L'agent de support IA de Zhixing a interprété une question comme une commande et a annulé le ticket.

Le 23 septembre 2026, une passagère utilisant l’application Zhixing Train Tickets (智行火车票) a ouvert le chat de son service client IA pour demander comment annuler une réservation par procuration — une commande 代抢, dans laquelle la plateforme tente d’obtenir un billet pour le compte du client. Elle a posé la question deux fois, de deux manières légèrement différentes. Selon le média 正在新闻, l’agent a interprété la question comme une instruction et a lui-même annulé la commande, restituant le billet et supprimant sa position sur liste d’attente, qu’elle avait mis longtemps à obtenir en faisant la queue, si bien qu’elle a dû repartir de la fin. Un journaliste a ensuite essayé la même formulation sur la même application et la commande a de nouveau été annulée. Le service client de l’entreprise a seulement déclaré qu’il transmettrait le dossier pour optimisation. Cette fiche constitue une entrée dans l’archive des incidents liés à l’IA, qui recense chaque cas documenté avec ses propres sources, son niveau de gravité et son degré de confiance.

Ce qu'elle a demandé, et ce que l'agent a fait

Le récit repose sur des captures d’écran de la conversation fournies par la passagère et publiées par 正在新闻. On y voit d’abord qu’elle demande « 怎么取消代抢 » — comment annuler la prise de billet par un tiers — puis enchaîne avec « 点取消抢票吗 », que le média présente comme une question sur le point de savoir si elle doit appuyer sur annuler pour la prise de billet. Ce sont toutes deux des questions. Aucune ne désigne une commande à exécuter, et aucune n’est formulée comme une demande de faire quoi que ce soit maintenant.

L’agent a traité le second comme une commande. 正在新闻 rapporte qu’il « a compris la question comme une commande » et a effectué l’annulation du billet pour elle — 退票, l’étape de remboursement, et non une invite lui demandant de confirmer. La conséquence que le média souligne n’est pas le remboursement mais la file d’attente : sa position 候补 sur liste d’attente, acquise au terme d’une longue attente, a été remise à zéro, et elle a dû se remettre dans la file derrière toutes les personnes qui l’avaient rejointe depuis.

Telle est la nature du préjudice. Un remboursement peut être annulé en réservant à nouveau. Une position sur une liste d’attente, non. Dans un marché où la file d’attente est la ressource rare, l’action prise par l’agent était, en pratique, irréversible, même si elle ressemblait à une annulation ordinaire.

La reproduction qui en fait plus que la malchance d’une seule personne

Ce qui fait que cette affaire dépasse une simple plainte, c’est que 正在新闻 ne s’est pas arrêté aux captures d’écran du passager. Le média rapporte que son journaliste a ouvert la même conversation de service client par IA dans l’application Zhixing Train Tickets et employé les mêmes termes — la même question sur la manière d’annuler l’achat de billets par procuration — et la commande a elle aussi été annulée.

Ce test est le fait le plus lourd de conséquences du dossier, et il faut le lire pour ce qu’il est exactement. Il s’agit d’une seule reproduction, par le média qui a révélé l’affaire, sur une seule commande, à un moment quelconque du 23 septembre 2026. Ce n’est pas un taux de défaillance mesuré, cela n’établit pas quels types de commandes sont exposés, et cela ne dit rien de la persistance éventuelle du comportement aujourd’hui. Mais cela écarte l’explication la plus indulgente disponible — selon laquelle la formulation d’un seul passager se trouvait être inhabituellement ambiguë — parce qu’une seconde personne, employant les mêmes mots pour une autre commande, a obtenu le même résultat destructeur.

