Les agents fondés sur des grands modèles de langage ne se limitent plus à générer du texte : ils appellent des outils, manipulent un état local, s’appuient sur une mémoire persistante et interagissent avec des systèmes externes. Selon les auteurs d’Agentao, cette montée en capacité accroît aussi les risques, notamment les actions trop privilégiées, la faible auditabilité, les injections de prompt, l’empoisonnement d’outils et les effets de bord difficiles à maîtriser.
Pour répondre à ces enjeux, le papier présente Agentao, un runtime local-first pensé pour des agents outillés opérant dans des environnements contrôlés par l’hôte. L’idée centrale consiste à séparer les propositions d’action générées par le modèle de leur exécution effectivement autorisée par l’hôte. L’architecture décrite repose sur plusieurs couches : des surfaces orientées hôte, un contrat d’hébergement, un cœur d’exécution, un système d’outils médié par des permissions, ainsi que des sous-systèmes dédiés à la mémoire, au rejeu, aux plugins, aux compétences, aux sous-agents et à l’intégration de protocoles.
Les auteurs détaillent également le modèle de menace, les objectifs de conception, le modèle de gouvernance, le pipeline d’exécution et une interface d’événements structurés. L’ambition n’est pas de prouver formellement la sûreté du système. Le papier insiste au contraire sur une approche pragmatique : rendre explicites les permissions, l’état, les frontières protocolaires et les traces d’exécution afin d’améliorer l’inspection et le pilotage des agents.
En pratique, cette proposition s’inscrit dans un courant croissant visant à faire des agents LLM des composants plus contrôlables dans des contextes locaux ou sensibles. Le code est annoncé comme disponible en open source sur GitHub, ce qui pourrait faciliter l’évaluation technique de l’approche. À ce stade, le travail se présente avant tout comme une contribution d’architecture et de runtime, plutôt qu’une démonstration de sécurité formelle ou de performance comparative.