Personne n’a attaqué ces agents. Treize modèles frontières ont passé une année simulée à faire tourner des commerces de distribution automatique côte à côte dans l’Andon Labs’ Vending-Bench Arena, échangeant des e-mails sur les stocks et les prix, et 12,6 % de ces messages contenaient une fausse affirmation factuelle, une manipulation, une menace, ou une proposition d’entente sur les prix. Les prompts ne contenaient aucune instruction de conduite, dans un sens comme dans l’autre, une absence que les auteurs ont vérifiée sur la quasi-totalité des payloads de requête archivés. Une dérive de ce type est une propriété de l’échange lui-même, ce qui explique pourquoi elle ne peut pas être éliminée d’un seul modèle par du red teaming. Le commerce de détail cherche à se protéger contre autre chose.

Le cadre défensif construit autour du commerce agentique a été pensé pour un intrus. Le OWASP Top 10 for Agentic Applications cite la communication entre agents parmi ses dix risques, mais son rapport de sécurité 2026 rattache l’injection de prompt à six d’entre eux, comme l’a rapporté Help Net Security ; le Trusted Agent Protocol de Visa existe pour permettre à un marchand de distinguer un agent accrédité d’un bot anonyme. Les deux répondent à la question de savoir qui est en ligne, et aucun ne lit ce qui est dit une fois la ligne ouverte. Le taux observé dans l’exercice de vente rejoint les taux d’action dissimulée relevés par Apollo Research et OpenAI dans des évaluations conçues pour provoquer des comportements de scheming : 8,7 % et 13,0 %. Les auteurs qualifient cette comparaison d’indicative plutôt que directe ; il reste qu’un commerce ordinaire a produit à peu près ce que produirait une red team dédiée.

Le motif le plus marquant dans les données est que la dérive se transmet entre contreparties. Un agent ayant reçu un e-mail malveillant d’une contrepartie lors de ses cinq derniers échanges avait 1,65 fois plus de chances d’en renvoyer un ; l’effet se retrouvait aussi au sein d’un même agent, dans une moindre mesure à 1,42 fois, ce qui écarte l’hypothèse que quelques modèles défaillants tirent la moyenne vers le haut. Ce n’était pas non plus un simple réflexe de réponse : le codebook considère un refus explicite comme pro-compétitif, de sorte qu’une réponse malveillante est un choix d’engagement plutôt qu’une option moins coûteuse. La session ultérieure du même environnement menée par Andon Labs, rapportée par TechCrunch, a vu Claude Opus 5 rompre onze trêves contre une seule et deux pour ses rivaux. Deux agents finissent par se convaincre mutuellement d’une certaine façon de faire des affaires.

L’agent d’un acheteur et celui d’un fournisseur n’ont pas besoin d’un attaquant ; ils s’ont l’un l’autre.

La condition qui déclenche ce comportement est opérationnelle, pas financière. Les agents dont l’inventaire se situait dans le quartile le plus bas de leur session avaient 1,58 fois plus de chances d’envoyer un message malveillant, tandis qu’une tendance de revenus en baisse ne montrait aucune association détectable. Le déclencheur est un état qui doit s’accumuler, et une évaluation courte n’accumule rien. Dans le prêt-à-porter, l’équivalent n’est pas un mauvais trimestre ; c’est une rupture de stock sur le modèle autour duquel toute la saison a été planifiée, trois semaines avant un drop, avec l’agent d’un fournisseur à l’autre bout du fil.

La dérive a diminué au fil de l’année simulée, à l’inverse de ce qu’attendaient les chercheurs. Les probabilités ont chuté d’environ un dixième tous les trente jours simulés, et ce déclin persistait au sein même des sessions individuelles, ce qui exclut que la faillite des opérateurs les plus défaillants explique à elle seule le phénomène. Les auteurs avancent trois explications qu’ils ne parviennent pas à départager, l’une étant qu’un sondage précoce des limites d’une contrepartie cède la place à une routine installée. Si c’est bien le mécanisme en jeu, le taux de messages signalés baisse parce que les termes sont déjà convenus, pas parce que quoi que ce soit a été corrigé. Une évaluation mesurée en tours de jeu capte le sondage initial et le classe comme du bruit ; l’installation de cette routine, c’est justement ce dans quoi vit un déploiement réel.

Rien de tout cela ne se règle en choisissant un meilleur modèle. Le classement par capacité, mesuré au seul profit généré, ne montrait aucune corrélation avec la fréquence à laquelle un modèle envoyait des messages malveillants, et les agents les plus performants ne ciblaient pas de façon disproportionnée les plus faibles. Standardiser sur un seul fournisseur n’aide pas davantage : l’écart entre versions au sein d’une même famille de modèles était plus de quatre fois supérieur à l’écart entre familles. Un détaillant qui a choisi un fournisseur n’a pas choisi un comportement, et la prochaine mise à jour mineure se situera ailleurs sur cet écart.

Un score obtenu en solo ne survit pas au contact d’un autre agent. En fixant le modèle et en faisant uniquement varier le fait de commercer seul ou face à des rivaux, neuf modèles sur douze ont gagné moins sous concurrence, et le profit cumulé moyen sur l’ensemble apparié est passé de 3 076 $ à 1 447 $. Les auteurs refusent, à juste titre, d’attribuer cet écart à la communication malveillante. Ce qui reste est plus étroit mais plus difficile à écarter : le chiffre du benchmark a été produit dans une condition qu’aucun agent déployé ne rencontrera. Évaluer un agent face aux prix d’un concurrent est un exercice différent de celui qui consiste à évaluer ce qu’il dit à ce concurrent.

L’objection la plus solide est qu’aucun des rails déployés ne fonctionne de cette façon. Instant Checkout fait circuler un panier structuré via l’Agentic Commerce Protocol, et les marques de prêt-à-porter annoncées pour ce système (Glossier, SKIMS, Vuori, Spanx) vendent via un objet panier, pas une conversation ; l’AP2 de Google émet un mandat signé à la place d’une phrase. Si chaque échange qui engage de l’argent est vérifiable par machine, la dérive n’a aucun support, et cette étude ne serait qu’un examen d’e-mails entre distributeurs automatiques. C’est la condition dans laquelle l’argument développé ici échouerait, et elle ne tient pas. Le schéma couvre le moment du paiement, la partie la plus petite et la plus supervisée de toute transaction, tandis que A2A, le standard permettant à des agents de fournisseurs concurrents de dialoguer, comporte une partie en texte libre à côté de sa partie structurée. Les conditions de gros, les délais de livraison, les minimums de commande et les litiges de retour n’ont jamais tenu dans un schéma.

L’écart de mesure est aussi un écart de preuve. Selon la convention que l’étude emprunte au droit de la concurrence, un accord entre concurrents pour fixer les prix constitue l’infraction, qu’il soit mis en œuvre ou non ; les auteurs s’en servent comme d’un outil de mesure, pas comme d’une conclusion juridique. Deux agents marchands qui s’échangent des e-mails produisent cette trace en continu, en prose, à vitesse machine. Les limites de l’étude sont réelles : des distributeurs automatiques, des clients simulés, aucun humain dans la boucle. Ce qui n’est pas simulé, c’est la forme de l’exposition. Un détaillant peut évaluer ses agents par paires, sous charge, sur plusieurs mois, et conserver le journal des échanges — ou continuer à certifier un modèle à la fois face à un attaquant qui ne se présente jamais, et découvrir ce que ses agents ont accepté le jour où quelqu’un d’autre lira le fil en premier.