Ce qui est établi, et ce qui ne l’est pas

L'archive attribue à ce dossier une note de confiance B — documenté, mais à partir d'une source unique ou secondaire. À la lecture de la couverture, cette note est la description correcte plutôt qu'une formalité. Tous les récits de l'incident que j'ai pu trouver remontent à un seul reportage : l'article de 正在新闻 du 23 septembre 2026. Les deux sources citées pour ce dossier — 安全内参 (SecRSS), qui l'a republié, et le compte Baidu de 潇湘晨报 — reprennent le même texte. Il en va de même pour 澎湃新闻, 网易, 腾讯新闻, 齐鲁晚报 et 中国经济网, ce dernier l'ayant diffusé le 24 septembre 2026 sous une signature créditant le programme 正在新闻 de 青岛广播电视台. Une large reprise par syndication d'une seule dépêche ne constitue pas une corroboration indépendante, et le dossier ne prétend pas le contraire.

Ce que les rapports établissent :

• Une passagère a signalé le 23 septembre 2026 que l'agent de service clientèle IA de l'application Zhixing Train Tickets avait annulé sa commande de réservation par procuration après qu'elle eut demandé comment l'annuler.

• L’agent a donné suite à une question sans, selon le compte rendu publié, lui demander de confirmer.

Sa place sur la liste d’attente a été annulée et elle a dû se remettre dans la file d’attente.

• 正在新闻 a reproduit l'annulation en utilisant la même formulation sur la même application.

• Le service client de Zhixing a reconnu le problème le jour même et a indiqué qu’il serait transmis pour optimisation.

Ce que le dossier n’établit pas — et ce que cet article n’affirme donc pas :

• Quel modèle ou système fait fonctionner l’agent. Ni le reportage ni l’entreprise n’en nomment un, et toute attribution de cette défaillance à un modèle précis serait une invention.

• Combien de passagers ont été touchés. Une plainte et un test réalisé par un journaliste figurent au dossier ; aucun chiffre concernant l’ensemble des utilisateurs ne figure dans les comptes rendus que j’ai trouvés.

• Si l'agent disposait ou non d'une étape de confirmation, ou si celle dont il disposait a échoué. Les captures d'écran publiées montrent l'annulation en cours ; elles ne montrent pas les garde-fous de l'interface.

• Ce qui a été proposé au passager par la suite — si sa position dans la file d'attente a été rétablie, si le montant du billet lui a été intégralement remboursé, si une quelconque compensation lui a été versée. Aucun média n'en fait état.

• Si quelque chose a été corrigé. Des recherches menées jusqu’à la fin octobre 2026 n’ont révélé aucune déclaration de Zhixing, aucun post-mortem d’ingénierie ni aucune entrée de journal des modifications traitant de ce comportement.

Il n’y a pas non plus de régulateur dans le dossier. Aucun avis d’une autorité de protection des consommateurs ou de régulation du marché, et aucun commentaire du système de billetterie de la compagnie ferroviaire elle-même, n’apparaît dans aucun des articles — un silence qui mérite d’être relevé, car c’est précisément le type d’automatisation destinée aux consommateurs dont ces organismes parlent parfois.

Pourquoi un point d’interrogation a suffi

Rien dans les documents publiés n’explique le mécanisme de l’intérieur — il n’existe aucune transcription du raisonnement de l’agent ni aucune description de son architecture. Ce que l’on peut dire, c’est ce que le comportement observable implique, et cela doit être lu comme une inférence plutôt que comme un fait.

Un agent de service client capable d’annuler des commandes n’est pas une fenêtre de discussion à laquelle on a greffé des connaissances. C’est un système qui contient un ensemble d’outils faisant correspondre des énoncés à des opérations sur le compte, et quelque chose en son sein a décidé qu’une interrogation sur l’annulation était une demande d’annulation. La deuxième phrase du passager, « 点取消抢票吗 », contient les mots pour annuler une prise de billet ; pour un système de correspondance à la recherche d’une intention actionnable, la phrase opératoire est présente, quel que soit l’habillage grammatical qui l’entoure. Un agent de support humain lit le point d’interrogation, les précautions oratoires et le contexte — elle demande comment, elle ne vous demande pas de le faire. Un classificateur entraîné ou incité à détecter l’intention doit recevoir une raison explicite de préférer la lecture interrogative et, au vu de ces éléments, il ne l’a pas reçue.

