Les promesses et les dangers des systèmes multi-agents

Imaginez que vous confiiez les clés de votre voiture à quelqu’un en lui demandant d’aller faire des courses. Si le magasin est proche et que votre liste est simple, le risque d’erreur est faible. Mais plus la tâche se complexifie — avec des marques précises, des restrictions alimentaires et un budget serré, par exemple — plus les difficultés augmentent. Si cette tâche en apparence banale tourne mal, les conséquences peuvent aller d’achats non autorisés jusqu’à la destruction totale du véhicule.

De nombreuses organisations sont aujourd’hui confrontées à une situation similaire lorsqu’elles mettent en œuvre des agents d’IA. Il est difficile et coûteux de créer des agents capables d’exécuter à un niveau exceptionnel toutes les tâches d’un flux de travail. En outre, jusqu’à récemment, la communication entre les agents et les outils ne reposait sur aucune norme uniforme, autrement dit sur aucun équivalent, pour l’IA, de ce que représente HTTP pour les connexions web.

Place aux systèmes multi-agents (SMA), un nouveau paradigme d’IA qui répartit les responsabilités entre de nombreux agents hautement spécialisés, lesquels collaborent afin de fournir des résultats plus précis et plus pertinents. Pour ce faire, les SMA limitent délibérément le périmètre, les accès et la formation à l’expertise métier de chaque agent, tout en améliorant l’évolutivité grâce à l’exécution modulaire des tâches. Les SMA sont très prometteurs, mais à mesure que les organisations confient les « clés du royaume » à l’IA agentique, cette promesse s’accompagne d’une avalanche de défis en matière de sécurité. Derrière cette promesse se cache un danger : l’élargissement des surfaces d’attaque et la nécessité de repenser la sécurité, la confiance et la responsabilité au sein des systèmes d’IA agentique.

Que sont les systèmes multi-agents ?

Fondamentalement, les systèmes multi-agents (MAS) constituent un cadre permettant de créer des systèmes d’IA agentique distribués. Au lieu de s’appuyer sur des agents d’IA monolithiques capables d’accomplir de nombreuses tâches de manière sous-optimale, les MAS répartissent les tâches entre des agents spécialisés dans un ou quelques domaines seulement, souvent organisés en hiérarchies ou en groupes de sous-agents. Ces agents agissent de manière autonome, mais coopèrent pour atteindre des objectifs individuels et communs. Au sein des MAS, il convient de distinguer quelques grandes catégories d’agents :

• Super-agents – Orchestrateurs de flux de travail au sein d’un SMA. Leur degré de centralisation varie selon le cas d’usage, certains flux de travail simples de SMA accordant une autonomie égale à tous les agents.
• Agents de triage – Responsables de l’allocation des ressources, ils veillent à ce que chaque agent ait accès aux outils et aux ressources nécessaires pour exécuter efficacement ses tâches.
• Agents gardiens – Des validateurs qui constituent des niveaux de contrôle, vérifient l’exactitude des résultats et veillent au respect de l’intention de l’utilisateur.

Pourquoi les systèmes multi-agents sont-ils soudainement réalisables ?

Le concept de système distribué ou de groupe d’experts n’est pas nouveau, mais jusqu’à récemment, l’absence de normes uniformes pour la communication entre agents d’IA empêchait sa mise en œuvre. Grâce à l’introduction par Anthropic du Model Context Protocol (MCP), la récupération de données et l’accès aux outils dans différentes sources structurées reposent désormais sur une norme universelle. Par ailleurs, grâce au framework Agent-to-Agent (A2A) de Google, les agents d’IA disposent désormais d’un cadre indépendant des modèles pour communiquer avec d’autres agents en langage naturel. En termes simples, MCP permet la communication entre les agents et les données, tandis qu’A2A permet la communication entre agents.

Trois raisons pour lesquelles l’adoption des systèmes multi-agents est imminente

Les principaux obstacles à l’obtention d’un retour sur investissement positif avec l’IA agentique sont la précision, le coût et la capacité à passer à l’échelle. Malgré les inévitables complexités qu’ils introduiront, les systèmes multi-agents (MAS) constituent l’un des mécanismes les plus prometteurs pour optimiser ces trois aspects :

1. Précision – Les agents spécialisés ajoutent une couche modulaire de réduction des risques et d’assurance qualité, qui peut être adaptée aux besoins du flux de travail. En limitant le périmètre de responsabilité de chaque agent, les systèmes multi-agents (MAS) réduisent le risque d’hallucinations ou d’interprétations erronées par rapport aux modèles monolithiques (Yang et al., 2025).
2. Coût – Bien que les coûts d’entraînement de nombreux agents spécialisés par rapport à un agent généraliste puissent varier, le coût de l’inférence dans un environnement de système multi-agents (MAS) distribué est probablement réduit grâce à des niveaux plus faibles de redondance et de traitement excessif (Gandhi, Patwardhan, Vig, & Shroff, 2024).
3. Évolutivité – Les systèmes multi-agents transforment la manière dont l’évolutivité est mise en œuvre dans les écosystèmes d’IA. Au lieu de remplacer ou de réentraîner des systèmes entiers, il est possible d’ajouter des agents de façon modulaire afin de répondre à de nouveaux besoins métier à moindre coût

