La recherche converge : les agents qui pensent ne doivent jamais agir.
Quand plusieurs groupes de recherche indépendants, partis de points différents, arrivent sans cesse à la même conclusion, cela cesse d'être une opinion pour devenir un résultat. Pendant un temps, la sécurité des agents était un champ d'intuitions concurrentes : de meilleurs prompts, de meilleurs filtres, un meilleur alignement. Des gens raisonnables divergeaient sur l'approche qui l'emporterait. Ce désaccord se resserre, et il se resserre vers une conclusion architecturalement inconfortable mais difficile à contester.
Sauf que la convergence de 2026 ne va pas vers une meilleure défense à l'intérieur du modèle. Elle va vers une frontière entre les modèles. Comme le rapporte CSO Online, un corpus croissant de travaux soutient que les frontières de privilège ne peuvent pas être appliquées à l'intérieur d'un flux de tokens unique, et qu'une fois le raisonnement et l'action partageant un même contexte, aucune quantité d'instructions n'empêche de façon fiable un contenu non fiable de diriger une action privilégiée. La taxonomie « AI Agent Traps » de Google DeepMind nomme six catégories distinctes d'attaques dirigées contre les agents. L'article « Parallax », publié sur arXiv, soutient que le composant qui raisonne sur du contenu non fiable ne doit pas être celui qui agit. Et les travaux sur la propagation d'autorisation présentent la gouvernance d'identité comme une infrastructure pour systèmes multi-agents plutôt qu'une fonctionnalité greffée sur un agent. Des laboratoires différents, des méthodes différentes, une seule destination.
Cette destination est une règle de conception unique. L'agent qui pense ne doit pas être l'agent qui agit. Dit autrement : le lecteur qui voit l'attaque ne doit pas avoir de mains.
La taxonomie qui montre pourquoi un flux de tokens unique ne peut pas tenir
Commencez par la taxonomie de DeepMind, parce qu'elle explique pourquoi la convergence arrive maintenant plutôt que d'être un tour de plus du même débat.
« AI Agent Traps » nomme six catégories d'attaques dirigées contre les agents : injection de contenu, manipulation sémantique, attaques sur l'état cognitif, induction de détournement d'outil, détournement d'objectif et collusion multi-agents. La valeur d'une taxonomie n'est pas la liste. C'est ce que la liste révèle quand on la regarde transversalement. Lisez les six ensemble et ce ne sont pas six bugs distincts attendant six correctifs distincts. Ce sont six façons d'exploiter une même propriété sous-jacente : un agent qui raisonne sur du contenu non fiable, dans un contexte unique, avec la capacité d'agir.
L'injection de contenu place une instruction hostile dans ce que l'agent lit. La manipulation sémantique et les attaques sur l'état cognitif tordent la façon dont l'agent interprète et se souvient. L'induction de détournement d'outil et le détournement d'objectif retournent les capacités de l'agent contre sa finalité. La collusion multi-agents met le problème à l'échelle d'un système d'agents. Chacune dépend du même fait : le composant qui raisonne est aussi celui qui a accès aux outils. Effondrez-les dans un flux de tokens unique et chacune des six a un chemin de l'entrée non fiable vers l'action privilégiée.
C'est ce que veut dire la couverture de CSO Online quand elle rapporte que les frontières de privilège ne peuvent pas être appliquées à l'intérieur d'un flux de tokens unique. Ce n'est pas que la frontière soit faible. C'est qu'il n'y a pas de frontière à appliquer, parce que dans un même contexte l'instruction venue de vous et l'instruction cachée dans un document sont la même sorte de chose, et le modèle raisonne sur les deux avec les mêmes privilèges.
« Parallax » énonce la règle que la taxonomie implique
La taxonomie de DeepMind montre le problème. Les travaux « Parallax » énoncent la solution, et la solution est une séparation, pas un filtre.
L'argument, tel que publié sur arXiv, est direct : le composant qui raisonne sur du contenu non fiable ne doit pas être celui qui agit. Remarquez que ce n'est pas un conseil de prudence. C'est une contrainte structurelle sur la façon dont le système est construit. Il ne dit pas « raisonnez prudemment sur du contenu non fiable ». Il dit que le rôle « raisonner sur du contenu non fiable » et le rôle « agir » doivent vivre dans des composants différents, pour que compromettre le premier ne donne aucun accès au second.
