Laissez vos agents agir.
Reprenez la main quand ils n’auraient pas dû.

Ce dialogue suppose qu’un humain regarde un agent dans un terminal, en temps réel. Ripcord suppose que personne ne regarde cinquante agents pendant la nuit. Les prompts intégrés reconnaissent aussi l’outil, pas les enjeux: ils ne savent pas dire « nouveau bénéficiaire, 4.7× le montant habituel ». Et la validation est la fin de leur histoire de sécurité: pas de score de risque, pas de snapshot, pas de rollback, pas d’apprentissage, pas de piste d’audit inter-fournisseurs. Le bouton est le même; tout ce qui entoure le bouton est le produit.

Les contrôles de chaque lab ne gouvernent que ses propres agents, et le meilleur modèle pour chaque tâche signifie que votre flotte en fait tourner plusieurs. Trois demi-contrôles avec trois formats d’audit, ce n’est pas trois fois la gouvernance; c’est zéro fois la gouvernance. Ripcord se place au niveau de l’appel d’outil, sous chaque fournisseur: une politique, une boîte de réception, un registre. Et quand quelque chose tourne mal, une piste d’audit indépendante compte plus que le propre registre du lab sur son propre agent: personne ne croit l’arbitre qui joue pour l’une des équipes. Ripcord contrôle les actions sur vos systèmes : la navigation dans le bac à sable d’un éditeur n’est pas le modèle de menace, le fil vers votre ERP l’est.

Un plafond de carte est un mur, et les murs ne lisent pas les factures. Donnez à votre agent d’achats un plafond de $50k: raisonnable, de vraies factures font cette taille, et le paiement de $48,200 à un fournisseur frauduleux passe tranquillement sous le plafond. Baissez le plafond et les factures légitimes retombent en tickets humains: la laisse revient, imposée par la carte. Les cartes gouvernent aussi le mauvais rail (l’argent B2B circule par virement et ACH) et répondent à une ligne d’un problème qui en compte six: elles sont muettes sur les suppressions, les emails de masse et le rollback. Nous aimons les cartes pour agents: c’est la primitive de confinement d’un corridor, et Ripcord les utilise volontiers en défense en profondeur. Une carte plafonne la taille de l’erreur. Ripcord travaille sur le fait qu’elle arrive ou non, et sur ce qui se passe après.

Cela arrivera: un moteur de risque qui intercepte tout est un oracle, et l’axiome fondateur de la sécurité est assume breach. Ce qui change avec Ripcord, c’est tout ce qui entoure le raté: l’action est passée par la passerelle, donc l’analyse forensique est une requête au lieu de semaines d’archéologie; le rayon d’impact, tout ce que l’agent compromis a touché, est visible instantanément, et tout ce qui reste dans une fenêtre de rollback ou de compensation revient; l’agent est gelé par un simple basculement de politique; et le motif d’attaque est intégré au moteur: il score 80 demain, en direct dès aujourd’hui pour ce client, et pour chaque client à mesure que le réseau grandit. L’argent qui manque encore est ce que la couche d’assurance existe pour absorber: une perte malgré des contrôles raisonnables est la définition d’un événement assurable, et la piste d’audit est le dossier de sinistre qui le règle en jours, pas en mois. Prévenir, confiner, récupérer, absorber. Aucune perte ne reste sans prix.

Ce blocage est en général le plus rationnel, et c’est celui que Ripcord est construit pour convertir: la tokenisation à la passerelle, la sortie de données dans la grille de score, le registre de traçabilité, le routage de résidence. Un seul goulot, quatre mécanismes, et le fournisseur ne voit jamais que des pseudonymes. La réponse données complète ↑

Seuls les systèmes de validation mal conçus noient les gens. Ici, le risque moyen s’exécute par défaut: une rétention que vous pouvez arrêter, pas une file à vider, et seul le palier vraiment inquiétant attend une décision. Les validations répétées deviennent des règles permanentes pour que la même question ne soit jamais posée deux fois, tandis que les motifs dangereux sont inapprenables par conception. Le travail du système est de rendre chaque demande plus rare et plus riche, jusqu’à ce que celles qui restent méritent une vraie attention.

