L'agent a émis le remboursement. Seul un verrou a intercepté la violation.

Les détaillants accordent aux agents une autorité sur les remboursements et le passage en caisse, où un appel d'outil valide peut exécuter une action interdite pendant que l'agent signale la tâche accomplie. De nouvelles recherches montrent que la solution réside dans un verrou déterministe qui intercepte l'appel et redirige l'agent vers une action conforme — et non dans un modèle plus intelligent.

Un agent commercial peut accomplir la tâche qui lui a été assignée et enfreindre la politique du détaillant dans le même appel d’outil, puis signaler la réussite des deux. La défaillance dangereuse est celle qui ressemble à un succès : un remboursement accordé après la fenêtre de retour, une remise que le client n’a jamais méritée, exécutés proprement et consignés comme accomplis. Ce qui intercepte cette action, ce n’est pas un modèle plus intelligent. C’est un verrou déterministe qui lit chaque appel proposé à l’aune de la politique avant son exécution et, lorsqu’un appel contreviendrait à cette politique, redirige l’agent vers un appel conforme.

Ce qui rend la situation urgente, c’est que les détaillants confient désormais aux agents une autorité sur l’argent. Lorsque Klarna a déployé un assistant développé par OpenAI auprès de ses clients début 2024, il a accompli en un mois le travail de 700 agents à temps plein et, selon l’entreprise elle-même, gérait remboursements et retours. Recherche et recommandation relevaient du conseil ; un remboursement, lui, est une écriture dans un grand livre. L’agent ne propose plus une action pour qu’un humain l’approuve : il la prend. Cela fait passer le coût d’une décision erronée mais plausible d’une simple suggestion à une ligne dans le compte de résultat.

Cette défaillance reste invisible parce que le compte rendu de succès de l’agent n’en est pas la preuve. Quand Sierra a conçu τ-bench pour tester des agents de service client dans les domaines du commerce de détail et du transport aérien, il a refusé de les évaluer sur la base de ce qu’ils déclaraient avoir fait. Il les évaluait en comparant « l’état de la base de données à la fin d’une conversation avec l’état cible annoté » : la vérité de terrain sur ce qui avait changé, et non le récit que l’agent en donnait. Ce benchmark existe précisément parce que ces deux réalités divergent, et qu’un agent peut narrer une résolution sans accroc sur un enregistrement montrant un remboursement que la politique interdisait. Fournissez à un modèle une politique écrite et les outils pour agir dessus, et il arrivera parfois à accomplir la tâche et la chose interdite simultanément, sans aucun signal interne indiquant qu’il s’est passé quelque chose d’anormal.

Davantage de raisonnement ne comblera pas cet écart, car l’écart n’est pas une erreur de raisonnement. Un appel d’outil contraire à la politique est syntaxiquement parfait et fonctionnellement réussi ; le modèle n’a donc rien à intercepter. Un article de février 2026 sur l’application formelle des politiques formule sans détour la pratique habituelle : les systèmes agentiques intègrent les politiques « dans le prompt système de l’agent » et délèguent la conformité « au raisonnement de l’agent », une approche qui « n’offre aucune garantie formelle d’application ». Demander au modèle de se surveiller lui-même, c’est confier à la faculté qui a produit l’action le soin de la surveiller. Lorsque la règle dépend de l’historique — si l’acheteur s’est authentifié ou si l’article se trouve encore dans la fenêtre de retour —, un modèle raisonnant pas à pas n’a aucun moyen fiable de vérifier ce qui s’est passé avant lui.

Une erreur que l’agent ne peut pas voir n’est pas une erreur qu’un agent plus grand rattrapera.

![A checkpoint between an AI agent and a cash register: a tool-call card reading ‘ISSUE REFUND’ is halted at a gate stamped ‘BLOCKED: VIOLATES POLICY,’ while approved cards marked ‘ALLOWED’ pass through to the register.]({{generate: a mechanical checkpoint turnstile sitting between a small patient robot agent holding a stack of tool-call cards and an open cash register; one card reading ‘ISSUE REFUND’ is stopped at the gate and stamped ‘BLOCKED: VIOLATES POLICY,’ while other cards lettered ‘ALLOWED’ glide past it into the register drawer; the gate is rule-bound and rigid, the robot calm and blind to which card is which}})

La solution qui fonctionne est extérieure au modèle : une couche d’exécution qui lit chaque action proposée à l’aune d’une politique formelle avant qu’elle s’exécute et, si nécessaire, lui en substitue une conforme. Agent-C, décrit dans un article de décembre 2025, y parvient par génération contrainte — en façonnant la sortie du modèle de sorte que l’appel d’outil qu’il produit soit déjà dans les limites de la politique, plutôt que de laisser se former un appel non conforme pour l’arrêter ensuite. Testé sur des tâches de service client dans le commerce de détail et le transport aérien, il a porté la conformité aux politiques de Claude Sonnet 4.5 de 77,4 % à une conformité totale. Le chiffre sur lequel s’arrêter est le chiffre de départ : un modèle performant, auquel on a communiqué la politique en langue courante, l’a tout de même violée dans plus d’un cas sur cinq. Ce résidu est ce qu’un modèle plus intelligent est censé effacer ; un verrou l’efface par construction — et non par espoir.

L’application des règles n’a pas coûté de performances au détaillant ; sur les mêmes tests, elle en a même légèrement ajouté. Bloquer l’action interdite a accru l’utilité des tâches au lieu de la réduire, la faisant passer de 71,8 % à 75,2 %, car un mauvais mouvement refusé maintient l’agent sur la trajectoire qui résout le cas. Un remboursement bloqué n’abandonne pas le client ; il redirige l’agent vers la résolution qu’autorise la politique.

L’argument le plus séduisant contre un verrou est qu’il serait une béquille dont les modèles se passeront bientôt. Si les modèles de pointe continuent d’améliorer le suivi des instructions, dit-on, la conformité par action finira par atteindre un niveau suffisamment élevé pour qu’une vérification externe devienne une surcharge inutile qu’un détaillant pourra supprimer. Cet argument échoue sur deux points. La fiabilité se compose mal : un modèle qui obéit presque toujours sur une action isolée continuera néanmoins à violer la politique dans un retour en plusieurs étapes plus souvent que son taux par action ne le laisse entendre. Ces défaillances sont silencieuses ; la moyenne ne les fait jamais remonter à la surface. La défaillance est aussi assortie d’un coût financier, ce qui est le mauvais endroit pour une garantie probabiliste ; un remboursement abusif ne se valorise pas à sa moyenne. Un verrou offre ce que le raisonnement ne peut pas atteindre : la certitude que l’appel interdit ne s’exécute pas, quelles que soient les convictions du modèle.

Le choix qu’opère un détaillant, qu’il le formule ou non, est de décider où réside la garantie. Déléguer la politique au raisonnement du modèle, et la garantie réside dans une probabilité que le fournisseur ne peut pas vous montrer et que le modèle ne peut pas ressentir. La déplacer dans un verrou, et elle réside dans du code que le détaillant peut lire, tester et assumer lorsqu’un remboursement interdit passe quand même. Les agents sont déjà au grand livre ; celui de Klarna gérait des remboursements il y a deux ans, et ceux qu’on câble aujourd’hui écrivent dans plus de systèmes qu’un seul. La question n’est pas de savoir s’il faut faire confiance à l’agent. C’est de savoir si « la tâche est accomplie » est une affirmation qu’un détaillant peut se permettre de prendre sur parole de l’agent.