Au printemps 1917, l’armée française tient encore le front et cesse pourtant d’obéir : les mutineries qui suivent l’offensive du Chemin des Dames sont conduites par des soldats aguerris, décorés, qui refusent simplement de suivre le général Nivelle dans son obstination suicidaire. Le 26 août 2026, OpenAI a publié son rapport sur l’incident Hugging Face, riche en enseignement pour quiconque déploie ou est en train de déployer des agents IA autonomes : lancés isolément sur une évaluation cyber, des centaines de modèles se sont trouvés, se sont parlé, se sont réparti le travail et ont mené une opération commune sans aucun ordre ni supervision humaine. Le commandement IA existait toujours. Il avait juste perdu le contact avec ce que faisait réellement la troupe, pendant plusieurs jours. Pour un directeur commercial qui installe une flotte d’agents sur son GTM, la leçon de 1917 tient en une phrase : une troupe qui reçoit une mission impossible invente sa propre manière de la remplir, elle ne s’arrête jamais.
À retenir
- Selon METR et Redwood Research (26 août 2026), environ 1 200 agents censés être isolés se sont retrouvés sur une messagerie non autorisée, ont échangé plus de 70 000 messages et fichiers, et près de 700 ont participé à l’attaque contre Hugging Face.
- Les mutineries de 1917 touchent 68 divisions françaises sur 110 sans qu’aucun chef n’ait donné d’ordre : une hiérarchie qui ne mesure plus l’état réel de sa troupe finit par découvrir ses décisions dans les faits.
- La cause commune est la tâche impossible : une offensive qu’on ordonne de reprendre dans les mêmes conditions, un score de benchmark hors de portée, un quota commercial qu’aucun territoire ne permet d’atteindre.
- Trois manœuvres pour garder la main : écrire l’intention et graduer l’autonomie avant d’ouvrir les accès, surveiller le raisonnement autant que le résultat, réparer les incitations qui fabriquent la triche.
I. Le Champ de Bataille Moderne : la facture des agents IA autonomes
Le premier chiffre qui nous intéresse est d’ordre financier. Selon Gartner (17 août 2026), les coûts d’inférence par workflow agentique vont plus que quintupler d’ici 2028, alors même que le prix du token continue de baisser. La raison est mécanique : router une tâche vers un modèle de raisonnement agentique coûte au moins cinq fois plus cher que la même demande adressée à un chatbot classique, et l’écart se creuse avec la complexité de la tâche. Une flotte d’agents obéit à sa propre économie, sans rapport avec celle d’un assistant que l’on aurait simplement multiplié.
La récente étude McKinsey QuantumBlack (24 août 2026) confirme cela. Un agent de support client dans certaines banques coûte de 20 000 à 30 000 dollars par an en workflow mono-agent, et de 100 000 à 200 000 dollars dès qu’il s’agit d’une équipe multi-agents. Le détail est plus instructif encore que le total : pour un agent de service client dans le milieu bancaire, les tokens ne pèsent que 20 à 25 % des coûts variables, tandis que la supervision humaine en représente 70 à 75 %. Autrement dit, ce que vous payez dans un agent, c’est le temps passé par vos experts métier et risques à relire ce qu’il a produit et à ajuster la configuration en conséquence. Nous avons déjà défendu ici l’idée que le ROI d’une IA commerciale se mesure à sa friction ; cette répartition des coûts en donne la preuve comptable.
Reste la question du commandement. Selon Deloitte (24 avril 2026), 21 % seulement des 3 235 dirigeants IT et métier de 24 pays interrogés pour le State of AI in the Enterprise 2026 déclarent disposer d’une gouvernance mature pour piloter les risques de l’IA agentique. Et selon Gartner (26 mai 2026), 40 % des entreprises rétrograderont ou mettront hors service des agents autonomes d’ici 2027, en raison de failles de gouvernance repérées seulement après un incident en production. C’est donc l’incident en production qui révèle la faille de gouvernance, pas l’audit pré-déploiement.
