# Qu’est-ce qu’un portefeuille agentique ?

> Un portefeuille dont un agent IA peut dépenser sans vous demander. Toute la question de conception tient à ce qui l’arrête.

- Source: https://defiloops.com/fr/blog/what-is-an-agentic-wallet
- Published: 2026-07-14
- Category: Architecture
- Tags: agentic-wallet, ai-agents, account-abstraction, custody
- Author: DeFiLoops

---
Un **portefeuille agentique** est un portefeuille crypto dont un agent IA peut dépenser de
lui-même, dans des limites fixées à l’avance. Pas de fenêtre de validation à chaque action,
personne au clavier à trois heures du matin.

C’est la moitié facile de la définition. La moitié difficile — celle qui sépare les produits
— est la seconde proposition : *dans des limites fixées à l’avance*. Quelles sont ces
limites, et ce qui les fait respecter, c’est toute la conception.

## Pourquoi cette idée existe

Un portefeuille ordinaire présuppose une personne. Chaque transaction attend qu’un humain la
regarde et appuie sur quelque chose. Bonne hypothèse pour acheter un jeton, désastreuse pour
tout ce qui doit réagir : une position à rééquilibrer quand le prix bouge, un prêt à renforcer
avant liquidation, un loyer qui tombe le premier du mois.

<Compare left="Un portefeuille ordinaire" right="Un portefeuille agentique" verdict>
  <Fragment slot="left">
    Chaque action vous attend. La stratégie tourne quand vous y pensez, à un prix que vous
    n’avez pas choisi, et s’arrête le mois où vous êtes occupé.
  </Fragment>
  <Fragment slot="right">
    L’agent agit dans les bornes que vous fixez. La stratégie continue pendant que vous
    dormez, et ce sont ces bornes que vous faites vraiment confiance.
  </Fragment>
</Compare>

Tout portefeuille agentique est un pari : que la seconde colonne peut être rendue assez sûre
pour en valoir la peine. Ils diffèrent par ce sur quoi ils parient.

## Le substrat : l’abstraction de comptes

Rien de tout cela n’est possible avec un portefeuille ordinaire, et il vaut la peine de
savoir pourquoi.

Un portefeuille ordinaire est une adresse contrôlée par une clé privée. Chaque transaction
est signée par cette clé, et tout ce qui détient la clé peut tout faire. Impossible de dire
« cette partie peut faire ces trois choses, jusqu’à ce montant » : la clé est tout ou rien.

L’**abstraction de comptes** fait du compte un contrat, si bien que les règles sur qui peut
faire quoi sont du code. C’est le changement habilitant, et trois de ses conséquences
apparaissent dans tout portefeuille agentique :

<Spec rows={[
  ['Le compte peut nommer un contrat', 'L’agent n’a donc pas besoin d’être une paire de clés — et une clé simple peut être refusée d’emblée'],
  ['Les permissions peuvent être bornées', 'Des opérations nommées, avec un plafond par actif et par période, plutôt qu’une autorité totale'],
  ['Quelqu’un d’autre peut payer le gas', 'C’est pourquoi vous n’avez jamais à détenir la monnaie native d’un réseau que vous n’avez pas utilisé'],
]} />

Les standards sont ERC-4337 pour le compte et ERC-7579 pour les modules de permissions. Nul
besoin de connaître ces numéros pour vous en servir ; ils comptent parce que « l’agent ne peut
pas prendre votre argent » est une affirmation, et que c’est ici qu’une affirmation devient
une application plutôt qu’une promesse.

## Les trois conceptions en présence

<Spec title="Comment les portefeuilles agentiques bornent un agent" rows={[
  ['L’agent détient une clé', 'Le plus simple et le plus courant dans les premières versions. L’agent a une clé privée et on lui demande, par logiciel, de bien se tenir. Ce qui persuade l’agent obtient la clé.'],
  ['L’agent détient une part de clé', 'MPC ou multisig. Personne ne signe seul, et des politiques bornent ce qui est cosigné. La réponse commerciale dominante aujourd’hui.'],
  ['L’agent ne détient aucune clé', 'L’agent est un contrat que votre compte nomme. Il peut demander une opération nommée et rien d’autre. C’est la conception retenue ici.'],
]} />

Le secteur converge sur l’idée que la première est indéfendable. Coinbase a publiquement
soutenu que les agents IA ne devraient pas détenir de clés privées, et le raisonnement est
simple : un agent qui détient sa propre clé est à une injection de prompt réussie d’envoyer
tout à l’adresse d’un attaquant.

