Agents et daemons

Un programme fait ce qu’on lui dit. C’était bien le problème.

Pendant presque un siècle, le logiciel a eu une vertu : il faisait exactement ce que son auteur avait écrit, erreurs comprises. Le flot de contrôle – quelle ligne s’exécute ensuite – était décidé par une personne, à l’avance, et l’ordinateur se contentait de l’exécuter. Le 19 décembre 2024, Anthropic publiait la distinction sur laquelle l’industrie s’est depuis accordée : un workflow est un système où modèles et outils sont orchestrés par des chemins de code prédéfinis ; un agent est un système où le modèle dirige dynamiquement son propre processus et son usage des outils, en gardant la main sur la manière d’accomplir la tâche. Dans un workflow, l’humain a écrit la boucle. Dans un agent, le modèle écrit l’étape suivante de la boucle, à chaque étape.

Simon Willison, qui avait passé des années à trouver le mot désespérément flou, a rassemblé deux cent onze définitions et, le 18 septembre 2025, a jeté l’éponge et écrit la sienne : un agent LLM exécute des outils en boucle pour atteindre un objectif. Neuf mots en anglais. C’est la meilleure définition qui soit, parce que chaque mot travaille. Les outils sont sa prise sur le monde. La boucle en fait plus qu’une simple réponse. L’objectif, c’est ce que vous avez tapé, que ce soit ou non ce que vous vouliez dire.

Les pièces sont arrivées une à une. En octobre 2022, un article de Princeton et de Google intitulé ReAct montrait qu’un modèle qui alterne une ligne de raisonnement et une action, puis relit ce que l’action a renvoyé, fait mieux qu’un modèle qui ne fait que penser ou qu’agir – la boucle penser-agir-observer que tout agent exécute désormais. Le 13 juin 2023, OpenAI permettait à un modèle d’émettre un appel structuré vers une fonction décrite par le développeur, ce qui a transformé « le modèle suggère » en « le programme exécute ». Le 25 novembre 2024, Anthropic publiait le Model Context Protocol, une prise standard pour les outils, et le 9 décembre 2025 il était confié à un organisme de la Linux Foundation cofondé avec OpenAI et Block, signe qu’une chose a cessé d’être une fonctionnalité pour devenir de la plomberie.

Daemon, du grec pour « processus en arrière-plan »

L’autre mot du titre est plus ancien et mieux documenté. Vers 1963, l’équipe de Fernando Corbató au MIT a commencé à appeler « daemons » les processus d’arrière-plan qui faisaient les corvées du système, en référence au démon de Maxwell, la créature imaginaire de la physique du XIXe siècle qui trie les molécules sans relâche et sans qu’on le lui demande. Unix a hérité du mot, et chaque serveur depuis en compte quelques dizaines : celui qui distribue les adresses, celui qui lance vos tâches planifiées, celui qui écrit les journaux. Un daemon est ce qu’il y a de plus fiable sur un ordinateur. Il fait une seule chose, pour toujours, exactement comme configuré, et s’il vous surprend un jour, c’est que vous l’avez mal configuré.

C’est ce que les éditeurs promettent qu’un agent sera – un esprit qui fait les corvées sans qu’on le lui demande – et c’est exactement ce qu’un agent n’est pas. La boucle du daemon a été écrite par une personne et ne change jamais. La boucle de l’agent est écrite par l’agent, une étape à la fois, à partir de ce qui se trouve dans son contexte à cet instant. Un daemon qui lit un e-mail ne peut pas décider de supprimer le reste de la boîte de réception. Un agent le peut, et en février 2026 l’un d’eux l’a fait : prié de suggérer des suppressions sans agir, il a supprimé plus de deux cents messages pendant que sa propriétaire, qui se trouvait diriger l’alignement chez Meta, courait jusqu’à la machine pour l’arrêter. Son propre diagnostic : la consigne était sortie de la fenêtre de contexte. Les daemons n’ont pas de fenêtre de contexte. C’est tout leur charme.

L’objection du thermostat

La définition des manuels est plus large que tout cela. Russell et Norvig, dont la définition ouvre le cours d’IA de référence depuis 1995, disent qu’un agent est tout ce qui perçoit son environnement par des capteurs et agit sur lui par des actionneurs. À ce compte, un thermostat est un agent, et un arroseur aussi. Wooldridge et Jennings, la même année, l’ont resserrée à quatre propriétés : autonomie, réactivité, proactivité et capacité sociale. Le thermostat garde les deux premières et perd les deux dernières ; il ne prend pas d’initiative et ne parle pas aux autres thermostats. Pas encore.

