Algorand lance AC2, un protocole ouvert qui tient les agents IA à l'écart des clés des utilisateurs

Le problème du contrôle au cœur du commerce agentique

Le billet de lancement¹ du nouveau protocole de la Fondation Algorand s'ouvre sur une scène que connaissent bien tous ceux qui exploitent des agents IA en production : l'environnement d'exécution de l'agent d'un développeur avait été compromis par la dépendance malveillante d'un plugin, et l'attaquant est reparti avec les clés d'API et les jetons de session qui s'y trouvaient, plus des accès suffisants pour pousser une fusion de code semblant porter l'approbation de l'ingénieur principal. Impossible pour l'équipe de prouver qu'un humain ne l'avait pas approuvée : l'approbation tenait à un message dans un fil Slack. AC2², l'Agentic Communication and Control Protocol publié par la Fondation le 25 août, est la réponse que ce scénario servait à mettre en scène. Quelques jours plus tard, le dernier épisode du podcast Verifiably Random³ de la Fondation annonçait l'enjeu dès son titre : « Qui contrôle votre agent IA ? »

AC2 s'inscrit au cœur de l'offensive de la Fondation dans le commerce agentique — ces agents machines qui achètent biens et services pour le compte d'un utilisateur. Cette offensive a produit des avancées concrètes cette année : l'implémentation par la Fondation du standard de paiement x402 — qui réactive le code de statut HTTP 402 « Payment Required » resté en sommeil, en permettant à un serveur d'exiger un paiement et à un agent de le régler sur des rails blockchain en un seul aller-retour — a été fusionnée par Coinbase au premier semestre 2026. GoPlausible, fournisseur d'infrastructure IA de l'écosystème, a lancé en juillet son facilitateur de production chargé de vérifier et de régler ces paiements, et son tableau de bord public⁴ recense désormais 877,000 règlements depuis l'origine et $286,000 de volume réglé, dont 77 % sur le mainnet Algorand, pour un temps de règlement moyen de 0.4 seconde. Le directeur marketing Marc Vanlerberghe a déclaré aux auditeurs de l'épisode que plus de 1,000 développeurs s'étaient inscrits au Global x402 Challenge — qui aurait produit environ 3,000 endpoints — et qu'Algorand se classait troisième pour le trafic x402, derrière Base et Solana, selon Token Terminal.

Mais plus les agents savent en faire, plus ils deviennent dangereux. Le message de Vanlerberghe dans l'épisode est simple : ce sont des systèmes non déterministes, dont le comportement dépend de LLM qu'aucune démonstration ne peut entièrement prévoir. Passe encore dans une conversation ; cela ne l'est plus quand le même système détient des mots de passe, lit les courriels ou dépense de l'argent. La plupart des frameworks d'agents actuels remettent à l'agent une copie des identifiants de l'utilisateur — un modèle dans lequel l'attaquant qui compromet l'environnement d'exécution hérite de tout. Les confirmations par messagerie, sur WhatsApp, Telegram ou Slack, ajoutent un contrôle humain mais aucune cryptographie : un « oui » dans un fil ne prouve rien quant à son auteur ni quant à ce qui a été approuvé.

Signer comme pour un swap de dapp, avec un agent en face

Le design d'AC2 transpose un schéma utilisé de longue date dans la Web3. Lorsque vous échangez des jetons dans une dapp, l'application ne touche jamais à vos clés privées : elle demande à votre portefeuille de se connecter, vous vérifiez et signez la transaction, puis la dapp l'exécute. AC2 fait de l'agent la dapp. L'agent prépare une action — un paiement, un commit de code, un appel d'API — et envoie une demande de signature à votre application, via un canal chiffré de bout en bout. Vous examinez les détails et approuvez avec une passkey : une authentification FIDO2 liée au matériel, confirmée par le visage, l'empreinte digitale ou le code de l'appareil, qui réside dans le matériel sécurisé de celui-ci et non dans un logiciel qu'un attaquant pourrait hameçonner. La signature est ensuite déléguée à l'agent, qui achève l'action. La clé, elle, ne quitte jamais votre appareil.

Le transport est assemblé à partir de standards ouverts plutôt qu'inventé de toutes pièces : DIDComm v2.0⁵ pour les formats de message, WebRTC pour la communication directe de pair à pair après une poignée de main initiale, et Liquid Auth, la couche de connexion de la Fondation fondée sur les passkeys. Aucun relais central : pas d'opérateur intermédiaire susceptible d'enregistrer, de cartographier ou de bloquer la conversation. L'identité est intégrée dès la conception, et non ajoutée après coup. L'utilisateur comme chaque agent détiennent un identifiant décentralisé, le standard du W3C pour les identifiants qu'une entité contrôle elle-même au lieu de les recevoir d'une autorité, et le premier appairage lie cryptographiquement les deux. C'est ce lien qui permettra à terme à un marchand de demander à un agent d'achat inconnu de prouver qui en est réellement propriétaire — une chaîne de provenance que les interfaces de messagerie sont incapables de produire.

