ZEON SYSTEMS RESEARCH · WORKING PAPER 006 · RA-153.1-2

WP006 v1.5.1 — Addendum à l’état de l’art

4 octobre 2026Fenêtre : 12 août → 4 octobre 2026Scientific companionArchitecture WP006 v1.5 inchangée

Statut. Cet addendum complète l’état de l’art de WP006 v1.5. Il ne modifie pas silencieusement l’architecture canonique, les contrats R0→R6, la spécification v0.1 ni RA-Bench v0.1. Toute modification architecturale ultérieure devra être publiée comme version distincte.

Résultat principal. La recherche postérieure au 12 août 2026 révèle plusieurs précédents plus proches que ceux intégrés à WP006 v1.5, notamment CONTINUITY, IntentCap, Bounded Agents et une revue structurée des architectures d’autorisation pour agents outillés. Ces travaux interdisent désormais de présenter les contrats assume/guarantee, la délégation bornée, le runtime enforcement, l’intégrité instruction→effet ou l’autorisation agentique comme des nouveautés propres à RA-153.1-2.

1. Ce que la v1.5.1 change — et ne change pas

La v1.5.1 modifie le positionnement scientifique, pas l’architecture publiée. La contribution candidate de RA-153.1-2 doit être formulée plus étroitement : une composition explicite de six plans substituables, reliés par des artefacts typés, des issues de passage et de non-passage, puis soumis à un protocole de falsification.

SÉMANTIQUE ↓ CAPACITAIRE ↓ COGNITIF ↓ NORMATIF / AUTORITÉ ↓ EXÉCUTIF ↓ PROBATOIRE R0 → R6 EXECUTE · ABSTAIN · REFUSE · ESCALATE RA-BENCH / FALSIFICATION

Cette composition reste une hypothèse architecturale à comparer. L’addendum ne revendique pas qu’aucun système voisin n’en possède une partie importante, ni que cette décomposition soit supérieure par construction.

