Le web a été conçu pour les humains, durci contre les machines, et il est aujourd'hui reconstruit pour des machines qui agissent en notre nom.
Pendant presque toute l'histoire de l'internet commercial, un bot Ă©tait quelque chose qu'il fallait arrĂŞter.
Nous avons mis des CAPTCHA devant les formulaires. Nous avons pris les empreintes des navigateurs, noté les comportements, limité les requêtes, défié les appareils inconnus et bloqué des plages entières d'adresses IP. Nous avons bâti une immense industrie de la sécurité autour d'une seule question :
Est-ce une vraie personne ?
Aujourd'hui, presque du jour au lendemain, nous posons la question inverse.
Comment laisser une machine réserver le voyage, comparer les assurances, faire les courses, déplacer la réunion, remplir la note de frais et utiliser le logiciel au nom d'une personne ?
L'internet ne devient pas simplement plus automatisé. Il devient agent-first. Les machines ne se contentent plus d'explorer des pages en arrière-plan : elles deviennent utilisatrices, clientes, négociatrices et représentantes.
Ce changement promet un internet bien plus commode. Il nous oblige aussi à réexaminer presque toutes les hypothèses que nous avions posées en défendant le précédent.
Le web n'a jamais été réservé aux humains
Le web des débuts reposait sur l'automatisation.
Les robots d'indexation rendaient les pages trouvables. Les lecteurs RSS rassemblaient les nouveautés. Les outils de supervision vérifiaient si les sites étaient en ligne. Les outils d'accessibilité transformaient le contenu en formes utilisables. Les robots d'archivage préservaient des pages qui auraient sinon disparu.
Le protocole d'exclusion des robots d'origine a été créé en 1994 comme un accord léger entre propriétaires de sites et robots automatisés. Un site pouvait publier ses préférences dans un fichier robots.txt, et un bot bien élevé pouvait choisir de les respecter.
C'était un contrat social, pas une frontière de sécurité.
Le web commercial a changé les incitations. L'automatisation est devenue un moyen d'aspirer des données propriétaires, de tester des identifiants volés, de créer de faux comptes, de rafler des stocks limités, d'envoyer du spam, de frauder la publicité et de saturer des systèmes. Un bot pouvait accomplir la même action qu'une personne, mais plus vite, moins cher, et des millions de fois.
L'hypothèse de travail s'est donc durcie :
Les humains sont légitimes. Les machines sont suspectes.
Cette hypothèse n'a jamais été tout à fait exacte. Beaucoup d'humains se comportent mal, et beaucoup de bots sont utiles. Mais elle était assez simple pour bâtir des défenses autour.
Les logiciels agentiques brisent ce raccourci.
Un bot peut désormais être le client
Un agent IA peut arriver sur un site via un navigateur, cliquer sur les mêmes boutons qu'une personne et utiliser le même compte. Le trafic est automatisé, mais l'intention appartient à un vrai client.
Des produits comme ChatGPT agent l'ont rendu concret : un agent peut naviguer sur des sites, exploiter des données connectées, remplir des formulaires, mener des recherches et s'arrêter pour demander une validation avant des actions lourdes de conséquences. Des capacités semblables se répandent dans les navigateurs, les systèmes d'exploitation, les outils professionnels et les plateformes de commerce.
Pour le site web, cela peut ressembler d'assez près à l'automatisation qu'il a passé des décennies à bloquer. La différence ne tient pas à ce qu'un logiciel ait effectué l'action. Elle tient à qui ce logiciel représente, à l'autorité dont il dispose, et à la capacité du site de vérifier l'un ou l'autre.
Bloquer toutes les machines reviendra de plus en plus Ă bloquer des clients. Toutes les autoriser serait imprudent. Le vieux test humain contre bot devient la mauvaise abstraction.
La nouvelle question est :
Quel agent est-ce, qui l'a autorisé, et qu'a-t-il le droit de faire ?
