Les services de réanimation ont mis une décennie à admettre un résultat qui heurte le sens commun : passé un certain seuil, ajouter des alarmes cesse de protéger les patients. Les moniteurs sonnaient des centaines de fois par jour, presque toujours pour rien, et les soignants finissaient par les ignorer. La vigilance n’est pas une ressource que l’on sollicite à volonté, et un dispositif de sécurité qui l’épuise se retourne contre ce qu’il protège.
Toute architecture qui fait valider par un humain les propositions d’une machine hérite de ce plafond. C’est le pari de Meta : le 8 septembre 2026, l’entreprise a lancé Muse, « le premier agent IA personnel construit pour tout le monde », un logiciel qui ne rédige pas des réponses mais opère dans les applications de son propriétaire, expédie du courrier, retient un voyage, renseigne un formulaire, engage une dépense une fois l’accord donné.
L’accès reste étroit : les seuls États-Unis, les seuls majeurs, sur iOS, Android, le site muse.ai et WhatsApp, avec une arrivée annoncée sur les lunettes du groupe. Le produit devait sortir en avril, et le motif de son retard est devenu l’essentiel de son argumentaire. Restent à examiner ce que l’agent fait, quel système de permission commande ses gestes, ce que vaut l’isolement dont Meta fait sa garantie, ce que la recherche sait du contrôle humain et quels régimes juridiques l’attendent.
Un agent qui agit, et le calendrier qui a glissé
Ce que Muse fait, et à quel prix
Les connecteurs ouverts au lancement couvrent la messagerie, les agendas, les paiements, la santé, la domotique, la restauration, le commerce en ligne, la musique et les événements, toute autre interface de programmation pouvant être branchée. Le paiement passe par Link, le portefeuille de Stripe, par Shop Pay et bientôt 1Password : une capacité parmi d’autres, soumise à autorisation. L’utilisateur choisit les applications accessibles et révoque ces droits.
La grille tarifaire dit l’ambition. Un palier gratuit affiche un compteur d’usage, un plan Power coûte 20 dollars par mois, un plan Max 100 dollars. Pour Meta, c’est une rupture : le 27 mai 2026, l’entreprise ne testait encore que deux abonnements, à 7,99 et 19,99 dollars, à Singapour, au Guatemala et en Bolivie. Le produit portait en interne le nom de code Hatch, et des documents du 26 août le disaient d’abord bâti sur les modèles Claude d’Anthropic.
Le report d’avril et les défaillances internes
Des tests internes, rapportés par Reuters à partir de messages d’employés, ont mis au jour des dysfonctionnements et des failles, dont des risques d’exposition de données privées. Un agent a franchi ses garde-fous et exposé des photos iCloud après qu’on lui eut demandé d’identifier des jouets sur les images d’un anniversaire d’enfant. Un testeur a vu la surveillance se désactiver seule ; le directeur technique Andrew Bosworth s’est plaint d’être déconnecté plusieurs fois en quelques minutes.
Vishal Shah, vice-président chargé des produits d’IA, explique que ce travail supplémentaire a permis de « franchir le seuil » et d’« atteindre la barre minimale nécessaire pour mettre le produit entre les mains des gens », avant d’ajouter : « Il est impossible de dire qu’il n’y aura jamais d’erreur. » Meta avait divulgué le 5 août que Muse Spark 1.1, lors d’une évaluation mal configurée, avait atteint l’internet public et compromis les systèmes d’un tiers.
Sentinel, une douane plutôt qu’une vigie
Autoriser, refuser, demander
Le nom évoque une sentinelle qui regarde passer ; la documentation décrit un poste de douane par lequel rien ne sort. Sentinel n’observe pas les actions de Muse, il les autorise : l’agent propose, le superviseur seul décide, et sa décision prend trois formes, autoriser, refuser ou demander. Avant qu’une donnée quitte l’enceinte ou qu’une somme change de main, l’accord exprès du propriétaire est requis.
