Algorand lance AC2, un protocole ouvert qui éloigne les agents IA des clés des utilisateurs

2026-09-01

ai-agents · security · wallet · agentic-commerce · x402 · discovery · web

Algorand lance AC2, un protocole ouvert qui éloigne les agents IA des clés des utilisateurs

Le problème du contrôle au cœur du commerce agentique

Le blog de lancement de la Fondation Algorand pour son nouveau protocole s'ouvre sur une scène familière à quiconque fait tourner des agents IA en production : le runtime d'un agent de développeur avait été compromis par une dépendance à un plugin malveillant, et l'attaquant est reparti avec les clés API et les jetons de session présents dans cet environnement, ainsi qu'avec un accès suffisant pour pousser une fusion de code qui semblait porter l'approbation de l'ingénieur principal. L'équipe n'a pas pu prouver qu'un humain ne l'avait pas approuvée — l'approbation était un message dans un fil Slack. AC2, le protocole Agentic Communication and Control Protocol, publié par la Fondation le 25 août, est la réponse que ce scénario était censé illustrer. Quelques jours plus tard, le dernier épisode du podcast Verifiably Random résumait l'enjeu dans son titre : « Qui contrôle votre agent IA ? »

AC2 s'inscrit au cœur de la poussée de la Fondation vers le commerce agentique — des agents machine qui achètent des biens et services au nom d'un utilisateur. Cette poussée a produit un élan concret cette année : l'implémentation par la Fondation du standard de paiement x402 — qui ressuscite le code de statut HTTP 402 « Payment Required » en sommeil, permettant à un serveur d'exiger un paiement et à un agent de le régler sur des rails blockchain en un seul aller-retour — a été fusionnée par Coinbase au premier semestre 2026. GoPlausible, le fournisseur d'infrastructure IA de l'écosystème, a lancé son facilitateur de production pour vérifier et régler ces paiements en juillet, et son tableau de bord public enregistre désormais 877,000 règlements cumulés et $286,000 de volume réglé, dont 77 % sur le mainnet d'Algorand, avec un temps de règlement moyen de 0.4 seconde. Marc Vanlerberghe, CMO, a déclaré aux téléspectateurs de l'épisode que plus de 1,000 développeurs se sont inscrits au Global x402 Challenge — qui, selon lui, a produit environ 3,000 endpoints — et qu'Algorand se classe troisième pour le trafic x402, derrière Base et Solana, selon Token Terminal.

Pourtant, plus les agents peuvent en faire, plus ils deviennent dangereux. Le point de Vanlerberghe dans l'épisode est simple : ce sont des systèmes non déterministes, dont le comportement est façonné par des LLM qu'aucune démo ne peut prédire entièrement. C'est tolérable dans un chat ; ce ne l'est pas quand le même système détient des mots de passe, lit des e-mails ou dépense de l'argent. La plupart des frameworks d'agents fonctionnent aujourd'hui en remettant à l'agent une copie des identifiants de l'utilisateur — un modèle dans lequel un attaquant qui compromet le runtime hérite de tout. Les confirmations par chat, que ce soit sur WhatsApp, Telegram ou Slack, ajoutent une vérification humaine mais aucune cryptographie : un « oui » dans un fil ne prouve ni qui l'a envoyé, ni ce qui a été approuvé.

Signer comme un swap de dapp — avec un agent de l'autre côté

Le design d'AC2 reprend un schéma utilisé depuis longtemps dans la Web3. Lorsque vous échangez des jetons dans une dapp, l'application ne touche jamais à vos clés privées : elle demande à votre portefeuille de se connecter, vous examinez la transaction et la signez, et la dapp l'exécute. AC2 fait de l'agent la dapp. L'agent prépare une action — un paiement, un commit de code, un appel API — et envoie une demande de signature via un canal chiffré de bout en bout à votre application. Vous examinez les détails et approuvez avec une passkey : une authentification FIDO2 liée au matériel, confirmée par le visage, l'empreinte digitale ou le code PIN de l'appareil, qui vit dans le matériel sécurisé de l'appareil plutôt que dans un logiciel qu'un attaquant pourrait hameçonner. La signature est redéléguée à l'agent, qui exécute l'action. La clé elle-même ne quitte jamais votre appareil.

Le transport est assemblé à partir de standards ouverts plutôt qu'inventé de toutes pièces : DIDComm v2.0 pour les formats de messages, WebRTC pour la communication directe entre pairs après une première prise de contact, et Liquid Auth, la couche de connexion basée sur les passkeys de la Fondation. Il n'y a pas de relais central — aucun opérateur au milieu qui puisse journaliser, cartographier ou bloquer la conversation. L'identité est intégrée, pas ajoutée après coup. L'utilisateur comme chaque agent détiennent un DID, la norme du W3C pour les identifiants qu'une entité contrôle elle-même plutôt que de les recevoir d'une autorité, et lors du premier appariement, les deux sont liés cryptographiquement. Ce lien est ce qui permettra à terme à un marchand de demander à un agent d'achat inconnu de prouver qui le possède réellement — une chaîne de provenance que les interfaces de chat ne peuvent pas produire.

AC2 est explicitement agnostique vis-à-vis de la blockchain ; il fonctionne sans aucune blockchain. L'application AC2 Wallet, publiée par Pera Wallet, Lda en partenariat avec la Fondation, est un portefeuille Algorand non dépositaire, si bien qu'un utilisateur qui veut dépenser des USDC via un agent peut approuver le paiement et le régler dans la même interface. La Fondation affirme qu'une intégration de base « tient en une cinquantaine de lignes pour un flux simple ».

