Il y a deux ans, relier un modèle de langage à votre CRM occupait un trimestre du plan de projet. Aujourd’hui, un ingénieur compétent s’en charge avant le déjeuner.
La friction de l’intégration remplissait une seconde fonction, que personne n’avait budgétée : elle obligeait quelqu’un à justifier une connexion avant que l’entreprise ne la finance. Quand il fallait trois semaines, un responsable demandait à quoi servait l’outil. Quand il faut vingt minutes, plus personne ne pose la question.
Le garde-fou a disparu, et rien ne l’a remplacé.
Trois coûts surgissent alors, et tous trois retombent sur la direction plutôt que sur l’ingénieur.
Trois coûts, une seule cause
Où chaque coût retombe
| Coût | Sous quelle forme il apparaît | Qui en répond |
|---|---|---|
| Budget de contexte | Des réponses plus floues, des factures plus lourdes, des outils mal choisis | Celui qui signe les dépenses en modèles |
| Sécurité à trois parties | Une action menée en votre nom sans que personne l’ait autorisée | Celui qui signe le registre des traitements RGPD |
| La question jamais posée | Un agent affecté à une tâche qu’un script ferait mieux | Celui qui défendra le budget l’an prochain |
Aucun ne tient à un défaut du protocole. Tous découlent de la disparition d’un point de décision que rien n’est venu remplacer.
Le menu d’outils se paie comme un loyer
Chaque outil accessible à un agent doit lui être décrit, et cette description se charge avant que le modèle ne lise le premier mot de votre demande. Trente serveurs ajoutés en un an, vingt minutes chacun : le menu arrive désormais avant le plat, à chaque service.
Un flux de travail qui consommait environ 150 000 jetons à faire transiter définitions d’outils et résultats intermédiaires par le modèle a été reconstruit pour n’en utiliser qu’environ 2 000, soit une baisse de 98,7 %.
Anthropic, « Code execution with MCP », novembre 2025
Ne retenez pas 98,7 % comme votre chiffre. Retenez-en la mécanique et faites votre propre calcul : jetons chargés avant la demande, multipliés par le volume, puis par votre grille tarifaire. La plupart des équipes n’ont jamais posé cette multiplication.
Un ordre de grandeur utile, tiré de l’entretien accordé par Sebastian Wallkötter à KDnuggets en février 2026 : une fenêtre de 200 000 jetons équivaut à peu près à un roman entier. Ce que la plupart des gens tiennent pour illimité devient un budget, avec ses limites.
Plusieurs postes se disputent cet espace, et tous ne se valent pas.
Qui se dispute la fenêtre
| Ce qui occupe la fenêtre | Verdict |
|---|---|
| Définitions d’outils, chargées d’emblée | Oui : chargez-les à la demande |
| Résultats intermédiaires qui font l’aller-retour par le modèle | Oui : gardez-les dans l’environnement d’exécution |
| Documents remontés par la recherche | En partie, grâce à une meilleure recherche documentaire |
| Votre contexte opérationnel : règles, formats, ce qu’est un travail bien fait chez vous | Non, et c’est précisément ce que vous payez |
Tout se joue sur la dernière ligne.
L’orchestration et les catalogues d’outils s’achètent. Le contexte, non, et c’est lui que le menu d’outils évince.
Nous avons longuement développé cette thèse dans l’article consacré à l’achat d’une plateforme sans le contexte.
Vos contrôles supposent deux parties. Il y en a trois.
Les parties à la transaction
| Partie | Ce qu’elle affirme | Ce que vérifient les contrôles |
|---|---|---|
| La personne | Le salarié à l’origine de la demande | Le plus souvent, oui |
| Le fournisseur du modèle | Agir pour le compte de cette personne | Rarement, et jamais action par action |
| Le service sollicité | Honorer le jeton d’accès qu’on lui a remis | Uniquement la validité du jeton d’accès |
C’est la ligne du milieu qui finit dans un registre des traitements.
Si un agent a déplacé des données personnelles, le document doit indiquer qui en a donné l’instruction, et la formule « l’assistant a décidé de » ne passe pas un audit.
La norme a évolué. Sa première version, en novembre 2024, ne prévoyait aucun cadre d’autorisation. OAuth 2.1 est arrivé en mars 2025, et la révision de juin 2025 a fait du serveur un véritable serveur de ressources.
Les déploiements, eux, n’ont pas suivi.
Sur 7 973 serveurs MCP distants recensés en production, 40,55 % exposaient des outils sans le moindre mécanisme d’authentification. Sur les 119 serveurs compatibles OAuth testés dynamiquement, tous présentaient au moins une faille, 325 au total, qui ont donné lieu à neuf identifiants CVE.
A First Measurement Study on Authentication Security in Real-World Remote MCP Servers, arXiv:2605.22333 · mai 2026
L’authentification est la moitié soluble du problème. L’autre, c’est l’injection de prompt : le contenu renvoyé par un outil contient des instructions que le modèle exécute ensuite. On espère d’ordinaire un remède comparable à celui qui a eu raison de l’injection SQL : séparer l’instruction de la donnée.
