Prouver quel agent a produit un log, quand c'est le revendeur qui détient le log

De quoi s’agit-il ?

TRACE est un filigrane de provenance destiné au journal d’actions d’un agent LLM, publié sur arXiv le 9 juillet 2026 par une équipe de l’University of New South Wales, de la Griffith University et du Data61 (CSIRO). Il s’attaque à un problème de gouvernance qui devient pressant à mesure que les agents atteignent les utilisateurs via des intermédiaires : lorsqu’un comportement d’agent est contesté après un incident, l’attribution repose sur le log de trajectoire — l’enregistrement des appels d’outils, des observations et des actions exécutées. La difficulté tient à qui détient ce log. Un revendeur qui licencie l’agent d’un éditeur, le réétiquette à sa marque, ou substitue discrètement un modèle moins cher, est la même partie qui stocke et modifie le log à des fins de facturation. Tout filigrane lu directement sur ce log peut être effacé par la partie même que l’on audite. TRACE est, selon ses auteurs, le premier filigrane d’agent conçu pour survivre à un adversaire disposant d’un accès complet en lecture et en écriture à la preuve elle-même.

Comment ça marche

L’idée centrale est qu’un filigrane unique, clé d’une seule manière, cède toujours face à l’un des deux gestes de blanchiment du revendeur ; TRACE porte donc deux signaux complémentaires sur la même trajectoire. Un revendeur qui veut réduire et assainir un log supprime des étapes, ce qui désynchronise toute clé dérivée de la position. Un revendeur qui veut le réétiqueter réécrit les observations et renomme les outils, ce qui altère toute clé dérivée du contenu. Aucune clé unique ne résiste aux deux.

TRACE superpose deux canaux. Le canal de sélection module quelle action l’agent choisit parmi les options admissibles de l’environnement, au moyen d’un échantillonneur sans distorsion clé sur le contenu précédent ; les auteurs prouvent que la distribution d’actions obtenue est identique à celle de l’agent non filigrané, et comme la clé est le contenu local, une suppression n’endommage qu’une clé voisine et la détection se resynchronise à la décision suivante. Le canal de comptage module combien d’enregistrements contient chaque groupe de décisions, clé sur le seul squelette structurel du log — une quantité que la réécriture ne peut atteindre, ce qui rend ce canal invariant face à la paraphrase ou au renommage, aussi agressifs soient-ils. Le papier montre que le signal détectable se paie en entropie de décision (chaque décision paie au moins la moitié de son entropie, les décisions déterministes ne paient rien), et qu’effacer les deux canaux à la fois oblige le revendeur à modifier le squelette et à corrompre une fraction des trajectoires qu’il est payé pour livrer. Nous décrivons le mécanisme au niveau conceptuel ; les preuves formelles et les statistiques de détecteur figurent dans le papier.

Pourquoi c’est important

La provenance est la première marche de la responsabilité, et les agents agissent de plus en plus au lieu de simplement écrire — ouvrir des tickets, envoyer des messages, exécuter du code, mener des réponses à incident. Lorsqu’une de ces actions cause un préjudice, un opérateur doit démontrer quelles actions journalisées son agent a ou n’a pas effectuées, et une plateforme qui audite le trafic d’un partenaire doit établir si une trajectoire donnée provient bien de l’agent revendiqué. Les propositions de gouvernance qui réclament des identifiants d’agents et des journaux d’activité présupposent que ces journaux peuvent être attribués. TRACE traite le cas que les filigranes d’agents existants laissent ouvert : non pas un attaquant extérieur qui perturbe un log, mais l’intermédiaire qui le détient et le modifie légitimement. La signature de log prouve l’intégrité d’un log auquel on fait déjà confiance, mais un revendeur relayant une trajectoire réétiquetée se contente d’ôter la signature amont ; un filigrane comportemental, lui, parle encore lorsque le détenteur du dossier est l’adversaire.

Défenses

Pour les équipes qui construisent ou achètent des agents, les enseignements sont architecturaux plutôt qu’un contrôle unique.

• Traiter le log de trajectoire comme l’unité d’attribution, pas le flux de tokens. Les journaux d’actions structurés éliminent les tokens échantillonnés sur lesquels reposerait un filigrane de texte ; la provenance des agents doit vivre dans la séquence de décisions et d’actions.
• Inclure le détenteur du log dans votre modèle de menace. Si un revendeur, une passerelle ou un intégrateur aval peut facturer votre agent, il peut modifier la preuve. Un schéma d’attribution qu’un partenaire peut discrètement effacer n’offre aucune garantie dans un litige contractuel.
• Superposer les signaux de provenance ; ne pas dépendre d’un seul. Le filigrane comportemental s’ajoute à la journalisation authentifiée, à l’attestation et aux environnements d’exécution de confiance. Les logs signés prouvent l’inviolabilité des logs que vous contrôlez ; un filigrane comportemental sans distorsion ajoute un signal qui survit à la suppression et à la réécriture par un détenteur non fiable.
• Arbitrer le filigrane face au taux de réussite. Parce que le signal coûte de l’entropie, un agent à faible entropie et à peu de décisions branchées en porte peu ; mesurez la détectabilité sur vos propres charges avant de supposer qu’un schéma attribue de façon fiable sur des trajectoires courtes.
• Inscrire les attentes d’attribution dans les contrats de revente. Lorsqu’un agent est revendu ou en marque blanche, précisez qui peut modifier les logs, quelle provenance doit être préservée, et comment les allégations de substitution de modèle seront vérifiées.

Statut

Élément	Valeur
Type	Recherche défensive — filigrane de provenance pour trajectoires d’agents
Modèle de menace	Revendeur disposant d’un accès complet en lecture/écriture au log (réétiquetage, substitution de modèle)
Méthode	Deux canaux : filigrane de sélection sans distorsion clé sur le contenu + filigrane de comptage clé sur la position
Évalué sur	ToolBench et ALFWorld
Résultats rapportés	Égale le taux de réussite non filigrané ; détection du canal de sélection proche de z≈100 sur trajectoires longues ; détectable sous 70 % de suppression d’étapes ; canal de comptage inchangé sous réécriture LLM
Publié	9 juillet 2026 (arXiv:2607.08400)
Statut	Preprint académique ; ni produit ni vulnérabilité

Dates clés : 9 juillet 2026 — publication du preprint TRACE (arXiv:2607.08400). Il s’inscrit dans une lignée 2026 de filigranes de comportement d’agents (Agent Guide, AgentMark, AgentWM, ActHook) et de travaux connexes sur le filigrane de trajectoires d’agents (arXiv:2602.18700). Les affiliations des auteurs et les résultats sont ceux indiqués dans le preprint.