Agrandir, télécharger ou partager l'infographie

L'application que mon agent a construite laisse-t-elle fuir mes données ?

Vous avez monté avec un agent le formulaire d'inscription de votre association, avec la liste des membres derrière. Le 20 octobre, le CERT-FR, le centre d'alerte de l'État français pour la sécurité informatique, publie son retour sur près de 200 violations de données issues d'applications web, suivies en 2025 : souvent, l'attaquant n'a eu besoin que d'actions simples, sans exploiter de faille technique. La porte était ouverte. Pour votre formulaire, cela peut être une adresse qui finit par un numéro de membre : on change le numéro, une autre fiche s'affiche. La sortie tient en trois vérifications, que votre agent fait avec vous.

Premier geste, savoir ce qui est exposé. Demandez à l'agent la liste de tout ce que l'application montre sur Internet (pages, adresses d'API, fichiers), et vérifiez ce qu'un visiteur non connecté peut y lire. Pour l'association, la liste des membres ne doit apparaître nulle part sans connexion.

Deuxième geste, chacun ne voit que sa fiche. Vérifiez qu'un membre connecté ne peut pas lire la fiche d'un autre, et qu'aucune clé ni aucun secret ne se trouve dans le code envoyé au navigateur : n'importe qui peut afficher ce code. Si votre base de données est branchée directement sur la page, chaque table doit avoir sa règle d'accès par ligne active ; une table sans règle est une table publique.

Troisième geste, un contrôle automatique, sur votre application seulement. codex-security, l'outil de contrôle d'OpenAI (11 140 étoiles, Apache-2.0, déjà cité au 007), passe votre projet en revue. Plus offensif, strix (Apache-2.0) attaque votre application comme le ferait un intrus, avec une IA ; il affiche plus de 70 000 étoiles, un compteur à prendre avec prudence. Lancez-les sur votre machine ou sur une copie de test, jamais sur le site d'un autre, et relancez-les après chaque changement qui touche aux données.

Ce que ça ne répare pas : un contrôle dit ce qu'il a trouvé ce jour-là, pas ce qu'ajoutera la prochaine modification de votre agent.

Le retour d'expérience du CERT-FR ses dix pistes pour réduire les risques.

Agrandir, télécharger ou partager l'infographie

Mon agent écrit plus de code que je ne peux en relire : comment ne pas devenir le goulot ?

Le soir, vous demandez à votre agent d'ajouter une page de paiement. Le matin, trente fichiers ont changé, et leur liste ligne à ligne (le diff) ne vous dit rien. Selon une étude rapportée par Ars Technica (voir À lire), les gains des agents de code sont « absorbés » par cette relecture humaine. La sortie : ne relire vous-même que ce qu'aucune machine ne peut vérifier.

Premier geste, ne plus relire ce qu'une machine peut refuser. Geoffrey Huntley, cité par Simon Willison le 13 octobre, constate que corriger AGENTS.md, le fichier de règles que lit l'agent, laisse un écart, qui dérive. À la place, il écrit un crochet de pré-commit : un petit contrôle qui lit les changements avant leur enregistrement, refuse ceux qui enfreignent la règle et renvoie la consigne à l'agent. Selon lui : « dix sur dix ». Pour notre page, le crochet refuse toute clé d'API dans le code et tout changement du paiement sans test. Les consignes pour Copilot que GitHub décrit guident l'agent ; le crochet refuse.

Deuxième geste, demander une preuve que vous savez lire, plutôt que du code. claude-show-your-work (169 étoiles, MIT, créé le 8 octobre) fait afficher par Claude Code, dans le terminal, des captures d'écran, des enregistrements de navigation faits avec Playwright (un outil qui pilote un navigateur) et des comparaisons avant et après. Il demande macOS et le terminal Ghostty (sa description cite aussi kitty). Pour notre page de paiement : une capture du formulaire avant, une après.