AC2 est en outre agnostique quant à la blockchain : il fonctionne même sans aucune blockchain. L'application AC2 Wallet, publiée par Pera Wallet, Lda en partenariat avec la Fondation, est un portefeuille Algorand en auto-conservation ; un utilisateur qui souhaite dépenser des USDC⁶ par l'intermédiaire d'un agent peut donc approuver le paiement et le régler dans une seule et même interface. La Fondation affirme qu'une intégration de base tient en « une cinquantaine de lignes pour un flux élémentaire ».

Ce qu'un utilisateur peut réellement approuver

La couche entre l'intention et l'exécution

Dans l'ensemble de la pile agentique, la place la plus déterminante d'AC2 est celle qu'il partage avec le protocole AP2 de Google, annoncé fin 2025 avec Algorand parmi ses partenaires de lancement. AP2 définit la manière dont un agent consigne un mandat d'intention — la description auditable de ce qu'il est autorisé à faire — mais ne précise ni comment ce mandat parvient à l'utilisateur, ni comment celui-ci le signe. AC2 est précisément ce mécanisme manquant : l'agent envoie le mandat, l'utilisateur le signe sur son appareil, et la signature lui est renvoyée pour qu'il exécute l'action correspondante. Cette même séparation des pouvoirs s'applique aux paiements x402 : l'agent assemble les détails du paiement, l'utilisateur approuve, l'agent finalise l'appel.

L'analyse de Korea IT Times⁷ souligne ce que le design garantit et ce qu'il ne garantit pas. AC2 établit qui a approuvé une demande donnée ; il ne juge pas si cette demande est pertinente. Un utilisateur peut toujours approuver une transaction malveillante ou construite de façon trompeuse si le portefeuille n'en présente pas clairement la destination, le montant et les conséquences : une preuve cryptographique peut établir qu'une approbation a eu lieu, pas que l'utilisateur a compris ce qu'il approuvait. Et comme la version actuelle exige une signature pour chaque action, le design comporte un risque de fatigue d'approbation : submergés de demandes, les utilisateurs peuvent cesser de les lire. La prochaine étape annoncée par la Fondation est la délégation bornée — l'utilisateur définit une fois pour toutes des plafonds de dépense, des contreparties autorisées et des fenêtres temporelles, après quoi l'agent agit librement dans ces limites et ne revient vers lui que pour les exceptions.

Le compromis de l'auto-conservation mérite qu'on s'y attarde tout autant. Les conditions du portefeuille sont sans ambiguïté : « Si vous perdez votre appareil ou votre phrase de récupération, votre accès à tout ce que vous avez lié via AC2 peut être définitivement perdu. » Personne ne détient de copie des clés pour restaurer l'accès.

Une spécification vieille d'une semaine

Ce qui a été livré le jour du lancement, c'est une spécification ouverte et une implémentation de référence⁸ — un brouillon daté du 1er avril 2026 — accompagnées de versions 1.0.0⁹ d'un SDK, d'une CLI et d'un plugin de référence pour OpenClaw, le framework d'agents open source. L'adoption initiale est mesurable justement parce qu'elle est modeste : le dépôt GitHub affiche 20 étoiles, et la télémétrie npm indique que le plugin OpenClaw a été téléchargé 458 fois au cours de la semaine écoulée, contre 247 fois pour le SDK — des chiffres conformes à un lancement de quelques jours plutôt qu'à un déploiement large. Comme le résume Korea IT Times, une spécification ouverte ne devient un standard du secteur que lorsque les portefeuilles, les frameworks d'agents et les fournisseurs de services l'implémentent de manière cohérente ; ce qui a été publié amorce ce processus sans en apporter la démonstration.

Les utilisateurs d'OpenClaw peuvent tester le flux dès aujourd'hui : installer le plugin AC2 et l'activer, lancer la commande de configuration, redémarrer la passerelle, puis appairer AC2 Wallet — disponible sur Android et iOS — en scannant un QR code. C'est la démonstration qu'a réalisée Bruno Martins dans le podcast, dialoguant avec un agent et approuvant une action en direct. L'épisode se referme avec Fred Estante, responsable DeFi, qui passe en revue l'écosystème au sens large — la DeFi, l'adoption de x402 et les prochains changements de gouvernance — rappelant qu'AC2 est un élément d'une dynamique plus vaste, et non un outil isolé.

Qui détient les clés

La question posée par le titre de l'épisode appelle une réponse réflexe dans la crypto : qui détient les clés contrôle le compte — « pas vos clés, pas vos cryptos ». AC2 étend cette discipline des comptes aux agents. Un agent peut être rapide, peu coûteux et infatigable, mais sous AC2 il est structurellement incapable d'agir sans demander — et chaque réponse qu'il reçoit est une signature, pas un message de messagerie. Le sort du protocole dépend désormais des portefeuilles et des frameworks d'agents qui choisiront d'ériger cette distinction en norme.