AI Agents Don't Read Your Policy Docs. They Hit Your APIs — Gravitee

Démonstration en direct : une passerelle d'API bloque les appels destructeurs, l'extraction de données personnelles et les boucles d'un agent IA de réservation d'hôtel.

Lors d'une conférence AI Engineer mise en ligne le 10 octobre, le directeur technique de Gravitee renonce aux slides et enchaîne cinq scénarios en direct face à un agent de réservation d'hôtel. Sa thèse : écrire des règles dans un fichier de consignes ne suffit pas, puisque l'agent peut toujours appeler l'API ; la gouvernance doit donc se trouver dans l'infrastructure, pas dans les instructions du modèle.

Placée devant un backend Databricks et des modèles Sonnet et Groq, la passerelle bloque un appel d'outil visant à supprimer toutes les réservations, empêche l'extraction des données personnelles de l'ensemble des clients, limite le débit d'un agent bogué qui répète la même requête huit fois, sert les questions récurrentes depuis un cache sémantique et refuse un prompt trop volumineux avant qu'il n'atteigne le LLM. La télémétrie est aussi abordée.