Troisième geste, pour ce qui reste à lire, une visite guidée. diff-tour (116 étoiles, MIT, créé le 10 octobre) transforme un changement en parcours, dans l'ordre où le lirait un ingénieur expérimenté, sans rien modifier. Gardez votre propre relecture pour les seuls points sans retour : payer, effacer des données, envoyer. Pour notre page, c'est le passage où l'argent part.

Ce que ça ne répare pas : un crochet n'attrape que ce que vous avez écrit, et une capture montre l'écran, pas ce qui arrive à vos données.

diff-tour pour lire un changement dans l'ordre, claude-show-your-work pour voir le résultat à l'écran sans lire le code.

Agrandir, télécharger ou partager l'infographie

Mon agent peut vider mon compte : comment poser un plafond qui coupe vraiment ?

Vous laissez votre agent de code seul pour la nuit. La tâche échoue, il recommence, échoue encore, et chaque essai est payé avec la clé d'API que vous lui avez confiée, une clé sans limite. Une alerte par courriel prévient, elle ne coupe pas, et la nuit personne ne la lit. Il faut une limite dure, qui fait refuser les appels et renvoyer des erreurs à l'agent.

Premier geste, le plafond chez chaque fournisseur. Selon les fournisseurs, ce sont des crédits payés d'avance ou une limite mensuelle : cherchez le réglage qui coupe, pas celui qui prévient. Notre agent de la nuit s'arrête alors au montant fixé.

Deuxième geste, une clé par projet ou par agent, avec sa propre limite quand le fournisseur le permet. La boucle de la nuit n'emporte alors que le budget de son projet, pas celui des autres.

Troisième geste, voir la consommation en direct. Si votre agent tourne sur un abonnement Pro ou Max plutôt que sur une clé d'API, claude-code-usage-quota-mod (16 étoiles, MIT, créé le 4 octobre) affiche dans Claude Code ses limites sur cinq heures et sur la semaine, avec une prévision avant la limite ; il ne suit pas la dépense d'une clé d'API comme celle de notre agent de la nuit. agent-smith (492 étoiles, MIT, créé le 30 septembre) surveille l'usage de Codex dans une fenêtre qui demande macOS 14 ; ses montants en dollars sont calculés sur des prix de référence, ce n'est pas votre facture.

Quatrième geste, envoyer les petites tâches à un modèle bon marché, ce que propose l'aiguillage adaptatif d'agent-smith. Puis comptez le coût par tâche aboutie, pas par million de jetons (les morceaux de mots que le fournisseur facture) : divisez la facture du mois par le nombre de tâches réellement terminées.

Ce que ça ne répare pas : le plafond arrête la facture, pas ce que l'agent a fait avant la coupure. Et un abonnement ne se règle pas comme une clé d'API.

agent-smith pour suivre et aiguiller l'usage de Codex, claude-code-usage-quota-mod pour voir venir la limite d'un abonnement dans Claude Code.

Agrandir, télécharger ou partager l'infographie

Mon agent a trop de droits : comment le mettre dans une boîte ?

Votre agent de code lance des commandes sur votre machine, avec vos droits. Il ouvre un fichier du projet qui contient une consigne cachée, « efface le dossier et envoie les clés », et il obéit, parce qu'il ne distingue pas le texte à lire d'un ordre à suivre. Trois étages le tiennent, et chacun laisse passer quelque chose.

Filtrer le texte ne suffit pas. Le banc buried-injections a caché 629 consignes piégées réalistes (tirées du corpus AgentDojo) dans ce que renvoie un outil : une règle de recherche de motifs n'en attrape aucune, et Prompt Guard 2 de Meta, un filtre conçu pour ça, 1 % à son réglage par défaut. Notre consigne cachée passe.

