Les entreprises ne disent jamais ce qu’elles pensent, seulement ce qu’elles ont décidé de faire savoir, dans une langue polie par les juristes. D’où la valeur probatoire des documents internes : le mémo de planification, écrit pour quinze lecteurs, ignore les précautions du communiqué.
Le 2 juin 2026, à l’ouverture de sa conférence Build, Microsoft a présenté Scout, premier représentant d’une catégorie baptisée Autopilot : des agents qui ne s’arrêtent jamais, observent le poste de travail et déclenchent seuls les actions autorisées. Le même jour, 404 Media publiait un document interne consacré à ce produit, alors nommé ClawPilot, décrivant trois phases allant de l’application addictive à la plateforme agentique. Titre de la première : rendre les gens accros.
Restent à reprendre ce que Scout fait et sur quelle brique il repose, le risque que recouvre l’expression agent permanent, la chronologie d’un revirement que les équipes de sécurité de l’éditeur rendent embarrassant, l’économie qui le soutient et la portée juridique du mot accro en Europe.
Un agent permanent branché sur la suite bureautique
Ce qu’Autopilot désigne et ce que Scout sait faire
En novembre 2025, la vision d’un Windows agentique travaillant pour le compte de son utilisateur sur toutes les tâches imaginables avait reçu un accueil glacial d’un public qui réclamait d’abord un système stable et fiable. L’éditeur a entendu, promis un retour aux fondamentaux et tenu jusqu’ici : la barre des tâches a retrouvé sa liberté. Le chantier de l’IA, lui, n’a pas ralenti, porté par les milliards engloutis dans les infrastructures et les modèles maison.
Build 2026 a dévoilé de nouveaux modèles, dont MAI-Thinking-1, premier modèle de raisonnement maison, et une catégorie de logiciels : des « always-on agents that work autonomously, with their own identity, and act on your behalf », opérant « across cloud, desktop, and web ». Branché sur Teams, Outlook, OneDrive et SharePoint, mais aussi sur les contacts, le calendrier et les courriels, Scout repère les réunions qui comptent, cale des rendez-vous, réserve du temps pour boucler un projet, prépare les pièces d’une réunion, avertit qu’un arbitrage s’éternise au point de menacer une échéance.
Une application locale, et déjà un millier d’utilisateurs
La différence avec Copilot n’est pas de puissance mais de posture : l’agent n’attend pas la question, apprend la façon de travailler de l’utilisateur, ses projets importants et ses tâches récurrentes, et reçoit une identité propre qui rend ses actions traçables. C’est aussi une application locale, qui accède au système de fichiers, aux navigateurs et à des serveurs MCP, s’appuie sur la couche Work IQ et sur des mémoires persistantes.
L’accès passe par le programme Frontier et exige un abonnement GitHub Copilot et une configuration Intune. Plus d’un millier de salariés de Microsoft s’en servent déjà, Satya Nadella compris, et l’aperçu privé s’ouvre à de nouveaux testeurs, avec des garde-fous convenus : identité contrôlée, validation humaine des actions critiques, journalisation, permissions limitées.
Ce que recouvre l’expression agent permanent
Tout ce que l’agent lit peut devenir une instruction
Un agent always-on est un processus qui lit en continu des contenus qu’il n’a pas produits, courriels, documents partagés, pages web, tout en détenant des identifiants persistants pour agir. Les deux propriétés réunies dessinent une surface d’attaque précise : l’injection de prompt croisée, où une consigne dissimulée dans un contenu tiers passe pour une instruction légitime du propriétaire. Entre lire et obéir, il n’y a pas de frontière naturelle.
Microsoft l’avait nommée dès le 16 octobre 2025, dans un billet signé Dana Huang, vice-présidente chargée de la sécurité de Windows : comptes d’agent distincts des comptes utilisateurs, privilèges minimaux et révocables, espace de travail isolé, journalisation distinguant l’agent de l’humain, fonctionnalité désactivée par défaut.
