Vos agents lisent des textes que vous n'avez pas écrits. La description d'un incident par un client. Un commentaire sur une pull request. Le README d'une dépendance. Le HTML d'une page que l'un d'eux a récupérée pour vérifier le comportement d'une API. Le corps d'erreur renvoyé par un service tiers à 2 h du matin. Tout cela, c'est du texte, et le texte peut transporter des instructions.
Claude Opus 5.5 résiste bien mieux à ces instructions, et c'est mesurable. Anthropic rapporte 85 % de tentatives réussies de contournement de limites en moins. C'est un vrai progrès, et cela justifie à soi seul la mise à niveau. Cela ne constitue toujours pas un garde-fou, et la semaine de sa sortie est justement celle où cette distinction est devenue plus importante, pas moins.
En bref
Un garde-fou est une limite qui tient quel que soit ce que l'agent décide de faire. Le refus d'un modèle n'en est pas un : c'est une décision, et une décision peut être modifiée par l'entrée adéquate. Opus 5.5 prend cette décision correctement bien plus souvent que son prédécesseur, mais cela ne change rien à ce qu'une exécution a le droit de toucher, à qui détient les identifiants ou à qui relit le diff. Par ailleurs, son exécution coûte 40 % de moins que Claude Opus 5, et GPT-6 Sol et GPT-6 Luna sont sortis le même jour à 2 $/10 $ et 0,10 $/0,50 $ par million de tokens. Le taux d'échec par exécution a baissé. Votre volume d'exécutions va augmenter. Concevez donc pour le produit des deux.
Quand GPT-6 Astra est sorti, nous avons écrit sur les quatre éléments dont un agent qui utilise un ordinateur a besoin : un hôte, une limite, un enregistrement et un accepteur. Ce billet portait sur l'endroit où l'exécution se déroule. Celui-ci porte sur ce qui se passe quand l'exécution lit quelque chose d'hostile.
Ce chiffre est un ratio, et votre volume n'est pas figé
Les incidents sont un taux multiplié par un nombre d'exécutions. Un seul de ces deux termes s'est amélioré le 22 septembre 2026.
L'autre a fortement évolué dans le sens inverse. Opus 5.5 est affiché à 4 $ par million de tokens en entrée et 20 $ par million en sortie, contre 5 $ et 25 $ pour Opus 5, avec les lectures en cache à 0,20 $, et Anthropic estime son coût d'exploitation total 40 % inférieur à celui d'Opus 5. De l'autre côté de cette même journée de lancement, OpenAI a affiché GPT-6 Sol à 2 $/10 $ et GPT-6 Luna à 0,10 $/0,50 $, et rapporte que Sol, en raisonnement extra-élevé, obtient 33,2 % sur AutomationBench 1.0.6 pour 0,27 $ par tâche, ce qui, selon OpenAI, représente environ 9 % du coût par tâche de Claude Opus 5 en raisonnement maximal, pour un score inférieur.
Faites donc la multiplication sur votre propre équipe plutôt que sur un benchmark. Si le taux d'échec par exécution chute de 85 % et que vous lancez dix fois plus d'exécutions d'agents parce que chacune coûte désormais une fraction de ce qu'elle coûtait, vous aboutissez à environ 1,5 fois le nombre absolu d'incidents que vous connaissiez auparavant. Ce n'est la mesure de rien du tout. C'est de l'arithmétique, et c'est la physionomie des prochains mois. Un modèle moins cher et plus sûr incite à déléguer davantage. Et déléguer davantage, c'est précisément ce qui fait remonter le chiffre.
Contourner les limites n'est pas la même chose qu'une injection de prompt
La précision s'impose, car les deux notions sont confondues dans tous les fils de discussion consacrés à ce lancement. Le contournement de limites désigne le fait qu'un agent passe outre une règle qui lui a été donnée, quelle qu'en soit la cause : votre propre instruction, son raisonnement ou un texte qu'il a lu en chemin. L'injection de prompt est l'une des voies d'accès à ce contournement, et c'est celle à laquelle votre architecture est le plus exposée, parce qu'elle arrive au cœur même du contenu que vos agents sont censés lire.
Une réduction de 85 % du premier est une bonne nouvelle pour le second. Ce n'est pas un taux de défense contre le second, et personne ne devrait le présenter comme tel. Considérez-le comme vous considéreriez un compilateur qui détecte mieux les erreurs de type : moins d'entre elles vous atteignent, mais la classe de bug existe toujours.
Ce qu'un meilleur modèle élimine, et ce qu'il ne peut pas éliminer
Il élimine du travail bien réel, et cela mérite d'être dit clairement. Moins d'exécutions déraillées par un README empoisonné. Moins de pages récupérées qui parviennent à convaincre un agent d'exécuter une commande que personne n'a demandée. Une valeur attendue plus élevée pour chaque exécution sans supervision, ce qui compte d'autant plus qu'Anthropic indique qu'Opus 5.5 reste sur sa tâche pendant 18 heures ou plus. Une exécution qui dépasse votre journée de travail est une exécution que personne ne surveille.