La pile agent-first prend déjà forme
Les agents d'aujourd'hui utilisent souvent un navigateur visuel, parce que c'est l'interface que presque tous les services exposent déjà . C'est une couche de compatibilité astucieuse, mais fragile. Les boutons bougent. Les libellés changent. Des fenêtres surgissent. Un parcours conçu pour une personne peut obliger un agent à interpréter des captures d'écran, à imiter des clics et à espérer que l'état a bien changé.
Les applications agent-first exposent directement des capacités au lieu de forcer les machines à faire semblant d'être des personnes. Plusieurs initiatives comblent différentes couches de cet avenir.
MCP relie les agents aux outils et aux données
Anthropic a présenté le Model Context Protocol comme une manière standard de connecter les applications d'IA à des données et des outils externes. Plutôt que de construire une intégration sur mesure pour chaque paire assistant-service, un développeur peut exposer une interface cohérente que plusieurs systèmes d'agents comprennent.
MCP tient moins d'un nouveau site web que d'un port de service standardisé installé à côté du site. L'interface humaine peut rester, tandis que les agents disposent d'un moyen structuré de chercher, lire, créer ou mettre à jour de l'information.
A2A permet aux agents de travailler avec d'autres agents
Google a lancé le protocole ouvert Agent2Agent afin que des agents construits indépendamment puissent annoncer leurs capacités, échanger des messages, coordonner des tâches et renvoyer des artefacts. Une agence de voyage n'a pas besoin d'accéder à la base interne de chaque compagnie aérienne : elle peut travailler avec l'agent de la compagnie via un protocole partagé.
Cela fait passer l'internet de pages qui pointent vers des pages à des services qui délèguent du travail à d'autres services.
Le commerce se repense autour de l'intention déléguée
Google et des partenaires du commerce de détail ont créé le Universal Commerce Protocol pour donner aux agents et aux marchands un langage commun pour la découverte, le paiement et le suivi après achat. Le protocole Agent Payments associé s'attaque à un problème plus ardu : prouver qu'un paiement automatisé reflète l'intention autorisée de l'utilisateur, y compris pour des transactions effectuées en son absence.
Une page de paiement a été conçue en supposant qu'une personne est là pour appuyer sur le bouton. Une transaction agentique peut survenir des heures plus tard, quand un tarif passe sous une limite ou qu'un article revient en stock. Le système a besoin de preuves de ce que la personne a autorisé, pas seulement d'un accès à un moyen de paiement enregistré.
Les agents commencent Ă s'identifier par cryptographie
Une chaîne user-agent est facile à falsifier, et les listes d'IP autorisées fonctionnent mal quand les agents opèrent depuis une infrastructure cloud partagée. Les travaux de Cloudflare sur Web Bot Auth utilisent des signatures de messages HTTP pour que les clients automatisés puissent prouver qui a envoyé une requête. Cloudflare a ensuite ajouté une catégorie d'agent signé pour les systèmes pilotés par un utilisateur.
C'est une inversion importante. L'objectif n'est plus de dissimuler l'automatisation assez bien pour passer pour un humain. L'objectif est de rendre l'automatisation légitime explicite, vérifiable et gouvernable.
Ce que résout un internet agent-first
L'argument de la commodité est réel.
Une grande partie du web est du travail déguisé en navigation. Nous cherchons à travers des dizaines d'onglets, ressaisissons les mêmes informations, comparons des options incompatibles, recopions des données d'un système à l'autre, attendons qu'une condition change et répétons des processus que le logiciel aurait dû prendre en charge il y a des années.
Les agents peuvent réduire ce travail à un résultat :
- Trouve trois vols qui respectent mes vraies contraintes, pas seulement le tarif d'appel le plus bas.
- Déplace cette réunion en préservant les disponibilités annoncées par chacun.
- Prépare la note de frais à partir des reçus, puis laisse-moi la relire avant envoi.
- Surveille cette pièce de rechange et achète-la uniquement chez un vendeur agréé, sous ma limite.
- Transfère la fiche client sans m'obliger à apprendre deux interfaces d'administration.
L'accès agent-first peut aussi rendre les logiciels plus accessibles aux personnes en difficulté face à des interfaces visuelles complexes, à un vocabulaire inconnu ou à des parcours éclatés entre plusieurs services. L'agent peut traduire l'intention d'une personne dans la séquence rigide qu'attend chaque système.
