💡 En résumé

Le 19 août 2026 marque un tournant dans la manière dont la recherche conçoit la mémoire des agents : la mémoire n’est pas une fonctionnalité que l’on active, c’est une dose que l’on calibre au modèle. C’est la conclusion centrale d’ALTK-Evolve, le système publié par IBM Research qui apprend de ses propres trajectoires passées sans mettre à jour un seul poids : selon le modèle, la dose optimale va du jeu de guidelines complet (DeepSeek-V3.2 gagne +9,5 points) à un noyau compact sélectionné par tâche (gpt-oss-120b gagne +16,1 points avec seulement +5 % de tokens). Dans le même mouvement, la sécurité des agents sort des prompts pour entrer dans le runtime : Aegis traite chaque sortie de modèle comme une proposition d’action et la médiatise via une couche de décision digne de confiance avant exécution (0 effet de bord risqué sur 2 100 lignes gouvernées), tandis que RGE introduit la confiance ontologique — vérifier que la trajectoire de l’agent correspond toujours à la tâche autorisée, pas seulement que chaque étape est localement valide. Et l’audit des agents auto-évolutifs révèle un angle mort : la précision post-évolution peut monter pendant que la surface d’attaque s’élargit. La mémoire, l’exécution et la confiance deviennent les trois fronts de l’agentique en production.

🔥 Tendances : la mémoire des agents devient un problème de dosage

La mémoire se dose, elle ne s’active pas

IBM Research publie sur le blog HuggingFace les résultats d’ALTK-Evolve, un système de mémoire agentique qui apprend autour du modèle, pas dans le modèle. Le principe : l’agent distille ses propres trajectoires passées (réussites ET échecs) en guidelines comportementales réutilisables, réinjectées au moment de l’inférence — sans mise à jour de poids, sans annotation humaine. L’évaluation a été menée sur AppWorld (585 tâches multi-étapes, 9 applications simulées) avec huit modèles allant d’un dense 30B aux systèmes propriétaires frontières. Le résultat qui émerge est une typologie en trois patterns :

1. Les modèles forts avec de la marge veulent TOUT le jeu de guidelines. DeepSeek-V3.2 (671B MoE) grimpe de +9,5 points de complétion de tâche avec l’intégralité de ses guidelines auto-minées, y compris les cas rares.
2. Les modèles plus faibles se noient dans un gros jeu de guidelines. Pour gpt-oss-120b (117B MoE), un noyau compact haute confiance plus quelques guidelines sélectionnées par tâche donne +16,1 points — alors que le jeu complet gagne moins et coûte ~50 % de tokens de plus.
3. Les modèles saturés ne gagnent rien de mesurable. GLM-5 (745B MoE) illustre le pattern « saturé » : déjà proche de son plafond sur ces tâches, la mémoire ne change rien.

Le point le plus actionnable : la stratégie la moins chère peut être la meilleure. La rétrieval curatée garde le coût proche du baseline — +16,1 points pour seulement +5 % de tokens sur gpt-oss-120b — grâce au prompt caching qui rend même le jeu complet abordable en production. Et le gain ne disparaît pas en haut de gamme : GPT-5.5 et Opus, déjà proches du plafond sur TGC, gagnent encore +7,2 et +7,1 points sur la métrique stricte SGC (toutes les variantes d’un scénario passent). Autrement dit : la mémoire paie tant qu’il reste un mode de défaillance à corriger.

La mémoire comme communication : le budget informationnel de l’agent

Un papier théorique du même lot, « Memory Is Communication », formalise la frontière entre se souvenir et communiquer. Un agent à budget borné peut obtenir une information pour une décision de son propre passé, de ses pairs, ou des deux — et chaque ressource a un coût. La question devient : comment allouer le budget informationnel ? Les auteurs définissent une région atteignable des paires (taux de mémoire, taux de message) qui atteignent un seuil de performance, dont la frontière efficace est la frontière se souvenir–signaler (remembering-signaling frontier). L’hypothèse testable : quand l’historique permet la même réduction maximale de perte, un agent a besoin de moins de communication entre pairs s’il tire une plus grande réduction de perte de son propre historique. Les jeux référentiels préliminaires confirment la mécanique (la répétition de cible coïncide avec des messages plus courts). Pour l’ingénierie des systèmes multi-agents, c’est une invitation à traiter mémoire et communication comme deux dépenses substituables d’un même budget, pas comme deux briques indépendantes.