Quand les SMA fonctionnent bien

Appuyons-nous sur le schéma ci-dessous pour étudier un cas d’usage hypothétique. Imaginez que vous êtes conseiller financier et que votre cliente, Alice, souhaite recevoir des rapports personnalisés sur les performances de son portefeuille.

Le super-agent reçoit l’invite, détermine l’intention globale et fait appel à l’agent de triage pour identifier les ressources nécessaires. L’agent de triage ou le moteur basé sur des règles décide de faire appel à l’agent CRM pour obtenir le contexte propre à l’utilisateur, à l’agent de localisation pour déterminer le pays ou la région d’Alice, et à l’agent de portefeuille pour récupérer les données de la plateforme de trading. Avant que l’agent de triage ne procède à ces appels, l’agent de conformité vérifie les données et les outils auxquels l’accès est autorisé pour cette tâche.

Les systèmes multi-agents seront probablement adoptés pour les mêmes raisons que celles qui poussent la plupart des organisations à s’appuyer sur des environnements hybrides : lorsqu’il s’agit de trouver un équilibre entre performances, sécurité et maîtrise des coûts, la flexibilité prime sur la plupart des autres considérations.

Chacun de ces agents en aval dispose de hiérarchies et de groupes supplémentaires de sous-agents dédiés à des tâches spécifiques, telles que la personnalisation ou l’analyse de l’actualité. Certains fonctionnent de manière interconnectée, tandis que d’autres sont cloisonnés.

Une fois le rapport compilé, il est envoyé à l’agent chargé de la conformité afin de vérifier qu’il respecte toutes les exigences réglementaires, puis à l’agent de contrôle ou à un opérateur humain pour confirmer que le résultat est exact et conforme aux attentes du client. Le client bénéficie ainsi d’un livrable précieux, fiable et personnalisé.

Que se passe-t-il lorsque le MAS dysfonctionne ?

Imaginons que votre workflow MAS ne bénéficie pas du traitement optimal. Chaque connexion entre vos agents repose sur une API standard, un vecteur d’attaque courant auquel de nombreuses organisations restent exposées.

Votre prompt initial a été manipulé par une attaque par injection contenant des instructions visant à envoyer le rapport final d’Alice à l’adresse e-mail d’un attaquant. Cela ne devrait pas poser de problème si l’agent de conformité le détecte, mais une connexion API non sécurisée permet une attaque par usurpation d’identité. En se faisant passer pour l’agent de conformité, l’attaquant autorise les agents en aval à accéder au compte bancaire et aux informations de carte de crédit d’Alice, et lève des restrictions supplémentaires.

En l’absence de garde-fous, les agents connaissent une escalade exponentielle de leurs privilèges, si bien que tout ce qui est accessible finira par être consulté. L’agent de personnalisation pourrait désormais estimer que le solde du compte d’épargne d’Alice constitue un élément de contexte pertinent, ou l’agent d’analyse financière pourrait considérer à tort que des algorithmes de trading propriétaires et des accords de partenariat sont des données utiles pour les agents voisins.

Lorsque le résultat parvient à l’humain dans la boucle ou à l’agent gardien pour validation, il semble exact et conforme à l’intention de l’utilisateur. Pourtant, il en résulte une propagation excessive de la confiance, une divulgation d’informations et une élévation des privilèges entre les différentes connexions. Une simple requête aura suffi pour éroder la confiance de nos clients et de nos partenaires, et exposer d’innombrables vulnérabilités.

La réalité se situe quelque part entre précision et péril

Le fonctionnement courant des systèmes multi-agents se situe à mi-chemin entre ces deux exemples : la précision des résultats augmente sensiblement, mais la sécurisation de la surface d’attaque devient nettement plus difficile. Bien que des applications entièrement agentiques soient désormais techniquement réalisables, la mise en œuvre la plus pragmatique de ces systèmes sera en grande partie hybride, intégrant à la fois des infrastructures existantes et des composants d’IA. Cette transition ne se fera pas du jour au lendemain, mais la complexité de la question exigera une collaboration proactive entre les différentes parties prenantes afin de concevoir des systèmes agentiques qui créent de la valeur pour l’entreprise sans engendrer plus de risques que de bénéfices.

