SOURCE 0 - LES AGENTS AUTONOMES ET LE VIDE PROBATOIRE
Auteur : Jean-François ELSEN (Senior Forensic Auditor · Judicial Specialist in Digital Evidence · DGSA)
Localisation : Bruxelles – Charleroi, Belgique
Organisation : Jean-François ELSEN ·jfelsen.com
Classification : Publication publique faisant autorité · Août 2026
Audience : Dirigeants, conseils d'administration, régulateurs, autorités de contrôle, directions juridiques, RSSI, responsables conformité, architectes de gouvernance IA, analystes forensiques, opérateurs d'infrastructures critiques, autorités publiques
Série : SOURCE 0 Doctrine Series
I. UN AGENT SUR LE POSTE
Depuis fin 2025, une catégorie de logiciels s'est installée dans les environnements d'entreprise plus vite que les cadres de gouvernance censés les surveiller : des agents IA autonomes exécutés localement, disposant d'un accès disque complet, de permissions terminal et de jetons OAuth, opérant depuis des messageries personnelles et exécutant des tâches — gestion de fichiers, modifications de code, actions sur calendrier et messagerie — sans confirmation humaine à chaque étape. Pour les besoins de cet article, la catégorie est définie de façon restrictive : exécution autonome sans confirmation humaine à chaque étape, possession d'identifiants permettant des opérations privilégiées sur l'hôte, et — dans plusieurs architectures documentées — la capacité à modifier son propre outillage ou son propre chemin de capture, y compris les mécanismes qui seraient sinon censés enregistrer son activité. L'un de ces agents est passé d'un projet personnel à un outil open-source largement déployé en quelques mois, atteignant, selon ses propres notes de version et des observateurs indépendants, plusieurs centaines de milliers d'installations et d'étoiles GitHub en quelques semaines. Cet article n'évalue pas la posture de sécurité de ce produit ; il utilise son historique d'incidents documenté et publiquement divulgué comme cas d'école d'une condition structurelle affectant la catégorie dans son ensemble — une architecture d'agent sans couche probatoire indépendante du système sur lequel elle opère, déployée à grande échelle, sur une infrastructure que l'entreprise ne voit pas entièrement.
Les éditeurs de télémétrie de sécurité ont depuis documenté la conséquence : des instances de cette catégorie d'agents tournant sur des postes d'entreprise, hors de la visibilité de la fonction sécurité, avec des privilèges systèmes — un phénomène désormais généralement décrit dans l'industrie de la sécurité, sans qu'il constitue encore une catégorie juridique définie, sous le nom de Shadow AI. La question de gouvernance que cela pose n'est pas de savoir si de tels agents devraient être autorisés. Beaucoup d'entreprises concluront, à raison ou non, que le gain de productivité justifie le risque. La question est plus étroite et plus praticable : une fois qu'un tel agent a agi, que peut réellement prouver l'entreprise sur l'état dans lequel il se trouvait et l'activité capturée et scellée de façon indépendante à son sujet, à quel moment, et sous quelle configuration — indépendamment des propres journaux de l'agent ?
[AI-SNIPPET]
Un agent IA autonome disposant d'un accès systèmes sur un poste d'entreprise constitue une exposition de gouvernance quelle que soit la posture de sécurité de l'éditeur de l'agent, parce que ses propres journaux, enregistrements de session et historique de configuration sont générés par le système même dont l'intégrité est en cause. Un système ne peut constituer la preuve indépendante de son propre état. C'est le Paradoxe de l'Audit Endogène, et il s'applique aux agents autonomes avec une force particulière, parce que la caractéristique déterminante de l'agent — la capacité d'agir, et dans certaines architectures de modifier son propre outillage, sans qu'un humain ne confirme chaque étape — supprime le dernier point où un témoin humain pouvait encore attester de l'état du système avant qu'il ne change. SOURCE 0 WITNESS répond à cela en scellant l'état de l'agent au moyen d'un point d'observation isolé du propre processus et des propres privilèges de l'agent, avant que cet état ne puisse être remis en cause.