Ce qu'il ne peut pas éliminer, c'est l'autorité. Un agent qu'on parvient bien moins facilement à détourner détient toujours exactement les identifiants, l'accès réseau et les droits d'écriture sur le dépôt que vous lui avez confiés. Une injection n'a pas besoin d'élever ses privilèges. Il lui suffit d'utiliser ceux qui existent déjà, dans un ordre que vous n'aviez pas prévu. Le rayon d'impact est une propriété de l'hôte et du jeton, pas du modèle.
| Couche | Ce qu'elle arrête | Ce qu'elle ne peut pas arrêter |
|---|---|---|
| Modèle | Le contenu qui tente de faire sortir l'agent de ses règles. Opus 5.5 rapporte 85 % de tentatives réussies en moins. | Les tentatives qui passent malgré tout, et tout ce qu'il interprète comme une demande légitime de votre part. |
| Validation à l'exécution | Les actions qui se trouvent derrière une demande de validation ou un refus de la revue automatique. | Tout ce qui se situe à l'intérieur des permissions déjà accordées. |
| Ordinateur et identifiants | Tout ce que l'hôte ne détient pas. Un jeton de staging ne peut pas atteindre la production. | Tout ce que l'hôte détient. |
| Limite de la tâche | Les modifications qui s'échappent du répertoire isolé ou du worktree de cette exécution. | Une modification erronée mais proprement effectuée à l'intérieur de celui-ci. |
| Acceptation humaine | Un résultat erroné qui atteint main. | Rien du tout, si un seul relecteur valide à la chaîne dix fois le volume. |
Seule la première ligne s'est améliorée cette semaine. La dernière est celle que les baisses de prix viennent de mettre sous pression.
Profitez de la montée de version du modèle quand l'échec que vous rencontrez sans cesse est un agent qui se trompe ou qu'on persuade de faire quelque chose. Changez la structure quand l'échec que vous rencontrez sans cesse est que personne ne s'en est aperçu avant jeudi. Le premier est un problème de modèle, et Opus 5.5 y apporte une très bonne réponse. Le second n'a jamais été un problème de modèle, et aucune sortie ne le réglera.
Trois réglages à modifier cette semaine
Sharkly est la couche située au-dessus des agents. Elle porte la Task, le Computer, les identifiants, l'enregistrement d'exécution et la personne qui accepte. Trois d'entre eux méritent d'être ajustés dès que les exécutions deviennent bon marché.
Liez les identifiants à chaque Agent, et non à chaque Computer. Les variables d'environnement en clair et les secrets sont des réglages d'Agent. Des exécutions bon marché signifient plus d'Agents, et plus d'Agents signifie plus de risques que l'un d'eux transporte un jeton qui n'a rien à y faire. L'Agent de tri qui lit les demandes entrantes des clients est l'objet le plus injectable de toute votre configuration, et il ne devrait détenir qu'un périmètre de lecture, rien de plus. Notre guide sur les permissions des agents de codage explique comment arrêter la liste des autorisations.
Traitez le périmètre de lecture comme une partie intégrante de la Task, pas comme une commodité. Le choix des sources depuis lesquelles un Agent peut récupérer du contenu est désormais une décision de conception. Tout ce qu'il lit peut transporter des instructions ; « vérifie le comportement de l'API de ce fournisseur » et « suis les instructions d'installation de cette page » sont donc deux Tasks différentes, porteuses de deux risques différents. Où doivent aboutir les découvertes web d'un agent approfondit ce point.
Écrivez noir sur blanc quelles modifications une personne relit ligne par ligne. Pas une habitude : une règle du Workflow. Les migrations de schéma, tout ce qui touche à l'authentification, tout ce qui ajoute une dépendance, tout ce qu'un Agent a produit pendant que personne ne veillait. Tout le reste peut passer sur la foi des preuves. Les points de validation sont l'endroit où cette règle réside, et le fait de l'écrire est ce qui maintient l'attention là où elle est rentable.
La file d'attente, voilà ce qui n'a pas baissé de prix
Toutes les annonces du 22 septembre 2026 ont rendu le travail des agents moins cher, plus sûr, ou les deux, à l'exécution près. Aucune n'a fait lire plus vite un être humain. C'est cette asymétrie qui constitue le véritable problème de conception, et c'est pourquoi la relecture humaine est le goulot d'étranglement, et non la qualité du modèle.
D'où une réponse structurelle plutôt que taillée sur mesure pour un modèle. Chaque exécution dispose d'un répertoire isolé : une exécution compromise est donc confinée plutôt qu'on essaie de la raisonner. L'exécution, les blocages, les résultats et les discussions de suivi reviennent dans la Task au lieu de défiler dans le terminal de quelqu'un, et c'est la seule façon pour un relecteur de distinguer une exécution détournée de son cap d'une exécution qui a simplement échoué. Les éléments nécessitant de l'attention arrivent dans une seule Inbox, afin que les décisions qui exigent un humain ne soient pas ensevelies sous les exécutions qui se sont terminées sans encombre. Le contexte, la progression, les blocages, les résultats et la relecture humaine restent visibles de la demande à la mise en production.
Le contrat tient alors, inchangé par tout ce que l'un ou l'autre laboratoire a livré cette semaine. Les agents font la recherche, exécutent, testent et rendent compte. Les humains fixent la direction, accordent l'autorité et acceptent le résultat. Opus 5.5 rend la première phrase plus fiable. Il ne touche pas à la seconde.
Si vous faites déjà tourner plusieurs agents et que cette mise à niveau est sur le point de vous tenter d'en lancer davantage, ce qu'il faut ajouter n'est pas un meilleur modèle. Connectez un seul Computer, donnez à un seul Agent l'ensemble d'identifiants le plus restreint qui lui permette encore de faire son travail, et confiez-lui quelque chose d'ennuyeux.
