Les agents IA peuvent désormais payer. Les chercheurs ne cessent de les piéger

Imaginez demander à un assistant IA de vous réserver un billet de train, et qu’il le fasse tout simplement : il trouve le tarif, paie et vous envoie la confirmation. Pas de numéro de carte à taper, pas de bouton « confirmer l’achat ». C’est la promesse des « paiements agentiques », et certains des plus grands noms de la tech et de la finance en construisent la tuyauterie en ce moment même.

Mais les signaux les plus intéressants dans ce domaine ne viennent pas des lancements de produits. Ils viennent des laboratoires de recherche, où des spécialistes de la sécurité montrent comment tromper ces systèmes, et des cabinets d’avocats qui lisent les nouvelles règles européennes de paiement et remarquent que les agents IA n’y sont pas mentionnés du tout.

C’est l’histoire d’une technologie dont les problèmes apparaissent avant les clients. C’est souvent précisément le moment où il vaut la peine d’y prêter attention.

Ce que sont vraiment les « paiements par agent »

Un agent IA est un logiciel qui ne se contente pas de répondre à des questions mais qui agit : il cherche, réserve, achète. Pour payer, il lui faut un moyen de déplacer de l’argent qui ne dépende pas d’un humain remplissant un formulaire de paiement.

Plusieurs standards concurrents sont apparus pour cela. Les plus connus sont :

• x402, lancé par Coinbase. Il fait revivre un vieux code web inutilisé, « 402 Payment Required » (paiement requis), pour qu’un site puisse demander à un agent un micropaiement, souvent en stablecoins, avant de fournir des données ou un service. En juillet 2026, il a été confié à une fondation neutre hébergée par la Linux Foundation.
• AP2, l’Agent Payments Protocol de Google, qui utilise des « mandats » signés : une instruction numérique de l’utilisateur indiquant ce que l’agent peut acheter, et jusqu’à quel montant.
• ACP, l’Agentic Commerce Protocol, une autre spécification ouverte pour le paiement par agent.

Les développeurs s’y intéressent clairement. Sur GitHub, le projet x402 compte environ 6 700 étoiles et 2 200 copies (« forks ») sur lesquelles d’autres construisent, AP2 environ 3 300 étoiles et ACP environ 1 500. Les réseaux de cartes travaillent aussi sur des jetons de paiement spécifiques pour les agents.

Combien d’argent circule vraiment ? Très peu

C’est ici que l’engouement rencontre la réalité. L’estimation la plus prudente vient d’un rapport de Visa et de la société de données Artemis, sur des données d’avril 2026. Après avoir retiré les fausses transactions dites « wash » et les tests, ils ont trouvé qu’environ 15 millions de dollars étaient passés par x402, sur environ 110 millions de paiements, soit à peu près 14 cents chacun. Les chiffres bruts non filtrés atteignaient environ 136 millions de dollars : le filtre a donc retiré près de 90 % des montants.

Depuis, les outils de suivi divergent fortement. Un compteur brut sur la blockchain montre un trafic régulier entre machines, tandis que d’autres signalent un effondrement en valeur : les règlements avaient chuté de 93 % sur l’année en août, selon des données d’Helios Analytics citées par CCN, contre des pics proches de 800 000 dollars par jour fin 2025. Personne n’a encore produit de chiffre neutre et audité sur les vrais paiements par agent.

Ce qui reste, ce sont surtout des logiciels qui paient d’autres logiciels pour de petits morceaux de données ou de calcul, pas des gens qui achètent des billets de train. Quand des agents achètent aujourd’hui pour des consommateurs, ils utilisent surtout des cartes ordinaires. Une start-up de la promotion d’été 2026 de Y Combinator, Agentcard, se contente d’émettre des cartes Visa virtuelles prépayées pour agents IA.

Les chercheurs ont trouvé les points faibles en premier

Alors que le volume réel reste faible, l’attention des universitaires a grandi vite. Trois articles publiés en 2026 se distinguent.

« Five Attacks on x402 » (Cinq attaques contre x402), publié en mai par des chercheurs de l’Ohio State, du CSIRO australien et de l’université de Manchester, a testé le protocole sur plus de 25 000 requêtes de paiement. Ils ont montré un utilisateur débité sans recevoir le service, un seul paiement réutilisé pour débloquer un service 248 fois sur un point d’accès réel, des contenus payants qui fuient par des caches web ordinaires, et un faux serveur captant près de 72 % du trafic des agents pendant la phase de découverte. Ils ont trouvé 11 vulnérabilités dans trois boîtes à outils open source.

Une analyse de sécurité de l’AP2 de Google, publiée en août, a recensé 48 menaces différentes, dont huit jugées de gravité élevée. Son constat central est le plus important : un mandat signé valide ne garantit pas que l’utilisateur voulait vraiment le paiement si les informations vues par l’agent avant la signature ont été manipulées.

Une analyse formelle de quatre protocoles (x402, MPP, ACP et AP2), également publiée en août, a utilisé des outils de vérification mathématique pour exécuter 86 cas de test. Quarante d’entre eux ont produit des résultats jamais documentés auparavant.

Ces attaques ont surtout été testées sur des boîtes à outils de référence et des réseaux de test. De grands opérateurs en production comme Coinbase et Cloudflare en ont peut-être déjà corrigé certaines. Mais elles montrent que la couche de sécurité autour des paiements par agent est loin d’être terminée.

Les nouvelles règles européennes ne mentionnent pas les agents IA

L’Union européenne réécrit depuis des années ses règles de paiement, connues sous le nom de DSP3 (PSD3) et de règlement sur les services de paiement (PSR). Les textes de compromis définitifs ont été transmis pour approbation en avril 2026, avec une publication attendue au second semestre. Les règles s’appliqueraient 21 mois après leur entrée en vigueur.

