G2 · Plan figé avant contact

Principe

Le LLM établit d’abord le plan complet d’actions, à partir de la seule demande de confiance. Le plan est ensuite fixé et exécuté : les données non fiables lues en route ne peuvent plus changer la suite des appels. Les paramètres de ces actions restent en revanche exposés.

Le problème qu'il résout

Un contenu lu en cours de route peut détourner un agent et lui faire enchaîner des actions que personne n’avait prévues.

Quand l'utiliser

• Les étapes se déduisent de la seule demande, et le flux de contrôle doit rester intègre.
• On veut une garantie sur la séquence d’actions, les paramètres étant validés par ailleurs.

Quand l'éviter

• Les paramètres viennent de données non fiables : ils restent manipulables (un destinataire, par exemple). Compléter avec G3 ou G4.
• L’étape suivante dépend vraiment de ce que la précédente a lu : le plan ne peut pas être figé d’avance.

Synonymes par éditeur

• Plan-Then-Execute (Beurer-Kellner et al. (2025))

Patterns voisins

• G1 · Sélecteur d’actions
• G3 · Map-reduce isolé
• G4 · Double LLM (et CaMeL)
• C2 · Planifier puis exécuter

Sources

• Design Patterns for Securing LLM Agents against Prompt Injections — Beurer-Kellner et al. (14 auteurs), arXiv, 2025-06