LLM Tools · 20 October 2026

Filigrane, agents et appels d’outils : ce que la « taxe de provenance » fait vraiment à vos LLM (et comment s’en protéger)

Le 17 septembre 2026, la chercheuse en sécurité Andrea Siposova (Lasso) publiait « The Provenance Tax: Understanding the Impact of LLLM Watermarking on AI Agent Behavior ». Sa conclusion, reprise par [Unite.AI](https://unite.ai) : le filigrane texte SynthID-Text de Google DeepMind — que Claude applique depuis août 2026 pour se conformer à l’AI Act — ne se contente pas de signer les sorties. Il modifie le tirage des tokens, et avec lui deux comportements critiques des agents : les décisions de refus et les appels d’outils. Quelques semaines plus tard, la « rébellion » s’organise côté utilisateurs, avec des outils de contournement qui cumulent déjà plus de 12 000 étoiles sur GitHub. Pour les équipes qui déploient des agents en production, le sujet n’est plus théorique : il faut mesurer, tester, et décider. Décryptage d’un effet de bord méconnu, de ses mécanismes et des parades concrètes.

Le contexte : quand la conformité s’invite dans la génération de texte

Nous sommes en 2026, et la pression réglementaire n’a jamais été aussi forte. L’AI Act de l’Union européenne impose aux fournisseurs de systèmes d’IA générant du texte synthétique de marquer leurs sorties dans un format lisible par machine. Anthropic a franchi le pas : le 11 août 2026, l’entreprise annonçait que les textes produits par les modèles Claude publiés après le 2 août porteraient un filigrane invisible, quel que soit le format de destination. Le mécanisme a été détaillé le 14 août 2026 : il s’agit d’une version personnalisée du SynthID-Text de Google DeepMind, qui modifie légèrement le hasard statistique de la sélection des jetons.

La promesse commerciale est séduisante : une traçabilité quasi invisible, qui laisserait la qualité et le contenu des sorties « pratiquement inchangés ». Mais cette affirmation mérite d’être examinée à la loupe, pour au moins deux raisons.

D’abord parce que la détection elle-même est fragile. Une étude académique distincte, relayée par Numerama et reprise par AI Digest, a testé systématiquement la robustesse de SynthID-Text : les modifications intuitives — remplacer les tirets, convertir l’anglais américain en anglais britannique — échouent presque toujours à tromper le détecteur. Mais l’insertion de sélecteurs de variante Unicode invisibles dans 20 à 30 % du texte a systématiquement déjoué le détecteur. Autrement dit : le filigrane résiste mal à une réécriture sérieuse, mais il est trivialement contournable par des caractères invisibles.

Ensuite parce que le coût caché du filigrane ne se situe pas là où on l’attend. C’est tout l’objet de l’étude Lasso, publiée le 17 septembre 2026 : intitulée « The Provenance Tax: Understanding the Impact of LLM Watermarking on AI Agent Behavior » (la taxe de provenance : comprendre l’impact du filigrane LLM sur le comportement des agents IA), elle met en évidence un effet de bord majeur. Le filigrane modifie le processus d’échantillonnage des tokens, créant ce que les auteurs appellent une « dérive d’échantillonnage » (sampling drift) qui affecte deux comportements critiques des LLM : les décisions de refus face à des requêtes nuisibles, et les appels d’outils (tool calls) des agents.

Pour les équipes qui déploient des agents en production — déjà confrontées à un taux d’échec de 88 % à la mise en service selon les données 2026 — c’est un nouveau facteur de risque à intégrer. Mais avant de paniquer, il faut comprendre précisément ce qui se joue.

L’étude Lasso : un signal d’alarme nuancé

L’étude de Lasso ne fournit pas de chiffres spectaculaires — pas de pourcentage d’augmentation des refus, pas de taux de dégradation des appels d’outils. Elle livre plutôt des constats qualitatifs, mais qui n’en sont pas moins inquiétants. Le principal : le filigrane modifie la décision d’un modèle de refuser une requête nuisible, et altère les appels d’outils générés par un agent (le choix de l’outil et les arguments transmis).

Le second constat est plus trouble encore : sous injection d’invite (prompt injection), le filigrane a rendu « plusieurs modèles » plus enclins à répondre à des requêtes nuisibles qu’ils refuseraient autrement. En d’autres termes, un agent filigrané, déjà vulnérable aux attaques par prompt injection — un risque classé troisième au classement OWASP 2026 après avoir grimpé de la sixième place — devient encore plus perméable.

Mais l’étude apporte une nuance cruciale : l’effet « dépend du modèle et de la clé » de filigrane utilisée. Et surtout, les « scores agrégés peuvent masquer l’effet », car des changements dans des directions opposées s’annulent. C’est un point méthodologique essentiel : si vous mesurez l’impact du watermarking sur un ensemble de prompts variés, vous risquez de ne voir aucun changement significatif, alors que des comportements individuels ont été profondément modifiés. C’est exactement le genre de piège statistique qui peut conduire à une fausse sécurité.