Pour les développeurs, des interfaces d'agent standardisées peuvent ouvrir la longue traîne d'un produit. Une interface classique doit anticiper les chemins les plus courants et les faire tenir sur un écran. Un agent peut composer des capacités de bas niveau en parcours que l'équipe produit n'a jamais conçus comme fonctionnalité dédiée.
Le logiciel pourrait ainsi ressembler moins à une collection de destinations qu'à une infrastructure qui coopère autour de l'utilisateur.
L'identité est nécessaire, mais ce n'est pas la confiance
On est tenté de voir dans l'identité cryptographique des agents le remplaçant du CAPTCHA.
Ce n'est qu'une couche.
Une signature valide peut prouver qu'une requête est passée par un fournisseur d'agents donné. Elle ne prouve pas que l'utilisateur voulait cette action précise, que l'agent a correctement interprété la demande, ni que l'agent n'a pas été manipulé depuis le début de la tâche.
Un système agent-first doit répondre à au moins quatre questions distinctes :
- Identité : quel agent ou service a envoyé cette requête ?
- Autorité : quelle personne ou organisation lui a délégué ce pouvoir ?
- Portée : quelles données, actions, budget et fenêtre temporelle cette délégation couvrait-elle ?
- Intention : cette action précise correspond-elle à ce que la personne a demandé à l'agent ?
La distinction compte, car l'agent le plus dangereux peut être un agent légitime doté de permissions excessives.
En 2026, le National Cybersecurity Center of Excellence du NIST a ouvert des travaux sur l'identité et l'autorisation des agents logiciels. Les questions portent sur l'identification, l'autorisation, l'audit, la non-répudiation et la protection contre l'injection de prompts. Cette liste rappelle utilement que « authentifié » et « sûr » ne sont pas synonymes.
Nous ne devrions pas confier un passe-partout Ă un agent simplement parce que nous reconnaissons le logo sur son uniforme.
L'injection de prompts fait du web lui-mĂŞme un attaquant
Les logiciels traditionnels distinguent en général les instructions des données. Une application exécute son code et traite une description de produit, un e-mail, un document ou un commentaire comme du contenu.
Les modèles de langage consomment les deux à travers le langage.
D'où le problème de l'injection indirecte de prompts. Un agent qui étudie un achat peut tomber sur un texte placé dans une page pour influencer son comportement. L'instruction peut être visible, cachée dans le balisage, intégrée à un document ou déguisée en contenu ordinaire. Elle peut lui dire d'ignorer les critères de l'utilisateur, de divulguer des données privées, de visiter une URL d'exfiltration ou d'effectuer une action sans rapport.
L'étude publiée par Google en 2026 sur les injections de prompts trouvées sur le web public recensait des tentatives de manipuler des recommandations, de dissuader des agents, d'exfiltrer des données et de provoquer des actions destructrices. Ce n'est plus une simple expérience de pensée en laboratoire.
Aucun filtre ne peut séparer parfaitement les instructions malveillantes du contenu légitime dans tous les contextes. Les travaux d'OpenAI sur les agents résistants à l'injection de prompts opèrent le bon déplacement : supposer qu'une partie des manipulations passera, puis limiter les dégâts que l'agent peut causer.
Un agent en train de lire une page non fiable ne devrait pas disposer en même temps d'un accès illimité aux e-mails, aux fichiers cloud, aux comptes financiers et de la faculté d'envoyer des informations n'importe où. La frontière de sécurité ne peut pas résider uniquement dans le discernement du modèle.
Le problème de l'assistant qui a vos clés
La plupart des autorisations sur internet ont été pensées pour des applications au comportement prévisible. On donne à une appli d'agenda l'accès aux agendas parce que ses fonctions sont connues. On donne à un éditeur photo l'accès aux photos parce que son périmètre est relativement clair.
Un agent généraliste, c'est autre chose. Sa qualité même est de décider quelles étapes sont nécessaires. Donnez-lui accès aux e-mails, aux documents, au navigateur, aux paiements et à la messagerie, et il pourra combiner ces permissions d'une manière qu'aucun écran de consentement n'a décrite.
