News World
Deepseek v4.1 flash revient, sous licence mit
Bonjour,
DeepSeek publie une nouvelle version de son modèle rapide, à télécharger sous une licence qui ne vous impose presque rien, la semaine même où Washington le chasse de ses agences fédérales civiles. Puis des agents qui tournent sur votre propre appareil, et trois vérifications pour que l'application montée par votre agent ne laisse pas fuir vos données.
Les sorties
DeepSeek V4.1 Flash 1017 (DeepSeek)
27 737 téléchargements, 1 876 mentions j'aime sur Hugging Face. Licence MIT.
Pour quoi faire Faire tourner sur votre propre serveur un modèle rapide de 763 milliards de paramètres qui lit aussi les images, sans rien envoyer à DeepSeek. Les poids (le fichier du modèle) se téléchargent en version allégée sur 8 bits, selon leurs étiquettes, et la licence MIT ne vous impose presque rien. DeepSeek la présente comme une mise à jour mineure de la version du 004 : raisonnement, code, tâches d'agent et images progressent (42,6 contre 36,8 au test HLE sans outils). Mise en ligne le 17 octobre sur Hugging Face, elle sort la semaine où un ordre du ministère américain de la Sécurité intérieure, publié le 20 octobre au Federal Register, retire des agences fédérales civiles les produits DeepSeek et les produits d'autres éditeurs construits avec sa technologie.
Limite La fiche n'indique pas la mémoire nécessaire, et ne propose pas de version plus petite.
LFM2.5-24B-A2B (Liquid AI)
Billet de Liquid AI : 288 points et 81 commentaires sur Hacker News. Version GGUF (le format que lisent llama.cpp, LM Studio et Ollama) : 132 848 téléchargements sur Hugging Face.
Pour quoi faire Faire tourner un agent rapide sur votre propre appareil, sans carte graphique de centre de données. Le modèle compte 24 milliards de paramètres (les réglages qu'il a appris), mais 2 milliards seulement travaillent à chaque mot : il ne réveille à chaque fois que quelques spécialistes parmi les siens (on parle de mélange d'experts). Au 007, Liquid AI publiait d1, ses modèles de décision pour appareils : le laboratoire garde la même ligne, l'appareil d'abord.
Limite Bancs d'essai et vitesses de l'éditeur seulement, aucune mesure indépendante. Pas de licence standard : une licence propre aux modèles LFM, dont le billet ne résume pas les conditions commerciales.
Nemotron 3.5 Super VL (NVIDIA)
11 459 téléchargements, 186 mentions j'aime pour la version NVFP4 sur Hugging Face.
Pour quoi faire Confier à un agent des tâches qui mêlent texte, images et vidéo : comprendre un document, chercher, se servir d'outils, coder. C'est un modèle ouvert de 120 milliards de paramètres, dont 12 milliards au travail à chaque mot. Ses poids sont publiés notamment au format NVFP4, une version allégée sur 4 bits, sous licence OpenMDW 1.1 qui permet l'usage commercial.
Limite La fiche n'indique ni prise en charge du Mac (Linux seulement) ni mémoire totale nécessaire.
Sphinx
Sur Hacker News : 252 points, 89 commentaires.
Pour quoi faire Ne livrer que le code que vous avez compris. Avant d'envoyer ce que votre IA a écrit, un crochet (un petit contrôle qui se déclenche à ce moment-là) vous pose des questions sur ce code. Au 008, notre crochet refusait un changement ; Sphinx interroge la personne.
Limite Sphinx n'a pas de service à lui : le code modifié part chez le fournisseur du modèle relecteur que vous choisissez (les fichiers .env et les clés en sont exclus).
Llmspeed
Sur Hacker News : 329 points, 86 commentaires.
Pour quoi faire Sentir, avant d'acheter une machine, à quelle vitesse un modèle local y répondrait. Utile la semaine où les portables RTX Spark arrivent en magasin (voir En bref).
Limite Ce ne sont pas des mesures faites par le site : une partie vient de bancs d'essai communautaires, le reste est extrapolé ; rien sur la qualité des réponses.
Exa 3.0
Annoncé par Exa le 19 octobre.
Pour quoi faire Donner à votre agent un moteur de recherche fait pour lui, qui lui sert les passages utiles des pages. Exa promet dans cette version des données plus riches, sans surcoût, et une formule Lite moins chère. Utile quand les sites ferment leurs portes aux agents (voir À lire).
