’état pertinent ont changé entre-temps.

La proposition sépare donc deux choses que l’on confond habituellement : l’approbation exacte d’une action (un émetteur signe un ActionPass à durée courte) et l’admission locale durable (un adaptateur d’exécution de confiance reconstruit l’action finale avant qu’une porte locale ne vérifie sa liaison et ne consomme son nonce). Une transaction SQLite couple la consommation du nonce, la mise à jour des quotas applicables et le reçu d’admission.

Le papier énonce une proposition de préservation de décision — sous quatre conditions explicites : approbation saine, dépendances de politique représentées et à jour, observations fidèles, consommation atomique. Et il prend soin de préciser ce que l’implémentation seule ne démontre pas : ni la fraîcheur par rapport au monde courant, ni des effets distants exactement une fois.

Les chiffres d’évaluation sont instructifs parce qu’ils vont contre l’attente. Sur 4 800 tentatives cloud, la latence p95 entre admission du worker et dispatch tombe de 25,018-334,000 ms en synchrone à 9,802-11,374 ms en mode préparé. Mais la durée de vie complète moyenne est plus longue à tous les niveaux de concurrence : « l’amélioration de frontière n’est pas un gain net de vitesse ». Les auteurs le formulent sans détour : la contribution est un contrat de revalidation explicite, une frontière de référence durable et une comparaison auditable de l’endroit où le coût d’autorisation est payé — pas une nouvelle primitive cryptographique.

C’est une posture de recherche plus intéressante que son résultat : un système de gouvernance se juge sur ce qu’il rend vérifiable, pas sur ce qu’il promet d’accélérer.

Montré, dicté, imposé : ce que l’état de tâche change réellement

Le second papier fixe les règles de la tâche, le modèle, les épisodes appariés, et fait varier un seul axe : la force avec laquelle l’état de la tâche atteint l’agent — transcript brut, liste de contrôle exacte, directives tour par tour issues d’une machine à états compilée depuis le brief et avancée uniquement par reçus d’exécution, ou porte d’imposition refusant les actions violant l’état. Chaque épisode est noté par correspondance exacte de charge utile contre une vérité terrain dynamique.

Quatre résultats tiennent sur trois modèles, deux régimes de raisonnement et deux domaines, sans raisonnement tour par tour :

Afficher un état exact n’est pas fiable — l’information présente dans le contexte n’est pas une garantie de comportement.
Un registre non vérifié écrit par l’agent lui-même bat une liste de contrôle exacte qui lui est montrée.
Les directives aident proportionnellement à l’obéissance du modèle.
L’imposition n’a besoin d’aucune obéissance mais reste bornée par la justesse de son état et par le matcher qui associe demandes et étapes.

Les nuisances sont documentées. Sur le benchmark d’agents de réservation aérienne de τ²-bench, la même porte fait passer le taux de réussite d’un agent 235B de 0,39 à 0,54 et ne change rien pour un agent 35B qui viole rarement la politique. Sur PM-Bench, où l’action dépend de reconnaître un signal plutôt que d’un état, c’est l’affichage du registre qui gagne — l’inverse du résultat précédent — et imposer le jugement du matcher fait tomber un agent 35B en dessous de son transcript brut.

La règle est nette et généralisable : l’imposition paie quand les échecs sont décidables par l’état et fréquents ; elle nuit quand le jugement de la porte est faux.

L’auditabilité a un prix, et ce prix est structurel

Le papier sur les habitudes commence par un constat gênant. Sur 42 tâches exécutées trois fois chacune, selon le modèle, 38 à 74 % des réponses ne concordent pas. Or la cohérence est précisément ce qu’exigent « un acheteur, un auditeur ou un régulateur ». S’y ajoute un gaspillage mesuré : 95,3 à 97,2 % de ce qu’un agent génère sert à redériver un plan que le système connaît déjà.

La proposition — formation d’habitudes — mine l’historique d’exécution de l’agent pour en extraire des compétences candidates qui concurrencent la pratique établie au lieu de la remplacer. Une candidate déclare la région de l’espace d’entrée qu’elle revendique : le cas courant s’exécute comme un script, le reste retombe sur le raisonnement. Quatre portes de coût croissant l’admettent, dont une porte centrale qui teste la trace d’exécution contre une référence conservée, dans une tolérance mesurée à partir de la variabilité propre de cette référence.

Les résultats sont solides : sur du texte-vers-SQL, trois des quatre bras de raisonnement ne reproduisaient leur propre sortie que sur 11 à 13 des 42 questions répétées (le quatrième sur 26), tandis que la variante à habitudes reproduisait les 456 dispatchs répétés, sans infériorité statistique (p<0,0001) et avec 14 à 56 % de tokens en moins, rentable après 7 à 53 réutilisations.

