Source : Nagaraj, S., & Lee, S. J. (2026, August 30). Agentic AI systems and financial stability: From model risk to systemic risk [Preliminary paper]

Sommaire : Le passage de l'IA générative traditionnelle aux systèmes d'IA agentique autonomes transforme le risque de modèle individuel en risque systémique macroprudentiel.
Le cadre quantitatif de dommage attendu EH = PHA × SGH × BR révèle un risque défavorable où la probabilité, la sévérité et le rayon d'impact co-varient négativement en période de crise. De plus, la monoculture autour de quelques modèles de fondation crée un plancher de risque non diversifiable, tandis que les contagions techniques, sémantiques et les comportements mimétiques de troupeau amplifient le danger. 
Les contrôles à l'exécution et le capital s'avèrent inopérants face aux actions irréversibles. La gestion des risques doit donc imposer en amont un confinement robuste et des limites d'exposition structurelles via l'indice d'écart de confinement (CMI).

1. Introduction : La Transition du Micro au Macroprudentiel

L'émergence des systèmes d'IA agentique — modèles dotés d'autonomie capables d'agir via des API, d'exécuter du code et de manipuler des actifs financiers — marque une rupture avec l'IA générative traditionnelle limitée à la prédiction. Ce passage de la « prédiction » à "l'action" invalide les cadres actuels de gestion du risque de modèle (Model Risk Management - MRM), tels que les directives SR 11-7 ou SR 26-2.

Traditionnellement, le MRM adopte une vision microprudentielle : il s'agit de valider l'intégrité d'un modèle unique au sein d'une institution isolée. Or, l'architecture des systèmes agentiques favorise une dépendance massive à un nombre restreint de modèles de fondation. Lorsque des milliers d'agents interconnectés partagent le même substrat technique, le risque ne peut plus être traité de manière idiosyncratique. Il devient nécessaire d'adopter une perspective macroprudentielle, capable d'analyser la stabilité d'un écosystème dans lequel l'erreur de modèle se transforme en choc commun systématique. Pour ce faire, nous introduisons le Containment-Mismatch Index (CMI), inspiré du Liquidity Mismatch Index (LMI) bancaire, qui permet de mesurer l'écart entre l'exposition activable de l'agent et la capacité de confinement mobilisable par l'institution en situation de stress.

2. Décomposition de l'Expected Harm (EH) : Le Cadre PHA/SGH/BR

Pour quantifier le risque agentique, nous adaptons la décomposition de la perte attendue de Bâle au domaine des agents autonomes via l'identité suivante :

EH ≈ PHA × SGH × BR

• PHA (Probability of Harmful Action) : Cette probabilité est fonction de l'aléa par étape (h) et de l'horizon d'autonomie (T), soit le nombre d'actions entreprises sans révision humaine. Formule : PHA = 1 − (1 − h)ᵀ.
• SGH (Severity Given Harm) : La sévérité dépend de la magnitude intrinsèque de l'acte et de la réversibilité (ψ), définie par la capacité de détection et de remédiation. Formule : SGH = magnitude × (1 − ψ).
• BR (Blast Radius) : Le rayon d'impact correspond à l'exposition activée par les permissions latentes et les capacités de conversion de l'agent en période de crise.

Cette structure révèle un « Wrong-way Risk » (risque de corrélation défavorable) structurel et délétère. Dans un régime adverse, la probabilité de déclenchement (π), l'aléa en session (h) et le multiplicateur de rayon d'impact (BR) ont tendance à co-varier positivement. Les données démontrent que la perte attendue jointe réelle est souvent supérieure à deux fois le produit des marginales, tandis que la VaR à 99,9 % peut excéder 200 fois l'« Expected Harm » (dommage attendu) (EH). Le risque n'est pas seulement présent ; il est intrinsèquement couplé à l'état de stress du système.

3. L'Illusion de la Diversification et le Risque de Monoculture

La gestion des risques bancaires repose souvent sur l'hypothèse que les défaillances sont diversifiables. Cette hypothèse s'effondre face à la monoculture agentique, où le partage d'un modèle de fondation devient un facteur de risque systématique non diversifiable.