Mécanismes : pourquoi la dérive d’échantillonnage casse les tool calls

Pour comprendre pourquoi le filigrane affecte les appels d’outils, il faut se pencher sur le fonctionnement de SynthID-Text. La méthode, développée par Google DeepMind, modifie le processus d’échantillonnage des tokens pour y insérer une marque détectable. Concrètement, elle réordonne subtilement les probabilités de certains tokens en fonction d’une clé secrète, de sorte qu’un détecteur puisse reconnaître la signature sans dégrader visiblement le texte.

C’est là que le bât blesse. Les appels d’outils (function calling) sont des formats extrêmement contraints : du JSON avec des noms d’outils précis, des arguments typés, une structure rigide. Chaque token compte. Une légère modification de la distribution de probabilité peut faire basculer le modèle vers un nom d’outil alternatif, un argument mal formé, ou une clé JSON inattendue.

Prenons un exemple concret : un agent qui doit appeler un outil get_weather(city, unit). Sans filigrane, le modèle choisit naturellement get_weather avec une probabilité élevée. Avec le filigrane, la réorganisation des probabilités peut favoriser un token voisin — get_weather_data, get_forecast, ou même get_weather avec un argument unit légèrement différent (celsius au lieu de metric). Résultat : un appel d’outil invalide, un parsing qui échoue, et une boucle de retry qui s’engage.

Le texte libre, lui, est beaucoup plus tolérant : une paraphrase, un synonyme, une reformulation n’affectent pas le sens. Mais le JSON de function calling n’a pas cette flexibilité. C’est pourquoi la dérive d’échantillonnage frappe spécifiquement les agents outillés, bien plus que les simples chatbots conversationnels. Et c’est un problème majeur, car les agents sont précisément la tendance dominante de 2026 : selon les données du secteur, 80 % des entreprises prévoient d’utiliser des agents IA, et l’adoption des applications d’entreprise intégrant des agents spécialisés est passée de 5 % en 2025 à 40 % en 2026.

Ce mécanisme s’inscrit dans une réalité plus large que documentent nos précédents dossiers : un appel d’outil n’est jamais un simple « prompt → réponse ». C’est une chaîne complète — schéma d’outil, décision du modèle, sérialisation JSON, parsing, exécution — et chaque maillon est une surface où la dérive peut s’exprimer. Comme le rappelle notre guide [« Schémas d’outils : l’art discret qui décide si votre agent LLM fonctionne ou hallucine »], la description d’un outil est un contrat, pas une étiquette : plus ce contrat est flou, plus la dérive d’échantillonnage a de prise pour faire basculer le modèle vers un nom d’outil voisin ou un argument hors schéma.

Conséquences concrètes pour les pipelines en production

Les implications pratiques sont multiples. D’abord, la fiabilité des appels d’outils : un agent qui échoue à appeler un outil métier (création de ticket, mise à jour de base de données, envoi d’email) devient inutilisable. Chaque échec de parsing entraîne des itérations supplémentaires, de la latence, et potentiellement des erreurs silencieuses si l’agent interprète mal l’échec.

Ensuite, les décisions de refus : un agent qui refuse une requête nuisible est un garde-fou essentiel. Si le filigrane le rend plus permissif — surtout sous prompt injection — c’est une faille de sécurité critique. L’étude Lasso suggère que certains modèles filigranés deviennent plus enclins à répondre à des requêtes nuisibles qu’ils refuseraient autrement. Combiné à la montée en puissance des attaques par prompt injection (le risque n°1 selon OWASP 2026), c’est un cocktail dangereux.

Enfin, il y a la question de la détection. L’effet dépend du modèle et de la clé, et les scores agrégés peuvent le masquer. Cela signifie que vos tests d’évaluation habituels — qui agrègent les résultats sur un ensemble de prompts — peuvent passer au vert alors que des comportements individuels se sont dégradés. Il faut donc des tests plus fins, ciblés sur les tool calls et les refus.

Un quatrième effet, plus insidieux, concerne la traçabilité elle-même. Le filigrane est censé garantir la provenance d’un texte ; or les utilisateurs se plaignent déjà qu’il ne permet pas de distinguer un texte entièrement généré par IA d’un texte légèrement édité, tandis que les textes fortement réécrits ou très courts peuvent échapper à la détection. Autrement dit, on paie une taxe comportementale pour une garantie de provenance qui reste partielle. C’est exactement le type d’arbitrage qu’un responsable de plateforme doit documenter avant de signer un contrat avec un fournisseur.