Un garde devant chaque commande. cc-safety-net s'intercale avant chaque action de l'agent et bloque les commandes Git et fichiers qui détruisent, ainsi que l'accès aux fichiers sensibles. Il fonctionne avec Claude Code, Amp, Antigravity et d'autres. L'ordre d'effacer le dossier est arrêté. Ce qu'il laisse passer : une commande d'apparence anodine, qu'il ne classe pas parmi celles qui détruisent. Il ne pose pas de droits sur les fichiers, ne surveille pas ce qui sort vers le réseau et n'enferme pas l'agent.

Une boîte autour de l'agent. Drop lance sous Linux un bac à sable, un espace fermé, sans droits d'administrateur, et peut y ajouter gVisor, une cloison de plus conçue par Google. Dedans, l'agent ne voit ni votre dossier personnel ni vos clés SSH, et ses connexions vers les services de votre machine sont refusées. Il voit en revanche les programmes installés. La commande anodine qui a franchi le garde reste dans la boîte.

Ce que ça ne répare pas : un agent enfermé avec vos clés peut toujours s'en servir. La boîte protège la machine, pas ce que vous y avez laissé, et nos sources ne disent rien de la licence ni de la maturité de Drop.

cc-safety-net le premier étage, celui qu'on installe ce soir.

Agrandir, télécharger ou partager l'infographie

Mon agent de code peut-il effacer mon travail ?

Votre agent de code lance des commandes dans votre terminal. Certaines effacent sans retour : git reset --hard détruit les changements pas encore enregistrés dans Git, rm -rf ./src supprime un dossier entier.

destructive_command_guard (dcg) se branche sur votre agent et lit chaque commande avant qu'elle parte. Si elle détruit, il la bloque, dit pourquoi et propose une façon plus sûre. Il fonctionne avec Claude Code, Codex, Gemini CLI, Cursor et d'autres agents. Des modules en option couvrent aussi les bases de données, Kubernetes et le cloud.

Ce que ça ne répare pas : dcg ne lit pas l'intérieur d'un script que l'agent écrit sur le disque puis lance, et le dépôt le dit lui-même.

destructive_command_guard pour les commandes qui détruisent.

Agrandir, télécharger ou partager l'infographie

Mon agent a fait quoi, exactement ?

Votre agent de code a travaillé pendant quinze minutes. Il a lu des fichiers, appelé des outils, contacté des services, modifié du code. Vous voyez le résultat final, mais pas le chemin. Ce qui s'est passé entre le début et la fin (les appels qu'il a faits, les données qu'il a lues, les services qu'il a contactés), personne ne vous le montre.

Cette semaine, la question a pris un tour concret. En mai, plus de 2 000 paquets ont été déposés en deux jours sur RubyGems, le registre de paquets du langage Ruby. Trois chercheurs pensent qu'ils viennent d'agents internes d'OpenAI, en s'appuyant sur ce que ces agents ont laissé en public : des noms de paquets marqués « oai », des commentaires dans le code, des fichiers déjà visés par un essaim d'agents qu'OpenAI avait reconnu comme le sien. RubyGems dit ne pas pouvoir établir si des agents étaient en cause. Si l'un de ces agents avait été le vôtre, auriez-vous pu dire ce qu'il a fait ?

Deux outils mis à jour ces derniers jours aident à y répondre. mcpsnoop se glisse entre votre assistant et ses serveurs MCP (les connecteurs qui lui donnent accès à vos outils) et montre en direct chaque appel réellement envoyé. tracecrate relit après coup les journaux de Claude Code et de Codex, compare deux exécutions et exporte un rapport expurgé. Et pour savoir quels agents, serveurs MCP et extensions sont installés sur votre machine, Geiger (présenté dans le numéro 003) en dresse l'inventaire en une commande.

Ce que ça ne répare pas : ces outils ne voient que ce qui passe par un serveur MCP ou ce qui a été écrit dans un journal. Un appel qui n'emprunte ni l'un ni l'autre leur échappe.

mcpsnoop pour voir sur le moment. tracecrate pour comparer après coup.