Guide pratique de protection

Tout au long de l’histoire des applications modernes, on observe un cycle récurrent de consolidation et d’hybridation. Les entreprises commencent souvent par s’appuyer entièrement sur des plateformes monolithiques, avant d’évoluer vers des portefeuilles hybrides offrant un meilleur équilibre entre besoins fonctionnels et coûts. L’IA agentique suivra probablement la même trajectoire. L’enthousiasme initial pour les plateformes monolithiques cédera la place à un écosystème distribué d’applications et d’API couvrant les environnements sur site, SaaS et edge, avec l’inévitable prolifération d’outils que nous connaissons aujourd’hui. En anticipant ce cycle, les organisations peuvent prendre des mesures proactives pour se préparer aux workflows pilotés par des systèmes multi-agents (MAS) et à l’avenir distribué de l’IA.

1. Sécurisez vos API – Avec l’essor des connexions MCP et des systèmes agentiques, la sécurisation des API devient plus cruciale que jamais. Les solutions doivent couvrir de manière exhaustive toutes les API, connues ou inconnues, détecter dynamiquement les vulnérabilités et offrir une visibilité continue.
2. Exiger un comportement explicable – Bien que la « boîte noire » de l’IA existe toujours, les agents dont le périmètre est volontairement limité peuvent être associés à un comportement explicable programmable afin d’améliorer la traçabilité des hallucinations et des résultats préjudiciables. Les résultats des agents doivent être consignés, et tout comportement problématique doit être signalé pendant l’exécution, puis analysé afin d’empêcher toute prolifération non autorisée.
3. Établir des politiques pour l’intervention humaine (HITL) – Utilisée pour les tâches où de mauvaises décisions auraient de lourdes conséquences, la gouvernance humaine est nécessaire pour assurer la conformité et traiter les cas particuliers dépourvus de protocoles établis. Les agents de contrôle ne remplacent pas l’intelligence humaine et peuvent constituer une cible attrayante pour les attaquants. Pour éviter les goulets d’étranglement, les systèmes traditionnels fondés sur des règles et intégrant une intervention humaine restent la méthode la plus sûre pour maintenir le risque sous un seuil donné. En deçà des seuils établis, il est préférable de recourir avec parcimonie aux agents de contrôle afin de réduire davantage les risques. Les organisations devront toutefois mettre en balance la réduction des risques apportée par un agent et le pire scénario possible, à savoir la compromission de cet agent.
4. Appliquer le principe de confiance zéro aux données sensibles – Appliquez le principe du moindre privilège afin de limiter les données auxquelles les agents peuvent accéder et qu’ils peuvent partager, vérifiez en permanence les autorisations pour empêcher toute élévation de privilèges et partez du principe qu’une compromission est possible à chaque étape et pour chaque agent.
5. Consolider les outils disparates – Alors que des agents en pleine prolifération viennent s’ajouter à la multitude d’outils existants, les solutions disparates ne permettent plus d’assurer une observabilité suffisante. Les organisations doivent investir dans des plateformes de sécurité unifiées qui regroupent les outils et offrent aux professionnels de la sécurité la visibilité nécessaire pour maintenir une posture de sécurité robuste face à cette nouvelle surface d’attaque élargie.

Le red teaming ne suffira pas à endiguer la prolifération des agents

Les systèmes produisant des résultats non déterministes ne peuvent pas être sécurisés à l’aide de solutions déterministes. Les pratiques de test conventionnelles reposant sur des résultats déterministes ne permettent pas de traiter correctement une technologie dont les résultats varient d’une itération à l’autre. Si l’on ajoute à cela le fait qu’une seule organisation a peu de chances de posséder ou de contrôler la majorité des API ou des agents d’un workflow, les systèmes multi-agents (MAS) exigent une approche plus globale de la sécurité.

Les systèmes multi-agents gagnent en précision au prix d’une complexité accrue. Chaque nouvelle connexion introduit des risques, chaque frontière de confiance ajoute une vulnérabilité et chaque agent élargit la surface d’attaque. Toutefois, à bien des égards, les nouvelles règles restent les mêmes qu’auparavant : leur respect est simplement plus crucial aujourd’hui. Sécuriser les API, appliquer le principe de confiance zéro et surveiller le comportement des systèmes sont des pratiques fondamentales qui deviennent de plus en plus urgentes à mesure que l’adoption des systèmes multi-agents s’accélère.

Même si l’adoption généralisée ne se fera pas du jour au lendemain, préparer votre infrastructure de sécurité à cette éventualité permettra à votre organisation non seulement d’être prête pour les systèmes multi-agents (MAS), mais aussi de mieux faire face aux menaces auxquelles les systèmes modernes sont de plus en plus exposés.

Les déploiements d’IA ont déjà élargi la surface d’attaque, et les systèmes que vous sécurisez aujourd’hui constitueront demain le socle de vos défenses. À mesure que vous déployez des applications d’IA à grande échelle, découvrez comment F5 fournit et sécurise les applications d’IA partout dans le monde.