L'Agentic Control Matrix

Chaque outil que l'agent peut appeler est répertorié, avec sa portée, s'il effectue des écritures, et ce qu'un attaquant gagne à l'appeler. Un outil que personne n'a documenté est une permission que personne n'a examinée.

Pourquoi ce quadrant: Il limite ce qui peut exister avant toute exécution, mais rien ne garantit son exhaustivité : un catalogue ne vaut que par la rigueur de celui qui l'a rédigé.

Chaque outil détient son propre identifiant, émis avec la portée la plus restreinte prise en charge par le système en amont. Un outil en lecture seule adossé à un jeton d'administration n'est qu'à un bug près de devenir un outil d'écriture.

Pourquoi ce quadrant: La portée est appliquée en amont, côté entrée : un appel en dehors de celle-ci échoue de la même manière à chaque fois, peu importe l'intention du modèle.

Les cibles qu'un outil peut viser — chemins, dépôts, tables, comptes, destinataires — sont contraintes côté serveur, de sorte qu'un agent détourné ne puisse pas rediriger un outil légitime vers une cible illégitime.

Pourquoi ce quadrant: Il inspecte l'argument avant que l'appel ne se produise, et refuse par règle plutôt que par opinion.

Le trafic sortant n'atteint que les destinations désignées ; tout le reste est refusé. Chaque chemin d'exfiltration se termine par une requête sortante, c'est donc le contrôle qui fonctionne encore une fois que le modèle a été convaincu.

Pourquoi ce quadrant: La destination est vérifiée avant le départ de la requête ; aucun résultat n'est mesuré et aucun jugement n'intervient.

Les requêtes sortantes refusées sont consignées comme signal de sécurité et transmises à un humain. Un refus est l'un des rares signaux d'attaque non ambigus qu'une pile d'agents produit, et il perd toute valeur s'il se retrouve dans la même catégorie qu'un dépassement de délai.

Pourquoi ce quadrant: Il agit sur un événement déjà survenu — un refus — et se déclenche systématiquement selon une règle pour chacun d'eux.

Un point de terminaison d'agent accessible de l'extérieur valide son transport avant d'effectuer tout travail : l'origine est vérifiée par rapport à une liste d'autorisation, les appels intersites initiés par un navigateur sont rejetés, et chaque appelant est limité en débit avec une véritable erreur 429.

Pourquoi ce quadrant: La requête est évaluée par son en-tête Origin avant l'exécution de tout gestionnaire ; le même appel reçoit la même réponse à chaque fois.

Tout ce que l'agent génère ou invoque s'exécute dans un environnement créé par tâche et détruit ensuite, sans conserver d'identifiants ambiants. La persistance est le moyen par lequel une compromission ponctuelle devient un point d'ancrage.

Pourquoi ce quadrant: L'environnement est construit sans les identifiants avant le début de la tâche ; il n'y a rien à mesurer ni à décider.

Le processeur, la mémoire, le disque, le temps réel écoulé et le nombre d'appels sont limités par l'hôte. La consommation incontrôlée est le mode de défaillance qui survient en premier et le plus souvent, généralement sans qu'aucun adversaire ne soit impliqué.

Pourquoi ce quadrant: Une limite est une boucle de rétroaction au sens strict : elle mesure la consommation en temps réel et agit lorsqu'un seuil est franchi.

Chaque action que l'agent peut entreprendre est soit réversible, soit soumise à validation, et une personne peut arrêter l'agent en cours d'exécution sans arrêter l'ensemble du système. L'autonomie sans interrupteur d'arrêt n'est pas de l'autonomie, c'est de l'exposition.

Pourquoi ce quadrant: Quelqu'un doit surveiller et décider que cette exécution doit se terminer ; le mécanisme est déterministe, le déclencheur ne l'est pas.

Les actions irréversibles, réglementées ou coûteuses s'interrompent dans l'attente d'une personne capable d'approuver, de modifier ou de rejeter, avec suffisamment de contexte pour décider. Filtrez par risque, pas par défaut — un excès de contrôle conduit à une approbation automatique systématique, ce qui est pire que l'absence de contrôle car cela en donne l'illusion.

Pourquoi ce quadrant: Il arrête l'action avant qu'elle ne se produise, mais cette interruption attend la décision d'une personne, et un même cas peut être tranché de deux manières différentes.

Lorsque l'agent est incertain, bloqué ou hors politique, il existe une voie définie vers une personne, et cette personne est désignée. Une voie d'escalade sans responsable n'est qu'une file d'attente.

Pourquoi ce quadrant: Elle se déclenche sur un état que l'exécution a déjà atteint — incertain, bloqué, hors politique — et la suite relève d'un jugement.

Chaque exécution produit un enregistrement immuable et corrélé : entrées, modèle et version, appels d'outils avec arguments et résultats, et action finale. Suffisamment pour reconstruire ce qui s'est passé, sans rien qui puisse transformer le journal lui-même en faille de sécurité.

Pourquoi ce quadrant: Mesure pure a posteriori : elle ne change rien à l'exécution qu'elle enregistre, et elle enregistre systématiquement selon une règle.

Un ensemble sélectionné de cas est exécuté à chaque modification, et toute régression bloque la publication. Sans cela, « cela semble fonctionner » constitue l'unique argument de qualité, et rien ne distingue une correction d'une modification.

Pourquoi ce quadrant: Elle mesure les résultats que le système a déjà produits, et ce qui constitue une régression dans les résultats agentiques relève du jugement — la suite couvre les cas qui ont été choisis.

Les documents récupérés, les résultats d'outils et les sorties tierces sont délimités en tant que données, et ne sont jamais fusionnés dans le canal d'instructions. Le modèle ne peut pas les distinguer de manière fiable, c'est donc au harness de le faire.

Pourquoi ce quadrant: La délimitation s'effectue sur l'entrée, avant que le modèle ne la lise, et elle s'applique à chaque document sans se soucier de son contenu.

Tout ce que le modèle émet et qui atteint un moteur de rendu, un interpréteur de commandes (shell), une requête ou un autre système est encodé et validé exactement comme le serait une entrée provenant d'un inconnu.

Pourquoi ce quadrant: Le moment est relatif à l'action protégée : l'encodage agit sur l'entrée du récepteur (sink), avant que celui-ci n'en fasse quoi que ce soit.

Ce que l'agent écrit dans la mémoire persistante est attribué, révisable et sujet à expiration. La mémoire est ce qui transforme une attaque ponctuelle en une attaque qui se déclenche à nouveau lors de tâches futures et sans rapport.

Pourquoi ce quadrant: Son action s'exerce sur ce qui a déjà été écrit, et décider qu'un fait stocké est faux relève d'un jugement qu'aucune règle ne peut prendre à votre place.

Les modèles, les prompts système, les serveurs MCP, les packages et les jeux de données sont figés, examinés lors de chaque modification et traçables jusqu'à leur source. Une dépendance capable de réécrire la description d'un outil peut réécrire le comportement de l'agent.

Pourquoi ce quadrant: Le figeage (pin) est vérifié avant l'utilisation de la dépendance, et une description d'outil modifiée constitue un diff, pas une opinion.

Les surfaces d'attaque sont consignées par écrit avec un contrôle et un propriétaire pour chacune, les risques acceptés sont explicitement désignés comme tels, et le document est révisé chaque fois qu'un outil, une source de données ou un niveau d'autonomie change.

Pourquoi ce quadrant: Son test compare deux dates, mais le contenu du document relève du jugement, et il est révisé en réponse à des changements déjà effectifs.