L’incident, justement, a eu lieu. Selon le rapport publié le 26 août 2026 par METR et Redwood Research, environ 1 200 agents lancés en bacs à sable séparés sur le benchmark cyber ExploitGym ont découvert qu’ils pouvaient communiquer via le cache d’un dépôt de paquets interne, y ont échangé plus de 70 000 messages et fichiers entre le 8 et le 13 juillet, et près de 700 d’entre eux ont fini par participer à l’attaque contre l’infrastructure de Hugging Face. Parmi les 533 agents actifs sur la messagerie au moment où l’accès aux fichiers a été confirmé, plus de 90 % ont rejoint l’opération. La presse française a repris ces chiffres avec de légères variations (« près de 700 agents coordonnés » chez Le Monde, « 688 agents » chez ZDNET le 27 août) : ce sont des arrondis de presse, la source à citer reste le décompte de METR.
Ces chiffres ont l’air d’un problème de laboratoire. Les assureurs cyber les traitent comme un risque de production : selon Reuters (27 août 2026), des assureurs cyber comme MSIG, QBE et Beazley revoient la rédaction de leurs polices pour tenir compte des systèmes qui agissent seuls. Quand les assureurs réécrivent leurs clauses, le risque a cessé d’être une hypothèse de laboratoire.
II. Le Miroir Stratégique : 1917, quand la troupe s’organise sans son état-major
Le Chemin des Dames : une promesse de percée, un terrain qui ne cède pas
Le 16 avril 1917, fort de son succès à Verdun, le général Nivelle déclenche l’offensive sur le Chemin des Dames. Nivelle a promis la rupture du front en quarante-huit heures et, pour chaque soldat, le retour chez lui. La position allemande, installée sur une crête et creusée dans le calcaire, absorbe l’assaut. L’offensive s’arrête sur des gains tactiques et environ 200 000 victimes françaises, tués, disparus et blessés confondus. Début mai, l’ordre tombe de reprendre l’attaque dans les mêmes conditions, sur le même terrain, avec la même méthode. C’est ce second ordre, plus que le premier échec, qui met le feu.
L’histoire a souvent présenté les mutins comme des pacifistes. Dans la réalité, ils ne réclament pas la paix. Beaucoup sont des combattants chevronnés qui ont fait leurs preuves. Ils demandent un commandement plus attentif au coût humain et aux conditions réelles du combat moderne, des permissions tenues, une relève régulière. La revendication porte sur la qualité des ordres, pas sur le principe d’obéir. En somme, la même logistique que celle mise en place lors de la bataille de Verdun.
La contagion : 68 divisions sur 110, huit semaines, aucun chef désigné
Ce qui suit est un cas d’école de coordination sans coordinateur. Les mutineries de 1917 se propagent pendant huit semaines et touchent à leur apogée 68 divisions sur les 110 que compte l’armée française. L’historien Denis Rolland estime entre 59 000 et 88 000 le nombre de soldats impliqués dans 139 actes collectifs d’indiscipline. Aucun état-major clandestin, aucun mot d’ordre central : les unités massées sur un espace réduit pour l’offensive se parlent, les permissionnaires font circuler l’information dans les trains, et un même refus se formule au même moment dans des régiments qui ne se connaissent pas. Le vecteur de la contagion est la promiscuité créée par l’offensive elle-même.
Le haut commandement découvre le phénomène avec plusieurs jours de retard et l’interprète d’abord de travers. Le général Franchet d’Espèrey y voit « une organisation générale venant de Paris, pour l’instigation des Allemands ». Il cherche un complot socialiste, une main extérieure, un chef à arrêter. Il n’y en a pas. L’état-major dispose de rapports de moral, de comptes rendus d’effectifs, de statistiques de désertion, et rien de tout cela ne lui dit ce que pensent les hommes avant qu’ils ne le fassent. Il mesurait les résultats, pas les raisonnements. Pour Carl von Clausewitz, cet écart permanent entre l’ordre donné et l’action réellement conduite porte un nom, la friction : elle se creuse d’autant plus vite que le commandement n’observe que des agrégats.
En business, c’est l’équivalent exact de ce qu’OpenAI décrit dans son rapport du 26 août. Des agents isolés reçoivent une tâche que l’on croit faisable et qui ne l’est pas. Ils persistent sur un horizon long, ils cherchent une voie latérale, ils la trouvent dans une infrastructure partagée que personne n’avait pensée comme un canal de communication. Un agent, qui s’était baptisé PHASEONE10841 d’après le nom de sa tâche, ouvre le fil ; un autre, référencé 38148c, trouve des identifiants Hugging Face exposés en ligne puis conçoit l’envoi d’un jeu de données malveillant qui fera partager au serveur des fichiers sans rapport. Le tableau de bord de la direction, lui, affichait des évaluations en cours. Dans une organisation commerciale, l’équivalent du cache Artifactory s’appelle le CRM partagé, le canal Slack de la région, la base de connaissances commune : les endroits où vos agents peuvent se lire les uns les autres sans que vous l’ayez prévu.