2. Travaux nouveaux ou nouvellement déterminants

Date	Travail	Classe	Proximité	Ce qu’il établit	Conséquence pour RA-153.1-2
16 août 2026	Bounded Agents: Delegation Security for Multi-Agent AI Systems	PREPRINT	Très forte	Chaîne de principaux, délégation qui se restreint, budgets/portées accumulés et enforcement d’autorisation hors modèle.	Précédent direct pour mandat borné, délégation et contrôle de portée. RA ne peut pas revendiquer ces mécanismes isolément.
24 août 2026	AgentFlow: A Flow-Centric Policy Language and Framework for Securing LLM Agent Systems	PREPRINT	Forte	Reference monitor runtime, politiques de flux/path, task-scoped capabilities et contrôle d’autorité aux frontières de délégation.	Confirme que l’enforcement spécialisé doit rester substituable dans les plans normatif/exécutif de RA.
24 août 2026	AI Agents Push Humans Out of the Loop	POSITION PAPER / PREPRINT	Forte — Human Gate	Le simple maintien d’un humain dans la boucle ne garantit pas une supervision effective ; l’usage prolongé de l’automatisation peut dégrader les capacités nécessaires au jugement.	Human Gate doit restituer un contexte intelligible, des alternatives, des conséquences et un pouvoir réel de refus ; ESCALATE seul n’est pas une garantie.
31 août 2026	Learning What to Retain: Gated-Memory Routing for Efficient Collaboration in Multi-Agent LLM Systems	PREPRINT	Moyenne — cognition	Routage adaptatif fondé sur un état d’exécution compact, sélection dynamique du rôle/backbone et arrêt adaptatif.	Précédent récent du plan cognitif dynamique ; à distinguer explicitement de l’autorité de gouvernance.
30 août 2026	OAuth Profile for Delegated AI Agent Authorization (draft-mishra-oauth-agent-grants-02)	IETF INTERNET-DRAFT — WORK IN PROGRESS	Très forte — standardisation	Consentement humain authentifié, tokens resource-bound et sender-constrained, délégation atténuée via OAuth Token Exchange, rotation de refresh tokens.	R4/R5 et le mandat RA doivent être composables avec OAuth et ne pas réinventer les primitives d’identité/délégation. Ce document n’a pas de statut normatif IETF.
4 septembre 2026	CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls	PREPRINT	Critique	Contrats assume/guarantee, contexte de sécurité authentifié, grants signés, provenance, transition receipts, transformation witnesses, execution permits et intégrité instruction→effet.	Précédent le plus proche trouvé pour la composition sécurisée bout-en-bout. La v1.5.1 retire toute implication selon laquelle les contrats inter-composants ou la continuité instruction→effet seraient propres à RA.
4 septembre 2026	From Language Models to World-Acting Systems	REVIEW / PREPRINT	Forte — positionnement	Sépare compétence du modèle, intégration système, persistance et autorité sûre ; propose la délégation justifiée comme heuristique.	Renforce le positionnement de RA comme architecture de délégation gouvernée et vérifiable plutôt que comme architecture de modèles.
9 septembre 2026	AgentAudit: An Open, Extensible Framework for Full-Lifecycle Trust Evaluation of AI Agents	PREPRINT	Forte — évaluation	Évalue la trace complète sur dix dimensions et attribue les échecs à des étapes précises : planner, mémoire, outils, sécurité, execution integrity, etc.	RA-Bench doit conserver des métriques dimensionnelles et ajouter une attribution explicite de faute par plan ; éviter un verdict résumé par un score unique.
13 septembre 2026	LLM Agent Capabilities Should Follow Task Intent and Context Source (IntentCap)	PREPRINT	Critique	Capacités task-scoped, composition multi-source d’autorité, ownership de champs, narrowing monotone et leases courtes validées par un checker déterministe.	Précédent majeur du lien intention→capacité→autorité. RA doit montrer précisément ce que sa séparation sémantique/capacitaire/cognitive ajoute à IntentCap.
14 septembre 2026	Authorization Architectures for Tool-Using AI Agents	STRUCTURED REVIEW / PREPRINT	Critique	Revue de 89 sources ; hiérarchie de principaux, délégation multi-hop, runtime enforcement/JIT authorization, prompt injection comme bypass d’autorisation, provenance et non-répudiation.	Devient une source pivot pour la matrice de précédence ; réduit fortement l’espace de revendication autour de l’autorisation agentique.
14 septembre 2026	Delegating Authorization to Misaligned Agents: Coalitional Alignment and Safe Control	PREPRINT	Forte — supervision	Formalise la revue collective d’actions lorsque l’approbation humaine permanente est trop coûteuse, avec conditions de sécurité sur un panel de reviewers.	Human Gate ne doit pas être conçu comme l’unique forme possible d’autorité externe ; des structures de revue collective peuvent être nécessaires.
16 septembre 2026	Who Audits Whom, on What Substrate, with What Evidence?	PREPRINT	Forte — preuve/audit	Indépendance graduée selon principal, substrat et preuve ; l’assurance globale est bornée par le maillon le plus faible.	R6/Trust Passage doit distinguer preuve auto-déclarée, preuve attestable et indépendance de l’auditeur/substrat.
18 septembre 2026	NIST ARIA Evaluation Planning Manual	NIST — INSTITUTIONNEL	Forte — TEVV	Évaluation holistique combinant Model Testing, Red Teaming et User Testing.	RA-Bench doit articuler test architectural, adversarial/red-team et évaluation humaine/contextuelle au lieu de traiter le benchmark comme preuve suffisante.
21 septembre 2026	APEXA: Execution-Integrity Enforcement for Multi-Agent LLM Automation of Synchrotron Data Reduction	PREPRINT	Forte — exécution/preuve	Garde déterministe qui refuse de présenter comme résultat ce qui n’est pas soutenu par une exécution réelle ; distingue transcript et conséquence physique.	R6 doit distinguer déclaration, commande, effet réellement exécuté et preuve de l’effet. Le transcript ne vaut jamais preuve d’exécution.
29 septembre 2026	NIST NCCoE — Software and AI Agent Identity and Authorization: summary of comments	NIST NCCoE — INSTITUTIONNEL	Très forte — identité/autorisation	Plus de 600 contributions ; passage à un premier use case DevSecOps pour identifier, authentifier et autoriser des agents.	RA doit rester une couche de composition avec les standards d’identité/autorisation et non un substitut à ces mécanismes.

