Depuis septembre 2025, les compromissions de paquets npm se sont multipliées : Shai-Hulud, axios, Mastra, ChainDrop. Retour sur un an et demi d’attaques, les propriétés de l’écosystème node qui les rendent possibles, et les mesures concrètes (délai avant installation, blocage des scripts, CI, OIDC) pour réduire votre exposition.

Ce volet est consacré à un sujet délicat : le désapprentissage. Contrairement à ce que l'on pourrait croire, se défaire d'un savoir demande souvent plus d'effort que d'en acquérir un nouveau. Dans notre cas, nous avons longuement tâtonné pour construire un harnais qui nous semblait satisfaisant.

Un agent de codage ne se résume pas au modèle qui l'anime. Le modèle de langage en est le moteur, mais il ne travaille jamais seul : il est intégré dans un harnais, c'est-à-dire l'ensemble des instructions, outils, règles, étapes d'orchestration et mécanismes de contrôle qui encadrent son travail.

Mes agents IA relisaient tout le journal pour y trouver une ligne. Depuis le 30 juillet, je chasse les tokens : mesurer d'abord, écrire des règles de lecture, retirer ce qui ne sert pas, borner chaque tâche. Des chiffres sourcés, des estimations assumées, et cinq gestes à appliquer dès demain, sans coder.

iOS 27 fait tourner un LLM local sur iPhone : Core AI charge un modèle .aimodel derrière les mêmes API que FoundationModels, en une dizaine de lignes. Mesures sur iPhone 16, iOS 27.0 : 3 des 10 familles du catalogue exportables, 874 Mo pour Qwen2.5-1.5B, 2 min au premier lancement, 14 à 25 s par génération, contre 4,4 à 5,8 s en Apple I

Un agent IA seul gagne toujours : il boxe contre son ombre. Alors j'ai réuni cinq agents autour d'une table, chacun avec son rôle, pour voir ce qu'ils attrapent… ou ratent. Surprise : un matin, 3 « salles » sur 4 étaient tenues par un seul agent jouant tous les rôles. Des preuves, et le droit d'être contredit.

Un modèle de paiement en 3 fois tombe sans que personne ne le voie, puis une plainte arrive à la CNIL. Une model platform aurait pu l'éviter. Nous présentons les bonnes pratiques MLOps qu'elle met en place (versionner, déployer, monitorer, gouverner face à l'AI Act), et l'implémentation open source que nous en avons faite chez OCTO.

Trois techniques d’animation simples et souvent connues, mais qui continuent de m’aider au quotidien. 1. Expliciter l'agenda 2. Valider l'heure de fin 3. Rendre visible les conversations.

Peut-on construire un jumeau numérique à partir de ce que l’on observe sur le terrain, plutôt qu’à partir de la conception des bureaux d’études ?

Je ne code pas, mais des agents IA cadrés par BMAD écrivent et testent le code de huit projets. Sur quoi fonder ma confiance ? Nous avons mesuré la qualité des produits en quatre questions : deux restent sans réponse partout, deux donnent des chiffres honnêtes mais partiels. Ce que je lis à la place du code, et ce qu'aucune mesure ne remplace.