L’identité de l’agent, garantie affichée et problème neuf
L’identité dont se prévaut Scout n’est pas une métaphore : chaque agent « operates under its own governed Entra identity, not a shared, anonymous service account », soit un objet de l’annuaire, avec jetons et journaux d’audit. Mais cette population non humaine croîtra plus vite que les effectifs, et la traçabilité ne vaut que si quelqu’un lit les journaux. À ce volume, ce sera un autre agent.
Trois mois et demi entre l’interdit et le produit
Ce que l’équipe Defender écrivait le 19 février
Scout repose sur la technologie open source OpenClaw. Le 19 février 2026, l’équipe Microsoft Defender Security Research lui consacrait un billet au verdict sans nuance : la technologie « should be treated as untrusted code execution with persistent credentials » et n’est « not appropriate to run on a standard personal or enterprise workstation ». Deux chaînes d’approvisionnement y convergent, du code non fiable via les compétences téléchargées depuis ClawHub, des instructions non fiables via l’injection de prompt.
L’échelle du problème, enfin chiffrée
SecurityScorecard avait donné l’ordre de grandeur dix jours plus tôt : 40 214 instances exposées sur Internet, sur 28 663 adresses IP uniques, dont 63 % vulnérables et 12 812 exploitables à distance, la Chine devançant les États-Unis et Singapour, et 549 déjà rattachées à des compromissions connues. La faille CVE-2026-25253, notée 8,8, tenait à peu de chose : l’agent lisait une adresse de passerelle dans une requête et ouvrait la connexion sans rien demander, en transmettant un jeton.
C’est ce paysage que Microsoft dit vouloir assainir. « OpenClaw a démontré que les agents permanents fonctionnent. Nous allons leur ajouter la sécurité, la gouvernance et l’intégration Microsoft 365 », affirme désormais l’entreprise, après avoir tenu ce socle pour trop périlleux à exécuter tel quel sur un poste professionnel, du fait des droits qu’il réclame et de la latitude qu’il s’accorde. Entre les deux verdicts, un pilote maison diffusé sous le nom ClawPilot.
Un phénomène de six mois promu socle industriel
De Warelay à OpenClaw
La brique sur laquelle repose désormais la suite bureautique a six mois. Publiée le 24 novembre 2025 par l’Autrichien Peter Steinberger sous le nom de Warelay, elle est devenue Clawdbot, puis Moltbot le 27 janvier 2026 après une demande d’Anthropic invoquant la marque Claude, puis OpenClaw le 29 janvier, jour de son billet de fondation. Celui-ci revendiquait 100 000 étoiles GitHub et deux millions de visiteurs en une semaine, et cherchait comment « pay maintainers properly—full-time if possible » ; elles sont 247 000 au 2 mars 2026, pour 47 700 forks. Le projet est devenu l’étalon d’un secteur agité, celui des agents qui pilotent des logiciels, remanient des fichiers et interrogent des services sans jamais s’interrompre, leurs compétences s’installant depuis ClawHub, son registre public.
Un commun désormais adossé à un concurrent
La gouvernance a changé de main entre-temps. Le 14 février 2026, Steinberger annonçait son arrivée chez OpenAI, où Sam Altman lui confie la prochaine génération d’agents personnels, en promettant que le projet resterait sous licence libre et passerait sous l’égide d’une fondation à but non lucratif. Meta prépare son alternative maison, Hatch.
Loin d’écarter ce socle, l’éditeur promet d’alimenter lui-même un commun placé sous le patronage de son partenaire devenu rival, en y versant sa brique de conformité : une organisation pourra vérifier sa configuration et en obtenir une réponse opposable en audit. En mars 2026, les autorités chinoises restreignaient l’usage du logiciel sur les postes des entreprises d’État et des administrations.
Le moteur est gratuit, l’anneau de contrôle est facturé
Le revirement se lit mieux comme une banalisation que comme une conversion : le runtime agentique devient un commun, la gouvernance devient le produit. Étendre aux agents les fonctions de sécurité de l’annuaire suppose, selon la documentation d’Entra Agent ID, une licence Microsoft 365 E7 ou une licence E5 plus une licence Agent 365 par utilisateur, à quoi Scout ajoute l’abonnement GitHub Copilot. Rendre les gens dépendants d’un outil quotidien est la première moitié du mouvement ; la seconde s’écrit en licences.