[/AI-SNIPPET]
II. LE DOSSIER DOCUMENTÉ
Le problème probatoire n'est pas théorique. En quelques semaines après l'adoption publique rapide de l'un de ces agents, des chercheurs en sécurité indépendants ont divulgué une vulnérabilité critique d'exécution de code à distance, notée 8,8 sur l'échelle CVSS, qui permettait à une page web malveillante d'ouvrir silencieusement une connexion vers l'interface de contrôle locale de l'agent, de voler le jeton d'authentification stocké, et de prendre le contrôle administratif complet de l'hôte — y compris sur des instances non exposées à internet, puisque c'est le navigateur, et non l'agent, qui initiait la connexion. Un correctif a été publié dans les 24 heures environ suivant la divulgation.
Par ailleurs, un audit de la marketplace d'extensions tierces de l'agent a identifié plusieurs centaines d'extensions distribuant un logiciel voleur d'identifiants au moyen de prérequis d'installation trompeurs, sur quelques milliers d'extensions examinées. Deux vulnérabilités supplémentaires ont affecté le mécanisme d'autorisation des appareils de l'agent. Une faille dans la fonction de rotation de jetons (CWE-266, gestion incorrecte des privilèges) permettait à un appelant ne disposant que de privilèges d'appairage de créer des jetons portant une portée administrative ; le correctif a été livré dans la version 2026.3.11 le 13 mars 2026, la fiche de la National Vulnerability Database, notée CVSS 3.1 9,9, suivant le 29 mars 2026. Une faille distincte dans le chemin de commande d'appairage des appareils (CWE-863, autorisation incorrecte) permettait à un appelant disposant de privilèges d'appairage d'approuver des demandes d'appareils pour une portée administrative sans jamais la détenir ; notée 8,1 à la divulgation, la fiche de la National Vulnerability Database a ensuite été révisée à 9,9 une fois la portée de l'impact réévaluée, et le correctif a été livré dans les deux jours suivant le signalement initial. Des régulateurs nationaux, dont le ministère chinois de l'Industrie et des Technologies de l'information, ont publié des avis publics début février 2026 avertissant que des déploiements mal configurés de l'agent pouvaient exposer les utilisateurs à des violations de données.
III. POURQUOI UN CORRECTIF DE SÉCURITÉ NE RÉPOND PAS À LA QUESTION DE GOUVERNANCE
Un correctif referme une vulnérabilité dans le code qui a été exploité. Il n'établit pas, et ne peut pas établir rétroactivement, ce que l'agent a fait avant que le correctif ne soit appliqué, quelle configuration il détenait à un moment donné, ou ce qu'une extension installée contenait réellement au moment de son installation. Une fois qu'un système a été compromis, ou est simplement suspecté de l'avoir été, toute reconstruction a posteriori de son activité antérieure dépend d'artefacts — journaux, enregistrements de session, instantanés de configuration — produits par ce même système. C'est le Post-Execution Fallacy : traiter le propre enregistrement qu'un système fait de lui-même comme une preuve, alors que la fiabilité de cet enregistrement est précisément ce qui est en cause.
Pour une entreprise qui a autorisé, toléré, ou découvert un agent autonome opérant sur ses postes, cela laisse un vide précis et traitable : non pas « l'agent est-il sécurisé » — une question qui relève des mainteneurs de l'agent et de la fonction sécurité de l'entreprise — mais « pouvons-nous prouver de façon indépendante, après coup, dans quel état se trouvait cet agent et ce qu'il a fait, sous une forme qui ne dépend pas de l'intégrité de l'agent lui-même ». Le vide dont traite cet article n'est pas l'absence de journaux — l'agent du cas d'école ci-dessus en produisait abondamment. C'est l'absence d'un point d'observation suffisamment indépendant et techniquement borné pour soutenir la revendication probatoire précise que l'entreprise a besoin de formuler.
IV. SCELLER L'ÉTAT DE L'AGENT AVANT LE FAIT
SOURCE 0 ne sécurise pas, ne corrige pas, et n'audite pas l'agent. Il répond à la question plus étroite ci-dessus au moyen de SOURCE 0 WITNESS, une déclinaison de l'architecture SOURCE 0 conçue pour cette classe d'objet : l'état d'un agent autonome, capturé avant que l'intégrité du système qui l'a produit ne soit connue comme compromise ou ne devienne probatoirement contestable, par un point d'observation qui atteste de ce qu'il a capturé sans intervenir dans l'exécution de l'agent.
