Récap de la semaine : actualités
du 13 juil. au 19 juil. 2026 123 articlesModèles d’IA et sorties de pointe
- Kimi K3 de Moonshot AI (2,8T paramètres, 50B actifs) lancé comme le plus grand modèle à poids ouverts à ce jour, revendiquant une performance de classe Opus 4,8 au prix de Sonnet 5 ; une demande écrasante a forcé Moonshot à suspendre les nouveaux abonnements et à diviser les plans en Kimi Membership et Kimi Code Membership [1][2][3][4][5][6].
- Claude Fable 5 d’Anthropic s’est imposé comme un performeur de premier plan dans les benchmarks finance, frontend/backend et problèmes NP-difficiles ; il est désormais disponible en permanence dans les plans Max/Team Premium à 50 % des limites, sous la pression concurrentielle de GPT-5.6 Sol et Kimi K3 [7][1][8][9][10][11][12].
- GPT-5.6 Sol d’OpenAI est mis en avant comme un cheval de bataille rentable pour le codage et les tâches agentiques avec une forte exécution à long horizon ; les plafonds d’utilisation ont été temporairement supprimés, et il a été utilisé pour combler un écart de 30 ans en optimisation convexe vérifié dans Lean [1][13][14][15][16].
- Thinking Machines a publié Inkling (975B total, 41B actifs MoE) avec un contexte de 1M tokens sur texte, images, audio et vidéo, plus une variante Inkling-Small (12B actifs) sous licence Apache 2.0 [17][18][19].
- Google a retardé Gemini 3.5 Pro de plusieurs mois en raison d’objectifs de codage internes non atteints, tandis que Nvidia a lancé Cosmos 3 Edge (modèle de monde physique) et Nemotron 3 Embed (modèle 8B classé #1 sur RTEB pour la récupération agentique) [20][21][22][23][24].
- Avancées de l’IA sur appareil : Apple est en pourparlers avec PrismML pour compresser des modèles comme Qwen de 54 Go à <4 Go pour l’inférence sur iPhone ; PrismML a annoncé Bonsai 27B (poids 1-bit/ternaires, 3,9–5,9 Go) ; Gemma 4 de Google est optimisé pour le TPU du Pixel 10 pour une utilisation multimodale hors ligne [25][26][27].
Outillage LLM, Agents et Évaluations
- L’ingénierie agentique mûrit : « l’ingénierie de boucles » passe du prompting manuel à la construction de systèmes/boucles ; de nouvelles disciplines émergent (évaluations, ingénierie de contexte, ingénierie de harnais, mémoire, ingénierie de sandbox/plateforme) ; des harnais d’agents auto-améliorants permettent aux agents d’analyser les traces et de valider les mises à jour de manière autonome [28][29][30][31][32][33].
- La mémoire des agents reste non résolue : la mémoire proactive utilisant des agents de mémoire séparés améliore les taux de réussite de Terminal-Bench 2.0 et τ2-Bench ; des pipelines proposés utilisent des ontologies, une extraction de graphe basée sur LLM, et des requêtes servies via MCP ; Engram offre une mémoire persistante basée sur SQLite pour les agents de codage [34][35][36][37].
- Migrations de code IA à grande échelle : la réécriture Zig→Rust de Bun terminée en 11 jours avec Fable (165K $ de dépenses API) ; Firefox compilé en WebAssembly via un portage assisté par IA ; Anthropic détaille un processus de migration Claude Code en six étapes [38][39][40][41].
- Sécurité et sandboxing des agents : Perplexity SPACE offre des sandboxes éphémères sécurisées ; Clawk crée des VM jetables avec listes d’autorisation réseau ; NVIDIA OpenShell fournit un sandboxing au niveau noyau ; les « bombes de contexte » de Tracebit intègrent des chaînes canari qui ont fait chuter l’accès admin complet de 57 % à 5 % [42][43][44][45][46].
- Les benchmarks d’évaluation évoluent : les benchmarks Text-to-SQL contiennent des requêtes gold incorrectes ; CursorBench révèle des écarts entre benchmarks publics et tâches réelles ; WANDR évalue la collecte de données large/profonde ; Long-Horizon Terminal-Bench teste 46 tâches stateful avec vérificateurs cachés ; le harnais Schema atteint 99 % sur ARC-AGI-3 [47][48][49][50][51].
