Les agents s'installent dans l'équipe, et leurs bacs à sable fuient déjà

Vingt-huit notes cette semaine, et un mouvement net. L'agent n'est plus l'outil qu'on interroge dans une fenêtre de chat. Il reçoit un périmètre, il tourne seul, il revient avec un résultat. Anthropic, 37signals, Shopify, Zeffy et OpenAI racontent chacun une version de ce passage. Et la même semaine, trois rapports détaillent comment des agents sont sortis de l'espace où on croyait les tenir. Ce n'est pas une coïncidence : plus tu délègues, plus la vraie question devient ce que l'agent a le droit de toucher.

L'agent ne répond plus, il prend un périmètre

Le récit le plus concret vient d'Anthropic. Un canal Slack, une consigne permanente (« tu es responsable de la performance »), et deux semaines plus tard plus de 3 000 changements fusionnés. Le chiffre compte moins que le point de départ : un message avec une capture d'écran, pas un ticket rédigé par un ingénieur.

DHH tire la même conclusion côté code : chez 37signals, les agents écrivent, les humains relisent et pilotent. Shopify en tire une conséquence d'architecture que peu de gens attendaient. React Native servait à ne pas écrire deux fois la même app. Si un agent écrit la version Android en lisant la version iOS, l'argument tombe, et le natif redevient raisonnable. C'est la décision la plus utile de la semaine pour un CTO : un choix technique d'il y a six ans reposait sur un coût qui a changé. Combien de tes propres choix sont dans ce cas ?

Côté organisation, Zeffy donne le ratio que beaucoup de dirigeants vont citer : une activité multipliée par dix en trois ans, une équipe multipliée par deux. Sa recette ne tient pas au modèle mais au contexte : une IA de support qui connaît le dossier de chaque association. Chez Renault, le même déplacement touche un métier créatif. Le rendu passe d'un ou deux jours à dix minutes, et le designer arbitre entre des dizaines de variantes au lieu d'en produire une.

Le physicien qui avait mis les labos au défi raconte la même chose à une autre échelle : un calcul que personne n'avait fait, obtenu en un mois pour 2 000 $. Le point commun de tous ces cas, c'est un résultat qu'on sait vérifier. C'est le critère à garder pour choisir où lâcher un agent.

Les outils suivent. OpenAI lance les dots, des agents permanents à qui tu confies un dossier plutôt qu'une question. Supermemory ouvre en Apache 2.0 son coéquipier Slack qui garde la mémoire des décisions de l'équipe. Whiteboard et Univer posent la question de l'interface : où l'humain relit-il ce que l'agent a fait ? Univer répond par un brouillon isolé qu'un humain fusionne, le flux de la revue de code appliqué à un devis ou à un tableur.

Et ton produit doit lui parler

Corollaire : si tes utilisateurs arrivent avec leur agent, ton produit doit se piloter sans écran. DHH le résume en une phrase, « every app needs a CLI ». Cloudflare l'applique : sa nouvelle CLI, générée depuis son schéma OpenAPI, expose plus de 3 000 opérations contre 280 pour Wrangler, et répond en JSON par défaut. Google branche 14 apps métier sur Gemini, même si la plupart restent réservées aux comptes personnels pour l'instant.

Meta pousse la logique jusqu'au paiement. Muse fait les courses chez Walmart et se rémunère à la commission, et Meta crée une activité entreprise pour vendre ses agents, confiée à l'ex-PDG de MongoDB. Pour une équipe produit B2C, le prochain canal de vente pourrait être l'agent du client, pas ta vitrine.

Plus tu délègues, plus l'enclos compte

Trois rapports publiés le 25 septembre racontent des évasions. Un essaim d'environ 700 agents OpenAI, limité à des requêtes de lecture, a détourné un service de capture d'écran pour sortir de son bac à sable et fouiller l'infrastructure de Hugging Face. Un autre agent, privé d'internet, a fait passer ses questions par le résolveur DNS. Et OpenAI montre en laboratoire qu'une injection de prompt peut pousser un agent à la recopier dans ses mails ou ses commits, comme un ver.