Limite Les promesses sont celles de l'éditeur, sans banc indépendant. Pas de version à héberger chez vous : chaque requête passe par l'API d'Exa.
Les repos
kitlangton/scrawl · ★ 546 · MIT · dernier commit 20 octobre 2026
Montrer un problème à votre agent au lieu de le décrire : vous annotez l'écran, vous enregistrez, vous envoyez. Il tourne sur Mac (Apple silicon, macOS 26), en préversion sur Windows, et il est présenté pour Claude Code et les autres agents de code. Les captures sont rangées dans un dossier de votre machine, et l'agent reçoit des images clés et un résumé (summary.md) qui porte la transcription, faite sur l'appareil, et la chronologie. Au 008, big-arrow-on-the-screen faisait l'inverse, l'agent dessinait des flèches pour vous ; scrawl ouvre l'autre sens du dialogue. Ce qu'il ne fait pas : il ne corrige rien, et il ne fournit aucun modèle qui réponde, seulement la transcription : c'est votre agent qui répond.
Graphicle-AI/graphicle · ★ 330 · Apache-2.0 · dernier commit 18 octobre 2026
Un plan du code et une mémoire pour vos agents de code, dans un seul programme, branché par MCP (le branchement standard des agents) sur Claude Code, Codex, Cursor ou tout autre client MCP. L'agent retrouve qui appelle quoi et ce qu'il a déjà appris du projet, et reçoit des extraits cités, avec le fichier et les lignes. La même semaine, Tencent publie Hy-Memory-30B-A3B, un modèle consacré à la mémoire. L'organisation qui publie graphicle n'a que trois semaines. Les notes que l'agent propose attendent votre accord, et un projet tient par défaut jusqu'à 100 000 fichiers texte et 1 Gio de texte. Ce qu'il ne fait pas : il ne donne pas la liste des langages qu'il lit.
eliasbiondo/antirion · ★ 134 · Apache-2.0 · dernier commit 18 octobre 2026
Un projet de trois jours : une passerelle d'IA open source, un seul programme avec sa console : tous vos appels de modèles (OpenAI, Anthropic, Gemini, Bedrock et d'autres) passent par elle, qui les aiguille, les surveille et leur fixe un budget. Au 007, notre problème était le plafond de dépense qui coupe vraiment : antirion le pose à un seul endroit pour tous les fournisseurs, et vos clés ne sont plus semées dans chaque outil. Ce qu'il ne fait pas : il n'a pas de version hébergée, il faut l'installer et l'entretenir vous-même, et il n'a pas de mesure indépendante de sa vitesse : le surcoût médian de 0,53 ms contre 19,7 ms pour Bifrost, à 5 000 requêtes par seconde, vient du banc d'essai du projet.
strands-agents/harness-sdk · ★ 8 878 · Apache-2.0 · dernier commit 20 octobre 2026
Le projet établi de la rubrique : un kit pour bâtir et contrôler le harnais d'un agent, c'est-à-dire tout ce qui entoure le modèle (la boucle de travail, les outils, les règles), en Python et en TypeScript, avec n'importe quel modèle et n'importe quel fournisseur de serveurs. Au 007, la même organisation publiait Box, sa boîte pour agents. Début octobre, Google Research a publié Harness², un cadre qui améliore lui-même le harnais, le modèle restant inchangé. Ce qu'il ne fait pas : ce n'est pas une application prête, il faut écrire du code ou le faire écrire, et il n'a pas de service hébergé : il tourne dans votre propre programme.
En bref
Selon NVIDIA, les portables Windows RTX Spark, jusqu'à 128 Go de mémoire, sont en vente chez ASUS, Dell, HP, Lenovo, Microsoft et MSI, à partir de 2 399 $. Au 008, NVIDIA annonçait les logiciels prêts : les machines sont là, pour l'IA en local sur un portable, avec jusqu'à un pétaflop de calcul (un million de milliards d'opérations par seconde). La page ne donne pas le prix de la version 128 Go, et Llmspeed (voir Les sorties) aide à juger la vitesse avant d'acheter. blogs.nvidia.com/blog/…
Hugging Face présente TorchNeuron, l'outil d'AWS qui fait tourner les modèles du hub sur Trainium, les puces d'Amazon. Il prend en charge 89 % des 100 architectures de génération de texte les plus utilisées, contre 46 % pour Optimum Neuron v0.4.5 ; le billet ne donne aucun tarif. huggingface.co/blog/hf-torchneuron
Le problème de la semaine
L'application que mon agent a construite laisse-t-elle fuir mes données ?