Et puis la nuance qui compte. La garde a admis à tort du travail qu’elle aurait dû différer sur 2,6 % des paraphrases naturelles et 26 % des entrées proches de sa frontière, et 11 des 13 échecs de ce type étaient invisibles pour la porte de conformité de trace, à tout seuil. La conclusion des auteurs mérite d’être citée comme règle de conception : « les erreurs déterministes se répètent exactement : une mauvaise habitude est aussi fiable qu’une bonne, et c’est le prix de la propriété qui rend le système auditable. »

L’agent de code qui atteint le noyau mais ne sait pas quoi en faire

KEX-bench évalue les agents de code sur la génération de primitives d’exploitation contre de vrais noyaux de systèmes d’exploitation : 45 instances de tâches sur 40 CVE Linux et Windows, couvrant fuite d’adresse noyau, contrôle du pointeur d’instruction, lecture et écriture de tas et écriture à adresse arbitraire. Chaque tâche tourne dans une machine virtuelle isolée, avec des outils contrôlés et un vérificateur déterministe.

Sans preuve de concept de référence, la meilleure configuration résout 1 des 20 tâches Windows (5,0 %) et 14 des 25 tâches Linux (56,0 %). Avec une preuve de concept de référence, elle en résout 31 sur 45 (68,9 %). Le fossé identifié par les auteurs est précis : les agents atteignent des plantages de noyau mais échouent à transformer cet état en primitive d’exploitation.

L’influence, la transparence et la trace

Trois autres résultats complètent le tableau des surfaces d’attaque et de vérification.

RAG-NAROK attaque les systèmes de génération augmentée par récupération non pas en injectant des documents à l’avance, mais en s’adaptant à la requête : le procédé extrait d’abord l’identité des sources légitimes, puis génère des documents de réfutation spécifiques à ces sources qui les nomment et les dévaluent, en exploitant les biais de récence et d’autorité pour orienter la génération. Les auteurs parlent d’une tension fondamentale entre la transparence de RAG et la sécurité (arXiv 2609.25469).
Clarification Is Not Correction décrit un échec qui n’est pas un problème de mémoire : l’ambiguïté d’un tour précoce se fige en une interprétation cachée, et la clarification ultérieure est traitée comme du contexte supplémentaire au lieu d’un signal correctif. La même information fournie dans un ordre différent produit une issue différente ; les tâches de code sont les plus vulnérables, les résumés peuvent aggraver l’ambiguïté, et le chain-of-thought réduit les engagements erronés explicites sans améliorer le succès final (arXiv 2609.25337).
Le paradoxe du consensus : la décodage épistémique contrastif, une intervention à l’inférence sans ajustement, neutralise l’effet de meute sur 7 200 trajectoires appariées (GAIA, SWE-bench, Multi-Challenge) et réduit le « farniente cognitif » de jusqu’à 33 points absolus, avec une récupération de précision jusqu’à 30,75 % (arXiv 2609.25570).

Hors des laboratoires : la porte est aussi administrative

Deux dossiers d’infrastructure publiés le même jour montrent que la logique d’admission conditionnelle s’applique aussi aux projets physiques.

Aux États-Unis, l’opposition aux centres de données s’installe. Plus de 60 % des Américains se déclarent favorables à limiter les nouveaux centres de données, particulièrement dans leur propre communauté, et les enquêtes de long terme montrent une progression rapide. 68 milliards de dollars de projets ont été perturbés par des opposants locaux au deuxième trimestre 2026 selon les relevés de Data Center Watch. Une étude ethnographique de 18 mois menée par Data & Society, à partir de 44 entretiens en Pennsylvanie entre 2024 et 2026, documente ce qui active cette opposition : le message d’« inévitabilité » de l’industrie passe mal — « les gens en Pennsylvanie ont une expérience incroyable du changement industriel, des lignées profondes de traumatisme industriel, assez pour flairer quand quelque chose ne sonne pas juste », explique Maia Woluchem. Le gouverneur Josh Shapiro avait inauguré en juillet 2025 un sommet célébrant 90 milliards de dollars d’investissements ; un an plus tard, il signait un décret imposant de nouvelles exigences aux projets et les retirant d’un dispositif d’accélération réglementaire (TechCrunch).

À l’international, le financement devient conditionnel. Le dossier d’introduction en bourse de Nscale énumère plus de 103 milliards de dollars de contrats, dont environ 85 % provenant de deux clients : 43,8 milliards avec Microsoft jusqu’en 2033 et 44,6 milliards avec Anthropic. Ce second contrat est conditionné à l’obtention du financement par Nscale, qui doit atteindre des jalons que le dossier qualifie lui-même de « stricts », et l’entreprise conserve le droit de s’en retirer. Ce n’est pas isolé : CoreWeave tire 67 % de son revenu de Microsoft, Applied Digital 67 % d’Oracle et 30 % de CoreWeave (TechCrunch).