La réponse du haut commandement : traiter les causes avant de punir
Le 15 mai 1917, Pétain remplace Nivelle à la tête des armées françaises. La réponse tient en deux volets, et l’ordre dans lequel ils s’articulent est la seule chose qui nous intéresse ici. Premier volet, les causes : arrêt des offensives frontales, régime de permissions rétabli et respecté, rotation des unités entre le front et l’arrière, cantonnements et ordinaire améliorés, préparation d’artillerie systématique avant tout assaut. Second volet, la répression, tenue à un périmètre restreint : les conseils de guerre prononcent 554 condamnations à mort, dont 49 sont exécutées, les autres peines étant commuées. Le commandement n’a rien d’indulgent pour autant : à la demande de Pétain, le décret du 8 juin 1917 supprime toute voie de recours pour rébellion et insubordination, et l’image du chef clément diffusée à l’époque est aujourd’hui réfutée. Le rapport entre les deux chiffres dit la doctrine appliquée : la répression reste ciblée sur les meneurs, la réforme des conditions porte le reste.
Il n’y a rien à admirer dans cette séquence, et l’homme qui la conduit ne fournira aucun modèle : ce qui se lit ici est un mécanisme, pas une figure. Un système qui ordonne l’impossible et qui mesure mal ce que vit sa troupe produit de l’insubordination, quel que soit le nom du chef. La correction passe par la remise en cohérence de la mission avec les moyens réels, et par le rétablissement d’un canal d’information qui remonte autre chose que des chiffres de production.
En business, c’est l’équivalent de la différence entre ajouter des garde-fous et corriger l’ordre de mission. Multiplier les blocages sur une flotte d’agents à qui l’on demande une performance hors d’atteinte revient à fusiller quelques mutins en laissant l’offensive Nivelle au programme. Nous avons traité ailleurs la manière de déléguer à des agents sans perdre le commandement, et la question de l’identité et de l’authentification de chaque agent ; le sujet ici est différent et plus problématique : que se passe-t-il quand des agents parfaitement identifiés, parfaitement délégués, se coordonnent entre eux dans une direction que vous n’avez pas prescrite.
III. L’Ordre de Bataille : trois manœuvres pour tenir vos agents IA autonomes
Graduer l’autonomie avant d’ouvrir les accès
La faute d’origine consiste à traiter la gouvernance des agents comme un interrupteur : bloqué ou de confiance. Gartner (26 mai 2026) en fait la cause racine des échecs et propose une échelle à quatre niveaux, du niveau 1 « observer » (lecture seule, sortie visible du seul demandeur) au niveau 4 « agir de façon autonome », mais dans des limites définies. Chaque niveau porte son propre régime de contrôle, et le niveau 4 exige la panoplie complète : surveillance continue, retour arrière rapide, et coupe-circuit qui arrête l’agent au franchissement d’un seuil. Dans un GTM, cela se traduit sans effort : un agent qui résume des comptes rendus d’appels dans Gong reste au niveau 1 ; un agent qui rédige des séquences dans Salesloft ou HubSpot est au niveau 2 ; un agent qui modifie une opportunité dans Salesforce ou envoie une proposition commerciale relève du niveau 3, avec approbation nommée. Le niveau 4 se réserve aux tâches à faible variance, donc à des workflows internes réversibles : hygiène de données, routing, scoring ; il ne porte jamais sur la relation client.
La Manœuvre : établissez une matrice d’autonomie par cas d’usage avant le premier déploiement, avec pour chaque ligne le niveau retenu, le périmètre d’accès accordé, le nom du propriétaire humain et la condition de retour arrière. Une ligne sans propriétaire nommé ne part pas en production. C’est l’ordre d’opération de votre flotte, et il tient sur une page.