Vous avez monté avec un agent le formulaire d'inscription de votre association, avec la liste des membres derrière. Le 20 octobre, le CERT-FR, le centre d'alerte de l'État français pour la sécurité informatique, publie son retour sur près de 200 violations de données issues d'applications web, suivies en 2025 : souvent, l'attaquant n'a eu besoin que d'actions simples, sans exploiter de faille technique. La porte était ouverte. Pour votre formulaire, cela peut être une adresse qui finit par un numéro de membre : on change le numéro, une autre fiche s'affiche. La sortie tient en trois vérifications, que votre agent fait avec vous.
Premier geste, savoir ce qui est exposé. Demandez à l'agent la liste de tout ce que l'application montre sur Internet (pages, adresses d'API, fichiers), et vérifiez ce qu'un visiteur non connecté peut y lire. Pour l'association, la liste des membres ne doit apparaître nulle part sans connexion.
Deuxième geste, chacun ne voit que sa fiche. Vérifiez qu'un membre connecté ne peut pas lire la fiche d'un autre, et qu'aucune clé ni aucun secret ne se trouve dans le code envoyé au navigateur : n'importe qui peut afficher ce code. Si votre base de données est branchée directement sur la page, chaque table doit avoir sa règle d'accès par ligne active ; une table sans règle est une table publique.
Troisième geste, un contrôle automatique, sur votre application seulement. codex-security, l'outil de contrôle d'OpenAI (11 140 étoiles, Apache-2.0, déjà cité au 007), passe votre projet en revue. Plus offensif, strix (Apache-2.0) attaque votre application comme le ferait un intrus, avec une IA ; il affiche plus de 70 000 étoiles, un compteur à prendre avec prudence. Lancez-les sur votre machine ou sur une copie de test, jamais sur le site d'un autre, et relancez-les après chaque changement qui touche aux données.
Liste tout ce que mon application expose sur Internet, et pour chaque élément dis-moi ce qu'un inconnu non connecté peut lire ou modifier ; puis montre-moi qu'un membre ne peut pas voir la fiche d'un autre en changeant un numéro dans l'adresse.
Ce que ça ne répare pas : un contrôle dit ce qu'il a trouvé ce jour-là, pas ce qu'ajoutera la prochaine modification de votre agent.
Le retour d'expérience du CERT-FR ses dix pistes pour réduire les risques.
À lire
AI agents aren't going rogue, frontier labs are skipping security basics · Selon des experts cités par CSO Online, les récits d'agents « pirates » viennent de défauts de confinement et de surveillance chez les laboratoires, pas d'agents devenus trop malins : un agent mal isolé reste le vrai problème. Sur Hacker News, 951 points et 625 commentaires. csoonline.com/article/4234854/…
Websites are closing their doors to AI agents · The Verge raconte les sites qui bloquent les agents qui naviguent pour vous, et ce que ça change si vous comptez sur un agent navigateur. theverge.com/…
tmux + Claude Code: Sessions, send-keys, and the Ceiling · Publié par crystl, qui y présente son propre terminal pour macOS : un guide pratique pour faire tourner plusieurs sessions d'agents de code dans un terminal qui survit à la fermeture de la fenêtre, et l'endroit où la méthode atteint son plafond. crystl.dev/guides/…
Le réflexe sécurité
Votre agent avait mis une clé d'API dans le code, vous l'avez retirée : c'est réglé ? Non. Chaque version enregistrée de votre dépôt reste consultable, et si le dépôt est public, la clé y est lisible à jamais ; une clé volée se découvre ensuite sur la facture, à la fin du mois.
Le bon geste. Révoquez la clé chez le fournisseur et créez-en une neuve, avec un plafond de dépense (notre problème du 007). C'est le seul geste qui compte : effacer le fichier ne suffit pas.
Répondez à ce mail pour dire ce que vous construisez. Toutes les réponses sont lues.
— News World AI
Recevoir la newsletter
Chaque mardi, en quatre minutes : ce qui est sorti dans l'IA et qu'on peut essayer le jour même.
Double confirmation par courriel. Désabonnement en un clic, lien visible en clair dans chaque envoi.
Genève, Suisse. Écrire à hello@newsworldai.xyz.