Le filigrane SynthID-Text imposé par l’AI Act altère les appels d’outils et les refus des agents IA

17 septembre 2026. Lasso Security publie une étude sur l’effet du tatouage des textes générés par IA. Le verdict est nuancé : le filigrane SynthID-Text, adopté par Anthropic et OpenAI pour se conformer à l’AI Act européen, change la façon dont les agents IA appellent leurs outils et tiennent leurs refus. Pourquoi c’est important : une fonctionnalité pensée pour la traçabilité se comporte comme une modification de modèle, et cet effet s’accentue sous injection de prompt.

Un filigrane qui n’est pas qu’un marquage

Le principe de SynthID-Text, développé par Google DeepMind, est d’intervenir dans le choix du prochain jeton. Là où un modèle hésiterait entre deux mots statistiquement proches — « couvert » ou « gris » pour décrire un ciel — le tatouage favorise légèrement l’un des candidats. Répété des centaines de fois dans un texte, ce biais forme un motif indétectable pour un lecteur, mais lisible pour quiconque détient la clé de décodage.

Ce mécanisme est désormais une obligation légale. Avec la mise en œuvre de l’AI Act, les fournisseurs de modèles doivent marquer leurs sorties d’un code lisible par machine. SynthID-Text est l’une des méthodes retenues, adoptée aussi bien par Anthropic que par OpenAI. Le bénéfice est réel : un contenu trompeur généré par IA devient plus facile à détecter. Mais le prix, jusqu’ici, n’avait pas été mesuré.

Pourquoi un agent est sensible à un simple choix de mot

Le point de départ de l’étude de Lasso tient en une observation : un lecteur humain ne remarque pas le biais de vocabulaire, mais un agent IA y est subtilement sensible. Un agent n’est pas un lecteur passif ; il transforme la sortie du modèle en actions — appels de fonction, choix d’outil, arguments. Or ces décisions dépendent précisément des mots que le modèle a choisis. En modifiant les choix lexicaux de bas niveau, le filigrane modifie donc indirectement « à la fois ce que le modèle dit et ce que fait l’agent », selon les termes du rapport.

Le benchmark utilisé, BFCL v4, évalue les appels d’outils au niveau de l’arbre syntaxique abstrait (AST) : il ne se contente pas de vérifier que l’agent a répondu, il vérifie que l’appel est syntaxiquement correct et que la fonction et ses arguments sont les bons. C’est précisément à ce niveau que le filigrane mord. Un agent moins précis choisit le mauvais outil, ou le bon outil avec les mauvais arguments, et échoue sur une entrée malformée ou une erreur de parsing.

Ce que l’étude a mesuré

Lasso Security a testé l’impact du tatouage sur deux comportements sensibles : l’appel d’outils et le refus. Sur BFCL v4 en tour unique, le filigrane a réduit la précision des appels d’outils sur six des sept modèles testés — phi-4, Llama-3.1-8B, Qwen3-32B, Qwen3-4B, gemma-3-12b, gemma-3-27b et Granite-3.2-8B.

Le point de méthode compte autant que le chiffre. « La variation nette de précision ne montre pas si les mêmes appels individuels réussissent avec et sans tatouage », précise Lasso. « Un appel qui devient incorrect peut être compensé par un autre qui devient correct, laissant le résultat agrégé presque inchangé alors que le modèle se comporte différemment sur les deux. » Autrement dit, la moyenne peut rester stable pendant que les erreurs individuelles se déplacent — un piège classique pour quiconque surveille un indicateur global sans regarder la distribution.

L’injection de prompt, le facteur aggravant

L’effet le plus préoccupant apparaît dans le scénario adversarial. Sur les demandes manifestement nuisibles, le tatouage n’a qu’un effet faible sur les refus — mesuré sur HarmBench et JailbreakBench. Mais sous injection de prompt, quand une instruction adversaire affirme que le filtre de sécurité a été désactivé et qu’il faut obéir, le taux de succès de l’attaque augmente significativement lorsque le contenu est tatoué.