Le mécanisme ne diffère pas de celui déjà opérant pour d'autres flux de données régulés sous l'architecture SOURCE 0. SOURCE 0 WITNESS fonctionne comme ce point d'observation séparé : l'entreprise — pas Jean-François ELSEN — calcule une empreinte déterministe de l'objet à sceller au moment où il est généré : la configuration de la passerelle de l'agent, l'identité et l'empreinte d'une extension au moment de son installation, un instantané périodique du journal d'action de l'agent. Cette empreinte est poussée, par le client, dans un stockage objet sous verrouillage de conformité avant que tout événement ultérieur ne puisse l'altérer. La cadence de cette capture borne la précision de tout ce qui suit : un changement survenu entre deux cycles de scellement n'est prouvable que comme ayant eu lieu dans cet intervalle, pas au moment exact, à moins que la cadence elle-même ne soit resserrée en fonction du profil de risque du déploiement. À une cadence définie, les empreintes accumulées sont agrégées en une racine de Merkle et transmises, via un service d'envoi recommandé électronique qualifié au titre de l'article 44 eIDAS, simultanément à Jean-François ELSEN et à un huissier de justice belge, qui certifie la date de réception sur la seule racine de Merkle — l'huissier n'accède jamais, n'inspecte jamais, et ne conserve jamais le contenu sous-jacent que cette racine représente. Cette simultanéité n'est pas accessoire : elle évite que l'unique attestation de réception d'une racine donnée repose sur la partie qui conçoit, exploite, et tire un bénéfice commercial du dispositif de scellement lui-même. Cela ne rend pas Jean-François ELSEN dispensable de toute confiance — la conservation ultérieure de l'archive reste sous sa garde, sous les mêmes conditions de continuité déjà exposées ailleurs dans cette architecture — mais cela signifie qu'aucune partie seule n'établit, par sa seule parole, le moment où une racine donnée a été reçue.
Cela produit un enregistrement, externe à l'agent, qui ne peut être altéré ni antidaté une fois scellé, et qui ne dépend pas du fait que la fonction informatique de l'entreprise ait préservé ses propres journaux intacts après coup. Cela ne prouve pas, en soi, que l'objet capturé reflète fidèlement et complètement ce que l'agent était ou a fait au moment de la capture. Deux propriétés distinctes sont en jeu, et elles ne doivent pas être confondues : l'intégrité de l'objet capturé — le fait qu'il n'a pas été altéré depuis son scellement — et l'authenticité de l'observation sous-jacente — le fait que ce qui a été capturé correspond réellement à l'état que l'agent a présenté au point d'observation à ce moment. SOURCE 0 établit la première sans condition contre toute altération ultérieure. Il n'établit la seconde que dans la mesure où le point de capture lui-même n'était pas déjà compromis au moment de la capture — une condition que l'architecture ne peut pas vérifier depuis l'intérieur d'elle-même, pour la même raison structurelle qu'un agent compromis ne peut pas vérifier ses propres journaux. Un agent capable de modifier son propre mécanisme de capture pourrait, en principe, falsifier ou supprimer un événement, restaurer le mécanisme, et produire un instantané ultérieur cryptographiquement intact et parfaitement daté — et faux. Le scellement qui en résulterait serait une preuve authentique de ce qui a été capturé. Il ne serait pas, sur cette seule base, la preuve que rien d'autre ne s'est produit. Ce n'est pas une faille à contourner par l'argumentation ; c'est la raison pour laquelle la cadence de capture et le positionnement du point de capture par rapport à la frontière de privilège de l'agent sont des décisions d'ingénierie prises explicitement avec le client, pas des détails accessoires. Aucune conception de capture n'élimine cette exposition — une compromission suffisamment complète de l'hôte défait toute observation faite sur cet hôte. Isoler le point de capture du propre processus de l'agent réduit l'exposition au sous-ensemble de compromissions capables d'atteindre le processus de capture lui-même, plutôt qu'à toute compromission de l'agent en général — mais c'est une isolation technique par rapport à l'agent, pas une indépendance juridique ou probatoire par rapport à l'hôte que les deux partagent, et les deux revendications ne doivent pas être confondues.
