Définition
Un agent autonome est un logiciel qui poursuit un objectif en décidant et en exécutant une série d'actions, sans qu'une personne confirme chaque étape. Les agents modernes utilisent des modèles de langage pour planifier, appeler des outils, lire les résultats et s'ajuster. Une personne ou une organisation fixe généralement l'objectif et les limites; l'agent fait le travail entre les deux.
Dans l'intelligence des acteurs, un agent autonome correspond à la classe Agent: l'interaction provient de l'automatisation plutôt que d'une personne qui dirige chaque action. Voir Humain, assisté par IA ou agent: une taxonomie pratique du trafic d'application pour comparer les classes.
Agents comparés aux autres formes d'automatisation
- Les scripts et les crawlers suivent des instructions fixes. Ils sont prévisibles et ciblés.
- Les agents autonomes s'adaptent. Ils lisent ce qu'une application renvoie et choisissent quoi faire ensuite, ce qui signifie qu'ils peuvent atteindre des parties d'une app qui n'ont jamais été conçues pour l'automatisation.
- Les personnes assistées par IA utilisent l'IA comme aide mais gardent le contrôle. Voir Interaction assistée par IA.
Pourquoi les agents autonomes comptent pour les propriétaires d'applications
Les agents agissent de plus en plus pour de vrais clients: comparer des produits, rassembler de la documentation, déposer des tickets, synchroniser des données et appeler des API. Beaucoup de ces interactions ont de la valeur. Une application qui les bloque par défaut peut perdre une utilisation légitime; une application qui les traite exactement comme des personnes peut exposer des actions sensibles à un participant dont le comportement est très différent.
Questions utiles pour toute interaction avec un agent:
- Quel est cet agent ? Existe-t-il une identité vérifiable, comme une signature de message HTTP (RFC 9421), ou seulement une auto-description ?
- Que peut-il faire ? L'identité n'est pas une autorisation. C'est une question d'autorisation.
- Qui se trouve derrière lui ? Une personne peut lui avoir délégué son autorité, ou l'agent peut agir pour une organisation. Une preuve d'identité n'établit pas la délégation.
- Quel est l'impact de cette action ? Lire un catalogue public et modifier les paramètres du compte méritent des contrôles différents.
Comment reconnaître un agent autonome
La reconnaissance combine des preuves de force différente. Une signature vérifiée provenant d'un opérateur publié est une preuve forte. Un nom de client déclaré est utile mais peut être imité. Les schémas comportementaux et protocolaires peuvent étayer une inférence. Quand rien de tout cela ne suffit, la bonne réponse est Unknown plutôt qu'une supposition.
Bien servir les agents
Les applications qui attendent du trafic d'agents proposent souvent:
- Une API structurée ou des réponses lisibles par machine pour les opérations de lecture courantes.
- Des limites de débit au niveau des routes adaptées aux clients automatisés.
- Des identifiants plus forts ou une approbation explicite de l'utilisateur pour les actions à fort impact (voir concevoir des politiques au niveau de l'application pour les humains et les agents IA).
- Des pages destinées aux humains rapides et sans défis conçus pour l'automatisation.
Idées reçues courantes
"Les agents sont des bots, et les bots sont mauvais." Beaucoup d'agents sont des outils de clients. L'objectif est une expérience adaptée, pas un blocage réflexe.
"Un agent vérifié peut faire tout ce que son compte peut faire." La vérification identifie le client. Elle n'autorise pas les actions.
Comment Proof of Actor traite les agents
Proof of Actor classe les interactions d'agent comme Agent avec une base explicite (Verified, Declared ou Inferred), afin que vos politiques puissent traiter différemment un opérateur signé et un opérateur qui se déclare lui-même. Vous décidez ce que chaque route autorise. Voir les cas d'usage pour les APIs et les MCP servers ou demander un accès anticipé.
Sources
- RFC 9421: HTTP Message Signatures: identité vérifiable pour les clients automatisés
- groupe de travail IETF Web Bot Auth: travaux de normalisation sur l'authentification des bots et des agents