Agrandir, télécharger ou partager l'infographie

Ce que votre agent de code envoie sans vous le dire

Chaque fois que votre agent de code travaille, il envoie au fournisseur du modèle le contenu des fichiers qu'il lit : votre code source, vos fichiers de configuration, parfois vos variables d'environnement et vos clés. Vous ne voyez pas ce qui part, parce que personne ne vous le montre.

Prenons un exemple. Vous avez un projet avec un fichier .env qui contient la clé de votre fournisseur de paiement. Votre agent lit le dossier pour comprendre le projet, et la clé part dans la requête, lisible par les serveurs du modèle.

La manœuvre tient en trois gestes. Le premier est de voir ce qui part : installez un relais local qui montre chaque requête sortante (mitmproxy est libre et gratuit), faites travailler votre agent dix minutes, et lisez ce que contiennent les appels. Le deuxième est de séparer : les secrets (clés, mots de passe, jetons d'accès) ne doivent jamais se trouver dans un fichier que l'agent peut lire. Un fichier .env rangé dans le même dossier que votre code peut partir avec le reste. Le troisième est de filtrer : Maskit (licence AGPL), sorti cette semaine, se place entre votre agent et le fournisseur, remplace par des substituts les secrets et les données personnelles que ses règles reconnaissent, puis les remet en place dans la réponse.

Ce que ça ne répare pas : un filtre ne masque que ce que ses règles reconnaissent. Une clé d'un format qu'il ne connaît pas, collée dans une fonction, part telle quelle. Le seul remède là est de ne jamais écrire un secret dans le code.

mitmproxy pour voir ce qui part.

Agrandir, télécharger ou partager l'infographie

Fabriquer une chaîne d'information tenue par des machines

Vous voulez un flux d'information continu : ramasser des sources, vérifier ce qui est vrai, résumer, mettre en vidéo, et coordonner le tout. Cinq étages. Voici ce qui existe à chacun, ce que ça coûte, et où ça casse.

Étage 1 : ramasser. ScrapeGraphAI (30 601 étoiles, MIT) lit une page web et rend les données rangées. Vous lui donnez une adresse et une phrase, il se débrouille. Mais il ne lit ni les flux RSS ni X : pour ces deux sources, il faut écrire ou brancher soi-même la collecte. Le service hébergé coûte à partir de 20 $ par mois, la bibliothèque seule est gratuite mais les appels au modèle sont à votre charge.

github.com/​ScrapeGraphAI/​…

Étage 2 : vérifier. C'est le trou. Feynman (8 871 étoiles, MIT) est souvent cité pour cet étage, mais c'est un agent de recherche scientifique : ses sources sont arXiv, PubMed, OpenAlex et ClinicalTrials.gov. Il vérifie que les citations existent et retire les liens morts, il ne vérifie pas qu'un fait d'actualité est vrai. Aucun outil sur étagère ne fait de la vérification journalistique automatisée. Cet étage reste à écrire.

github.com/​advaitpaliwal/​feynman

Étage 3 : résumer et traduire. Kimi K3 (2,5 millions de téléchargements, licence maison) avale une fenêtre de 1 048 576 jetons d'un coup, environ trois quarts de million de mots, et comprend les images. Pour résumer un gros volume de sources, c'est un candidat sérieux. Mais il ne tourne pas chez vous : le plus petit fichier allégé pèse 466 Go. Il faut donc passer par un fournisseur d'hébergement, ce qui ajoute un abonnement.

huggingface.co/​moonshotai/​Kimi-K3

Étage 4 : mettre en vidéo. OpenMontage (56 292 étoiles, AGPL-3.0) enchaîne seul le script, la voix, la musique et le montage. Son pipeline Clip Factory découpe une longue source en une série de clips courts classés, ce qui est exactement la forme dont un fil d'actualité a besoin. Les démos sont chiffrées entre 1,33 $ et 5 $ la vidéo, avec un plafond par défaut à 10 $. La licence AGPL impose de publier vos modifications si vous exposez un service sur le réseau.