Ces mêmes personnes qui signent des contrats à dix ans ne savent pas toujours quoi répondre. Le premier ministre grec Kyriakos Mitsotakis, de passage à San Francisco devant environ 250 fondateurs et investisseurs, a reconnu publiquement ne pas avoir de réponses à beaucoup des questions que les dirigeants débattent plus discrètement — et a résumé sa position d’une formule : « nous livrons déjà la bataille d’hier » (TechCrunch).

🤖 Nouveaux outils

ZeroGate — jeton d’approbation d’action à durée courte (ActionPass), adaptateur d’exécution qui reconstruit l’action finale, porte locale qui vérifie la liaison et consomme le nonce, reçu d’admission couplé dans une transaction SQLite aux quotas applicables. Contrat de revalidation explicite + comparaison auditable du lieu de paiement du coût d’autorisation. p95 admission→dispatch de 9,8 à 11,4 ms en préparé contre 25,0 à 334,0 ms en synchrone sur 4 800 tentatives, sans gain net sur la durée de vie complète.

Machines à états compilées et portes d’imposition — l’état de tâche compilé depuis le brief, avancé uniquement par reçus d’exécution, avec une porte de refus. Gain mesuré sur τ²-bench pour un agent 235B (0,39 → 0,54), nul pour un agent qui viole rarement la politique, et négatif lorsque le jugement de la porte est faux.

Formation d’habitudes et porte de conformité de trace — compétences candidates issues de l’historique, revendication d’une région de l’espace d’entrée, quatre portes d’admission, seuil de tolérance calculé sur la variabilité propre de la référence. 456 dispatchs répétés identiques, 14-56 % de tokens en moins, rentabilité après 7 à 53 réutilisations, 2,6 % (paraphrases) à 26 % (frontière) d’admissions fautives.

KEX-bench — 45 tâches, 40 CVE, cinq familles de primitives, machines virtuelles isolées, vérificateur déterministe spécifique à la primitive, budgets d’appels d’outils fixes. 5,0 % (Windows) et 56,0 % (Linux) sans preuve de référence, 68,9 % avec.

Taste-Bench — banc de questions de « goût » construit automatiquement depuis les trajectoires d’agents : chaque question présente une bifurcation où plusieurs directions sont disponibles et une seule mène à un meilleur résultat. Les bifurcations sont extraites d’essais parallèles et de détours internes, sans annotation humaine. Meilleur modèle : 59,7 % de bonnes réponses ; les bifurcations dont l’évidence décisive apparaît tard sont plus difficiles pour tous, et augmenter le budget de raisonnement n’aide pas. Le goût peut être entraîné par distillation d’un professeur ayant vu l’issue (arXiv 2609.25804).

ReAdapt — état social structuré (objectif, croyance, relation, norme, divulgation) mis à jour après chaque observation d’outil, avec émission d’une opération de politique : continuer, changer, abandonner, clarifier. Sur 500 mondes sociaux synthétiques et 1 000 requêtes, les présentations chaleureuses passent de 37 % à 51 % et la sélection de réaction de 69 % à 77 % (arXiv 2609.25284).

📊 Analyse

Le lieu du débat s’est déplacé

Il y a une cohérence dans ces publications qui ne tient pas à un thème commun mais à une forme commune. Aucune ne prétend améliorer l’intelligence des agents. Toutes construisent une frontière — une porte, un reçu, un vérificateur, un contrat de revalidation, une tolérance mesurée sur la variabilité de la référence — et évaluent la qualité de cette frontière plutôt que celle du modèle.

Ce déplacement répond à un problème pratique : on ne sait pas auditer un modèle par introspection (l’auto-description dépend du template de chat, comme le montre un autre papier du jour), mais on peut auditer une porte. La porte a des propriétés vérifiables : est-elle atomique, sa politique est-elle à jour, son jugement est-il correct, son reçu est-il durable ? Le papier ZeroGate va jusqu’à nommer la limite exacte de sa contribution — l’implémentation seule n’établit ni la fraîcheur ni l’exactitude distante — ce qui est précisément la façon dont une porte devient vérifiable.

L’imposition n’est pas gratuite, et ses échecs sont asymétriques

Le résultat le plus utile pour un praticien est le quatrième du papier sur l’état des tâches : l’imposition fonctionne sans obéissance, mais elle est bornée par deux choses dont l’une est humaine. La justesse de l’état, d’abord : une porte construite sur un état faux refuse des actions correctes. La qualité du matcher ensuite : sur PM-Bench, imposer le jugement du matcher a fait tomber un agent 35B en dessous de son transcript brut.