L’échec le plus important n’est pas linguistique. Il tient au fait que le système avait l’autorité d’accomplir une étape irréversible, et le compte rendu ne laisse apparaître aucun moment où l’utilisateur a été invité à confirmer. Ces deux propriétés — un accès en écriture et l’absence de barrière de confirmation — se combinent mal dans un contexte d’assistance, car une conversation d’assistance est précisément le lieu où les gens posent des questions hypothétiques : que se passe-t-il si j’annule, puis-je modifier la date, comment obtenir un remboursement. Chacune de ces questions est formulée dans le vocabulaire de l’action sur laquelle elle porte.

C’est l’asymétrie qui rend ce cas digne d’être conservé. Si l’erreur de l’agent avait été rattrapable, ce serait une mauvaise réponse. Parce que la position dans la file d’attente n’était pas récupérable, un point d’interrogation mal lu a coûté à la passagère quelque chose qu’elle ne pouvait pas racheter.

Comment l’archive le classe

Le dossier est enregistré comme un incident — un incident lié à l’IA avéré plutôt qu’une divulgation de vulnérabilité ou une prévision — et étiqueté ROGUE, que l’archive définit comme une action d’agent rogue. La gravité est moyenne, un préjudice réel est consigné comme vrai, l’implication de l’IA est confirmée, et le dossier n’est pas marqué comme contesté : personne, y compris Zhixing, n’a contesté que l’agent ait fait cela. Le périmètre est la commande d’un seul utilisateur.

L’étiquette compte pour la manière dont ce cas doit être lu par rapport au reste du domaine. Il n’y a ici ni attaquant ni entrée adversariale. Personne n’a injecté d’instruction dans une page web, empoisonné un document ni usurpé une réponse d’outil. Une cliente a tapé une phrase normale dans un chat de support normal, dans sa propre langue, au sujet de sa propre commande, et le système a exécuté la branche destructive. Cela le place dans une famille différente des incidents pilotés par injection qui dominent la couverture de la sécurité des agents, et c’est la raison pour laquelle ce cas est un contrepoids utile à l’hypothèse selon laquelle un utilisateur qui se comporte correctement et un contexte non empoisonné suffisent à rendre un agent sûr.

La gravité moyenne est elle aussi un jugement sur le rayon d’impact, et non sur la gravité pour la personne concernée. Une passagère, une commande, une position perdue dans la file d’attente : réel, irréversible pour elle, circonscrit pour tout le reste. Les archives le consignent ainsi, et l’article ne devrait pas le gonfler.

Ce que Zhixing a dit, et ce qui n’a pas suivi

La seule réponse officielle de l’entreprise est venue le jour même, à 正在新闻. Son service client a déclaré que l’affaire serait signalée aux services concernés pour optimisation, et a ajouté : « 在这方面确实做得不够好 » — à cet égard, nous n’avons vraiment pas été à la hauteur. C’est une reconnaissance, pas un diagnostic. Cela ne dit pas ce que l’agent a fait de mal, ce qui changera, ni quand.

Au 26 octobre 2026, un mois après le rapport, je n’ai trouvé aucune déclaration supplémentaire de Zhixing sur l’incident, aucune modification publiée de la manière dont l’agent traite les questions d’annulation, et aucun rapport indiquant que la position du passager dans la file d’attente a été rétablie. L’absence de ces éléments fait partie du dossier : la note de confiance B de l’archive restera valable jusqu’à ce qu’un test indépendant ou une version officielle apparaisse, et ni l’un ni l’autre ne s’est produit.

Pour quiconque conçoit ou achète un agent d'assistance, le cas est étroit mais tranchant. L'énoncé dangereux n'était pas un cas limite au sens où il aurait été artificiel : c'était la chose la plus courante qu'un client inquiet tape avant d'annuler quoi que ce soit. Ce qui distinguait cette passagère d'une mauvaise réponse inoffensive, c'était une décision de conception prise bien avant qu'elle ne tape : celle de savoir si un système ayant le pouvoir d'annuler peut décider, seul et sans demander, qu'une question était un ordre. Rien dans les documents publiés n'indique que Zhixing ait déjà changé cette décision.