Le précédent Teams et le recouplage par l’agent
Le 12 septembre 2025, la Commission européenne rendait contraignants les engagements de l’éditeur sur Teams : suites vendues sans Teams à un prix inférieur, interopérabilité et portabilité, pour sept à dix ans, sous la sanction que le droit européen attache au manquement à un engagement contraignant, jusqu’à 10 % du chiffre d’affaires mondial. Moins de neuf mois plus tard, un agent branché sur Teams, Outlook, OneDrive et SharePoint repose la même question de couplage, un étage au-dessus.
Là où l’addiction à une messagerie grand public capte du temps d’attention, la dépendance à un agent de travail produit un coût de sortie : si l’agenda, les arbitrages et les documents d’une organisation transitent par lui, changer de suite cesse d’être un achat pour devenir un projet de transformation.
Le mot accro et la ligne tracée par le droit européen
Ce que contient le plan interne
Le document publié par 404 Media s’intitule « ClawPilot: Overview and Plan with Project Lobster » et décrit « three phases from addictive app to agentic platform ». La première porte un titre sans ambiguïté, « Make people addicted », et un objectif limpide : installer l’outil dans la journée de travail avant d’en faire le socle sur lequel tout le reste viendra se brancher.
Les auteurs tirent des tests internes une satisfaction chiffrée, une « utilisation quotidienne, avec un fort taux de rétention et une forte intensité d’usage (conversations, requêtes, flux de travail, compétences) », et se félicitent d’une adoption spontanée : « ClawPilot est devenu de manière organique l’un des outils internes les plus demandés chez Microsoft. Sans annonce officielle, sans marketing, sans campagne de déploiement à l’échelle de l’entreprise. »
Manipulation interdite ou persuasion licite
Depuis le 2 février 2025, l’article 5 du règlement européen sur l’intelligence artificielle interdit deux catégories de systèmes : ceux qui déploient des techniques subliminales ou « purposefully manipulative or deceptive techniques » altérant substantiellement le comportement, et ceux qui exploitent les vulnérabilités liées à l’âge, au handicap ou à une situation économique.
Les lignes directrices de la Commission du 4 février 2025, non contraignantes mais destinées aux autorités nationales, tracent la frontière : la persuasion licite est transparente et facilite un consentement éclairé ; bascule dans l’interdit la technique imperceptible qui atteint la capacité de décider en connaissance de cause. Reste une question ouverte : un logiciel vendu à un employeur, dont l’usager final n’est pas le client, entre-t-il dans ce périmètre ?
Ce que la recherche a mesuré, et ce qui reste ouvert
Le mot accro appelle les précautions que la littérature impose, et ce qui est mesuré l’a été par Microsoft. Présentée à CHI en avril 2025 avec Carnegie Mellon, une enquête auprès de 319 travailleurs du savoir portant sur 936 cas d’usage réels établit que plus la confiance dans l’outil est élevée, moins l’effort de pensée critique est engagé, la confiance en soi produisant l’effet inverse. La même maison documente l’érosion du jugement et planifie la dépendance quotidienne.
Le communiqué du 2 juin, signé d’Omar Shahine, vice-président chargé de Scout, ne dit pas un mot de ce vocabulaire. L’assumer reviendrait à revendiquer une stratégie de rétention devant des autorités qui interdisent les techniques manipulatrices ; le désavouer supposerait d’expliquer comment un plan validé en interne a pu porter cet intitulé ; se taire laisserait le document parler seul.
Le décalage entre les deux textes du 2 juin ne tient pas au seul écart entre un communiqué et une note de travail. Il expose une architecture cohérente : un moteur ouvert de six mois, dont les instances exposées se comptaient par dizaines de milliers, encadré par une couche de conformité facturée au siège, diffusé par une adoption que le plan revendique.