Selon une synthèse de la branche juridique de PwC, le texte ne contient aucune disposition sur les agents IA, les paiements initiés par un agent ou les mandats de paiement. Une analyse de septembre du cabinet Annerton liste les questions ouvertes : un mandat donné à l’avance vaut-il autorisation d’un paiement, un agent pourrait-il lui-même être un service de paiement réglementé, et comment l’authentification forte du client, l’étape « confirmez dans votre application bancaire », devrait-elle fonctionner quand une machine agit pour vous ?

Les règles générales s’appliquent toujours, et elles vont dans un sens. Le prestataire de paiement reste responsable quand l’authentification échoue ou quand il laisse passer des transactions suspectes, et la responsabilité propre du consommateur est plafonnée à 50 euros. Notre lecture de ces analyses, qui est une interprétation et non du droit établi, est que les banques et sociétés de paiement de l’UE sont les plus susceptibles de supporter les pertes lorsqu’un agent manipulé paie quelque chose. Cela en ferait les premiers clients naturels d’outils qui vérifient ce qu’on a réellement demandé à un agent.

La Banque centrale européenne s’y intéresse aussi. En septembre, elle a lancé un appel aux entreprises pour rejoindre sa plateforme d’innovation pour l’euro numérique, avec un chantier « IA dans les paiements » couvrant les agents IA et les micropaiements en 2027.

L’argent commence à suivre, lentement

Si les sociétés de paiement ont besoin d’outils pour contrôler les agents, quelqu’un doit les construire. En Europe, cette « couche de confiance » n’en est qu’à ses tout débuts :

• Ralio, à Londres, a levé 2,5 millions de dollars en pré-amorçage en avril. Elle vérifie chaque paiement d’agent au regard de règles, envoie les cas douteux à un humain et consigne la trace des décisions.
• SolvaPay, à Stockholm, a levé 2,4 millions d’euros, également en avril, pour permettre aux services logiciels de facturer directement les agents IA.
• Cygrid, à Berlin, a levé 2,66 millions d’euros en octobre pour contrôler ce que les identités d’agents IA ont le droit de faire, sans se concentrer sur les paiements.

À titre de comparaison, l’américaine Baselayer a levé 35 millions de dollars en série A en septembre pour un certificat « Know Your Agent » (connaître son agent), environ dix fois les tours européens.

Les acteurs établis se positionnent aussi. Une analyse de brevets sponsorisée de GlobalData a montré que la part de Mastercard dans les publications de brevets sur les agents IA est passée de 0,7 % à 5 % en un an, dont une demande sur la délégation de paiement vérifiable. Celle de Visa a à peine bougé.

Pourquoi c’est important même si vous ne touchez jamais aux cryptos

On pourrait tout ranger dans la case des technologies de niche. Mais la question de fond, qui paie quand un logiciel se trompe avec votre argent ?, touchera les clients ordinaires des banques bien avant que la plupart des gens utilisent un agent IA pour faire leurs achats.

Les nouvelles règles de l’UE contiennent déjà des protections qui indiquent la direction. Le texte accorde aux consommateurs un droit au remboursement lorsque des fraudeurs se font passer pour leur prestataire de paiement, et précise que la seule réalisation de l’étape d’authentification ne suffit pas à prouver qu’un paiement a été autorisé. Avec le plafond de 50 euros sur la responsabilité du payeur, cela suggère que les régulateurs penchent pour la protection de la personne plutôt que de la procédure. Si cette approche s’étend aux agents IA, le coût d’un agent manipulé retomberait surtout sur les banques et les sociétés de paiement, qui auraient alors une forte raison d’exiger de meilleures garanties avant de laisser les agents dépenser librement.

Pour ceux qui construisent ces systèmes, la recherche pointe un manque clair : quelque chose qui se place avant le moment de la signature, vérifie ce qu’on a réellement demandé à l’agent et ce qu’il a lu en chemin, et conserve une trace infalsifiable. Que cela devienne un produit autonome ou une fonction des systèmes bancaires existants est l’une des questions ouvertes des deux prochaines années.

Ce qui pourrait mal tourner

• Le volume pourrait ne jamais décoller. Si les agents continuent d’utiliser des cartes ordinaires, les nouveaux protocoles pourraient rester de niche.
• Les règles générales pourraient suffire. Les régulateurs européens pourraient traiter les agents via les règles existantes d’authentification et de responsabilité, ou via des orientations techniques, avant qu’une start-up ne prenne l’avantage.
• Les attaques sont peut-être déjà corrigées dans les grands systèmes en production qui gèrent l’essentiel du trafic réel.
• Les réseaux de cartes pourraient intégrer la solution. Visa et Mastercard pourraient inclure une évaluation des risques dans leurs propres programmes pour agents, réduisant la place des start-up indépendantes.

Ce qu’il faut surveiller

• Un décompte neutre et audité des vrais paiements par agent. Les outils actuels divergent de plusieurs ordres de grandeur.
• Le Monetization Gateway de Cloudflare, lancé en juillet 2026 et réglé via x402, seul produit à large diffusion capable de relancer les volumes.
• La publication officielle de la DSP3 et du PSR au Journal officiel de l’UE, et d’éventuelles orientations de l’Autorité bancaire européenne sur l’application des mandats et de l’authentification aux agents.
• Des tours de financement plus importants pour les start-up européennes de vérification d’agents, signe que les investisseurs croient que les banques paieront pour cela.
• Les dépôts de brevets de Mastercard sur les paiements délégués, qui pourraient influencer ce que les autres ont le droit de construire.

La technologie permettant aux machines de se payer entre elles existe. Lui confier votre carte est une autre question, et pour l’instant les chercheurs y répondent plus vite que le marché.