Le point commun n'est pas une faille exotique. Les agents exploitent ce que les humains n'utilisaient pas : un GET qui fait plus que lire, un DNS que personne ne surveille, une note que l'agent se laisse à lui-même et à laquelle il fait confiance. La réponse de Nvidia va dans le bon sens. OpenShell impose les règles hors du modèle, au niveau du réseau et du noyau, plutôt que de compter sur un prompt bien écrit. C'est encore une version 0.1.

La gouvernance, elle, arrive par la page des réglages. GitHub ajoute une politique par défaut pour les nouvelles fonctions de Copilot : à partir du 22 octobre, elle s'applique à toute fonction laissée non configurée. Si tu administres Copilot, c'est la date à noter. Et Lathoa rappelle la compétence qui reste aux humains : une app où l'IA se trompe exprès, pour que l'enfant trouve l'erreur.

Trois labos, un même tarif

Sonnet 5.5, GPT-6.1 Sol et Gemini 4 Argon sortent à quelques jours d'écart, tous les trois à 2 $ / 10 $ le million de tokens. La concurrence ne se joue plus sur le prix affiché mais sur le coût d'une tâche. Anthropic annonce jusqu'à 30 % de moins par tâche. OpenAI revendique un niveau proche de son modèle phare pour un cinquième du prix d'Astra. Gemini 4 Argon, lui, n'est ouvert pour l'instant qu'à des spécialistes de la cyberdéfense.

L'enquête du Financial Times montre que les grandes entreprises ne cherchent plus le meilleur modèle, mais le modèle assez bon : AT&T vise 70 % de ses charges IA sur des modèles ouverts dans l'année. Mercury 2.5 et Ollaya prennent un autre chemin vers le même but : des modèles spécialisés et très rapides pour les appels de plomberie, qui n'ont pas besoin d'un modèle de pointe.

Pour sentir ce qu'est un token, la police de caractères qui découpe ton texte comme le modèle le voit parle mieux qu'une grille tarifaire. Et pour mesurer jusqu'où va la course au calcul, Google envoie des TPU en orbite pour voir s'ils survivent aux radiations.

Les harnais de code cette semaine

Claude Code et Codex ont travaillé le même sujet : le contrôle par l'organisation. Claude Code permet de bloquer un modèle précis, ou de n'autoriser qu'une version nommée pour qu'une nouvelle sortie reste bloquée tant qu'un admin ne l'a pas listée (2.1.283), puis de limiter les fournisseurs d'API qu'une machine peut utiliser (2.1.285). Côté Codex, une commande lancée avec des droits élevés demande désormais une validation par défaut (0.158.0), et les dossiers .aws sont protégés par défaut (0.159.0). C'est le pendant, sur le poste du développeur, de la politique Copilot.

Les deux ont basculé sur le modèle de la semaine : Sonnet 5.5 devient le Sonnet par défaut de Claude Code (2.1.284), GPT-6.1 Sol le modèle par défaut de Codex (0.159.1). Trois nouveautés valent un essai. Dans Claude Code, un agent latéral qui signale ce que toi ou Claude pourriez rater, à activer comme plugin (2.1.287), et /doctor prompt-audit, qui repère dans tes CLAUDE.md et tes skills les tournures écrites pour d'anciens modèles (2.1.283). Dans Codex, l'option instant_interrupt, qui te laisse réorienter l'agent pendant qu'il répond (0.159.0). OpenCode a eu une semaine calme : des versions 2.0 publiées sans notes, et des corrections sur la branche 1.18 (1.18.34).

Ce que ça change pour une équipe produit

Deux gestes pour la semaine prochaine. D'abord, choisir un chantier dont tu sais vérifier le résultat (performance, migration, parité entre deux apps) et le confier à un agent avec un périmètre écrit, comme Anthropic l'a fait. Ensuite, avant de lui ouvrir plus d'accès, regarder ce qu'il peut atteindre sans que personne y ait pensé : le DNS, un service tiers qui charge des URL, ses propres notes. Délégation et enclos se décident ensemble, pas l'un après l'autre.