Pour Amazon, votre agent IA n'est pas vous
En bref
Vous demandez à un agent IA d'acheter quelque chose sur Amazon.
Vous vous connectez.
Vous approuvez l'achat.
Qui d'autre doit donner son accord ?
Amazon, apparemment.
Moins de deux semaines après le lancement de Muse par Meta, Amazon a bloqué l'accès de l'agent à sa boutique. Les utilisateurs qui essaient aujourd'hui voient un avertissement indiquant qu'un agent IA non autorisé enfreint les conditions d'utilisation d'Amazon.
Amazon a déclaré à GeekWire que Meta ne l'avait pas prévenu avant que Muse commence à accéder à la boutique, que l'agent ne s'identifiait pas pendant sa navigation et que sa gestion des identifiants de compte créait des risques de confidentialité et de sécurité. Meta n'a pas commenté le blocage.
Cela ressemble à une querelle de produits.
C'en est une.
Amazon possède ses propres agents de shopping. Meta veut que Muse devienne l'agent utilisé partout. Les deux entreprises préféreraient contrôler l'interface entre l'intention et le paiement.
Mais ce conflit dépasse deux géants qui protègent leur territoire.
Il révèle le contrat manquant sous l'économie des agents :
Un utilisateur peut autoriser un agent.
Le service de l'autre côté peut toujours refuser de reconnaître cette délégation.
L'utilisateur dit : « Muse, c'est moi. »
Amazon répond : « Non. »
Ce désaccord va réapparaître partout où les agents essaieront d'agir.
L'autorisation de l'utilisateur n'est qu'une autorisation
Meta a présenté Muse comme un agent personnel fonctionnant dans une machine virtuelle dédiée, avec son propre navigateur, capable de remplir des formulaires, de négocier, de réserver des voyages et de demander une confirmation avant les actions sensibles comme un achat.
Meta affirme que Muse ne peut voir ni les mots de passe ni les moyens de paiement. Les identifiants saisis par l'utilisateur sont placés dans un stockage sécurisé. Un agent Sentinel séparé examine les actions sortantes, et l'utilisateur dispose d'une trace complète des opérations.
Ce sont de vrais contrôles.
Ils répondent à un côté du problème :
L'utilisateur a-t-il autorisé l'agent ?
Amazon en pose un autre :
Le service a-t-il autorisé l'agent ?
Ce n'est pas la même question.
Si je donne mon badge de bureau à un assistant pour qu'il récupère un document, je lui délègue une autorité. Le bâtiment peut quand même exiger qu'il s'identifie, passe par l'accueil, accepte un accès limité ou reparte.
Les agents navigateurs brouillent aujourd'hui cette distinction parce qu'ils utilisent des interfaces conçues pour les humains. Ils peuvent passer par le même compte, les mêmes cookies, les mêmes pages et le même checkout que la personne qui les envoie.
Pour l'utilisateur, l'agent ressemble à un outil.
Pour le site, il peut ressembler à un tiers non déclaré qui opère dans le compte d'un client.
Les deux descriptions peuvent être vraies.
C'est le centre inconfortable de ce conflit.
Amazon protège ses clients et son moat
Les inquiétudes d'Amazon ne sont pas imaginaires.
Un agent externe présent dans un compte authentifié peut voir des adresses, l'historique des commandes, des recommandations, des parcours de paiement enregistrés, des abonnements, des avis et des données comportementales. Un agent mal sécurisé pourrait exposer ces informations. Un agent compromis pourrait passer des commandes, aspirer des pages privées, manipuler des retours ou créer des litiges qu'aucune des deux entreprises n'est prête à assumer.
Amazon doit aussi distinguer un agent légitimement délégué d'un vol d'identifiants ou d'une automatisation abusive. Une session de navigateur qui paraît normale ne prouve pas que le titulaire humain du compte se trouve devant le clavier.
Il existe une bonne raison de sécurité pour savoir ce qui entre dans la boutique.
Il existe aussi une excellente raison commerciale.
Les agents de shopping peuvent déplacer la découverte des produits hors des classements, des publicités, des recommandations et de l'interface d'Amazon. Si Muse reçoit l'intention, compare les options, choisit le produit et gère le paiement, Amazon risque de devenir une infrastructure logistique derrière la relation client de Meta.
Amazon ne s'oppose pas à ce modèle par principe.
Amazon exploite le même modèle.
Son agent Buy for Me achète des produits sur les sites d'autres marques lorsqu'ils ne sont pas disponibles dans sa boutique. Amazon affirme que le système s'identifie auprès des marques, utilise des données client chiffrées et laisse les marques choisir de participer. Son programme Shop Direct permet aux marchands de fournir leurs flux produits ou de refuser le programme.
La position d'Amazon est donc à la fois cohérente et très pratique.
Les agents tiers doivent s'identifier et respecter la décision de la destination.
L'agent d'Amazon visite les autres boutiques selon les règles d'Amazon.
Les autres agents visitent Amazon selon les règles d'Amazon.
La sécurité et l'intérêt commercial partagent le même panier.
Le droit n'a pas réglé la question produit
Amazon a déjà mené cette bataille.
