Quand les modèles de langage manipulent le monde physique
Pendant plusieurs années, les interactions avec les modèles de langage se sont cantonnées à un écran de discussion : l'utilisateur soumettait une requête textuelle et l'intelligence artificielle renvoyait des phrases, du code ou des synthèses. Cette frontière s'estompe désormais. Comme l'ont rapporté des publications spécialisées telles que The Verge et TechCrunch, Google a confirmé l'intégration d'un serveur compatible avec le protocole MCP (Model Context Protocol) au sein de son écosystème Google Home.
Cette passerelle autorise des agents conversationnels tiers — qu'il s'agisse de Claude, d'architectures basées sur GPT ou d'agents autonomes — à interagir directement avec les objets connectés d'un logement ou d'un bâtiment. Concrètement, un agent logiciel ne se contente plus de suggérer une consigne : il peut actionner des verrous, régler des thermostats, consulter l'historique de capteurs de présence ou analyser les résumés générés par des caméras de surveillance. Ce passage de l'IA générative passive à l'IA dite « agentique » marque un changement de paradigme fondamental dans la façon dont les logiciels interagissent avec notre environnement quotidien.
Les mécanismes du standard MCP et les périls de l'action directe
Pour comprendre l'ampleur de cette évolution, il convient de clarifier le fonctionnement du standard Model Context Protocol, initialement introduit par Anthropic avant d'être adopté plus largement par l'industrie. Jusqu'ici, chaque développeur devait concevoir des connecteurs spécifiques pour permettre à une IA de communiquer avec une base de données ou un équipement domotique. Le protocole MCP établit une norme universelle d'échange : il expose à l'agent un catalogue d'outils standardisés, assorti de paramètres stricts et de descriptions de fonctions. Lorsqu'un utilisateur formule une demande, le modèle linguistique évalue quel outil déclencher et transmet une instruction structurée à l'infrastructure hôte.
Ce fonctionnement par appel d'outils (tool calling) confère aux agents une efficacité redoutable, mais transforme radicalement l'équation de la sécurité informatique. Dès lors qu'un système probabiliste dispose de privilèges d'écriture et de commande, la sécurité ne peut plus dépendre de simples consignes conversationnelles ou de filtres d'alignement. Le Centre national de cybersécurité britannique (NCSC) a rappelé à plusieurs reprises les risques majeurs posés par les injections indirectes de requêtes (indirect prompt injection). Dans ce scénario, une consigne malveillante dissimulée dans un flux de données externe — par exemple un courriel reçu ou une mention textuelle captée par une caméra — peut détourner l'agent de sa mission initiale pour lui faire exécuter des actions non autorisées, comme désactiver une alarme ou exfiltrer des journaux d'activité.
Le risque d'« agence excessive » (excessive agency), répertorié au sein du classement de sécurité de l'OWASP pour les applications d'IA, survient précisément lorsque les agents reçoivent des permissions trop larges sans validation humaine ou sans compartimentation déterministe. La robustesse d'un système agentique ne se mesure donc pas à l'éloquence de son modèle sous-jacent, mais à la sévérité des barrières architecturales qui bornent chaque action.
L'approche ProductivIA : l'orchestration cloisonnée par assistant_services
Cette transition vers des agents capables d'agir concrètement sur leur écosystème constitue l'axe de réflexion central de ProductivIA. Au sein de la plateforme souveraine québécoise, l'application Assistant ne fonctionne pas comme un chatbot isolé, mais comme un chef d'orchestre d'outils métiers. La divergence méthodologique réside cependant dans le refus absolu de concéder une liberté d'exécution non encadrée à l'intelligence artificielle.
Pour piloter les différentes applications sans compromettre la sécurité, ProductivIA s'appuie sur son protocole interne assistant_services. Chaque application de la suite (comme l'éditeur de documents, le module de messagerie ou le carnet de contacts) déclare formellement un ensemble limité d'actions exécutables, assimilable au principe des tubes de communication sous Unix. Lorsque l'Assistant doit accomplir une tâche multi-applicative — par exemple croiser une note issue d'une réunion avec un dossier documentaire pour préparer un message —, il n'accède jamais directement au système d'exploitation ni à des commandes système arbitraires. Il sollicite uniquement des contrats d'API déterministes dont les entrées, les sorties et les droits d'accès sont strictement délimités par le code applicatif.
Cette rigueur s'accompagne d'un impératif de transparence rendu visible à travers l'application Nuage. Toute modification de fichier, tout stockage de document et toute donnée générée par un agent sont consignés dans un espace de stockage structuré et auditable par l'utilisateur ou l'administrateur du silo. L'absence de dépendances externes complexes et la compartimentation par organisation empêchent les dérives d'exfiltration. Qu'il s'agisse de traiter des dossiers soumis aux obligations de la Loi 25 québécoise ou de gérer des flux d'entreprise, l'orchestration s'effectue sous supervision humaine : l'IA propose et prépare l'action dans un cadre balisé, mais l'infrastructure garantit que le modèle ne peut transgresser son périmètre.
Pour aller plus loin
L'émergence de protocoles normalisés comme MCP confirme que l'avenir des systèmes numériques repose sur la collaboration d'agents logiciels capables d'interagir avec des infrastructures concrètes. Cette autonomie accrue soulève toutefois des interrogations fondamentales : quels mécanismes de responsabilité juridique appliquer lorsqu'une commande physique erronée est initiée par une déduction probabiliste ? L'adoption de standards ouverts permettra-t-elle d'éviter l'enfermement propriétaire au profit d'architectures vérifiables et auditables par la collectivité ?