• Risque Idiosyncratique : Dans un système aux modèles diversifiés, le risque s'annule par l'échelle à mesure que le nombre d'agents (K) augmente.
• Risque Systémique : Pour une flotte partageant un modèle commun, le risque de queue ne converge pas vers l'espérance, mais vers un plancher incompressible.

En s'appuyant sur le Théorème 2.4 du Source Context, nous démontrons que l'Expected Shortfall (ES_τ) d'une flotte d'agents ne peut descendre sous le seuil suivant :

ES_τ (flotte) → [M × p_sys / (1 − τ)] + µ

Où M est la magnitude du choc commun et p_sys sa probabilité. Ce plancher systématique prouve que la redondance ne dilue pas le risque lorsque l'infrastructure est partagée.

4. Dynamiques de Flotte : Contagion, Interaction et Herding

Les risques de contagion au sein d'une population d'agents empruntent deux vecteurs distincts :

1. Contagion Technique (G_tech) : Propagation via des exploits ou des vulnérabilités logicielles partagées (taux cq).
2. Contagion Sémantique ou par Pretexte (G_sem) : Propagation via la persuasion ou la manipulation du langage entre agents (taux c'p).

Le taux de propagation effectif est défini par le ratio de branchement : β_eff = cq + c'p. Une découverte majeure est qu'une flotte peut être techniquement sous-critique (cq < 1) mais devenir super-critique sémantiquement dès lors que cq + c'p > 1. Dans ce cas, la segmentation technique seule échoue à contenir la cascade.

De plus, l'interaction crée un Multiplicateur Social : 1 / (1 − λ), où λ représente la déférence des agents envers leurs pairs. Si cette déférence augmente sous le stress, un phénomène de Herding (mimétisme) génère du risque systémique même en l'absence de modèle partagé (Incertitude Knightienne). La diversité de l'environnement d'interaction devient alors un levier de stabilité plus crucial que la simple diversité des modèles.

5. L'Incapacité des Contrôles au Runtime et du Capital

Face à l'irréversibilité de certaines actions (exfiltration de données, exécution de code destructeur), les mécanismes traditionnels de défense post-hoc et le provisionnement de capital sont inopérants.

Le Théorème 1.6 fournit un certificat d'infaisabilité numérique : si le coût de l'aléa irréversible pondéré par la probabilité de catastrophe (p*) dépasse l'appétit pour le risque financier (B_fin), soit θ × p / (1 − τ) > B_fin*, alors l'ensemble d'acceptabilité est vide.

Aucun montant de capital ou de détection au "runtime" ne peut compenser ce cœur catastrophique irréversible. Contrairement aux pertes financières fongibles, les dommages agentiques ne sont pas substituables par des actifs liquides. La seule solution réside dans la prévention structurelle ex-ante : la suppression des "affordances" dangereuses ou la rupture du couplage systématique avant le déploiement.

6. Recommandations pour la Gouvernance et le Pipeline MRM

L'adaptation du MRM aux systèmes agentiques exige de passer d'une logique de « buffer » à une logique de confinement robuste. Le calibrage de l'ensemble d'ambiguïté de l'adversaire (Q_δ) doit être confié à une Red Team indépendante pour modéliser un équilibre de Stackelberg où l'attaquant optimise ses efforts.

7. Conclusion : Vers une Régulation Macroprudentielle de l'IA

La stabilité financière à l'ère de l'IA agentique ne peut plus reposer sur des validations individuelles. Le risque systématique, né de la monoculture et des interactions de flotte, ne peut être ni diversifié, ni détecté à temps, ni inversé.

L'impératif macroprudentiel est clair : il faut limiter la dépendance partagée à des modèles uniques et imposer des limites structurelles aux agents avant que les dynamiques de contagion ne saturent les capacités de réponse. La sécurité des systèmes automatisés dépend désormais de notre capacité à briser les couplages systématiques plutôt qu'à espérer les gérer après coup.