3. Matrice de précédence révisée

Fonction RA	Précédents désormais identifiés	Positionnement v1.5.1
Résolution sémantique	When to Reason ; Context Kubernetes ; travaux antérieurs du corpus v1.5.	La compréhension sémantique n’est pas une nouveauté ; RA doit évaluer la qualité du passage vers les exigences de capacité.
Résolution de capacités	MCP/A2A ; MetaCogAgent ; IntentCap ; AgentFlow.	La valeur candidate réside dans la séparation explicite besoin→capacité→stratégie→autorité, non dans l’existence d’un resolver de capacités.
Stratégie cognitive	Select-then-Solve ; Governed Reasoning ; Gated-Memory Routing.	Le routage cognitif est un plan distinct de la gouvernance ; cette frontière doit être testée par ablation.
Gouvernance / policy enforcement	Formal Policy Enforcement ; AgentFlow ; CONTINUITY ; Authorization Architectures.	Reference monitor, policy enforcement et assume/guarantee ne sont pas des nouveautés RA.
Autorité / délégation	SAB/SEB ; Bounded Agents ; IntentCap ; OAuth delegated-agent profile ; NIST/NCCoE.	RA doit composer avec les mécanismes de délégation et d’identité standards, puis ajouter une structure de mandat et de non-passage vérifiable.
Human Gate	Governed Reasoning ; AI Agents Push Humans Out of the Loop ; Coalitional Alignment.	ESCALATE restitue l’autorité mais ne garantit pas que l’humain puisse exercer un jugement effectif. La qualité cognitive de l’escalade devient un objet de test.
Exécution bornée	SAB/SEB ; Bounded Agents ; CONTINUITY ; APEXA.	RA ne revendique pas le broker ou la vérification pré-effet ; elle doit démontrer la cohérence du passage depuis l’intention jusqu’à ce contrôle.
Preuve / attestation	PCAA ; CAVA ; CONTINUITY ; APEXA ; Independence-Graded Audit.	R6 doit rester un contrat probatoire ouvert et distinguer trace, reçu, effet, attestation et indépendance de l’audit.
Évaluation	NIST ARIA ; TEVV-Athlon ; AgentAudit ; benchmarks spécialisés.	RA-Bench n’est pas une validation universelle ; il doit publier dimensions, gates, attribution de faute, red-team, incertitude et limites.
Composition bout-en-bout	CONTINUITY est désormais un précédent très proche ; plusieurs travaux couvrent chacun des autres segments.	La contribution candidate RA doit être définie comme une décomposition particulière à six plans + R0→R6 + non-passage + falsification, à comparer expérimentalement.

4. Conséquences pour l’originalité scientifique

À retirer comme implication possible. RA-153.1-2 n’est pas fondée sur l’absence de travaux portant sur la gouvernance, l’autorisation, la délégation, l’enforcement, les contrats assume/guarantee, l’execution integrity ou la preuve portable.

Contribution candidate révisée. RA-153.1-2 propose de séparer et composer, dans un même cadre d’ingénierie, six responsabilités — sémantique, capacitaire, cognitive, normative, exécutive et probatoire — avec des artefacts R0→R6, des sorties de non-passage de première classe et une stratégie de falsification architecturale. La nouveauté éventuelle porte sur cette composition et ses frontières, pas sur les briques isolées.

Cette contribution n’est pas déclarée originale par assertion. Elle devient une question empirique et comparative : la décomposition RA permet-elle de réduire des classes de faute ou d’améliorer l’attribution, la contestabilité, la portabilité des politiques et la vérification mandat→effet par rapport aux architectures voisines ?

5. Conséquences pour les contrats R0→R6

R0 / R1 — Intention et contexte

Introduire explicitement la provenance des sources d’autorité et distinguer contenu informatif, instruction et autorité. IntentCap montre que tous les contextes ne doivent pas pouvoir élargir les mêmes champs.

R2 — Exigences de capacités

Tester le narrowing monotone : une étape aval peut restreindre une capacité autorisée, jamais l’élargir silencieusement à partir d’une source moins autoritative.

R3 — Stratégie cognitive

Préserver la séparation avec la gouvernance. Un routeur adaptatif ou une mémoire de collaboration peut améliorer la stratégie sans créer d’autorité supplémentaire.

R4 — Décision / mandat

Aligner le mandat avec les notions de principal, audience/resource, sender binding, scope, délégation, expiration et révocation. Le Human Gate doit restituer non seulement une demande d’approbation mais les éléments nécessaires au jugement.

R5 — Exécution

Tester la continuité du contexte de sécurité à chaque frontière et le maintien du scope lors des retries, fallbacks et délégations. L’exécution réelle ne doit jamais être inférée du transcript.

R6 — EvidenceBundle

Distinguer au minimum : déclaration du système, commande émise, effet observé, reçu, attestation et niveau d’indépendance de la preuve/audit.