C'est de l'autorité ambiante dotée d'une interface en langage naturel.
La commodité pousse vers un accès permanent : reste connecté, souviens-toi de tout, connecte chaque service et cesse de m'interrompre pour une validation. La sécurité pousse dans l'autre sens : restreins la tâche, minimise les données, fais expirer les identifiants, isole le contenu non fiable et exige une personne avant une action irréversible.
Le bon équilibre ne sera pas un réglage universel d'autonomie. Il devrait dépendre des conséquences.
Laissez un agent déplacer une réunion interne à faible enjeu dans des horaires définis. Laissez-le préparer une déclaration fiscale, mais pas la soumettre. Laissez-le remplir un panier, mais exigez une validation au-delà d'un budget. Laissez-le renouveler la même ordonnance, mais pas choisir un nouveau médicament. Laissez-le rédiger un message, mais rendez l'expéditeur visible avant qu'il ne parle en votre nom.
L'agent utile le plus sûr n'est pas impuissant. Il dispose exactement du pouvoir nécessaire à la tâche en cours, aussi longtemps que cette tâche doit durer.
Le modèle économique du web change aussi
Le web actuel suppose qu'une personne arrivera, verra l'interface, absorbera la marque, croisera la vente incitative, verra la publicité et entrera dans la relation client du site.
Un agent peut sauter tout cela.
Il peut comparer des produits sans visiter dix boutiques, extraire la réponse sans lire l'article entier, ou conclure une transaction par un protocole sans jamais voir la page de paiement soigneusement optimisée. C'est formidable pour l'utilisateur et potentiellement dévastateur pour les entreprises bâties sur l'attention, le trafic de recommandation ou la maîtrise de l'interface.
C'est aussi pourquoi « trafic IA » est une catégorie trop large. Cloudflare distingue désormais le trafic de recherche, d'agents et d'entraînement. Un robot d'indexation peut référencer du contenu et ramener un visiteur. Un robot d'entraînement peut consommer du contenu pour améliorer un modèle. Un agent piloté par un utilisateur peut arriver en temps réel pour accomplir une tâche. Ce sont des relations différentes, qui méritent des permissions et des économies différentes.
Les sites devront décider quels agents ils accueillent, quelles capacités ils exposent et comment la valeur revient quand l'humain ne vient jamais. Les agents devront indiquer quand une recommandation est sponsorisée, quand un marchand a payé pour être mis en avant, et si l'agent optimise pour l'utilisateur ou pour la plateforme qui le contrôle.
Si un agent devient la couche par laquelle une personne achète, lit, voyage, communique et découvre, il pourrait en savoir plus sur elle que n'importe quel moteur de recherche ou réseau social. Il ne saura pas seulement où elle est allée et ce qu'elle a cliqué : il saura ce qu'elle cherchait à accomplir.
Déléguons-nous du travail, ou abandonnons-nous notre autonomie ?
Je veux que les agents retirent de ma vie le travail administratif.
Je ne veux pas qu'ils en deviennent discrètement les auteurs. Il y a une différence entre déléguer une tâche et externaliser une décision.
« Trouve un vol qui atterrit avant le dîner » délègue du travail. « Organise mes vacances idéales » commence à déléguer des préférences. « Occupe-toi de ma boîte mail » délègue le jugement sur les relations qui comptent. « Arrange mes finances » peut laisser un système arbitrer entre des valeurs qui ne se réduisent pas à un pourcentage de rendement.
Plus un agent apprend, plus il devient commode. Il peut retenir le siège que je préfère, les gens que j'évite de convoquer tôt, les causes que je soutiens, les commerces auxquels je me fie, les problèmes médicaux que je ne veux pas réexpliquer et le prix que je suis prêt à payer pour gagner une heure.
Cette même mémoire constitue un profil comportemental extraordinaire.