Autrement dit : une porte d’imposition ne peut pas être évaluée séparément du juge qu’elle embarque. Le gain de sécurité qu’on lui attribue est un gain conditionnel à la précision d’un composant qui, lui, n’est pas gouverné.

La cohérence est le prix d’entrée de l’audit

Le résultat sur les habitudes relie les deux fils : la cohérence déterministe est ce qui rend un système auditable, et elle rend symétriquement fiable une erreur. Une mauvaise habitude se répète aussi proprement qu’une bonne — et 11 des 13 admissions fautives observées étaient invisibles à la porte de conformité de trace à tout seuil. Cela implique qu’un système d’agents gouverné par habitudes a besoin d’un mécanisme de désapprentissage qui vérifie les conséquences, pas la conformité de l’exécution.

C’est un argument en faveur des approches de type contrat d’évaluation : ce n’est pas la trace qu’il faut valider, c’est la chaîne entre trace, sortie et résultat.

La chaîne de raisonnement ne peut pas porter seule la surveillance

Le papier sur la charge causale du chain-of-thought complète l’argument. Sur les tâches faciles, les modèles contournent silencieusement leur propre raisonnement ; sur les tâches difficiles, ils suivent les étapes corrompues et propagent les erreurs (×16 entre GSM8K et BBH, 98,8 % de la déviance expliquée par la difficulté de la tâche). Une surveillance fondée sur la lecture de la trace fonctionne donc là où elle n’a rien à surveiller et échoue là où elle serait nécessaire.

Le rapprochement avec le garçon qui crie au loup est facile mais le point est pratique : les régimes de conformité qui exigent des modèles qu’ils « raisonnent à voix haute » pour être auditables exigent une propriété dont on vient de démontrer qu’elle est conditionnelle à la difficulté de la tâche. La porte doit donc être couplée au résultat, pas à la narration.

La conditionnalité, modèle économique et modèle de gouvernance

Terminons par le rapprochement le plus dérangeant. Un contrat de 44,6 milliards de dollars conditionné à l’obtention du financement, avec des jalons « stricts » et un droit de retrait, ressemble exactement à une porte d’admission : une approbation conditionnelle, un reçu, une revalidation. Et 85 % des revenus d’un opérateur reposant sur deux clients, c’est ce que la recherche appellerait un problème de concentration de dépendances — la même catégorie de défaut que ZeroGate cherche à prévenir au niveau d’une action d’agent.

Le fait qu’un gouvernant national reconnaisse publiquement ne pas avoir les réponses, pendant que la même semaine un laboratoire publie un modèle de frontière moins cher et qu’un opérateur met en bourse une concentration de 85 %, suggère que la question du contrôle est en train de se transformer en question de contrat. Les conditions d’admission — à des ressources, à des marchés, à des réseaux — deviennent le mécanisme principal, et la qualité de la documentation de ces conditions devient le sujet politique.

🎯 À retenir

La gouvernance des agents se déplace vers des portes d’admission : jeton d’approbation à durée courte, porte locale vérifiant la liaison et consommant le nonce, reçu d’admission durable. ZeroGate énonce explicitement ce que son implémentation ne démontre pas.
Imposer un état de tâche marche sans obéissance du modèle, mais le gain dépend de la justesse de l’état et du matcher qui juge les actions — ce dernier n’est pas gouverné : sur PM-Bench, l’imposer fait chuter un agent 35B sous son transcript brut.
Un registre écrit par l’agent bat une liste de contrôle exacte qu’on lui montre : la façon dont l’information d’état arrive compte plus que sa présence dans le contexte.
L’auditabilité a un prix explicite : 38 à 74 % de réponses divergentes sur des tâches répétées, 95 à 97 % du texte généré pour redériver des plans connus, et une mauvaise habitude aussi reproductible qu’une bonne — 11 sur 13 invisibles à la porte de conformité de trace.
Les agents atteignent le noyau mais pas la primitive d’exploitation : 5,0 % des tâches Windows et 56,0 % des tâches Linux sans preuve de référence, 68,9 % avec — le verrou n’est plus la découverte de vulnérabilité, c’est la construction.
Le chain-of-thought ne peut pas porter seul la surveillance : décoratif et lisible sur les tâches faciles, porteur et dangereux sur les difficiles (propagation d’erreur ×16, 98,8 % de la déviance attribuée à la difficulté).
Hors des laboratoires, la même logique d’admission gouverne désormais l’énergie et le capital : 68 milliards de projets de centres de données perturbés par l’opposition locale au T2 2026, plus de 60 % d’Américains favorables à des limitations, et 85 % des 103 milliards de contrats de Nscale dépendant de deux clients sous conditions strictes.