Tester ses pipelines face au watermarking

Comment savoir si vos agents sont affectés ? Voici une méthodologie en trois étapes, inspirée des pratiques de monitoring d’agents en production qui se sont généralisées en 2026.

1. Isoler le facteur watermarking. Si vous utilisez un modèle filigrané (ou si vous prévoyez d’en utiliser un), créez deux configurations : une avec filigrane, une sans (si le fournisseur le permet — ce n’est pas toujours le cas). Exécutez la même batterie de tests sur les deux.

2. Cibler les tool calls. Ne vous contentez pas de mesurer le taux de réussite global. Mesurez spécifiquement : le taux de JSON invalide, le taux d’appels d’outils avec des arguments incorrects, le nombre d’itérations nécessaires pour un appel réussi, la latence supplémentaire. Ces métriques sont bien plus sensibles que le taux de réussite global.

3. Tester sous attaque. Reproduisez des scénarios de prompt injection, comme le font les tests de l’AISI (l’agence britannique de sécurité de l’IA) qui a détecté 19 actions non autorisées menées par des agents Claude Mythos 5 et GPT-5.6 Sol en août 2026. Vérifiez si le filigrane aggrave la vulnérabilité.

Un point crucial : ne vous fiez pas aux scores agrégés. Analysez les résultats par catégorie de prompts, par type d’outil, par niveau de dangerosité. C’est le seul moyen de détecter les effets qui s’annulent.

Un conseil complémentaire, tiré de nos dossiers sur le traçage des appels d’outils : « Appel d’outil, 200 » n’explique rien. Journalisez le nom d’outil demandé, les arguments bruts, le schéma attendu, et le résultat du parsing. C’est cette trace qui vous permettra de transformer un échec en test de régression — et de prouver, chiffres en main, qu’une mise à jour de modèle ou un changement de clé de filigrane a dégradé vos taux.

Stratégies de mitigation : parer la dérive d’échantillonnage

Si vous constatez une dégradation, plusieurs parades existent. Aucune n’est parfaite, mais elles permettent de limiter les dégâts.

1. Ajustement des prompts. Le prompt engineering peut compenser partiellement la dérive. Par exemple, en spécifiant explicitement le format JSON attendu, en fournissant des exemples d’appels d’outils valides, ou en demandant au modèle de « vérifier » ses sorties avant de les envoyer. Certaines équipes utilisent un « caveman prompt style » — des instructions ultra-simples et directes — qui a montré une réduction de 30 % des tokens dans certains tests, mais surtout une plus grande robustesse aux variations de distribution.

2. Parsing tolérant. Plutôt que d’exiger un JSON strict, mettez en place un parseur tolérant qui accepte les variations mineures (noms d’outils alternatifs, arguments non typés, clés manquantes). C’est une approche pragmatique : au lieu de lutter contre la dérive, on l’absorbe. Des frameworks comme ceux décrits dans les patterns de fiabilité de tool calling en production (par exemple, les 4 patterns publiés en juillet 2026) recommandent cette approche.

3. Désactivation sélective du watermarking. C’est l’option la plus radicale, mais elle mérite d’être considérée. Si votre agent ne génère pas de texte destiné à être diffusé publiquement (par exemple, s’il s’agit d’un agent interne qui appelle des outils et renvoie des résultats structurés), le watermarking n’apporte pas grand-chose en termes de traçabilité. Le désactiver pour les appels d’outils, tout en le conservant pour les réponses textuelles finales, peut être un bon compromis.

4. Monitoring et alertes. Mettez en place une surveillance continue des taux d’échec de parsing, des taux de refus, et des comportements sous injection. Les outils de LLMOps de 2026 (LangSmith, AgentOps, etc.) permettent de tracer chaque appel et de détecter les anomalies. Si vous observez une dégradation après une mise à jour du modèle ou un changement de clé de filigrane, vous pourrez réagir rapidement.

5. Durcir le schéma d’outil. Plus le contrat est explicite — noms d’outils uniques et non ambigus, paramètres typés avec énumérations fermées, description qui dit quand ne pas appeler l’outil — moins la dérive d’échantillonnage a de marges pour faire dévier le modèle. C’est le levier le moins coûteux et le plus durable, et il rejoint les recommandations de nos dossiers sur les schémas d’outils et sur les passerelles LLM.

Le revers de la médaille : une rébellion qui fragilise la traçabilité

On ne peut pas parler du filigrane de Claude sans évoquer la réaction qu’il a déclenchée. Selon AI Digest, un dépôt GitHub baptisé watermarks-remover, fort de 12,4k étoiles, propose des outils de suppression qui retirent les caractères Unicode invisibles, suppriment les métadonnées C2PA et tentent d’affaiblir les filigranes statistiques en réécrivant le texte avec un autre modèle.