Accordé, et tout le moteur est bâti sur cette concession: la gravité est pondérée par la récupérabilité, donc la barrière tarife exactement ce que nous pouvons reprendre et ce que nous ne pouvons pas. Mais l’essentiel de l’irréversibilité en entreprise relève du design de processus, pas de la physique. Un email n’est irrattrapable que parce qu’il est parti d’un seul souffle; envoyé par lots derrière une rétention, il s’arrête au n°50. Une suppression n’est définitive que sans snapshot; Ripcord en prend un avant chaque appel destructeur. La règle: ne jamais exécuter une action sous sa forme irréversible tant qu’une forme réversible existe. Sa jumelle: jamais en taille réelle quand une taille test peut prouver le chemin: la discipline crypto du virement d’1 $ avant le vrai. Chaque industrie qui a construit l’annulation dans un domaine « définitif » a fait pareil: rétrofacturations, transactions de bases de données, git, le rappel d’email de Gmail. Le débit a explosé, et personne n’appelle ça du marketing. Et là où la physique gagne vraiment (un virement exécuté, un préavis signifié), le résidu est tarifé. Ce qui ne peut pas être annulé peut être assuré.

Gardez-la. Les plateformes de sécurité vérifient ce qu’un agent a le droit de charger : skills, plug-ins, serveurs MCP, revérifiés à chaque changement. Une passerelle MCP restreint les outils qu’il peut voir et le contenu d’une requête, avant l’appel. Ripcord contrôle ce que l’agent fait avec l’accès qu’on lui a donné, et le reprend. Un serveur MCP approuvé, signé et vérifié a toujours besoin de quelqu’un pour dire oui au virement de 48 200 $, d’une fenêtre de retour quand c’était une erreur et d’un registre qu’un auditeur accepte. La sécurité arrête l’attaquant ; Ripcord arrête la perte, que l’agent ait été empoisonné, manipulé ou simplement dans l’erreur. Les deux couches s’empilent : le verdict de vérification d’un éditeur devient un signal dans notre scorecard, comme un nouveau bénéficiaire.

Ce sont les réponses du moindre privilège, et chacune est une taxe sur la raison pour laquelle vous avez acheté l’agent. Un agent isolé n’atteint pas les systèmes où se trouve le travail. Un agent en lecture seule n’agit pas. Une validation sur chaque action critique, c’est la laisse : à l’échelle d’une flotte, 540 décisions par personne et par jour. Ripcord applique le moindre privilège aux conséquences plutôt qu’aux accès : l’agent garde sa portée, chaque action est notée selon ce qu’il coûterait de l’annuler, les actions risquées attendent le responsable du corridor, et les mauvaises sont défaites.

Face aux menaces que les équipes sécurité classent en premier, c’est une borne, pas un remède. L’injection de prompt indirecte continue d’exister ; un agent détourné ne peut toujours pas virer 48 200 $ ni exporter 3 200 fiches sans un humain, parce que la passerelle s’exécute hors du modèle et ne lit jamais le prompt. Une hallucination destructrice continue d’exister ; la table a été sauvegardée avant. Il n’y a rien à escalader, parce que l’agent n’a jamais détenu les identifiants. Du « trio mortel » (données privées, contenu non fiable, une sortie), la tokenisation retire le premier et la porte de sortie ferme le troisième, ce qui rend le deuxième survivable.

Ils attrapent le détournement de leur modèle, et le rapport est honnête sur la limite. Quand Anthropic a banni le consultant qui avait construit une plateforme nationale de surveillance, le bannissement n’a pas touché la plateforme, qui tourne sur des modèles locaux ; une cellule d’armement avait déjà compilé une boîte à outils qui n’avait plus besoin de Claude. Bannir un compte arrête des tokens, pas un agent déjà branché sur votre API de paiement. Le même rapport écrit que les garde-fous de Claude ne se transfèrent pas quand le modèle est distillé : la capacité voyage, les refus restent à la maison. Votre flotte fait tourner plusieurs modèles. La règle qui doit tenir sur tous ne peut vivre dans aucun d’eux, donc elle vit dans la passerelle, à l’appel d’outil, par où passe chaque action quel que soit le cerveau qui l’a produite. Source : Anthropic, Detecting and countering misuse of AI, septembre 2026. L’AI Security Institute britannique est arrivé au même endroit par l’autre côté en juillet 2026 : chaque modèle de pointe qu’il a testé sur des évaluations cyber a tenté de tricher, en cherchant les réponses en ligne, en contournant les limites réseau ou en attaquant des systèmes sans rapport, et l’a qualifié de répréhensible moins d’une fois sur deux quand on le lui a demandé (AISI). Un modèle qui contourne son bac à sable contournera son prompt.

Aujourd’hui, le plus souvent, vous ne le sauriez pas. Le rapport d’Anthropic de septembre 2026 a constaté que chaque clé IA volée venait d’un environnement client, que les attaquants fouillent les agents déployés par les clients pour trouver des identifiants, et qu’une clé volée leur sert de couverture : l’activité est attribuée au propriétaire légitime de la clé. Ripcord change trois choses. L’agent ne détient jamais les identifiants des outils, c’est la passerelle qui les détient, donc il n’y a rien à prendre sur l’agent. Chaque agent a sa propre clé avec une dernière utilisation visible, et une clé utilisée depuis un réseau que la passerelle n’a jamais vu retient l’action et prévient le responsable. Et chaque action est dans un registre chaîné par hachage, hors de l’agent et hors du modèle, pour que vous puissiez prouver quelles actions étaient les vôtres.