C'est la même forme que le principe de sécurité que tous les autres domaines ont appris à la dure. On ne laisse pas le processus qui analyse un fichier hostile tourner avec des droits d'administrateur. On ne laisse pas le code qui lit une entrée contrôlée par l'attaquant détenir les clés de ce qu'on pourrait le tromper à faire. La sécurité des agents redécouvre la séparation des privilèges, et « Parallax » en est l'énoncé pour des systèmes dont l'action privilégiée est déclenchée par un raisonnement en langage naturel sur du contenu qu'un adversaire a peut-être écrit.
Le troisième fil, la propagation d'autorisation comme infrastructure, complète le tableau. Dans un système multi-agents, la frontière n'est pas une scission ponctuelle. L'identité et la permission doivent voyager correctement à chaque saut, pour qu'un agent qui passe du travail à un autre ne puisse pas blanchir un privilège qui ne lui a jamais été accordé. Présenter la gouvernance d'identité comme une infrastructure, plutôt qu'un réglage par agent, est ce qui garde la séparation intacte quand le système dépasse l'agent unique. C'est précisément ce contre quoi la sixième catégorie de DeepMind, la collusion multi-agents, met en garde.
Le lecteur sans mains
C'est le principe sur lequel Vesster construit, et la convergence de la recherche est la raison pour laquelle nous sommes à l'aise de le dire clairement plutôt que de le nuancer.
La conception a une forme précise, et elle correspond exactement à ce que décrivent les travaux de 2026. Séparez le planificateur du lecteur. Un planificateur privilégié décide quoi faire et appelle les outils, mais ne lit jamais directement de contenu non fiable. Un lecteur en quarantaine lit le document non fiable, l'e-mail client, le PDF tiers, et en extrait ce qu'il faut, mais ne détient aucun outil et ne peut pas agir. C'est le motif dual-LLM CaMeL, et c'est la forme opérationnelle de la règle « Parallax ». Le composant qui voit l'attaque n'a pas de mains. Le composant qui a des mains ne voit jamais l'attaque. Au moindre doute, il échoue en fermé.
Donnez à chaque agent sa propre identité à moindre privilège. Aucun agent ne porte de pouvoir permanent. Chacun tourne sous une identité éphémère et cadrée avec une allow-list explicite, pour que même un agent détourné commande un acteur qui ne peut exécuter qu'une poignée d'actions nommées vers une poignée de destinations permises. C'est le principe de propagation d'autorisation rendu concret : l'identité est une infrastructure, pas un réglage.
Appliquez la politique à chaque saut. Dans un flux multi-agents, la frontière est revérifiée à chaque passage de relais, pour que le privilège ne se propage pas là où il n'a pas été accordé et qu'un agent compromis ne puisse pas recruter les autres. C'est la réponse directe à la catégorie collusion multi-agents de DeepMind.
Aucune de ces mesures n'essaie de rendre le modèle de raisonnement digne de confiance. Chacune suppose que le lecteur peut être trompé, parce que la recherche dit qu'il peut l'être, et s'assure que le tromper n'accomplit rien. Le lecteur qui voit l'attaque n'a pas de mains. Cette seule phrase est toute l'architecture, et c'est la phrase à laquelle trois efforts de recherche indépendants ont mis 2026 à arriver.
Le recadrage
La question par laquelle le domaine a commencé, celle qui a produit des années de filtres concurrents, est « comment rendre l'agent résistant à la manipulation ? ». La convergence de 2026 est une réponse, et ce n'est pas celle que l'on espérait. On ne le fait pas, pas de façon fiable, pas dans un flux de tokens unique. Organiser une défense autour d'un agent à l'épreuve de la manipulation, c'est organiser autour d'un composant dont la recherche dit maintenant qu'il ne peut pas exister.
La meilleure question est celle-ci. Dans notre système, le composant qui raisonne sur du contenu non fiable est-il le même que celui qui peut agir, et si nous supposons qu'il sera trompé, que le fait d'être trompé lui permet-il réellement de faire ? Si le raisonnement et l'action partagent un contexte, la réponse honnête est « tout ce que l'agent peut atteindre », et les six catégories d'attaques ont toutes un chemin. S'ils sont séparés, le lecteur peut se faire tromper toute la journée et ne toucher à rien, parce qu'on ne lui a jamais donné de mains.
Les intuitions ont cessé de se concurrencer. Des groupes indépendants, venus de directions différentes, ont atteint la même règle. Les agents qui pensent ne doivent jamais agir. Construisez la frontière que la recherche désigne sans relâche, et la manipulation que vous ne pouvez pas empêcher devient la manipulation qui n'a pas d'importance.
Si vous voulez vérifier si vos agents gardent le lecteur et l'acteur dans les mêmes mains, prenez rendez-vous et apportez-nous le flux où le plus d'agents se parlent.