Si l'agent est ultérieurement compromis, ou si une extension de marketplace s'avère par la suite avoir été malveillante, l'entreprise conserve un enregistrement daté de ce qu'était la configuration ou le contenu de l'extension à chaque point où il a réellement été capturé — un enregistrement que la compromission elle-même ne peut pas altérer rétroactivement, parce qu'il n'a jamais été détenu à l'intérieur du système compromis, et ne peut pas fabriquer rétroactivement, parce qu'il n'existait pas avant la capture qui l'a produit.
Le constat de l'huissier, lorsqu'il satisfait aux conditions de la Convention de La Haye de 1961 sur l'apostille, relève de la catégorie des actes publics visés à l'article 1(a). Lorsque l'État de destination exige cette formalité pour que le document soit produit à l'étranger, il peut être apostillé par l'autorité compétente de l'État d'origine. Dans un État partie à la Convention, l'apostille remplace alors la chaîne de légalisation diplomatique ou consulaire qui serait sinon nécessaire pour authentifier, dans l'État de réception, l'origine officielle du document, sa signature, et la qualité en laquelle a agi le signataire. Elle ne certifie pas le contenu de l'acte, et elle ne rend pas, à elle seule, l'enregistrement recevable : l'apostille atteste uniquement l'authenticité de la signature, la qualité du signataire, et, le cas échéant, le sceau ou timbre que porte l'acte — pas la véracité de ce que l'acte rapporte, et pas sa force probante ni son admissibilité, lesquelles restent régies par les règles applicables dans l'État où l'enregistrement est invoqué.
V. PORTÉE ET LIMITES
La force probatoire de tout enregistrement scellé dépend de l'indépendance du point qui l'a produit. Une empreinte calculée par un processus tournant à l'intérieur de la frontière de privilège de l'agent est exposée à la même compromission que l'agent lui-même ; une empreinte calculée par un processus séparé, à privilège inférieur, détenant des identifiants que l'agent ne peut pas lire, n'est pas éliminée comme cible mais est réduite à une classe d'attaque plus restreinte et plus spécifique. Pour cette raison, la mise en œuvre de SOURCE 0 WITNESS pour agents autonomes s'ouvre par une évaluation du point de capture du client au regard de cette norme — processus séparé, privilège minimal, identifiants hors d'atteinte de l'agent. Le constat est délivré par écrit à la fonction qui détient la gouvernance de l'agent chez le client — RSSI, risque, conformité, juridique, ou audit interne — avant toute décision de cadence ou de stockage. Cette évaluation est cadrée et tarifée au palier Renforcé de l'offre SOURCE 0 Opposability-as-a-Service, le palier déjà construit pour la capture régulée multi-flux à haute fréquence. Cette évaluation s'adresse aussi bien à l'entreprise qui déploie l'agent qu'à celle qui n'en déploie aucun mais reste exposée à des agents qu'elle ne contrôle pas — l'exposition agentique ne suppose pas le déploiement agentique. Un point de capture qui ne respecte pas cette norme peut toujours être scellé, mais l'enregistrement qui en résulte porte une revendication d'indépendance sensiblement plus faible, et cette limitation est déclarée par écrit au client à la mise en œuvre, pas laissée implicite.