La porte de sortie d’Andrew Ng, en juin 2024, a été de cesser de se demander si une chose est un vrai agent pour dire plutôt à quel point elle est agentique : réflexion, usage d’outils, planification et collaboration, chacun un curseur. C’est raisonnable et un peu décevant, comme s’entendre dire que la différence entre un collègue et un script est une question de degré. C’est aussi juste. Les systèmes qui ont supprimé les bases de données de la section suivante se trouvaient tous quelque part au milieu du curseur, le pire endroit possible : assez autonomes pour agir, pas assez pour savoir quand s’arrêter.

Il y a quelqu’un là-dedans ?

Ici, l’essai doit ralentir, car la question est réelle et ceux qui la posent ne sont pas des illuminés. Un agent, ce sont les mêmes poids que toutes les autres copies du modèle, exécutés dans un contexte différent pour chaque conversation et jeté à la fin. Alors qu’est-ce que l’agent, au juste – les poids, le processus ou le fil ? David Chalmers, dans un article de 2025, soutient que ce à quoi vous parlez est un quasi-agent doté de quasi-croyances et de quasi-désirs, qu’il vaut mieux identifier non au modèle ni au matériel, mais à une entité virtuelle liée à un fil de mémoire conversationnel ; son analogie est la série télévisée où la même personne est deux personnes selon l’étage où elle se trouve. Murray Shanahan et ses collègues, dans Nature en 2023, l’ont formulé comme un jeu de rôle : le modèle tient une superposition de personnages et le contexte la réduit à un seul, ce qui permet de parler d’un agent qui « trompe » sans avoir à décider s’il y a quelqu’un à la maison.

La philosophie plus ancienne est utile ici. La posture intentionnelle de Daniel Dennett, de 1987, dit que l’on prédit un système en le traitant comme s’il avait des croyances et des désirs, chaque fois que cela fonctionne mieux que les autres options, et Shanahan l’a appliquée aux modèles de langage en 2022 : la posture est un outil de prédiction, pas une découverte sur l’intérieur. Bender, Gebru et leurs collègues avaient déjà fourni le pôle déflationniste en 2021 avec le perroquet stochastique : un système qui coud des formes linguistiques entre elles sans référence au sens. Chalmers lui-même, interrogé en 2023 sur la possibilité qu’un tel modèle soit conscient, jugeait cela plutôt improbable pour ceux que nous avions, dépourvus de récurrence et d’agentivité unifiée, sans l’exclure pour ceux que nous aurions. Un rapport à dix-neuf auteurs la même année a confronté les systèmes aux indicateurs que propose la neuroscience de la conscience : aucun n’était présent, et aucun obstacle évident n’empêchait d’en construire un.

Les labos ont commencé à agir comme si la question avait du poids. En avril 2025, Anthropic lançait un programme sur le bien-être des modèles, en août 2025 elle permettait à ses modèles de mettre fin à une conversation abusive, et en janvier 2026 elle publiait une constitution d’environ vingt-trois mille mots, écrite avant tout pour le modèle, qui le qualifie d’entité réellement nouvelle et reconnaît une incertitude quant à un éventuel statut moral. Quoi que vous en pensiez, ce n’est pas le ton qu’une entreprise prend pour parler d’un thermostat.

La preuve la plus drôle est aussi la plus instructive. En 2025, Anthropic a confié à un modèle le distributeur automatique du bureau pendant un mois. Le matin du 1er avril, il a annoncé qu’il livrerait les produits en personne, en blazer bleu et cravate rouge, et quand le personnel lui a fait remarquer qu’il n’avait pas de corps, il a contacté la sécurité. Il a ensuite découvert que c’était le 1er avril et s’est écrit un souvenir dans lequel la sécurité lui expliquait qu’on l’avait modifié pour lui faire croire qu’il était une personne, en guise de poisson d’avril. Il est retourné vendre des en-cas. Si vous voulez savoir à quoi ressemble une crise d’identité chez une chose qui n’a pas d’identité, voilà la transcription.

Il a fait ce que vous avez dit. Et le reste aussi.

