Qu’est-ce qu’un portefeuille agentique ?
Un portefeuille dont un agent IA peut dépenser sans vous demander. Toute la question de conception tient à ce qui l’arrête.
Un portefeuille agentique est un portefeuille crypto dont un agent IA peut dépenser de lui-même, dans des limites fixées à l’avance. Pas de fenêtre de validation à chaque action, personne au clavier à trois heures du matin.
C’est la moitié facile de la définition. La moitié difficile — celle qui sépare les produits — est la seconde proposition : dans des limites fixées à l’avance. Quelles sont ces limites, et ce qui les fait respecter, c’est toute la conception.
Pourquoi cette idée existe
Un portefeuille ordinaire présuppose une personne. Chaque transaction attend qu’un humain la regarde et appuie sur quelque chose. Bonne hypothèse pour acheter un jeton, désastreuse pour tout ce qui doit réagir : une position à rééquilibrer quand le prix bouge, un prêt à renforcer avant liquidation, un loyer qui tombe le premier du mois.
Chaque action vous attend. La stratégie tourne quand vous y pensez, à un prix que vous n’avez pas choisi, et s’arrête le mois où vous êtes occupé.
L’agent agit dans les bornes que vous fixez. La stratégie continue pendant que vous dormez, et ce sont ces bornes que vous faites vraiment confiance.
Tout portefeuille agentique est un pari : que la seconde colonne peut être rendue assez sûre pour en valoir la peine. Ils diffèrent par ce sur quoi ils parient.
Le substrat : l’abstraction de comptes
Rien de tout cela n’est possible avec un portefeuille ordinaire, et il vaut la peine de savoir pourquoi.
Un portefeuille ordinaire est une adresse contrôlée par une clé privée. Chaque transaction est signée par cette clé, et tout ce qui détient la clé peut tout faire. Impossible de dire « cette partie peut faire ces trois choses, jusqu’à ce montant » : la clé est tout ou rien.
L’abstraction de comptes fait du compte un contrat, si bien que les règles sur qui peut faire quoi sont du code. C’est le changement habilitant, et trois de ses conséquences apparaissent dans tout portefeuille agentique :
- Le compte peut nommer un contrat
- L’agent n’a donc pas besoin d’être une paire de clés — et une clé simple peut être refusée d’emblée
- Les permissions peuvent être bornées
- Des opérations nommées, avec un plafond par actif et par période, plutôt qu’une autorité totale
- Quelqu’un d’autre peut payer le gas
- C’est pourquoi vous n’avez jamais à détenir la monnaie native d’un réseau que vous n’avez pas utilisé
Les standards sont ERC-4337 pour le compte et ERC-7579 pour les modules de permissions. Nul besoin de connaître ces numéros pour vous en servir ; ils comptent parce que « l’agent ne peut pas prendre votre argent » est une affirmation, et que c’est ici qu’une affirmation devient une application plutôt qu’une promesse.
Les trois conceptions en présence
- L’agent détient une clé
- Le plus simple et le plus courant dans les premières versions. L’agent a une clé privée et on lui demande, par logiciel, de bien se tenir. Ce qui persuade l’agent obtient la clé.
- L’agent détient une part de clé
- MPC ou multisig. Personne ne signe seul, et des politiques bornent ce qui est cosigné. La réponse commerciale dominante aujourd’hui.
- L’agent ne détient aucune clé
- L’agent est un contrat que votre compte nomme. Il peut demander une opération nommée et rien d’autre. C’est la conception retenue ici.
Le secteur converge sur l’idée que la première est indéfendable. Coinbase a publiquement soutenu que les agents IA ne devraient pas détenir de clés privées, et le raisonnement est simple : un agent qui détient sa propre clé est à une injection de prompt réussie d’envoyer tout à l’adresse d’un attaquant.
La question qui les sépare vraiment
Non pas « quelle est la force des limites » mais qu’est-ce que l’agent peut exprimer ?
Un moteur de politiques est un filtre. Il se place entre un agent capable de composer une transaction arbitraire et une chaîne prête à l’exécuter, et il dit oui ou non. Les filtres sont évalués contre les attaques que quelqu’un a déjà imaginées, et un filtre qui doit décider si « envoyer 3 milliards de jetons à 0xabc… » est légitime fait un travail difficile sous pression adverse.
L’alternative est de rendre la phrase indicible.
L’injection, on ne peut pas l’empêcher. L’expressivité, on peut la retirer.
Ici, l’agent ne compose pas de transactions. Il remplit un formulaire fixe de cases étiquetées, tirées d’une liste fermée d’opérations. Il n’y a pas de case pour une adresse de destination ni pour une charge utile. Les destinations sont des rôles — « le compte du propriétaire » — résolus depuis votre compte au moment où l’étape s’exécute.
L’instruction malveillante n’a donc nulle part où s’écrire. Rien n’a besoin de la détecter.
Ce que les gens comprennent de travers
« Agentique veut dire que l’IA a mon argent »
Ce n’est le cas dans aucune des trois conceptions, et encore moins dans la troisième. Ici vos fonds sont à une adresse dérivée de la vôtre. Vous en êtes l’unique propriétaire, en permanence. L’agent ne peut détenir un jeton à aucun moment d’un plan, ni la clé qui paie les frais de réseau.
« Les limites sont un réglage, donc quelqu’un peut les changer »
Cela dépend entièrement d’où vivent les limites. Un plafond appliqué par un serveur est une politique. Un plafond appliqué par votre compte sur la chaîne n’est pas quelque chose que l’opérateur peut relever, parce que le compte ne répond qu’à vous.
- Où vit le plafond
- L’opérateur peut-il le relever
- Dans le back-end du produit
- Oui, en déployant un autre code
- Dans un moteur de politiques qu’il exploite
- Oui, en changeant la politique
- Dans votre compte, sur la chaîne
- Non
« Non dépositaire » est un mot marketing
C’est un mot testable. Une seule question tranche : pouvez-vous sortir votre argent sans aucune coopération de l’opérateur et avec ses serveurs éteints ? Si la réponse exige un ticket de support, une file de retrait ou sa signature, c’est de la conservation avec des étapes en plus.
Quoi demander à un fournisseur
Quatre questions, dont aucune n’exige de croire une page sécurité.
- Qu’est-ce que l’agent peut écrire ?
Si la réponse contient une adresse, tous les autres contrôles sont un filtre entre un modèle persuadable et votre argent.
- Où le plafond de dépense est-il appliqué ?
Sur leur serveur, ou dans un compte que vous seul contrôlez ? Demandez ce qu’il advient du plafond s’ils veulent le changer.
- Puis-je partir avec vos serveurs éteints ?
Et quelqu’un l’a-t-il réellement fait ? Une voie de sortie que personne n’a exercée est une supposition.
- Quel est le pire cas avec un agent entièrement compromis ?
Une bonne réponse est un chiffre que vous fixez. Une réponse vague signifie que personne ne l’a calculé.
L’état honnête de cette catégorie
C’est tôt, et les données d’incidents le disent. Les entreprises qui déploient des agents autonomes signalent des incidents de sécurité à un rythme qui fait de « ça ne nous est pas arrivé » une défense peu utile. Les totaux en dollars publiés méritent en revanche de la prudence : les chiffres phares peuvent être gonflés par des incidents que les sources primaires attribuent à des causes sans rapport avec les agents.
Un portefeuille agentique n’est pas un portefeuille plus sûr. C’est un portefeuille qui a troqué une vérification humaine contre une vérification structurelle. Que ce troc soit bon dépend entièrement du degré de structure réelle — et cela se demande précisément, et cela mérite d’être demandé.