<Callout type="warn" title="L’essentiel du débat porte sur la deuxième ligne">
  Le MPC avec limites de politique est une vraie amélioration et c’est là que se trouve
  l’essentiel du marché. Notre désaccord est étroit et précis, et il tient dans la section
  suivante, pas dans un adjectif.
</Callout>

## La question qui les sépare vraiment

Non pas « quelle est la force des limites » mais **qu’est-ce que l’agent peut exprimer ?**

Un moteur de politiques est un filtre. Il se place entre un agent capable de composer une
transaction arbitraire et une chaîne prête à l’exécuter, et il dit oui ou non. Les filtres
sont évalués contre les attaques que quelqu’un a déjà imaginées, et un filtre qui doit décider
si « envoyer 3 milliards de jetons à 0xabc… » est légitime fait un travail difficile sous
pression adverse.

L’alternative est de rendre la phrase indicible.

<Quote cite="La version structurelle de l’argument">
  L’injection, on ne peut pas l’empêcher. L’expressivité, on peut la retirer.
</Quote>

Ici, l’agent ne compose pas de transactions. Il remplit un formulaire fixe de cases
étiquetées, tirées d’une liste fermée d’opérations. Il n’y a pas de case pour une adresse de
destination ni pour une charge utile. Les destinations sont des **rôles** — « le compte du
propriétaire » — résolus depuis votre compte au moment où l’étape s’exécute.

L’instruction malveillante n’a donc nulle part où s’écrire. Rien n’a besoin de la détecter.

<Callout type="note" title="C’est une affirmation plus étroite que « sûr »">
  Cela empêche qu’un agent soit convaincu de payer un attaquant. Ce n’est pas affirmer que
  toute voie par laquelle la valeur pourrait bouger est fermée — voir l’article sécurité pour
  les quatre attaques que nous avons prouvées contre nous-mêmes, et l’absence d’audit externe.
</Callout>

## Ce que les gens comprennent de travers

### « Agentique veut dire que l’IA a mon argent »

Ce n’est le cas dans aucune des trois conceptions, et encore moins dans la troisième. Ici vos
fonds sont à une adresse dérivée de la vôtre. Vous en êtes l’unique propriétaire, en
permanence. L’agent ne peut détenir un jeton à aucun moment d’un plan, ni la clé qui paie les
frais de réseau.

### « Les limites sont un réglage, donc quelqu’un peut les changer »

Cela dépend entièrement d’où vivent les limites. Un plafond appliqué par un serveur est une
politique. Un plafond appliqué par votre compte sur la chaîne n’est pas quelque chose que
l’opérateur peut relever, parce que le compte ne répond qu’à vous.

<Spec rows={[
  ['Où vit le plafond', 'L’opérateur peut-il le relever'],
  ['Dans le back-end du produit', 'Oui, en déployant un autre code'],
  ['Dans un moteur de politiques qu’il exploite', 'Oui, en changeant la politique'],
  ['Dans votre compte, sur la chaîne', 'Non'],
]} />

### « Non dépositaire » est un mot marketing

C’est un mot testable. Une seule question tranche : **pouvez-vous sortir votre argent sans
aucune coopération de l’opérateur et avec ses serveurs éteints ?** Si la réponse exige un
ticket de support, une file de retrait ou sa signature, c’est de la conservation avec des
étapes en plus.

## Quoi demander à un fournisseur

Quatre questions, dont aucune n’exige de croire une page sécurité.

<Steps>
  <Step title="Qu’est-ce que l’agent peut écrire ?">
    Si la réponse contient une adresse, tous les autres contrôles sont un filtre entre un
    modèle persuadable et votre argent.
  </Step>
  <Step title="Où le plafond de dépense est-il appliqué ?">
    Sur leur serveur, ou dans un compte que vous seul contrôlez ? Demandez ce qu’il advient du
    plafond s’ils veulent le changer.
  </Step>
  <Step title="Puis-je partir avec vos serveurs éteints ?">
    Et quelqu’un l’a-t-il réellement fait ? Une voie de sortie que personne n’a exercée est
    une supposition.
  </Step>
  <Step title="Quel est le pire cas avec un agent entièrement compromis ?">
    Une bonne réponse est un chiffre que vous fixez. Une réponse vague signifie que personne ne
    l’a calculé.
  </Step>
</Steps>

## L’état honnête de cette catégorie

C’est tôt, et les données d’incidents le disent. Les entreprises qui déploient des agents
autonomes signalent des incidents de sécurité à un rythme qui fait de « ça ne nous est pas
arrivé » une défense peu utile. Les totaux en dollars publiés méritent en revanche de la
prudence : les chiffres phares peuvent être gonflés par des incidents que les sources
primaires attribuent à des causes sans rapport avec les agents.

Un portefeuille agentique n’est pas un portefeuille plus sûr. C’est un portefeuille qui a
troqué une vérification humaine contre une vérification structurelle. Que ce troc soit bon
dépend entièrement du degré de structure réelle — et cela se demande précisément, et cela
mérite d’être demandé.