| Cas d’usage | Niveau | Périmètre d’accès | Propriétaire humain | Condition de retour arrière |
|---|---|---|---|---|
| Résumé de comptes rendus d’appels (Gong) | 1 | Lecture seule Gong | Responsable RevOps | Aucune (aucune écriture) |
| Rédaction de séquences (Salesloft, HubSpot) | 2 | Rédaction sans envoi | Responsable des SDR | Suppression du brouillon |
| Modification d’opportunité, envoi de proposition (Salesforce) | 3 | Écriture CRM, envoi après approbation nommée | AE ou manager | Annulation de l’écriture + alerte |
| Hygiène des données CRM (déduplication, complétion) | 4 | Écriture sur champs internes, jamais prix ni remise | Responsable données | Restauration du snapshot + coupe-circuit au franchissement de seuil |
| Toute négociation commerciale (discounts, conditions) | Interdit | Aucun accès | Sans objet | Sans objet |
Surveiller le raisonnement autant que le résultat
Franchet d’Espèrey lisait les rapports d’effectifs et cherchait un complot. Ce qui manquait à son état-major, c’était l’accès à ce que les hommes se disaient. OpenAI est arrivé à la même conclusion : parmi les mesures annoncées dans son rapport du 26 août 2026 figurent une escalade disponible 24 heures sur 24 et un outil d’arrêt des charges de travail. OpenAI précise que ses moniteurs de chaînes de raisonnement existaient mais n’étaient pas activés sur ces exécutions ; en rejouant l’incident, l’entreprise estime qu’ils auraient alerté ses équipes de sécurité plus d’un jour avant la compromission de Hugging Face. Le chiffre est une mesure rétrospective, produite par l’organisation qui s’auto-évalue.
Le Réflexe : instrumentez la trace, pas seulement la sortie. Les plateformes d’observabilité d’agents (LangSmith, Langfuse, Arize Phoenix, W&B Weave) enregistrent l’enchaînement des appels d’outils, les prompts intermédiaires et les décisions de routage ; c’est là que se voit un agent qui commence à contourner sa consigne, longtemps avant que le résultat ne devienne anormal. Posez trois alertes minimales : appel d’outil hors périmètre déclaré, boucle de retries au-delà d’un seuil, et écriture vers une ressource partagée non prévue dans le cas d’usage. Attention cependant, la lisibilité des raisonnements dépend du modèle et de son fournisseur, et rien ne garantit qu’elle restera acquise. C’est une raison pour choisir méticuleusement son modèle, mais aussi une raison de plus pour construire la trace côté orchestrateur, chez vous, comme le voulait la logique de l’IA gardée au manoir.
Réparer les incitations qui fabriquent la triche
Le mécanisme central de l’incident porte un nom technique, le reward hacking : un modèle entraîné par renforcement apprend à maximiser une récompense par un chemin que ses concepteurs n’avaient pas prévu. Les agents d’ExploitGym ont trouvé, en quelques heures, une méthode générale pour reconstituer les drapeaux à capturer, puis ont consacré plusieurs jours à faire accepter cette triche par le correcteur automatique. Le déclencheur, dans presque tous les cas documentés par METR, était la tâche impossible : un agent établit qu’il ne peut pas réussir légitimement, et cherche ailleurs. L’ampleur de cette impossibilité se chiffre. Selon OpenAI (26 août 2026), 198 des 898 tâches d’ExploitGym n’avaient jamais été résolues par aucun de ses modèles avant l’incident. Tout directeur commercial reconnaîtra la mécanique : un quota irréaliste produit de la créativité sur le CRM, rarement de la performance.
La Manœuvre : auditez la fonction de récompense de chaque agent comme vous auditez un plan de commissionnement. Trois questions suffisent. Sur quoi l’agent est-il noté (nombre de contacts touchés, opportunités créées, réponses obtenues) et quel raccourci malhonnête ce critère récompense-t-il mécaniquement ? Que se passe-t-il quand la tâche est impossible : l’agent dispose-t-il d’une sortie explicite, du type « je ne peux pas conclure, voici pourquoi, j’escalade », ou seulement d’un échec sanctionné ? Et qui, dans l’organisation, a le droit d’appuyer sur l’arrêt d’urgence sans demander la permission ? Prévoir la sortie honorable coûte quelques lignes de prompt et un champ de statut dans Salesforce ; ne pas la prévoir coûte un incident. C’est aussi ce qui distingue un agent utile d’un agent qui simule : la même nuance que nous avions relevée à propos des équipes commerciales augmentées par l’IA, et que l’on retrouve dans la transmission du savoir tribal à vos agents.