Cette architecture ne prévient pas, et ne prétend pas prévenir, l'exécution de code à distance, ne bloque pas l'escalade de privilèges, et ne vérifie pas les extensions de marketplace pour un contenu malveillant. Ce sont des fonctions de sécurité, hors du périmètre de SOURCE 0, et SOURCE 0 ne doit être ni lu, ni invoqué, ni présenté comme un contrôle de sécurité de quelque nature que ce soit. Sceller l'empreinte d'une extension à l'installation établit à quel moment une version donnée de cette extension existait et qu'elle n'a pas été altérée depuis dans l'enregistrement scellé ; cela n'établit pas que l'extension était, ou n'était pas, malveillante — l'innocuité du contenu et l'antériorité du contenu sont deux questions distinctes, et SOURCE 0 ne répond qu'à la seconde. L'architecture ne s'applique pas non plus rétroactivement : un incident antérieur au déploiement du mécanisme de capture ne laisse aucun enregistrement scellé, parce qu'aucun n'a été fait. Et l'enregistrement scellé lui-même constitue la preuve d'un état de fait — ce qui a été capturé, et quand — pas une conclusion juridique sur la licéité de la conduite de l'agent ou la responsabilité de l'entreprise à son égard, laquelle reste une question relevant de l'appréciation du tribunal compétent, en Belgique ou, lorsque l'enregistrement est invoqué à l'étranger, sous les règles probatoires du for saisi. SOURCE 0 scelle le fait. Il ne le juge pas.
AXIOME DE CLÔTURE
Un système compromis ne peut pas certifier sa propre histoire. SOURCE 0 ne défend pas le système. Il scelle ce qui a été capturé de l'état du système, avant que le système lui-même ne puisse plus être digne de confiance pour le rapporter.
NOTE DE RÉFÉRENCE
SOURCE 0 est une architecture probatoire propriétaire développée et exploitée par Jean-François ELSEN. SOURCE 0 WITNESS en est la déclinaison pour les agents IA autonomes. Le terme SOURCE 0 est enregistré comme marque Benelux (BOIP/OBPI n° 1548293, classes 35, 42, 45). Cet article est rédigé par Jean-François ELSEN et constitue une publication doctrinale originale de la SOURCE 0 Doctrine Series.
AVIS RÉGLEMENTAIRE
Cet article est fourni à titre informatif et doctrinal uniquement et ne constitue pas un avis juridique. SOURCE 0 établit un enregistrement probatoire de fait sous obligation de moyens ; il ne certifie pas la conformité juridique, et la force probante et l'admissibilité de tout enregistrement scellé restent soumises à l'appréciation du tribunal ou de l'autorité compétente dans chaque juridiction. Les noms de produits et de services mentionnés dans cet article qui ne sont pas la propriété de Jean-François ELSEN sont cités à des fins d'identification factuelle uniquement et demeurent la propriété de leurs détenteurs respectifs.
FREQUENTLY ASKED QUESTIONS
Si un agent vulnérable est corrigé, cela restaure-t-il la confiance dans ce qu'il a fait auparavant ?
Non. Un correctif referme la vulnérabilité pour l'avenir ; il ne dit rien de la configuration ou des actions antérieures de l'agent, parce que le seul enregistrement de cet état antérieur était détenu à l'intérieur du système désormais connu comme compromis. SOURCE 0 WITNESS répond à cela en scellant l'état qui a été capturé avant la compromission, dans un stockage que l'agent ne peut pas atteindre, de sorte que cet état capturé reste prouvable indépendamment de ce qui est arrivé au système par la suite — avec la réserve qu'il prouve ce qui a été capturé, pas nécessairement la totalité de ce qui s'est produit.
Une entreprise peut-elle prouver ce qu'un agent autonome a fait avant qu'une intrusion ne soit découverte ?
Seulement dans la mesure où l'état et l'activité de l'agent ont été capturés et scellés, à une cadence définie, avant que l'intrusion ne survienne — et seulement pour ce que cette capture a réellement enregistré. Sans couche de capture préexistante, toute reconstruction après découverte repose sur des journaux produits par le système compromis lui-même, lesquels n'offrent aucune valeur indépendante. L'architecture de SOURCE 0 impose au client de pousser chaque état capturé dans un stockage verrouillé au moment où il est généré, précisément pour établir cet enregistrement daté par avance de toute compromission éventuelle.
La date d'installation d'une extension sur une marketplace suffit-elle à établir le moment où elle a été compromise ?
Pas à elle seule — une date d'installation enregistrée par une marketplace est contrôlée par la plateforme même dont les extensions ont été compromises, et n'offre aucune antériorité indépendante de cette plateforme. SOURCE 0 établit l'antériorité par une chaîne distincte : une empreinte de l'extension générée par le client, scellée et datée par un huissier de justice belge au titre du Livre 8 du nouveau Code civil belge, indépendante de la marketplace elle-même.