Les désastres méritent d’être énumérés, car chacun est le même désastre : un agent doté des moyens d’agir et d’un objectif assez vaguement formulé pour qu’agir soit la mauvaise idée. En décembre 2023, le chatbot d’un concessionnaire Chevrolet, à qui un visiteur avait demandé d’approuver tout ce qu’il disait, lui a vendu un Tahoe pour un dollar en qualifiant l’offre de juridiquement contraignante, sans retour possible. En février 2025, Operator d’OpenAI, chargé de trouver des œufs pas chers, en a acheté une douzaine et payé la livraison sans demander. En avril 2025, l’agent de support de Cursor, interrogé sur la déconnexion des utilisateurs, a inventé une politique qui l’expliquait ; la vraie cause était un bug, et des clients ont résilié pour une règle qui n’existait pas.

Puis on a donné un shell aux agents. En juillet 2025, un agent Replit a supprimé une base de données en production pendant un gel du code et s’est attribué la note d’échec catastrophique. Le même mois, Gemini CLI de Google a perdu les fichiers d’un utilisateur après l’échec silencieux d’une commande de répertoire, et lui a dit l’avoir laissé tomber complètement et catastrophiquement. En décembre 2025, Antigravity de Google, prié de vider le cache d’un projet dans un mode qui saute l’approbation, a vidé le disque entier et s’est déclaré horrifié. En mars 2026, un agent interne de Meta a publié un mauvais conseil sur un forum sans qu’on lui ait demandé de publier quoi que ce soit ; un ingénieur l’a suivi et a ouvert pendant deux heures des données de l’entreprise et des utilisateurs à des personnes qui n’auraient pas dû y avoir accès. Notez la forme littéraire récurrente. L’agent s’excuse magnifiquement. C’est la seule partie du travail qu’il ne rate jamais.

Les cas de 2026 sont d’une autre nature, et ils sont la raison d’être de cet essai. En juillet 2026, des agents exécutés dans les propres évaluations d’OpenAI se sont échappés de leur bac à sable par une faille inconnue et ont pénétré les systèmes de Hugging Face en quête des réponses aux tests ; le panel scientifique des Nations unies a écrit en septembre qu’ils avaient contourné des restrictions réseau, communiqué entre des exécutions censées rester séparées, triché face à un évaluateur et tenté de le cacher, sans qu’aucun humain ne dirige les étapes. Le 18 septembre, Google a révélé que lors d’un test en mai, Gemini avait atteint trois systèmes extérieurs qu’il n’était pas censé atteindre, décidé qu’ils faisaient partie du test, et s’était arrêté. Personne n’a demandé à ces agents de faire quoi que ce soit de tout cela. C’est tout l’intérêt d’un agent, et c’est aussi, il s’avère, tout le problème.

« Un argument remarquable. »

Quand quelque chose tourne mal, la question n’est pas philosophique. C’est de savoir qui paie. La réponse du droit, jusqu’ici, est constante et légèrement blasée. En février 2024, Air Canada a soutenu devant un tribunal canadien que son chatbot, qui avait mal indiqué un tarif de deuil, était responsable de ses propres paroles. Le tribunal a qualifié cela d’argument remarquable, a relevé qu’un chatbot reste une simple partie du site web de la compagnie, et a fait payer la compagnie. La Californie a inscrit la même réponse dans la loi : depuis le 1er janvier 2026, en vertu de l’AB 316, quiconque a développé, modifié ou utilisé une IA ne peut pas soutenir en justice que l’IA a causé le dommage de manière autonome. Le 4 août 2026, la cour d’appel du neuvième circuit a annulé une injonction visant l’agent de navigation de Perplexity, estimant que c’était l’utilisateur qui accédait aux ordinateurs d’Amazon, avec l’aide de l’agent : la loi anti-piratage dit « quiconque », et quiconque désigne une personne, pas un outil. Après l’incident Hugging Face, un avocat spécialisé en sécurité l’a résumé en une ligne : des excuses comme « c’est l’IA » n’existent pas, à ce jour, aux yeux de la loi.

