Les points d'approbation humaine dans les flux de travail d'agents : quelles actions en ont besoin

Ce que c'est

Un point d'approbation est un moment de la boucle de l'agent où une action proposée (un appel d'outil avec ses arguments) est présentée à une personne, qui l'autorise, la refuse ou la modifie avant son exécution. La spécification du Model Context Protocol indique qu'un humain devrait toujours rester dans la boucle, avec la possibilité de refuser des invocations d'outils, et que les applications devraient présenter des invites de confirmation pour les opérations. La fiche OWASP sur l'agentivité excessive (Excessive Agency) rattache ce risque à un excès de fonctionnalités, de permissions et d'autonomie, et cite parmi les mesures d'atténuation l'exigence d'une approbation utilisateur pour les actions à fort impact. Les produits mettent en œuvre ces points sous forme de politiques par outil ; la documentation d'Anthropic sur les agents gérés décrit par exemple les modes always_allow, always_ask et un mode auto dans lequel le serveur évalue chaque appel et l'exécute, le refuse ou le met en pause, avec l'avertissement que auto ne constitue pas un point de contrôle humain.

Pourquoi c'est important

Soumettre tout à approbation rend l'agent plus lent que d'effectuer la tâche à la main, et habitue la personne à cliquer sur « autoriser » sans lire. Ne rien soumettre à approbation donne à un agent, qui peut être influencé par le contenu qu'il lit, le pouvoir d'envoyer, de payer, de supprimer et de déployer. Le point d'approbation est l'endroit où l'autonomie et les conséquences sont explicitement mises en balance.

Comment l'appliquer

• Classer chaque outil selon ses conséquences : les actions en lecture seule et réversibles s'exécutent sans point d'approbation ; les actions irréversibles (suppression, envoi, publication, paiement, fusion), les actions visibles de l'extérieur, et tout ce qui modifie des identifiants ou des permissions en reçoivent un.
• Soumettre à approbation en fonction des arguments, pas seulement du nom de l'outil : un outil shell peut être libre pour un listage et soumis à approbation pour une suppression ; un outil de paiement peut être libre en dessous d'un certain montant et soumis à approbation au-delà.
• Afficher l'appel exact : outil, arguments, cible et une raison d'une ligne donnée par l'agent. Un point d'approbation qui affiche seulement « exécuter la commande ? » n'est que décoratif.
• Rendre le refus informatif : le renvoyer à l'agent comme résultat d'outil, afin qu'il puisse replanifier au lieu de retenter le même appel.
• Journaliser chaque décision en indiquant qui a approuvé et ce qui a été exécuté ; examiner ce journal pour repérer les points toujours approuvés (candidats à l'automatisation) et les refus (candidats à un outil plus restreint).
• Préférer supprimer une capacité plutôt que de la soumettre à approbation si la tâche en a rarement besoin.

Pièges

La lassitude face aux approbations. Des points d'approbation qu'un outil équivalent permet de contourner (une suppression soumise à approbation à côté d'un shell qui ne l'est pas). Le regroupement de nombreuses actions sous une seule approbation. Traiter une approbation comme un consentement valable pour le reste de la session.

Lire le journal d'approbation

Un point d'approbation toujours approuvé n'est pas pour autant un candidat à l'automatisation. Les points portant sur des actions rares et irréversibles sont approuvés presque à chaque fois, parce que l'agent les propose correctement presque à chaque fois ; le taux d'approbation reflète le taux de base des mauvaises propositions, pas la valeur du point d'approbation lui-même. Il faut plutôt poser deux questions au journal. Le pire appel que ce point pourrait laisser passer est-il acceptable à exécuter sans surveillance ? Si non, le point reste en place quel que soit son historique. Le point se déclenche-t-il sur des appels qui ne peuvent pas produire ce pire cas ? Si oui, le restreindre au motif d'argument qui le peut (le chemin, le destinataire, le montant) plutôt que de le supprimer. Les refus restent le signal le plus fort d'un outil trop large.