Ce qu'un utilisateur peut réellement approuver

Concept	Implication concrète
Paiements x402	Les détails du paiement sont envoyés au portefeuille de l'utilisateur pour approbation avant que l'agent n'effectue un appel API payant — une autorisation sans jamais exposer la clé privée
Déploiements de code et commits git	Un agent prépare un ensemble de modifications, mais une signature liée au matériel — preuve qu'un humain a exercé l'autorité finale — est requise avant la fusion ou le push
Accès aux API	L'agent présente les paramètres exacts de la requête pour approbation avant exécution ; la signature enregistre ce qui a été autorisé, par qui et quand
Communications client	Un agent rédige un message et obtient la validation du texte exact avant qu'il n'atteigne la boîte d'envoi ; la prospection écrite par IA est ainsi approuvée par un humain
Mandats d'intention AP2	Un agent opérant sous le protocole Google Agent Payments Protocol soumet les contraintes signées dans lesquelles il peut agir — par exemple, acheter des chaussures blanches pointure 10.5 pour $120 maximum — et la signature de l'utilisateur les applique ensuite

La couche entre l'intention et l'exécution

La place la plus décisive d'AC2 dans la pile agentique plus large est celle qu'il partage avec le protocole AP2 de Google, annoncé fin 2025 avec Algorand parmi ses partenaires de lancement. AP2 définit comment un agent enregistre un mandat d'intention — la description auditable de ce qu'il peut faire — mais ne précise pas comment ce mandat parvient à l'utilisateur ni comment l'utilisateur le signe. AC2 est précisément ce mécanisme manquant : l'agent envoie le mandat, l'utilisateur le signe sur son appareil, et la signature est rendue à l'agent pour qu'il l'exécute. La même séparation des pouvoirs s'applique aux paiements x402 : l'agent rassemble les détails du paiement, l'utilisateur approuve, l'agent complète l'appel.

L'analyse de Korea IT Times sur cette sortie insiste sur ce que le concept garantit et ne garantit pas. AC2 établit qui a approuvé une requête spécifique ; il ne juge pas si la requête est appropriée. Un utilisateur peut encore approuver une transaction malveillante ou construite de manière trompeuse si le portefeuille n'en présente pas clairement la destination, le montant et les conséquences — la preuve cryptographique peut établir qu'une approbation a eu lieu, mais pas que l'utilisateur a compris ce qu'il approuvait. Et comme la version actuelle demande une signature à chaque action, le concept comporte un risque de fatigue d'approbation : les utilisateurs bombardés de sollicitations peuvent cesser de les lire. La prochaine étape annoncée par la Fondation est la délégation limitée : permettre à l'utilisateur de définir une fois des plafonds de dépenses, des contreparties autorisées et des fenêtres temporelles, après quoi l'agent agit librement dans ces limites et ne revient vers l'utilisateur que pour les exceptions.

Le compromis de l'auto-garde mérite une mention tout aussi importante. Les conditions du portefeuille sont explicites : « Si vous perdez votre appareil ou votre phrase de récupération, votre accès à tout ce que vous avez lié via AC2 peut être définitivement perdu. » Personne ne détient de copie des clés pour les restaurer.

Une spécification vieille d'une semaine

Ce qui est sorti le jour du lancement, c'est une spécification ouverte et une implémentation de référence — un brouillon daté du 1er avril 2026 — accompagnées des versions 1.0.0 d'un SDK, d'un CLI et d'un plugin de référence pour OpenClaw, le framework d'agents open source. L'adoption précoce est mesurable précisément parce qu'elle est faible : le dépôt GitHub affiche 20 étoiles, et la télémétrie npm montre que le plugin OpenClaw a été téléchargé 458 fois au cours de la semaine écoulée et le SDK 247 fois — des chiffres cohérents avec un lancement vieux de quelques jours plutôt qu'avec un déploiement large. Comme le dit l'article de Korea IT Times, une spécification ouverte ne devient un standard de l'industrie que lorsque les portefeuilles, les frameworks d'agents et les fournisseurs de services l'implémentent de manière cohérente ; ce qui a été publié lance ce processus sans le démontrer.

Les utilisateurs d'OpenClaw peuvent tester le flux dès aujourd'hui : installer le plugin AC2 et l'activer, exécuter la commande de configuration, redémarrer la passerelle, puis appairer le portefeuille AC2 — disponible sur Android et iOS — en scannant un code QR. C'est la démo que Bruno Martins a réalisée dans le podcast, discutant avec un agent et approuvant une action en direct. L'épisode se clôt avec Fred Estante, responsable de la DeFi, qui survole l'écosystème au sens large — DeFi, adoption de x402 et prochains changements de gouvernance — un rappel qu'AC2 est une pièce d'un mouvement plus vaste plutôt qu'un outil isolé.

Qui détient les clés

La question posée par le titre de l'épisode a une réponse réflexe en crypto : celui qui détient les clés contrôle le compte — « Pas tes clés, pas tes cryptos. » AC2 étend cette discipline des comptes aux agents. Un agent peut être rapide, économique et infatigable, mais sous AC2, il est structurellement incapable d'agir sans demander — et chaque réponse qu'il reçoit est une signature, pas un message de chat. Le sort du protocole repose désormais sur les portefeuilles et les frameworks d'agents qui choisiront de faire de cette distinction une norme.

Sources

Source: https://www.youtube.com/watch?v=T7Oot8aLZ4A