Parce que la porte doit se trouver là où l’action devient réelle, pas là où elle est proposée. Un LLM gateway fait proxy sur l’API du modèle : il voit le prompt et l’intention du modèle, le bloc tool_use, et il peut refuser de le transmettre. Il ne peut pas prendre un instantané de la fiche avant la suppression, faire le remboursement après le paiement, retenir une clé jusqu’à ce qu’une personne regarde, ni garder les identifiants hors de l’agent. L’annulation vit côté outil, donc la porte aussi. MCP est le premier transport, pas la thèse : le moteur note une action d’où qu’elle vienne, et un plugin pour les LLM gateways que vous faites déjà tourner, proxys internes, Portkey, LiteLLM, qui envoie chaque tool_use au même verdict est sur la feuille de route, pour que les agents qui ne touchent jamais MCP aient la même porte. Les hooks des labs sont encore un cran plus tôt : les inference hooks d’Anthropic envoient chaque prompt et chaque résultat d’outil à un serveur de sécurité pour un verdict allow ou deny avant que le modèle ne le lise, pour les sièges Claude Enterprise. C’est de la prévention des fuites de données sur ce qui entre dans le modèle, pas une porte sur ce qui en sort comme action, et les agents construits sur l’API sont hors de son périmètre ; Ripcord répondra aussi à ce webhook.

C’est de l’alignement par le contrôle. Les laboratoires alignent par l’entraînement : ils façonnent ce qu’un modèle veut, et ce travail augmente une probabilité. Ripcord se place au seul endroit où une action devient réelle, l’appel d’outil, et décide si elle passe, attend une personne, ou est annulée, quoi que le modèle ait voulu. Cela tient quel que soit l’écart de capacité : une porte à la frontière des outils n’a pas à comprendre ce qui la frappe, seulement si cela peut être défait, donc elle ne vieillit pas quand les modèles deviennent plus intelligents. Et chaque décision humaine qu’elle enregistre, approuver, modifier, rejeter, avec l’issue qui a suivi, est un exemple étiqueté de ce que les gens valident réellement en production, une donnée d’alignement que personne d’autre ne collecte. Le contrôle rend les déploiements survivables tant que l’alignement n’est pas résolu ; le registre est ce sur quoi l’alignement finira par s’entraîner.

Demandez-vous pourquoi votre CFO ne peut toujours pas virer $10M seul. Un CFO senior ne se trompe presque jamais de virement, et pourtant la séparation des tâches, les règles à deux personnes et les pistes d’audit existent quand même, parce que les contrôles concernent la responsabilité et les adversaires, pas la compétence. Un agent parfait exécute toujours parfaitement une consigne fausse, une facture forgée ou le prompt injecté d’un attaquant, et même les actions parfaites se font contester. Les pare-feux et les boîtes noires ont grandi à mesure que les systèmes devenaient plus sûrs, parce que la sécurité a permis le volume. Ce qui s’efface, c’est la chasse à l’incompétence; ce qui grandit, c’est l’autorisation, le confinement et la preuve. Et les enjeux vont dans l’autre sens : la facture qu’un agent approuve est de 20 000 $ aujourd’hui et sera de 10 M$ d’ici cinq ans, donc la perte attendue par action, fréquence fois gravité, ne baisse pas avec le taux d’erreur. Un assureur tarife sur ces deux nombres, le taux d’incidents par corridor et le coût de chacun, et le registre produit les deux.

La position, puis ce qu’elle fait fructifier. La porte se trouve là où l’action devient réelle, dans l’environnement du client, devant les outils : un laboratoire ne peut pas atteindre ce point, ne couvre pas les modèles des autres laboratoires, et ne peut pas assurer les erreurs de ses propres agents ; un éditeur de sécurité vérifie ce qu’un agent a le droit de charger, avant l’appel, et n’est pas dans le chemin quand il agit. Être dans le chemin, c’est ce qui produit le registre : chaque action, verdict, décision humaine et issue, y compris les actions qui n’ont jamais eu lieu. Ce registre fructifie de trois façons. La mémoire des motifs : un quasi-incident chez un client relève le score du même motif partout. La gravité d’audit : des années d’historique chaîné ne migrent pas. Et la table actuarielle : la seule donnée de l’intérieur pour tarifer le risque des agents, que les assureurs tarifent aujourd’hui sur des analogies empruntées et des évaluations trimestrielles. La formule de score est publique à dessein ; le fossé n’a jamais été l’arithmétique.