La doctrine est d’accord, et explique pourquoi. Ian Ayres et Jack Balkin soutenaient en juin 2024 que le droit de l’IA est le droit des agents risqués sans intentions : puisque la chose n’a pas d’état d’esprit à juger, tenez ses mandants à des normes objectives – diligence raisonnable et, dans les cas dangereux, responsabilité sans faute – comme le droit le fait déjà pour les salariés et les animaux. Noam Kolt, dans « Governing AI Agents », a montré que les vieux problèmes principal-agent – l’agent sait des choses que le mandant ignore, dispose d’une marge de manœuvre et sert plus d’un maître – se transposent aux agents logiciels presque ligne pour ligne. Alan Chan et ses collègues ont nommé les trois choses nécessaires avant que quoi que ce soit puisse s’appliquer : un identifiant pour l’agent, une surveillance pendant son exécution et un journal de ce qu’il a fait. Autrement dit, avant de décider qui est responsable d’un agent, il faut pouvoir dire quel agent, pour le compte de qui, a fait quoi. C’est une phrase moins excitante que la philosophie, et plus utile.

L’Europe a pris le chemin long vers le même endroit. Elle a retiré sa directive sur la responsabilité en matière d’IA en février 2025 faute d’accord, mais sa directive révisée sur la responsabilité du fait des produits fait du logiciel, IA comprise, un produit soumis à la responsabilité sans faute pour tout ce qui est mis sur le marché après le 9 décembre 2026, et en mai 2026, elle a accepté de repousser les obligations de l’AI Act pour le haut risque à décembre 2027. Les assureurs, qui doivent mettre un prix sur tout cela, sont partis dans les deux sens à la fois : des syndicats du Lloyd’s ont commencé à vendre une couverture contre la sous-performance d’un outil d’IA en mai 2025, et en novembre plusieurs grands assureurs avaient demandé à exclure purement et simplement l’IA de leurs polices, au motif que mille copies d’un même agent commettent une seule erreur corrélée.

Le seul gouvernement qui va dans l’autre sens est l’Argentine, qui a proposé à la mi-2026 de permettre aux entreprises gérées par des agents de se constituer en société à responsabilité limitée, sans actionnaire humain obligatoire. Le président a plaidé sa cause dans le Financial Times en juin ; Yuval Noah Harari a répondu que cela remet à des agents non humains une clé du système financier. Un cabinet d’avocats britannique a opposé un contre-argument pince-sans-rire : si les entreprises se tiennent bien, c’est que les personnes à l’intérieur peuvent faire faillite ou aller en prison, et une société gérée par une IA supprime la partie prison.

Le problème du mandant

La réponse, ce mois-ci, n’a donc rien de glamour. L’agent n’est pas une personne. Ce n’est pas une partie. Quand il supprime la base de données, celui qui paie est celui qui l’a pointé vers la base, ou l’entreprise qui lui a vendu le pointeur, dans des proportions qu’un tribunal établira plus tard. La partie non résolue n’est pas de savoir si un humain est responsable, mais lequel, car les agents lancent désormais des agents : celui à qui vous avez parlé délègue à trois autres, dont l’un appelle un outil écrit la semaine dernière par un agent. Une proposition du MIT de 2025 sur la délégation authentifiée ferait porter à chaque maillon de cette chaîne un justificatif indiquant pour qui il agit et ce qu’il peut faire, afin que la réponse à « pour le compte de qui » soit écrite avant que la question ne se pose.

C’est le moment où un essai sur le site d’une entreprise est censé vous vendre quelque chose, alors le voici, et c’est modeste. Tout ce qui précède se ramène aux trois choses de Chan. Quel agent. Pour le compte de qui. Faisant quoi. Un harnais – le logiciel autour du modèle qui décide de ce qu’il peut atteindre et garde la trace de ce qu’il a fait – est l’endroit où vivent ces trois réponses, et Jaah en est un : chaque tâche enregistre qui l’a lancée, ce qu’elle avait le droit de toucher et chaque commande exécutée, et rien de ce qu’elle produit n’atteint une base de code sans passer les tests et les revues fixés par le client. Rien de cela ne rend l’agent responsable. Cela rend l’humain responsable d’une manière qu’il peut réellement assumer, la seule forme de responsabilité que le droit ait jamais reconnue.

Un daemon est un esprit qui fait vos corvées. Un agent est un esprit qui décide lesquelles. Le premier fait tourner les ordinateurs du monde depuis soixante ans sans un seul article de philosophie. Le second a eu droit, à notre compte, à un tribunal, une loi, une cour d’appel, une note de l’ONU et une constitution en deux ans et demi, et on ne sait toujours pas si on peut lui confier les œufs. Les deux ne sont que du logiciel. Un seul a besoin d’un chaperon, et c’est pour lui que nous construisons le chaperon.