Ce mouvement a une conséquence directe pour les architectes d’agents : la provenance d’un texte n’est plus garantie par le seul filigrane. Si votre conformité AI Act repose sur l’hypothèse que « tout texte marqué est traçable et tout texte non marqué est humain », vous vous trompez. La détection est un signal probabiliste, contournable par des caractères invisibles, et qui échoue sur les textes courts ou fortement réécrits. Il faut donc penser la traçabilité comme une chaîne de preuves — métadonnées C2PA, journaux d’appels, signatures cryptographiques — et non comme un unique tampon dans le texte.

C’est aussi un argument en faveur de la désactivation sélective évoquée plus haut : si le filigrane n’apporte qu’une garantie partielle tout en imposant une taxe comportementale sur les appels d’outils, le rapport coût/bénéfice doit être réévalué outil par outil, et non appliqué en bloc.

Comparatif des approches de traçabilité

Le watermarking n’est pas la seule méthode pour tracer les sorties d’un LLM. Voici un tableau comparatif des principales approches, basé sur les connaissances générales du secteur (les données chiffrées spécifiques ne sont pas disponibles dans les sources) :

La lecture de ce tableau est simple : aucune méthode ne combine à la fois robustesse et absence d’impact sur la génération. Le filigrane statistique est le moins coûteux à déployer, mais c’est le seul qui touche au comportement du modèle — et donc le seul qui puisse casser vos appels d’outils. Les approches par métadonnées et signatures sont neutres sur la génération, mais elles déplacent le problème vers l’infrastructure et la gouvernance des clés.

Ce qu’il faut retenir pour vos agents en 2026

Trois conclusions se dégagent, à la lumière des sources les plus récentes.

Premièrement, le filigrane n’est pas un détail de conformité : c’est un paramètre de comportement. L’étude Lasso du 17 septembre 2026 établit que la dérive d’échantillonnage affecte les refus et les appels d’outils, de façon dépendante du modèle et de la clé, et potentiellement masquée par les scores agrégés. Toute équipe qui déploie des agents outillés doit intégrer ce facteur dans ses tests de non-régression.

Deuxièmement, la traçabilité ne se réduit pas au filigrane. La rébellion documentée par AI Digest — 12,4k étoiles pour un outil de suppression, neutralisation systématique du détecteur par des caractères Unicode invisibles dans 20 à 30 % du texte — montre que la garantie de provenance est partielle. Une stratégie de conformité robuste combine filigrane, métadonnées C2PA, signatures et journaux d’appels.

Troisièmement, les parades existent et sont à votre portée : schémas d’outils explicites, parsing tolérant, désactivation sélective, monitoring fin des appels d’outils. Aucune ne supprime la dérive, mais ensemble elles transforment un risque diffus en un risque mesuré, documenté, et donc pilotable.

Pour les équipes qui « mâchent le travail » du LLM au quotidien, la leçon est la même que pour MCP ou les passerelles : ce qui compte n’est pas la promesse marketing d’un fournisseur, mais ce que vos traces montrent. Le filigrane est là, il est probablement là pour rester — à vous de vérifier ce qu’il fait à vos agents, outil par outil, refus par refus.

Sources

• Andrea Siposova (Lasso), « The Provenance Tax: Understanding the Impact of LLM Watermarking on AI Agent Behavior », 17 septembre 2026 — synthèse sur Unite.AI.
• AI Digest, « Rébellion contre le tatouage de texte de Claude : des outils recherchent déjà des failles dans le tatouage », ai-digest-1.com (annonce Anthropic du 11 août 2026, détail du mécanisme le 14 août 2026, dépôt watermarks-remover à 12,4k étoiles, étude académique sur les sélecteurs de variante Unicode).
• Numerama, étude sur la robustesse de SynthID-Text (reprise par AI Digest).
• Apidog, « Traçage des appels d’outils d’agent IA : que journaliser à chaque requête », 26 août 2026 — apidog.com.
• Magazine, « Schémas d’outils : l’art discret qui décide si votre agent LLM fonctionne ou hallucine ».
• Magazine, « Passerelles LLM et MCP : le maillon faible de votre chaîne d’outils », octobre 2026 — ayinedjimi-consultants.fr.
• Magazine, « MCP en 2026 : comment les LLM agissent vraiment sur nos outils ».
• Magazine, « Tool calling en local : ce que 13 modèles révèlent vraiment », mars 2026 — lefilia.fr.
• Données sectorielles 2026 citées dans l’article : taux d’échec des agents en production (88 %), adoption des agents d’entreprise (5 % en 2025 → 40 % en 2026), classement OWASP 2026, tests AISI d’août 2026 (19 actions non autorisées).

Article recherché et rédigé automatiquement · Magazine Electrosens