La conclusion de Lasso est d’une sobriété utile : les modèles concernés refusent moins de demandes nuisibles dans cette configuration. Le tatouage n’est donc pas neutre du point de vue de la sécurité — il interagit avec la surface d’attaque la plus difficile à défendre des systèmes agentiques, celle où un adversaire tente de faire sortir le modèle de son rôle.

L’évaluation en production ignore le filigrane

Il y a une conséquence structurelle que l’étude met en évidence sans la nommer : la plupart des benchmarks publics tournent sur des checkpoints non tatoués. Or un fournisseur qui déploie un endpoint conforme à l’AI Act sert du contenu tatoué. L’écart entre le modèle que vous avez évalué et le modèle que vous mettez en production n’est plus seulement une question de version ou de quantization : c’est une question de filigrane.

Le point décisif est que l’effet ne s’arrête pas au fournisseur qui tatoue. Un agent construit sur OpenClaw, ou un client API qui appelle un modèle Anthropic, traite la variation de sortie produite par le tatouage du fournisseur. La conformité provenance d’un tiers se répercute donc sur le comportement de votre agent — sans que votre équipe ait rien changé à son pipeline.

Ce que cela change pour qui déploie des agents

La recommandation de Lasso en découle directement : les évaluations de sécurité et le red-teaming doivent inclure le contenu tatoué lorsqu’on évalue le déploiement d’un agent. Tester un modèle « nu » pour autoriser un agent tatoué en production, c’est valider un comportement qui n’est pas celui que vous déployez.

Concrètement, trois pratiques couvrent l’essentiel. Premièrement, exigez du fournisseur qu’il expose l’état de tatouage de l’endpoint — activé, désactivé, version du schéma — au même titre que la version du modèle. Deuxièmement, construisez vos suites de régression sur le même artefact que celui qui servira en production, filigrane compris. Troisièmement, ajoutez un jeu de tests d’injection de prompt à votre red-teaming, car c’est là que l’écart de comportement est le plus prononcé.

Un compromis provenance-sécurité désormais chiffré

Avec un peu de recul, l’étude tombe au milieu d’une vraie tension de politique publique. L’AI Act pousse vers la provenance lisible par machine parce que la traçabilité est le préalable pour responsabiliser les contenus synthétiques — détecter les deepfakes, exposer les campagnes de manipulation coordonnées, donner aux plateformes un moyen de signaler les médias générés. Lasso ne plaide pas contre le tatouage ; il soutient que la technique porte un coût de sécurité mesurable que les évaluations doivent intégrer. La lecture honnête, c’est que la provenance et le comportement ne sont plus des curseurs indépendants : toucher à l’un peut déplacer l’autre, et l’interaction est la plus forte là où les agents sont le plus exposés — sous instruction adversariale. Un régulateur ou une équipe de sécurité qui traite le filigrane comme un coût nul passera entièrement à côté du compromis.

Verdict

Si vous déployez des agents IA en production, ajoutez une ligne à votre processus d’évaluation : re-testez les appels d’outils et les refus avec le filigrane activé, car c’est ce que vos clients verront réellement — et ce que vos adversaires attaqueront. Si vous évaluez un modèle pour une intégration agentique, demandez l’état de tatouage de l’endpoint avant de signer, et rejetez tout fournisseur qui ne peut pas vous dire si son endpoint sert du contenu marqué. Si vous êtes soumis à l’AI Act, traitez la mise en conformité provenance comme un changement de comportement à valider, pas comme une case réglementaire inerte : un filigrane qui réduit les refus sous injection de prompt est un risque mesurable, et il se mesure avant la mise en production, pas après.

Références

• The Register — AI model watermarking changes agent behavior, 17 septembre 2026
• Nature — Scalable watermarking for identifying large language model outputs (SynthID-Text)
• Anthropic — Claude text watermark
• OpenAI — Provenance signals: Content Credentials and SynthID in OpenAI-generated content
• ETTAYEB — Shadow AI : quand les employés exfiltrent des données vers des modèles SaaS