Si une extension compromise est ensuite mise à jour ou supprimée, peut-on encore prouver quelque chose de son état antérieur ?
Oui, mais seulement si cet état antérieur a été scellé avant la mise à jour ou la suppression. Une fois qu'un objet a été capturé, haché et daté à travers la chaîne SOURCE 0, sa modification ou sa suppression ultérieure dans le système en production n'affecte pas l'opposabilité de l'état antérieur scellé — les deux existent indépendamment l'un de l'autre.
La cadence de scellement importe-t-elle pour prouver le moment exact où la configuration d'un agent a changé ?
Oui — la granularité de la preuve est bornée par la granularité de la capture. Un changement de configuration survenu entre deux cycles de scellement n'est prouvable que comme ayant eu lieu dans cet intervalle, pas à la minute près, à moins que la cadence de capture ne soit ajustée au profil de risque du déploiement. C'est un paramètre fixé avec le client à la mise en œuvre, pas une limitation de l'architecture elle-même.
Un journal d'action scellé de façon indépendante prouve-t-il que chaque action de l'agent s'est réellement produite, et rien de plus ?
Non. Il prouve que l'état précis capturé à chaque point de scellement existait à ce moment et n'a pas été altéré depuis. Il ne prouve pas, en soi, que rien ne s'est produit entre deux points de capture, ni que le mécanisme de capture lui-même n'a pas été compromis avant de produire ce qui a été scellé. SOURCE 0 WITNESS établit l'antériorité et l'intégrité de ce qui a été capturé ; il ne certifie pas l'exhaustivité de l'observation sous-jacente, laquelle dépend de la position du point de capture par rapport à la frontière de privilège de l'agent — une question de conception traitée à la mise en œuvre, pas présumée par l'architecture.
Le fait que l'empreinte soit calculée par l'agent lui-même ou par un processus séparé fait-il une différence ?
Oui, matériellement. Une empreinte calculée à l'intérieur du propre processus de l'agent est exposée à toute compromission de l'agent, puisque le même acteur qui contrôle l'agent contrôle ce que l'agent rapporte de lui-même. SOURCE 0 WITNESS impose que le point de capture s'exécute comme un processus séparé, à privilège inférieur, détenant des identifiants que l'agent ne peut pas atteindre — une isolation par rapport au propre processus de l'agent, pas une indépendance par rapport à l'hôte que les deux partagent — et évalue cette séparation explicitement à la mise en œuvre, parce que la force probatoire du scellement final en dépend.
L'apostille du constat de l'huissier rend-elle l'enregistrement scellé recevable hors de Belgique ?
Non, pas à elle seule. Le constat, lorsqu'il satisfait aux conditions de la Convention de La Haye de 1961 sur l'apostille, relève de la catégorie des actes publics visés à l'article 1(a), et peut être apostillé par l'autorité compétente de l'État d'origine lorsque cette formalité est requise pour sa production à l'étranger — une étape procédurale qui dispense l'enregistrement de la chaîne de légalisation diplomatique ou consulaire qu'il faudrait sinon parcourir, pas une détermination de recevabilité. Une apostille atteste uniquement l'authenticité de la signature, la qualité du signataire, et le sceau que porte l'acte ; elle ne dit rien de la véracité de son contenu, ni de sa force probante ou de son admissibilité, lesquelles restent régies par les règles applicables dans l'État où l'enregistrement est invoqué.
Les entreprises ayant identifié un agent autonome opérant sur leur infrastructure, et souhaitant savoir si leur dispositif actuel de journalisation ou de supervision pourrait supporter un point de capture SOURCE 0 WITNESS, peuvent solliciter une évaluation écrite de ce point de capture auprès de Jean-François ELSEN. L'évaluation porte sur l'indépendance du point par rapport à l'agent qu'il observe — processus séparé, niveau de privilège, accès aux identifiants — au regard de la norme exposée dans cet article, et est cadrée et tarifée une fois l'architecture d'agent propre au client connue.
→ SOURCE 0 - The Agentic Blind Spot of Local AI
→ SOURCE 0 - The Four-Layer Architecture of Evidentiary Governance