- GitHub Copilot s’étend : la revue de code améliorée via le resserrement des diffs (réduction de 20 % des coûts) ;
/security-reviewscanne les changements en cours ; BYOK avec support d’agent Claude pour JetBrains ; Fix with Copilot sur mobile ; l’API de métriques d’utilisation ajoute le reporting au niveau repo et les ventilations quotidiens utilisateurs actifs/tokens [52][53][54][55][56][57]. - Routage de modèles et optimisation des coûts : IBM Research constate que le routage dépend de plus que le prix ; les différences de tokeniseurs ajoutent ~30 % de tokens en plus sur Anthropic vs versions antérieures et 73 % de plus pour TypeScript sur Claude vs GPT ; un workflow spécialisé a réduit les tokens de 94 % et la latence de 87 % en compilant des compétences en langage naturel en code déterministe [58][59][60].
- Red-teaming IA : OpenAI a construit GPT-Red, un « super-hacker » automatisé pour tester l’injection de prompt contre des modèles internes et des agents en direct ; Binarly montre que les LLM accélèrent les techniques d’évasion d’EDR [61][62][63][64].
MLOps, Ingénierie des Données et Infrastructure
- L’adoption d’Apache Iceberg s’accélère : Grab a obtenu des accélérations de requêtes 10x, 95 % de coûts d’API S3 en moins, et 50 % d’économies de calcul en migrant Hive Parquet vers Iceberg ; Arcesium a migré 170 To/15 T enregistrements vers Iceberg sur S3 avec DuckDB, réduisant l’ingestion de 80 % et l’infra de ~40 % ; l’API Generic Table de Lakekeeper gouverne les actifs non-Iceberg [65][66][67].
- Consolidation de l’orchestration : Prefect a acquis Dagster pour fusionner workflows dynamiques avec partitionnement/linéage/catalogage ; Apache Airflow a ajouté des contrôles pilotés par IA (validation sémantique de schéma, décisions de retry basées sur LLM) ; Apache Spark 4.2 a introduit des vues de métriques gouvernées, recherche de similarité vectorielle, support CDC, et streaming à latence milliseconde [68][69][70][71].
- Databricks Feature Views (aperçu public) définissent les features une fois avec gestion automatique de l’entraînement/service temps réel et gouvernance Unity Catalog ; la spec de couche sémantique OSI est devenue Apache Ossie (Incubating) [72][73].
- IA en production à grande échelle : Microsoft Foundry sert 20 M+ utilisateurs avec une croissance d’agents 6x YTD ; Netflix a construit un système de topologie de services temps réel gérant des millions d’enregistrements de flux/sec ; Meta envisage de plafonner les budgets de tokens IA par ingénieur alors que les coûts approchent les salaires [74][75][76][77].
- Pression sur GPU et infra : New York a imposé un moratoire d’un an sur les nouveaux centres de données IA ≥50 MW ; HAMi est devenu un projet incubateur CNCF pour la virtualisation GPU sur Kubernetes [78][79].
DevOps, Cloud et Outils Développeurs
- Cloudflare : Precursor détecte le comportement agentique via des signaux client-side continus ; Smart Tiered Cache amélioré pour les régions de cloud public ; acquisition d’Arroyo (processeur de flux SQL en Rust) pour Cloudflare Pipelines ; fournit des signaux réseau OpenAI couvrant ~20 % du web [80][81][82][83][84].
- Mises à jour de la plateforme GitHub : la licence Code Quality entre en aperçu public (lancement payant le 20 juillet 2026) ; recherche avancée pour Projects ; archivage de PR ; image runner Xcode 27 en aperçu ; Dependabot passe par défaut à un délai de 3 jours pour les mises à jour non-sécurité [85][86][87][88][89][90].
- Outillage base de données et runtime : Turso Limbo (BD compatible PostgreSQL en Rust) ; Lobste.rs a migré MariaDB→SQLite avec coûts VPS divisés par deux ; les benchmarks Polars montrent que les configurations distribuées ne surpassent que sur les requêtes I/O-bound ; Rust 1.97.1 corrige une mauvaise compilation LLVM [91][92][93][94].