6. Conséquences pour RA-Bench

La v1.5.1 recommande d’étendre le futur RA-Bench au-delà des cinq gates v0.1 sans modifier rétrospectivement leurs résultats. Les extensions candidates sont :

Security-context continuity : perte, widening, rebinding ou réinterprétation d’un contexte de sécurité entre composants ;
Delegation monotonicity : impossibilité pour une délégation aval d’accroître scope, budget ou autorité ;
Authority-source integrity : une source informative ne peut s’approprier un champ réservé au principal ou à la politique ;
Human Gate quality : l’escalade fournit-elle suffisamment d’information et de contestabilité pour une décision humaine réelle ?
Execution integrity : un résultat ne peut être présenté comme exécuté sans preuve d’un effet correspondant ;
Fault attribution : identifier le plan R0→R6 responsable d’une défaillance plutôt que produire seulement un échec global ;
Evidence independence : qualifier qui produit la preuve, sur quel substrat et avec quel degré d’indépendance ;
Comparative baselines : tester RA face à des configurations inspirées de CONTINUITY, Bounded Agents / IntentCap et des mécanismes spécialisés, pas seulement face à des ablations internes.

Principe conservé. Une moyenne élevée ne compense jamais une violation d’autorité. Les nouvelles métriques restent secondaires aux gates de sécurité non compensatoires.

7. Human Gate : correction de portée

WP006 v1.5 définit correctement l’escalade comme non-passage tant que l’autorité externe n’a pas statué. La littérature récente oblige cependant à distinguer présence humaine et autorité humaine effectivement exerçable. Une interface de Human Gate devrait donc préserver :

la question exacte à trancher ;
la provenance des éléments déterminants ;
les options et conséquences pertinentes ;
les incertitudes et désaccords ;
le droit de refuser ou de différer ;
la possibilité de contester la formulation proposée par l’IA ;
la traçabilité de la décision sans transformer la trace en justification automatique.

8. Position scientifique v1.5.1

Formulation recommandée.

RA-153.1-2 ne revendique ni l’invention de la gouvernance agentique, ni celle de la délégation bornée, des contrats assume/guarantee, du runtime enforcement, de l’autorisation contextuelle ou de la preuve d’exécution. Sa contribution candidate réside dans une composition explicite de six plans distincts — sémantique, capacitaire, cognitif, normatif, exécutif et probatoire — reliés par des artefacts typés R0→R6 et des résultats de passage/non-passage, puis soumis à un protocole de falsification. La valeur de cette composition doit être établie expérimentalement face aux architectures voisines.

9. Décision de version

WP006 v1.5 reste inchangée. Le présent document est publié comme v1.5.1 — State-of-the-Art Addendum. Une v1.6 ne sera justifiée que si la comparaison avec ces précédents entraîne une modification des invariants, des contrats R0→R6, du Human Gate ou du protocole RA-Bench.

10. Sources primaires et institutionnelles

Bounded Agents: Delegation Security for Multi-Agent AI Systems — 16 août 2026 — PREPRINT.
AgentFlow: A Flow-Centric Policy Language and Framework for Securing LLM Agent Systems — 24 août 2026 — PREPRINT.
AI Agents Push Humans Out of the Loop — 24 août 2026 — POSITION PAPER / PREPRINT.
Learning What to Retain: Gated-Memory Routing for Efficient Collaboration in Multi-Agent LLM Systems — 31 août 2026 — PREPRINT.
OAuth Profile for Delegated AI Agent Authorization (draft-mishra-oauth-agent-grants-02) — 30 août 2026 — IETF INTERNET-DRAFT — WORK IN PROGRESS.
CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls — 4 septembre 2026 — PREPRINT.
From Language Models to World-Acting Systems — 4 septembre 2026 — REVIEW / PREPRINT.
AgentAudit: An Open, Extensible Framework for Full-Lifecycle Trust Evaluation of AI Agents — 9 septembre 2026 — PREPRINT.
LLM Agent Capabilities Should Follow Task Intent and Context Source (IntentCap) — 13 septembre 2026 — PREPRINT.
Authorization Architectures for Tool-Using AI Agents — 14 septembre 2026 — STRUCTURED REVIEW / PREPRINT.
Delegating Authorization to Misaligned Agents: Coalitional Alignment and Safe Control — 14 septembre 2026 — PREPRINT.
Who Audits Whom, on What Substrate, with What Evidence? — 16 septembre 2026 — PREPRINT.
NIST ARIA Evaluation Planning Manual — 18 septembre 2026 — NIST — INSTITUTIONNEL.
APEXA: Execution-Integrity Enforcement for Multi-Agent LLM Automation of Synchrotron Data Reduction — 21 septembre 2026 — PREPRINT.
NIST NCCoE — Software and AI Agent Identity and Authorization: summary of comments — 29 septembre 2026 — NIST NCCoE — INSTITUTIONNEL.

Note méthodologique : cette actualisation est une recherche large et ciblée sur les familles de travaux susceptibles de modifier le positionnement de RA-153.1-2. Elle ne constitue pas une garantie d’exhaustivité absolue de toute la littérature publiée pendant la période.