L'entreprise a poursuivi Perplexity à propos de Comet, en affirmant que l'assistant du navigateur continuait d'accéder à des comptes Amazon protégés par mot de passe après avoir reçu l'ordre de s'arrêter.
En août, la cour d'appel du neuvième circuit a annulé une injonction préliminaire contre Perplexity. Selon la cour, Amazon n'avait probablement pas démontré que Perplexity avait lui-même accédé à ses systèmes au sens des lois fédérale et californienne contre le piratage. Dans cette lecture, c'était l'utilisateur qui accédait à Amazon avec l'assistant comme outil.
Cela ressemble à une victoire pour l'idée selon laquelle « mon agent, c'est moi ».
La décision était plus étroite.
La cour a explicitement précisé qu'elle n'empêchait pas Amazon de réglementer l'accès par ses conditions d'utilisation privées. Elle a rejeté une théorie fondée sur les lois anti-piratage au stade d'une injonction préliminaire. Elle n'a pas créé un droit universel pour les agents d'entrer dans chaque service accessible à leurs utilisateurs.
Le conflit pratique descend donc d'un étage.
Loin des grandes accusations de piratage.
Vers les contrats, les contrôles produit, l'identification technique, le consentement des marchands, la suspension des comptes et le pouvoir de celui qui possède la destination.
Amazon peut bloquer Muse aujourd'hui sans attendre une théorie définitive de la personnalité juridique des agents.
C'est peut-être la leçon la plus importante pour les builders.
L'économie des agents sera gouvernée par le code et les conditions d'utilisation bien avant que les tribunaux produisent une doctrine propre.
Le web a besoin de délégation, pas de déguisement
La mauvaise version de ce futur est un concours permanent de déguisements.
Les entreprises d'agents rendent leurs navigateurs plus humains.
Les sites construisent de meilleurs systèmes de détection.
Les agents changent d'infrastructure et de comportement.
Les sites ajoutent plus de friction pour tout le monde.
Les clients résolvent davantage de CAPTCHA pendant que les plus grandes entreprises négocient des accords d'accès privés.
Très intelligent. Excellente utilisation de la technologie.
La meilleure version est une couche de délégation explicite.
Lorsqu'un agent arrive, le service devrait pouvoir vérifier :
- quel agent agit
- quelle entreprise l'opère
- quel utilisateur l'a envoyé
- quelle action l'utilisateur a approuvée
- quelles données l'agent peut recevoir
- combien il peut dépenser
- combien de temps l'autorisation reste valable
- où se trouve le journal d'audit
- qui gère la fraude, les retours et les litiges
- comment le service peut limiter ou révoquer l'accès
C'est plus qu'un user-agent dans un header.
Un agent peut déclarer n'importe quel nom dans son navigateur. La version utile exige une identité cryptographique, une autorité limitée, des requêtes signées, des identifiants révocables et des reçus que les deux parties peuvent examiner.
Cette infrastructure n'est pas de la science-fiction. AWS prend déjà en charge l'authentification cryptographique de certains trafics agentiques, précisément pour fournir une identité, un accès au moindre privilège et de l'auditabilité.
Le commerce aura besoin d'un contrat équivalent au niveau de la transaction.
Pas « fais semblant d'être Arthur ».
Plutôt :
« Muse agit pour Arthur, peut acheter cet article jusqu'à ce montant, peut recevoir cette adresse pour la livraison, ne peut pas lire l'historique des commandes, et cette autorisation expire dans dix minutes. »
C'est moins magique qu'un agent parcourant le web comme une personne.
C'est aussi ainsi que le web acceptera de le laisser entrer.
Ce que les builders doivent retenir du blocage
Ne construisez pas un agent navigateur en supposant que les identifiants de l'utilisateur règlent la question de l'accès.
Ce n'est pas le cas.
Si votre produit dépend de sa capacité à se faire passer silencieusement pour un humain, il dépend de l'échec de la destination à le remarquer, ou de son choix de ne pas s'en soucier. Ce n'est pas une intégration. C'est une situation temporaire.
Préparez l'identification de l'agent.
Utilisez des tokens limités lorsque les services les proposent. Gardez les identifiants hors de la vue du modèle. Enregistrez séparément l'approbation de l'utilisateur et les actions de l'agent. Prévoyez un passage de relais lorsqu'un service bloque l'automatisation. Donnez à l'autre partie assez d'informations pour enquêter sur une mauvaise transaction sans exposer tout l'historique de l'utilisateur.
Et partez du principe que la destination a ses propres intérêts.
Certains services accueilleront les agents externes parce qu'ils apportent de la demande.
Certains feront payer l'accès.
Certains préféreront leurs propres agents.
Certains autoriseront la recherche, mais pas l'achat.
Certains diront non.
Ce n'est pas un détail d'implémentation temporaire autour du glorieux futur agentique.
C'est la structure de marché de ce futur.
Meta a conçu Muse pour agir au nom de l'utilisateur.
Amazon vient de rappeler à tout le monde qu'agir au nom de l'utilisateur ne fait pas de l'agent l'utilisateur.
La prochaine génération d'agents n'aura pas seulement besoin de l'autorisation des personnes qui l'envoient.
Elle aura besoin de conditions d'entrée dans les lieux où elle se rend.