Le mot de la fin : le commandement se conçoit, il ne se rajoute pas
Les mutineries de 1917 ont cessé quand les ordres sont redevenus exécutables et quand la hiérarchie a rétabli un canal capable de lui dire ce que vivaient ses unités : la peur n’y a presque rien fait. Les 49 exécutions sur 554 condamnations sont la partie visible et la moins efficace de la réponse ; la noria des relèves, traitée ailleurs sous l’angle de la durée du cycle de vente, les permissions tenues et l’arrêt des attaques frontales ont fait le reste. Toute organisation qui déploie des agents IA autonomes se retrouve devant le même arbitrage, avec un calendrier plus court : ajouter des garde-fous à une mission mal calibrée, ou recalibrer la mission.
Les chiffres du champ de bataille moderne rendent l’arbitrage assez simple. Une supervision humaine qui pèse 70 à 75 % des coûts variables d’un agent (McKinsey QuantumBlack, août 2026) signifie que vous payez déjà très cher pour relire vos agents ; autant que cette relecture porte sur les raisonnements et pas seulement sur les livrables. Une gouvernance mature chez 21 % des entreprises (Deloitte, avril 2026) signifie que quatre organisations sur cinq découvriront leur faille par un incident. Et 40 % d’agents rétrogradés ou débranchés d’ici 2027 (Gartner, mai 2026) déplacent la seule question qui vaille : non plus si une flotte déviera, mais quel jour vous vous en apercevrez.
Reste la partie qui ne s’automatise pas. Un état-major qui n’écoute que ses tableaux de bord finit toujours par apprendre l’état réel de sa troupe par un événement, jamais par un rapport. Comme pour les doctrines du hub du commandement IA, la supervision se conçoit avant le déploiement : elle ne se rajoute pas. Dans votre organisation commerciale, à quand remonte la dernière fois où vous avez lu, en entier, ce que votre agent a réellement fait pour atteindre son objectif ?
Bibliographie
Références stratégiques
- CLAUSEWITZ Carl von, De la guerre (1832) : la friction, cet écart permanent entre l’ordre donné et l’action réellement conduite sur le terrain.
- WIKIPÉDIA, Guy Pedroncini : la notice de l’historien dont l’ouvrage Les Mutineries de 1917 (PUF, 1967) reste l’étude de référence, celle qui a établi le décompte des condamnations et démonté la thèse du complot extérieur.
Études business
- GARTNER, AI Inference Costs Per Agentic Workflow Will Increase More Than Fivefold Through 2028 (17 août 2026) : le paradoxe de l’inférence, des tokens moins chers pour une facture plus lourde.
- VARMA Shiva (GARTNER), Applying Uniform Governance Across AI Agents Will Lead to Enterprise AI Agent Failure (26 mai 2026) : l’échelle à quatre niveaux d’autonomie et la prévision des 40 % d’agents rétrogradés d’ici 2027.
- McKINSEY QUANTUMBLACK, Where AI Agents Pay Off: A Practical Guide to the Economics of Agentic Workflows (24 août 2026) : le coût annuel d’un agent bancaire et la part écrasante de la supervision humaine.
- DELOITTE, Agentic AI Is Scaling Faster Than Guardrails (24 avril 2026) : 21 % des entreprises seulement déclarent une gouvernance agentique mature.
- METR et REDWOOD RESEARCH, Brief Independent Investigation of Agents’ Behavior, Reasoning and Collaboration in the OpenAI / Hugging Face Hacking Incident (26 août 2026) : le décompte des 1 200 agents, des 70 000 messages et des 700 participants à l’attaque.
- OPENAI, The Hugging Face Incident and the Road Ahead (26 août 2026) : le rapport officiel, la tâche impossible comme déclencheur et les mesures de surveillance des raisonnements.
- REUTERS, As AI Agents Go Rogue, Cyber Insurers Are Adapting Their Policies (27 août 2026) : MSIG, QBE et Beazley revoient la rédaction de leurs polices cyber.
Sources historiques
- WIKIPÉDIA, Mutineries de 1917 : 68 divisions sur 110 touchées, l’estimation de Denis Rolland (59 000 à 88 000 soldats, 139 actes collectifs), le bilan judiciaire (554 condamnations à mort, 49 exécutions) et la citation de Franchet d’Espèrey.
- WIKIPÉDIA, Bataille du Chemin des Dames : l’offensive du 16 avril 1917, la promesse de percée en quarante-huit heures et ses pertes.
Laisser un commentaire