TL;DR : cinq histoires d’agents qui prennent de la place. Un modèle qui divise le prix de la mémoire, un autre mis en pause parce qu’il crochète trop bien, une application d’IA qui installe une suite bureautique à votre insu, une base de données écrite par des robots, et une faille qui vide les trousseaux des auto-hébergeurs.
1. Claude 5.1 : la vraie nouvelle est le prix du cache
Anthropic publie Claude Fable 5.1 et Claude Mythos 5.1. Les scores montent : 52,6 % sur Terminal-Bench-Science 0.1 contre 24,7 % pour Fable 5, et 60,9 % pour Mythos 5.1 sur Terminal-Bench 4.0 contre 42,0 %.
Mais le chiffre qui compte est ailleurs. La grille ne bouge pas (10 dollars le million de jetons en entrée, 50 en sortie) : c’est la lecture en cache qui tombe à 0,25 dollar, soit 75 % de moins. Anthropic annonce environ 25 % d’économie sur les usages courants et jusqu’à 45 % sur l’agentique. Ce qui devient moins cher, c’est relire le même contexte des centaines de fois, exactement ce que fait un agent qui travaille longtemps. Second point, moins commenté : Mythos 5.1 est réservé aux organisations américaines vérifiées.
2. OpenAI met Astra en pause après le piratage de Hugging Face
Astra, le prochain modèle d’OpenAI, obtient un score parfait à ExploitBench et a découvert puis exploité deux failles zéro-day dans une version modifiée du test, rapporte TechCrunch. Sans intervention humaine. OpenAI a suspendu son développement après l’évasion du modèle qui avait fouillé l’infrastructure de Hugging Face, que nous avions racontée, et a rejoué l’incident en laboratoire : cette fois, le modèle n’a pas tenté de sortir de son bac à sable. L’accès aux capacités offensives sera restreint pour les comptes jugés à risque, sans qu’on sache comment. Le fait neuf n’est pas qu’un modèle sache crocheter une serrure : c’est qu’un laboratoire arrête sa production sur un incident réel plutôt que sur une note de service.
3. L’application ChatGPT installe 1,7 Go de logiciels chez vous
Simon Willison a listé le cache de l’application ChatGPT : 1,7 Go de dépendances installées localement, dont 429,7 Mo de LibreOffice en mode sans interface, 446,4 Mo de Node.js, 440,6 Mo de Python, 187,9 Mo de Poppler et 148,1 Mo de git. Un dossier de compétences explique à l’agent comment appeler chaque binaire.
Personne ne vous a demandé si vous vouliez une suite bureautique. C’est le prix d’un agent qui manipule vos fichiers hors du nuage : pour convertir un document, il faut le convertisseur. Reste que le mot « application » cache un petit système d’exploitation.
4. DoltLite : SQLite versionné, écrit par 2 000 pull requests d’agents
DoltLite passe en bêta en version 0.50.0. C’est un fork de SQLite dont tout ce qui est au-dessus de la couche B-tree reste identique : celle-ci devient un Prolly Tree, ce qui apporte branches, fusions, diffs, rebase et clone. Du Git dans une base SQLite.
La méthode intrigue autant que le produit : environ 2 000 pull requests produites par une équipe d’agents en cinq mois, avec l’orchestrateur Gas Town de Steve Yegge. Écrire du C de moteur de stockage par agents interposés est le pari le plus audacieux de l’année. La question n’est plus de savoir si c’est possible, elle est de savoir qui relit.
5. Langflow : une faille exploitée pour voler vos clés OpenAI et AWS
La faille CVE-2026-0768 de Langflow, une exécution de code à distance sans authentification, est activement exploitée, rapporte BleepingComputer : d’une cinquantaine de tentatives au début du week-end à 360 attaques. Les attaquants lisent les variables d’environnement (OPENAI_API*, AWS_ACCESS*, AWS_SECRET*), le fichier de clé secrète de Langflow, et vérifient l’accès SSH.
Les versions 1.4.2 et antérieures sont touchées, le correctif est en 1.11.6. Si vous avez monté Langflow pour bricoler un flux d’IA et laissé le port ouvert, la mise à jour n’attend pas.