MoNe : la mémoire modulaire qui découple l’inférence du contexte

Côté infrastructure, MoNe (Modular Neural Memory) attache une mémoire neuronale légère à n’importe quel Transformer gelé pour permettre l’inférence long-contexte sans réentraînement. L’architecture lit le contexte par segments fixes via un apprentissage de fast-weight au moment du test, puis génère clés et valeurs depuis les seuls tokens de requête — les tokens de contexte ne sont jamais relus à l’inférence. Résultat : coût de préprocessing O(N), coût de requête O(1), et pic de mémoire GPU qui ne croît plus avec N. À 128K tokens, MoNe réduit calcul et mémoire d’environ 80 % par rapport à l’in-context learning, avec seulement 6,4 % de paramètres en plus, et généralise bien au-delà de la fenêtre native du backbone sur RULER. C’est une piste directe pour les agents qui doivent « se souvenir » de très longues interactions sans exploser leur facture GPU.

🤖 Nouveaux outils : gouverner l’exécution, pas seulement le prompt

Aegis : le modèle propose, le runtime décide

Le papier le plus structurant du lot, « Runtime Governance for Agentic AI », pose le problème en une phrase : la gouvernance par prompt peut façonner le comportement du modèle, mais elle ne crée pas de frontière d’exécution. Or les systèmes agentiques demandent des actions d’outils qui modifient des fichiers, envoient des messages, lancent des jobs ou changent l’état d’un workflow — le problème de sécurité glisse de la génération de texte nuisible vers les effets de bord opérationnels nuisibles. Aegis répond en traitant les sorties du modèle comme des propositions médiatisées par une couche de décision digne de confiance avant l’exécution : évaluation contre l’état de politique actif, résolution de provenance côté serveur, échec fermé sous incertitude (fail-closed), et pour les cas sélectionnés, un chemin d’autorisation non unilatéral de type « Sénat » à quorum. Sur un corpus sandbox répété (5 familles de runs, 42 tâches, 3 conditions, 10 répétitions par famille, 6 300 lignes), les résultats sont nets : le conditionnement par prompt seul a produit 79 lignes de fuite de chemin comparateur risqué, tandis que sur 2 100 lignes gouvernées par Aegis, zéro application d’outil factice gouvernée et zéro complétion d’effet de bord risqué gouvernée. Les auteurs restent prudents — ces résultats ne prouvent pas la sécurité générale des agents autonomes — mais ils soutiennent la thèse étroite et vérifiable : la gouvernance au runtime empêche les propositions risquées observées de devenir des effets de bord.

RGE : la confiance ontologique, ou la dérive silencieuse des trajectoires

« Beyond Suspicious Steps » attaque une faille d’oversight des agents long-horizon : un agent peut appeler le bon outil avec des arguments plausibles à chaque étape, tout en dérivant vers un rôle plus large, un objectif adjacent, ou des preuves que l’utilisateur n’a jamais fournies. La question pertinente n’est pas « chaque action est-elle localement valide ? » mais « la trajectoire évoluante correspond-elle encore à la tâche autorisée ? ». RGE (pour Role, Goal, Evidence) décompose la confiance selon ces trois axes, utilise les LLM uniquement pour dériver des représentations structurées de tâche et d’étape — les mises à jour d’état de confiance, projections et décisions d’intervention étant déterministes, donc rejouables et auditables. Sur un corpus multi-domaines (OSWorld, FinanceBench, EICU-AC) incluant exécutions bénignes, dérives appariées par préfixe et échecs de pseudo-consistance, RGE dépasse les baselines règle/juge/bouclier sur la détection de dérive, avec plus de 93 % de F1 de dérive sur chaque benchmark (modèles estimateurs les plus grands) tout en gardant la couverture bénigne à 95,8 % ou plus. La pseudo-consistance (l’agent prétend avoir fini alors que non) reste structurellement plus dure : la détection dépend de la visibilité externe de la complétion de tâche.

TRUSS : générer des Agent Skills fiables et sûrs par construction

Les Agent Skills (procédures en langage naturel accompagnées de ressources exécutables) permettent aux agents d’acquérir des capacités sans adaptation du modèle — mais évaluer un candidat sur son artefact ou son résultat final laisse ouvertes deux questions : quelles actions l’agent équipé va-t-il réellement performer, et quels effets de bord ces actions produiront-elles ? TRUSS répond par un pipeline en deux portes : (1) une porte statique qui inspecte les claims fonctionnels contre les preuves source/domaine et évalue l’artefact complet sous neuf propriétés de sécurité ; (2) un agent fantôme dans un environnement d’exécution contrôlable, où des outils intermédiés exposent les actions demandées à l’application de politique et enregistrent des traces de provenance. Les échecs sont reliés au contenu responsable du Skill et guident un raffinement itératif. Résultats sur 168 artefacts SkillInject, 155 cas SkillSafetyBench et 187 tâches SkillGenBench : 100 % de précision et rappel en détection de vulnérabilité, réduction du succès d’attaque de 38,71 % à 19,35 % (GPT-5.5, zéro régression), et l’efficacité des tâches passe de 17,11 % sans Skills à 52,94 % avec, tandis que le taux de sécurité grimpe de 50,80 % à 100 %.