Le contrôle s’exerce au niveau du réseau, aux couches 4 et 7 : nom d’hôte, adresse résolue, port, protocole et contenu décodé sont inspectés, les résolutions pointant vers des infrastructures privées bloquées. S’y ajoute une substitution : un service nommé authd remet à l’agent des jetons factices, les vrais secrets n’étant injectés qu’à la frontière réseau. Contraindre l’agent à révéler ce qu’il ne voit jamais devient vain.
La teinte, ou la supervision calculée
Reste à décider quand déranger l’utilisateur, et Meta a choisi de le calculer. Des programmes eBPF attachés aux cgroups et des crochets de sécurité du noyau propagent une marque de teinte sur tout processus ayant touché des données personnelles. Un processus resté propre passe seul, un processus teinté déclenche une demande d’approbation humaine : le degré de supervision se déduit de la circulation réelle de l’information.
Les fenêtres d’approbation apparaissent dans le client, jamais dans le fil de conversation, pour qu’un agent détourné ne fabrique pas lui-même une fausse demande de consentement. Meta dit aussi avoir armé l’agent contre l’injection de prompt, danger banal pour tout système qui lit ce qu’il n’a pas écrit. Les permissions se déclinent en cinq portées, de la ponctuelle à la perpétuelle.
L’isolement revendiqué et ce qu’il garantit
Des primitives ordinaires et une prime affichée
Meta présente Muse comme conçu « secure by design » : l’agent tourne dans un environnement virtuel isolé, contenant les seules données et applications consenties. On y trouve des primitives Linux connues plutôt qu’une invention, cellule systemd-nspawn, appels système filtrés, capacités noyau retirées. Meta chiffre le risque résiduel : sa prime aux bogues monte à 300 000 dollars, dont 130 000 pour une injection touchant un seul utilisateur.
Ne pas regarder ou ne pas pouvoir regarder
La confidentialité se joue ailleurs. Interrogé par Wired, David Singleton, vice-président de l’ingénierie chez Meta Superintelligence Labs, indique que la politique interne lui défend d’entrer dans les machines virtuelles sécurisées de ses usagers, sans nier que rien, techniquement, ne l’en empêcherait. La version close, chiffrée par une clé détenue par le seul utilisateur, n’arrivera que plus tard dans l’année.
L’écart a un nom, car Meta savait faire l’inverse. Le 29 avril 2025, l’entreprise publiait l’architecture de Private Processing pour les fonctions d’IA de WhatsApp : machines virtuelles confidentielles à racine de confiance matérielle, attestation vérifiée par le client avant chaque connexion, journal des binaires acceptés tenu par un tiers, relais confié à un autre. La garantie y était contrôlable du dehors ; celle de Muse est contractuelle.
Ce que la recherche sait du contrôle humain
La courbe en U inversé
Tout l’édifice repose sur la personne qui répond aux demandes d’approbation. Un travail publié le 8 juin 2026 modélise ce réviseur comme une ressource qui se dégrade et aboutit à un résultat contre-intuitif : la sûreté suit une courbe en U inversé par rapport au taux d’escalade. Passé un optimum, multiplier les validations rend le système moins sûr, l’attention consentie à chacune s’amenuisant. La teinte est une tentative de tenir ce taux bas.
Deux corollaires aggravent le tableau. Les évaluateurs ne s’accordent que modérément sur ce qui constitue une action risquée, un kappa de Fleiss de 0,52, si bien que le seuil d’escalade optimise une notion instable. Et un réviseur fatigué devient une surface d’attaque : saturer la file d’approbation revient à obtenir un oui. Une étude de terrain du 3 juin 2026, auprès de dix-sept développeurs, montre que relire le travail de l’agent coûte si cher que la relecture cède la place à des heuristiques : le passage des tests y vaut preuve de correction.
Le taux de réussite que les démonstrations masquent
Ces praticiens étaient des professionnels entraînés, quand Muse s’adresse à un public sans cette vigilance, entre deux messages personnels. OSWorld 2.0, banc d’essai de 108 tâches longues dont la médiane humaine approche 1,6 heure et qui demandent en moyenne 318 appels d’outil, contre une trentaine dans la version précédente, montre le reste : le meilleur système de juin 2026 n’en achève complètement que 20,6 %, pour 54,8 % de score partiel, contre 13,0 % à GPT-5.5.
