Pendant vingt ans, la règle était simple : ton mot de passe, tu ne le donnes à personne. Jeudi, 1Password a lancé un produit dont l’unique boulot est de le donner à un robot sans que le robot le voie. Et ce même jeudi, les banques américaines découvraient qu’elles ont déjà des agents qui se baladent dans les comptes de leurs clients.
Le produit s’appelle 1Password for Agents. Le mécanisme est propre : quand un agent veut se connecter à ta place, il envoie une clé numérique au gestionnaire de mots de passe pour prouver son identité. 1Password te prévient, tu confirmes la demande, et c’est le gestionnaire qui remplit les identifiants. L’agent se retrouve connecté sans avoir jamais vu le mot de passe, et sans en garder une copie pour la prochaine fois.
La liste d’agents compatibles donne le vertige : Claude Duet chez Anthropic, Dots et ChatGPT Work chez OpenAI, Grok Bot, Muse chez Meta, et les agents de la startup Town. 1Password dit discuter avec d’autres boîtes pour élargir le service.
La justification tient en une phrase de leur blog : « Remettre un mot de passe, un secret ou un identifiant à un agent est un raccourci courant, mais ça peut laisser des informations sensibles dans des endroits que tu ne contrôles plus, parce qu’une copie est sauvegardée pour la fois d’après. » En clair, arrête de coller tes identifiants dans le prompt, ça finit stocké on ne sait où.
Ça, c’est le problème réglé. Ce n’est pas le seul.
Le portier s’arrête à la porte
Le timing n’a rien d’un hasard. Le même jour, Axios rapportait que les banques américaines commencent à détecter de l’activité agentique à l’intérieur des comptes de leurs clients. Pas forcément des agents voyous qui pillent : plutôt des clients qui laissent des services automatisés agir en leur nom, y compris sur des trucs financiers. Le hic, c’est que la plupart des banques n’arrivent pas à déterminer si cette activité correspond à une demande réelle de l’utilisateur.
Les banquiers interrogés parlent de situation « horrifying ». Un porte-parole de Chase rappelle de son côté que les clients « ne devraient pas donner leurs identifiants à qui que ce soit ». On sent la sérénité.
Ce que 1Password ne règle pas, c’est la suite. Le gestionnaire contrôle la porte d’entrée ; une fois l’agent à l’intérieur, il fait ce qu’il veut dans ton compte. Et côté banque, il se présente avec tes vrais identifiants : pour elle, c’est toi. Le portier a vérifié l’identité du robot, le vigile de la banque, lui, ne voit qu’un humain normal. Les deux ne se parlent pas.
Deuxième détail, plus terre à terre : à chaque connexion, tu reçois une alerte et tu confirmes personnellement. Sur une tâche isolée, ça va. Sur cinquante par jour, tu transformes ton agent autonome en machine à notifications, et la sécurité finit par coûter ton attention. C’est mon interprétation de la friction, pas une critique sortie du communiqué.
Ceux qui ouvrent la porte en grand
À l’autre bout du spectre, il y a ceux qui veulent accueillir les agents à bras ouverts. Spotify a profité de ses résultats trimestriels (788 millions d’utilisateurs actifs mensuels, près de 5 milliards d’euros de revenus) pour expliquer que l’agent n’est pas une menace mais un tuyau de plus. Le co-patron Gustav Söderström : « Spotify est dans l’une des rares catégories qui a réellement intérêt à prospérer à l’ère agentique. » Son argument : personne ne demande à un agent de « résumer une chanson ». Le divertissement, tu ne le délègues pas, tu le consommes.
Spotify a été le premier service musical à s’intégrer à Muse (celui dont les liens de partage fuyaient, je te racontais ça ici), et passe aussi par ChatGPT et Claude. La promesse maison : tes données de goût ne partent pas chez le partenaire, c’est l’agent qui demande, Spotify raisonne en interne et choisit quoi jouer.
Tout le monde ne joue pas ce jeu. Amazon a bloqué Muse pour le shopping. Accueillir les agents ou leur claquer la porte, c’est devenu un choix stratégique, et chaque acteur le tranche à sa façon.
Reste la question que 1Password n’a pas tranchée, et qu’aucune clé numérique ne règle : quand ton agent se connecte avec ta clé et fait une connerie, qui paie ? Le gestionnaire de mots de passe a protégé le secret, il n’a pas signé le chèque. Le jour où un agent passera par un portier bien propre pour vider un compte, la première question du juge sera : qui a autorisé quoi ? Et le portier répondra qu’il a juste rempli le formulaire.
Sources :
Comments are closed