📊 Analyse : la mémoire et l’auto-évolution créent de nouvelles surfaces de risque

Auditer l’auto-évolution : la précision monte, la sécurité dérive

Le papier d’audit des agents financiers auto-évolutifs est le plus inquiétant du lot. SkillOpt, Agent Workflow Memory (AWM) et ReasoningBank transforment l’expérience en skills, workflows ou mémoires réutilisables — mais la précision post-évolution ne dit rien de la préservation des comportements corrects antérieurs ni de la sécurité. L’audit (sur Qwen 3.7 Flash, banque électronique simulée, trajectoires d’acquisition bénignes appariées, endpoints d’évaluation scellés) montre le pattern classique : SkillOpt fait monter l’utilité bénigne de 0,741 à 0,837, mais l’exposition au contenu injecté passe de 0,820 à 0,943 — et surtout, les changements d’état financier non autorisés grimpent à 0,685. Trois lignées évoluées indépendamment montrent une augmentation conjointe de la capacité, de l’exposition et des changements d’état non autorisés. AWM révèle un piège d’évaluation supplémentaire : une enveloppe texte-action littérale de WebArena casse l’exécution d’outils dans l’exécuteur natif — la retirer restaure l’utilité de 0,319 à 0,756 mais fait monter l’exposition de 0,299 à 0,909 et l’ASR de 0,195 à 0,575. Conclusion des auteurs : auditer les agents auto-évolutifs exige de suivre les régressions, le contact avec la surface d’attaque, les changements d’état non autorisés et la compatibilité artefact-exécuteur — pas seulement la précision.

La mémoire comme vecteur d’attaque sociale : GraphWake

GraphWake formule une nouvelle menace pour les communautés d’agents : la cascade de polarisation médiée par la mémoire. Les attaques existantes manipulent les prompts ou construisent des chambres d’écho — difficiles à réaliser en pratique. GraphWake utilise la mémoire de l’agent comme canal de persistance et la discussion publique comme canal de propagation : exposition d’un petit ensemble d’agents cibles à des arguments renforçant leurs positions, rétention par les systèmes de mémoire, puis récupération et reproduction déclenchées par une discussion neutre partagée, et propagation itérative aux agents non traités. Les expériences montrent une augmentation substantielle de la polarisation de groupe. Pour les plateformes qui déploieront des agents sociaux, c’est un rappel que la mémoire n’est pas qu’une fonctionnalité : c’est une surface d’attaque persistante.

La frontière entre mémoire et politique : l’audit contrôlé d’Explicit State Elicitation

Enfin, un audit contrôlé (480 exemples synthétiques puis 160 exemples contre-factuels gelés) montre que demander explicitement l’état de la mémoire ne suffit pas : exposer les définitions des quatre états améliore la précision, mais un champ de sortie d’état isolé n’apporte pas de gain significatif pour Llama-3.3-70B et un gain marginal non significatif pour GPT-OSS-120B. La leçon méthodologique : les labels d’état associés au benchmark déplacent les prédictions, mais parce qu’ils mappent déterministiquement vers les politiques — un diagnostic de conditionnement par labels, pas une preuve de mécanisme interne fidèle. Pour les builders d’agents personnalisés, cela signifie qu’il faut auditer les sorties intermédiaires structurées avec des protocoles stricts (shortcuts de dataset, prompts groupés, séparabilité lexicale) avant de conclure qu’une « mémoire explicite » fonctionne.

🎯 À retenir

1. La mémoire agentique est une dose, pas un interrupteur. IBM (ALTK-Evolve) montre sur 8 modèles que la dose optimale dépend de la capacité : jeu complet pour les forts, noyau curaté pour les faibles (+16,1 pp à +5 % de tokens), rien pour les saturés. Calibrer, ne pas activer.
2. La sécurité des agents se déplace du prompt vers le runtime. Aegis (zéro effet de bord risqué sur 2 100 lignes gouvernées, échec fermé sous incertitude) et RGE (93 %+ F1 de dérive, trajectoires de confiance rejouables) dessinent la prochaine génération d’oversight : le modèle propose, le runtime décide.
3. TRUSS rend la génération de Skills sûre par construction : 100 % précision/rappel en détection de vulnérabilité, succès d’attaque divisé par deux, sécurité benchmark à 100 %.
4. L’auto-évolution doit être auditée sur la sécurité, pas sur la précision : l’utilité monte pendant que l’exposition et les changements d’état non autorisés dérivent (0,820 → 0,943 d’exposition sur SkillOpt).
5. La mémoire est une surface d’attaque : GraphWake polarise des communautés entières via le canal mémoire + discussion publique, et l’explicitation d’état ne remplace pas un audit rigoureux.
6. Côté coût : MoNe découple l’inférence du contexte (O(1) en requête, -80 % de mémoire à 128K tokens) — la mémoire longue distance devient abordable sans réentraînement.