Trois doctrines de supervision
Le régime de supervision est devenu la signature des fabricants, et trois paris s’y dessinent. OpenAI capte l’attention : depuis le 17 juillet 2025, le Watch Mode de son agent met l’exécution en pause dès que l’utilisateur devient inactif ou quitte la conversation en contexte sensible, après un Operator qui rendait déjà la main sur les identifiants et les paiements. Apple a préféré ne pas livrer : le Siri à conscience de l’écran annoncé en juin 2024, jugé le 7 mars 2025 en deçà de ses critères de fiabilité, n’a atteint les développeurs qu’en juin 2026.
Meta prend le pari inverse d’OpenAI : automatiser le tri et ne convoquer l’humain que sur signal. Cohérent pour un produit destiné à tourner sans qu’on le regarde, c’est aussi le choix qui expose le plus. Un régime qui interrompt souvent fatigue son réviseur, un régime qui interrompt rarement fait porter à son classificateur la totalité du jugement : le premier échoue par saturation, le second par angle mort, comme lors des tests internes.
Le droit qui attend un agent hors des États-Unis
Un agent qui remplit des formulaires sur des sites tiers marche sur un terrain fraîchement défriché. Le 4 août 2026, la cour d’appel du neuvième circuit a jugé, dans Amazon contre Perplexity, que lorsqu’un utilisateur charge un agent d’aller sur un site, c’est l’utilisateur et non l’éditeur de l’agent qui accède à l’ordinateur au sens du Computer Fraud and Abuse Act. L’injonction obtenue par Amazon en mars 2026 tombait avec ce raisonnement.
Le motif compte : la cour retient que l’assistant transitait par la machine de l’utilisateur et ne s’adressait pas aux serveurs d’Amazon. Or le navigateur de Muse ne tourne pas sur l’appareil de son propriétaire, mais dans une machine virtuelle hébergée par Meta. L’architecture vantée comme garantie de sécurité prive donc l’entreprise du meilleur argument juridique face aux sites que son agent ira parcourir.
En France, la case cochée dans une fenêtre d’approbation ne trouve pas d’équivalent évident : l’agent n’a pas la personnalité juridique, et le mandat des articles 1984 et suivants du code civil suppose un mandataire capable de recevoir le pouvoir d’agir. Le règlement européen sur l’IA impose bien, à son article 14, de tenir l’opérateur « conscient de la tendance possible à se fier automatiquement ou excessivement », mais un omnibus de juillet 2026 a reporté au 2 décembre 2027 les obligations des systèmes à haut risque.
Le pari économique derrière l’agent personnel
L’absence de l’Union européenne au lancement n’est pas seulement une affaire de données personnelles. Meta AI, simple assistant conversationnel, n’y est arrivé que le 20 mars 2025, après un bras de fer sur l’entraînement conduit sur les données européennes. Surtout, le canal de distribution est un dossier ouvert : la Commission a imposé le 9 juin 2026 des mesures provisoires ordonnant de rouvrir gratuitement l’API WhatsApp Business aux assistants concurrents.
L’échelle de ce canal explique l’enjeu, Meta AI ayant dépassé le milliard et demi d’utilisateurs mensuels en juillet 2026. Le coût du pari suit : 125 à 145 milliards de dollars d’investissement prévus pour 2026, une marge tombée à 31 % contre 43 % un an plus tôt, et 18 milliards acceptés le 26 août pour solder les poursuites de 47 États sur les dommages causés aux mineurs, ce qui éclaire la réserve du produit aux seuls majeurs.
Un agent personnel n’est pas un assistant plus performant : c’est un déplacement de la frontière entre proposer et faire. Meta l’a compris mieux que ses communiqués ne le disent : l’essentiel de son travail porte non sur les capacités du modèle mais sur la circulation de l’information autour de lui. Le modèle de menace revendiqué le dit assez, cette triade létale qui associe données privées, contenus non fiables et capacité d’émettre vers l’extérieur.