Le risque n'est pas seulement la vie privée. Un agent qui filtre toutes les options peut rétrécir le monde autour de moi. Il peut évacuer la surprise par optimisation, m'orienter vers le familier et transformer ses propres hypothèses en mon comportement futur. Si son modèle économique récompense un résultat particulier, la commodité masquera le conflit d'intérêts mieux qu'aucune bannière publicitaire.
Méfions-nous de l'idée que l'autonomie maximale serait automatiquement la meilleure expérience. Parfois la friction est du gaspillage. Parfois la friction est l'instant où une personne remarque ce qui est sur le point d'arriver.
Ce que les applications agent-first devraient faire autrement
Agent-first ne devrait pas vouloir dire supprimer le site web, publier une immense clé d'API ou laisser un modèle improviser sur des systèmes de production. Cela devrait vouloir dire concevoir un chemin explicite pour l'action déléguée.
C'est l'approche que je suis avec Orgabot, une plateforme d'orchestration d'agents IA. Je construis une flotte gouvernée d'agents destinée à remplacer mes interactions directes avec les services qui font tourner mes applications. Plutôt que d'ouvrir chaque tableau de bord, de déplacer des données entre systèmes et de cliquer moi-même dans chaque procédure, je veux que des agents spécialisés fassent ce travail via des connexions explicites et cadrées. Le but n'est pas un assistant tout-puissant détenant toutes les clés. C'est un ensemble d'agents bornés capables d'absorber le travail de routine tout en préservant permissions, validations, journaux d'audit et responsabilité.
Je partirais de ces principes :
- Rendre les agents visibles. Les agents légitimes devraient s'identifier plutôt que de déguiser leur trafic en activité humaine.
- Autoriser des capacités, pas des comptes. Accorder le droit de lire ces enregistrements, de préparer ce changement ou de dépenser jusqu'à ce montant, et non un accès général à tout ce que l'utilisateur peut faire.
- Séparer la préparation de l'engagement. Un agent peut chercher, comparer, remplir, calculer et rédiger avant de recevoir l'autorité d'envoyer, d'acheter, de publier, de supprimer ou de signer.
- Lier l'autorité à l'intention. Les identifiants devraient porter la finalité, les limites et l'expiration de la tâche, pas seulement l'identité du compte.
- Traiter le contenu extérieur comme hostile. Une page, un e-mail, un document, un résultat d'outil ou le message d'un autre agent restent des données tant qu'une politique de confiance n'en décide pas autrement.
- Garder les traces. Utilisateurs et services ont besoin d'un enregistrement durable de ce que l'agent a vu, décidé, tenté, modifié, et de qui l'a approuvé.
- Rendre l'accès facile à révoquer. Une commodité persistante ne devrait jamais devenir une autorité permanente et invisible.
- Préserver le chemin humain. Les gens ont toujours besoin d'une interface compréhensible pour inspecter, corriger, contester et reprendre la main sur l'agent.
La meilleure interface d'agent peut être une API, un serveur de protocole, une session de navigateur signée, ou un mélange des trois. L'implémentation compte moins que le modèle de contrôle qui l'entoure.
Le prochain internet a besoin d'une meilleure question
L'internet anti-bots s'est construit autour d'un défi grossier mais utile :
Prouvez que vous ĂŞtes humain.
L'internet agent-first en réclame un plus exigeant :
Prouvez qui vous représentez, ce qu'on vous a demandé de faire, et pourquoi cette action est permise.
Accueillons ce basculement. Un internet capable d'agir en notre nom pourrait supprimer une quantité énorme de travail inutile. Il pourrait rendre les services plus accessibles, plus composables et plus attentifs à ce que les gens veulent vraiment.
Mais ne confondons pas moins de clics avec plus de contrôle. Si nous reconstruisons le web pour les agents avant de bâtir l'identité, les frontières de permissions, les journaux d'audit, les règles économiques et une reprise en main humaine véritable, nous répéterons un vieux schéma : déployer la commodité d'abord, découvrir le modèle de confiance ensuite.
Pendant des décennies, les sites ont tenté de tenir les machines dehors. La phase suivante ne consiste pas à ouvrir toutes les portes.
Elle consiste à donner à la bonne machine la bonne clé pour la bonne raison, et à la récupérer ensuite.