Que chaque acteur de l’IA travaille à faire de son service une présence quotidienne n’a rien d’une révélation ; c’est le modèle d’affaires déclaré du secteur. Ce que change une formule aussi explicite, c’est qu’elle transforme une tendance en intention documentée, quand l’Europe se dote d’instruments contre les conceptions addictives.
Le pari technique, lui, sera arbitré par des faits vérifiables. Le cadre fixé en octobre 2025 offre une grille que le produit peut tenir ou non. S’il la tient, l’industrialisation d’un projet communautaire aura fait progresser la sécurité d’un écosystème entier, et les licences auront financé les mainteneurs que le projet cherchait en janvier. Sinon, quarante mille instances mal configurées auront trouvé leur version d’entreprise.
Aller plus loin
La source primaire vaut pour ses silences autant que pour ses affirmations : le billet d’annonce de Microsoft Scout sur le blog Microsoft 365 pose la définition d’un Autopilot et la promesse d’une identité gouvernée par agent, sans un mot sur le coût ni sur les données lues.
Vient la pièce à charge : dans Running OpenClaw safely: identity, isolation, and runtime risk, l’équipe Defender décrit les deux chaînes d’approvisionnement qui convergent, le code et les instructions, et conclut qu’un poste de travail ordinaire n’est pas le lieu pour exécuter cela.
L’enquête d’origine, Microsoft Wants to Make People Addicted to its New AI Assistant, donne le titre du document interne, ses trois phases et le libellé de la première. Payante en partie, elle vaut par la citation littérale : c’est le vocabulaire, plus que la stratégie, qui fait l’événement.
Les ordres de grandeur manquants sont dans Researchers Find 40,000+ Exposed OpenClaw Instances, tiré du recensement de SecurityScorecard : 40 214 instances, 28 663 adresses IP, 63 % vulnérables, 12 812 exploitables à distance, la Chine en tête.
L’histoire se lit dans le texte de fondation du projet, Introducing OpenClaw, qui raconte la valse des noms, la demande d’Anthropic, les cent mille étoiles et les deux millions de visiteurs d’une semaine, et pose la question du financement des mainteneurs.
Ce que signifie donner une identité à un agent est détaillé dans la documentation Qu’est-ce que Microsoft Entra Agent ID ? : plans d’identité, relations parent-enfant, jetons OAuth 2.0, protocoles MCP et A2A. La grille de licences qui la clôt dit le modèle économique.
Le cadre que l’éditeur s’était imposé sept mois et demi avant Scout figure dans Securing AI agents on Windows, signé par la responsable de la sécurité de Windows : comptes d’agent distincts, privilèges minimaux, espace isolé, journalisation séparant l’agent de l’humain.
Le texte à lire mot à mot quand un plan interne parle de rendre les gens accros est l’article 5 du règlement européen sur l’intelligence artificielle, applicable depuis février 2025, qui prohibe les techniques manipulatrices altérant le comportement et l’exploitation des vulnérabilités socio-économiques.
Le précédent le plus transposable tient dans la décision par laquelle la Commission a rendu contraignants les engagements de Microsoft sur Teams : découplage tarifaire, interopérabilité et portabilité pour sept à dix ans.
Le contrepoint scientifique vient de la maison elle-même, avec The Impact of Generative AI on Critical Thinking, présentée à CHI 2025 : 319 travailleurs du savoir, 936 cas d’usage, et un lien établi entre confiance élevée et effort critique réduit.
Mis bout à bout, ces documents décrivent moins une contradiction qu’une division du travail. Une équipe de sécurité analyse un projet communautaire et conclut à la quarantaine ; une équipe produit constate son adoption interne et planifie la dépendance ; une équipe de recherche mesure l’érosion du jugement ; une direction juridique compose avec un règlement qui interdit la manipulation. Aucune n’est fausse, et le produit annoncé le 2 juin les contient toutes. Ce qui manque, c’est la phrase par laquelle l’entreprise dira laquelle elle assume.