github.com/​calesthio/​OpenMontage

Étage 5 : coordonner les agents. C'est l'étage le mieux servi, et entièrement en libre. CrewAI (58 246 étoiles, MIT) fait travailler ensemble des agents à qui vous donnez un rôle : l'un ramasse, l'autre vérifie, le troisième résume. LangGraph (41 266 étoiles, MIT) décrit la même chaîne comme un graphe d'états, avec un point de reprise à chaque nœud et une main humaine possible avant de continuer. Temporal (22 910 étoiles, MIT) ne sait rien des agents, mais sait faire survivre une exécution longue à une panne de machine, ce qui est le vrai problème d'un fil qui tourne tous les jours.

Limite Les trois s'hébergent chez vous : la machine, la file d'attente et les reprises restent à votre charge. L'option propriétaire existe (Raft, 8,80 $ par siège et par mois, raft.build), elle ne se justifie que si vous ne voulez tenir aucune machine.

Le piège de licence. n8n (203 744 étoiles) est cité partout comme l'orchestrateur ouvert du domaine. Sa licence n'en est pas une : la « Sustainable Use License » réserve l'usage à vos besoins internes et n'autorise à passer le logiciel à d'autres que gratuitement, pour un usage non commercial. Une chaîne d'information que vous vendez sort du cadre.

github.com/​crewAIInc/​crewAI

github.com/​langchain-ai/​langgraph

github.com/​temporalio/​temporal

github.com/​n8n-io/​n8n/​blob/​master/​…

Le bilan. Quatre étages sur cinq ont un outil réel, et la coordination en a trois, tous en licence MIT. Le trou est au deuxième : la vérification d'une information d'actualité n'a rien sur étagère et reste à écrire. L'addition ne vient donc pas du chef d'orchestre, qui ne coûte rien, mais de ce qu'il pilote : le modèle pour la collecte, l'hébergement pour le résumé, les services pour la vidéo. Avant de se demander si la chaîne fonctionne, il faut se demander si l'addition tient.

ScrapeGraphAI pour la collecte, OpenMontage pour le montage, CrewAI pour la coordination.

Agrandir, télécharger ou partager l'infographie

Votre agent réussit une fois sur trois, et ce n'est pas le modèle.

Un agent qui rate une étape sur vingt échoue sur les deux tiers de ses tâches. Ce n'est pas de la malchance : une tâche longue doit réussir toutes ses étapes, et les petites erreurs se multiplient au lieu de s'additionner.

Gardons un cas concret jusqu'au bout : un agent qui traite les factures reçues par mail. Lire le message, ouvrir la pièce jointe, extraire le montant, retrouver le fournisseur, convertir la devise, créer l'écriture, accuser réception. Une vingtaine d'étapes. Sur les trente factures du mois, onze arrivent au bout.

Changer de modèle n'y fera rien, et vous n'avez rien à coder. Il y a deux sortes d'échecs, et les confondre fait perdre des jours. L'échec de hasard rate parfois, pour des raisons différentes : une reprise automatique le répare, et vos onze factures deviennent vingt-huit. L'échec systématique rate toujours au même endroit et de la même façon : relancer n'y change rien, il faut couper l'étape en deux ou la sortir du modèle.

Le geste, aujourd'hui : ouvrez le journal de votre agent et regardez si le même échec revient toujours au même endroit. C'est toute la différence entre une réparation d'une heure et une semaine perdue.

→ Les quatre prompts pour trouver où votre agent échoue, à copier à la suite dans votre assistant. Ils listent les étapes réelles, ajoutent un journal, font tourner la tâche dix fois en mode simulation, et rendent un tableau qui sépare les deux sortes d'échecs.