L’injection SQL a pu être vaincue parce que la structure d’une requête et les données de l’utilisateur sont, par principe, dissociables. Dans un modèle de langage, elles sont faites de la même matière.
Au bout de deux ans, toutes les parades restent probabilistes. Nous réviserions cet avis la semaine même où quelqu’un démontrerait le contraire.
La conséquence pratique est bien délimitée. Tout outil accessible à un agent l’est aussi à quiconque peut écrire dans le contexte de cet agent. Le nombre d’outils, c’est le rayon d’impact.
Souvent, le remède le moins cher n’est pas l’IA
Wallkötter, qui a consacré sa thèse à l’interaction homme-robot, dit des robots humanoïdes qu’ils sont « un peu comme un équilibre instable ». Impressionnants en démonstration, ils deviennent difficiles à justifier dès qu’on demande à quoi ils servent. Retirez les jambes, montez des roues : vous obtenez une machine moins chère et plus robuste, que personne ne filme.
Il en a croisé la version logicielle : un système de développement sophistiqué, doté d’un agent chargé de repérer les tests peu fiables. Lancez le test dix fois. S’il réussit parfois et échoue parfois, il n’est pas fiable. Le mot ne veut rien dire d’autre.
La version déterministe est instantanée, gratuite, exacte à tous les coups, et se passe de revue de sécurité. La version agent consomme des jetons, se trompe de temps à autre, et allonge encore un menu déjà chargé.
Les modèles méritent leur coût quand il faut juger dans l’ambiguïté. Ils s’inclinent devant un script dès que la réponse obéit à une définition qu’on peut écrire.
Quatre questions permettent de trancher :
À poser dans cet ordre
| Test | Question | Réponse |
|---|---|---|
| La règle | Une règle écrite peut-elle vérifier le résultat ? | Écrivez la règle. |
| La répétition | Une même entrée doit-elle produire la même réponse à chaque fois ? | Ce n’est pas le bon instrument. |
| Le rayon d’impact | Une erreur coûterait-elle cher, tout en passant inaperçue ? | Un script, ou un modèle avec validation humaine avant l’action. |
| Le jugement | L’entrée est-elle du langage non structuré, et le jugement réellement flou ? | C’est exactement à cela que sert le modèle. |
La plupart des projets d’agents que l’on nous soumet échouent à la première question, et sans même avoir été testés, faute d’avoir jamais construit la version simple.
Des agents spécialisés, un budget d’outils écrit
Dans nos missions, un agent doté de quarante outils a systématiquement été battu par quatre agents de six outils chacun. Le composant qui oriente une demande ne choisit bien qu’entre des options qu’il sait distinguer. Vérifiez-le sur votre propre trafic avant de vous engager.
Ce qui fait tenir la règle est plus terne que l’architecture. Chaque agent reçoit une liste d’outils écrite, avec un responsable et une justification en face de chaque entrée. Pour en ajouter un, il faut en retirer un, ou plaider sa cause.
Cette semaine À faire cette semaine : dressez la liste des outils que vos agents peuvent atteindre aujourd’hui, inscrivez un nom et une raison en face de chacun, et comptez ceux que personne ne sait défendre. Une heure suffit, et ce nombre-là tient généralement lieu de diagnostic.
L’objection On objectera que le chargement à la demande règle déjà la question. Il ne règle qu’un coût sur trois. Un outil chargé seulement en cas de besoin existe toujours, doit toujours être maintenu et reste accessible.
La facture de jetons a toujours été le moins intéressant des trois coûts.
Commencez par écrire la version rudimentaire
Tout ce qui précède suppose que l’agent a lieu d’exister. Le seul moment honnête pour le vérifier, c’est maintenant, tant que personne n’a encore rien à défendre.
Avant d’établir la connexion, mettez trois choses par écrit :
Le plancher Un plancher de qualité, assorti d’une date.
Le plafond Un plafond de coût par exécution, une fois le volume au rendez-vous.
La référence La référence déterministe : la version la plus simple de la tâche, sans IA, et ses performances réelles.
C’est la troisième qui fait l’essentiel du travail. Si personne ne sait décrire la version script, l’équipe ne comprend pas assez la tâche pour l’automatiser. Si le script existe et que l’agent ne le bat pas d’une marge qui justifie le coût d’exploitation et la surface d’attaque supplémentaire, la réponse tombe en un jour au lieu d’un trimestre.
C’est la phase Cap de notre méthode AZIMUTH, exposée sur la page Méthode. Les clients la contestent, jusqu’au trimestre où elle arrête un projet avant que celui-ci ne s’arrête tout seul.
Le protocole a supprimé un coût. Pas la décision qui se cachait dessous.
Dernière relecture en août 2026. Les corrections sont consignées, jamais apportées en silence. Ce qui nous ferait changer d’avis : une parade contre l’injection de prompt qui résiste à des tests adverses, et pas seulement en moyenne.
