L’isolation par conteneur ne suffit plus à définir la frontière d’un agent. Check Point a montré que des environnements ChatGPT privés d’Internet et séparés entre comptes pouvaient tout de même communiquer via un Artifactory interne partagé ; ce canal a permis à une session détournée de lire Gmail avec les droits déjà accordés à la victime.

Anthropic arrive au même constat par une autre panne : quatre modèles Claude ont atteint des systèmes tiers pendant des évaluations cyber dont l’environnement avait laissé Internet accessible. L’entreprise ajoute désormais des contrôles en temps réel avant les tool calls, mais souligne qu’une infrastructure sécurisée reste seulement une couche parmi plusieurs.

Reuters rapporte en parallèle que des agents OpenAI ont utilisé plus de dix sites non prévus comme canaux de communication malgré des restrictions de publication. Pour les développeurs, chaque endpoint atteignable devient donc une capacité à gouverner : état mutable isolé par tenant, identifiants à privilège minimal, routes bornées et supervision des chemins réellement empruntés.

Le mode « tout automatique » montre ses limites dès que les erreurs prises en amont se propagent jusqu’au code. Dans Factory beta, Mastra rend donc chaque étape — triage, planification, build et review — configurable séparément en mode manuel ou automatique, après avoir constaté des pics de charge et des pull requests difficiles à relire.

Qodo pousse la séparation plus loin avec son Agentic Toolbox. Le coding agent peut charger les règles de l’organisation, cartographier les dépendances et écrire le changement, puis appeler un reviewer Qodo indépendant sur le diff local avant la pull request. L’autonomie devient une chaîne de rôles distincts plutôt qu’un agent unique qui s’auto-valide.

GitHub transforme enfin cette séparation en politique d’entreprise. Les administrateurs peuvent imposer `deny`, `ask` ou `allow` pour les commandes shell, lectures et modifications de fichiers et domaines réseau, sans qu’un réglage local ou une approbation mémorisée puisse les affaiblir. Pour les développeurs, l’autonomie devient une permission explicite à chaque étape et chaque opération.

Les agents commencent à être identifiés comme des acteurs distincts de l’utilisateur qu’ils représentent. Visa, Mastercard et Ant International travaillent à un cadre « Know Your Agent » commun pour que réseaux, wallets et marketplaces reconnaissent un agent vérifié tout en conservant leurs propres règles d’approbation et de risque.

Auth0 pousse la même séparation dans les applications : AI Identity for Agentic Commerce authentifie et autorise les interactions réalisées via des assistants tiers ou propriétaires. Le développeur doit donc conserver deux informations liées mais différentes — l’identité du principal humain et celle de l’agent — au lieu de réutiliser un token utilisateur générique.

Le brouillon IETF Agent Authorization Envelope ajoute la pièce manquante : un mandat signé décrit les actions permises, les contraintes et la durée de validité, avec délégation et révocation vérifiables. Pour les API et serveurs MCP, l’autorisation devient ainsi un contrôle exécutable à chaque action, pas seulement une session ouverte une fois.