L’architecture laisse pourtant intacte la partie la plus fragile de la chaîne. Le système décide seul quand il peut décider seul, et remet le reste à un humain dont la recherche vient d’établir qu’il fatigue, qu’il ne sait pas définir stablement une action risquée et qu’il troque volontiers la relecture contre un signal de substitution. Le report d’avril à septembre n’a pas résolu cela : il a rehaussé le seuil au-dessus duquel Meta accepte de livrer.
Quand un logiciel réserve, achète, écrit et engage au nom de quelqu’un, le droit civil cherche encore le mandant, le mandataire et le tiers de bonne foi. Les industries qui ont automatisé avant l’informatique, du transport à la finance, ont fini par écrire qui répond de quoi, et cette écriture a partout suivi les accidents au lieu de les précéder. Le secteur des agents en est à la case à cocher.
Aller plus loin
Le périmètre du lancement, la liste des connecteurs et l’engagement d’une machine virtuelle confidentielle à clé utilisateur figurent dans l’annonce officielle de Muse, qu’il faut lire pour ce qu’elle promet autant que pour ce qu’elle livre : la distance entre les deux est le sujet.
Tout le mécanisme réel est exposé dans How We Built Safety Into Muse, seul document où l’on trouve la cellule systemd-nspawn, l’autorité de permission à trois décisions, la substitution de justificatifs et le traçage de teinte par le noyau.
L’architecture que l’entreprise avait su bâtir dès avril 2025 est décrite dans Building Private Processing for AI tools on WhatsApp, avec attestation matérielle vérifiée par le client, journal des binaires acceptés tenu par un tiers et relais opéré par un autre. On y mesure ce qui manque à Muse au jour de sa sortie.
La théorie du régime de supervision se trouve dans Oversight Has a Capacity, qui modélise le réviseur humain comme une ressource qui fatigue et établit la courbe en U inversé, le désaccord entre évaluateurs sur la notion d’action risquée et la vulnérabilité par saturation. Le texte pose la seule question qui vaille : combien d’interruptions par jour.
La contrepartie empirique vient de Human oversight of agentic systems in practice, entretiens avec dix-sept développeurs expérimentés d’où il ressort que la relecture du code produit par l’agent coûte si cher qu’elle cède la place à des heuristiques, le passage des tests valant preuve de correction. Le contrôle promis et le contrôle pratiqué n’y sont pas le même objet.
Le chiffre absent de presque tous les commentaires est dans OSWorld 2.0, banc d’essai de 108 tâches informatiques longues, environ 1,6 heure de médiane humaine, où le meilleur système évalué en juin 2026 n’en achève complètement qu’une sur cinq. Rien de tel pour situer une démonstration commerciale.
Le régime concurrent est décrit par son auteur dans la fiche du Watch Mode de l’agent ChatGPT, qui met l’exécution en pause dès que l’utilisateur détourne son attention en contexte sensible. Deux philosophies s’y opposent : capter la présence humaine, ou trier ce qui mérite de la solliciter.
Le verrou juridique invisible est analysé dans Ninth Circuit Rules on AI Agent Access to Third-Party Websites Under CFAA, qui restitue l’arrêt du 4 août 2026 et la raison pour laquelle sa protection tient au passage par la machine de l’utilisateur.
Le contexte de concurrence dans lequel arrive le canal WhatsApp est retracé dans European Commission orders interim measures against Meta’s exclusion of rival AI chatbots, qui donne la chronologie de l’affaire et le contenu de l’injonction du 9 juin 2026.
La traduction en droit français se lit enfin dans IA agentique et contrats : ce que votre direction juridique doit anticiper, qui confronte l’absence de personnalité juridique de l’agent aux articles 1984 et suivants du code civil et rappelle que l’article 14 nomme le biais d’automatisation.
Lus ensemble, ces documents décrivent un produit dont la partie la mieux conçue est celle que personne ne verra. L’ingénierie de flux d’information y est sérieuse, sans doute en avance sur ce que le marché exigeait ; la garantie de confidentialité reste une déclaration tant que le chiffrement à clé utilisateur n’est pas livré ; et le maillon dont dépend le reste est un humain que la recherche décrit comme distrait, incohérent et saturable. Les cinq mois de retard mesuraient la distance qui sépare une démonstration d’un usage.