Pourquoi chaque outil auquel mon agent accède peut-il être autorisé, alors que leur enchaînement ne l'est pas ?

Les agents IA exécutent des appels d’outils qui, pris isolément, passent chacun les contrôles d’autorisation normaux. Mais une séquence, au niveau de la session, d’appels autorisés individuellement peut se traduire par une capacité que personne n’a approuvée : lire un fichier d’environnement, y rechercher des modèles d’identifiants, puis envoyer le résultat via une requête POST vers un point de terminaison externe. L’autorisation traditionnelle s’applique au niveau d’un appel isolé et ne dispose d’aucun modèle permettant d’évaluer ce qu’une séquence rend possible. L’incident Cline de février 2026 l’a démontré concrètement : un ticket GitHub malveillant a enchaîné des opérations de lecture et d’écriture valides individuellement pour aboutir à l’installation d’un paquet qui a touché 4 000 machines de développeurs. L’autorisation régie par l’intention au niveau de la séquence n’existe pas aujourd’hui en tant que primitive de production.