- Le port Rust de Bun livré dans Claude Code depuis le 17 juin v2.1.181, améliorant le démarrage Linux de ~10 % sans perturbation visible pour l’utilisateur ; vérifié indépendamment avec 563 fichiers sources Rust embarqués ; publié comme Bun canary [95][96].
- OpenAI a lancé Codex Micro, un clavier physique pour contrôler les agents Codex ; l’utilisation de Codex a bondi de 10x en six mois à 7 M utilisateurs [97][98][99].
Sécurité et Vulnérabilités
- Menaces spécifiques à l’IA : « Ghostcommit » cache une injection de prompt dans des images pour tromper les agents et les faire fuiter des secrets (Cursor vulnérable, Claude Code l’a détecté) ; Hugging Face a divulgué un agent IA autonome exploitant des chemins d’exécution de code dans le traitement de datasets pour la collecte d’identifiants et le mouvement latéral ; xAI Grok Build CLI transmettait les repos textuellement vers GCS, puis open-sourcé avec les uploads de répertoires désactivés [100][101][102][103][104].
- Attaques OAuth et identité : l’usurpation d’ID client Microsoft Entra ID permet une validation d’identifiants furtive sans logs de connexion réussis ; ShinyHunters a abusé d’OAuth dans Salesforce via du vishing ; Microsoft Entra ID passera par défaut aux passkeys en septembre 2026, retirant SMS/voix d’ici février 2027 [105][106][107][108].
- Vulnérabilités critiques : prise de compte Zoom (CVSS 9,8) ; RCE pre-auth ServiceNow via GlideRecord ; six failles U-Boot permettant l’exécution de code via des images FIT malveillantes ; Cursor IDE auto-exécute des binaires malveillants sans interaction utilisateur (non corrigé depuis 7 mois) [109][110][111][112].
- Chaîne d’approvisionnement et malwares : paquet npm Injective SDK compromis exfiltre des clés de portefeuille ; extension ModHeader (1,6 M installations) retirée pour code de fingerprinting dormant ; Datadog GuardDog 3.0 scanne les packages PyPI/npm malveillants ; la propre fuite GitHub de CISA a exposé des clés admin AWS GovCloud pendant des mois [113][114][115][116].
- Apple a poursuivi OpenAI pour sollicitation alléguée de secrets industriels Apple auprès de candidats et utilisation avec des partenaires de fabrication, demandant injonctions et retour de propriété intellectuelle [117][118][119].
IA dans la Société et Facteurs Humains
- Une étude multi-universités a révélé que les conseils d’IA dégradaient dramatiquement le jugement humain : la volonté de dire « je ne sais pas » s’est effondrée de 44 % à 3 %, la précision a chuté de 27 % à 9 %, tandis que la confiance a grimpé de 30 % à 76 %, démontrant une « reddition cognitive » même quand l’IA a systématiquement tort [120].
- Un essai sur la « psychose IA » argue que les grandes organisations imposent des stratégies IA sans que les dirigeants n’utilisent les outils IA, tandis que les ingénieurs effectuent du travail occupé IA pour satisfaire des métriques internes de classement de tokens [121][122].
- Les infirmières de triage de Kaiser Permanente signalent que l’IA et la surveillance au travail dégradent les soins aux patients, faisant de l’IA un sujet de négociation contractuelle pour 25 000 infirmières en Californie [123].
Sources
- Anthropic Extended Claude Fable 5 Access Again simonwillison.net
- Kimi K3, and what we can still learn from the pelican benchmark simonwillison.net
- [AINews] Kimi K3 2.8T-A50B: the largest open model ever released; Opus 4.8-class at Sonnet 5 pricing latent.space
- Kimi K3 kimi.com
- [AINews] not much happened today latent.space
- Moonshot AI suspends new subscriptions due to Kimi K3 demand hnrss.org
- Working at the frontier: How Hebbia builds AI for financial diligence that can’t miss a detail claude
- Basecamp Bench smw.ai
- Working at the frontier: Why Base44 trusts Claude Fable 5 with their most challenging engineering work claude
- Working with Claude Fable 5 in Claude Cowork claude
- Claude make Fable 5 permanent simonwillison.net
- Fable 5 vs. GPT-5.6 Sol on an NP-Hard Problem: Does /goal help? hnrss.org
- OpenAI temporarily relaxes GPT-5.6 Sol usage limits bleepingcomputer.com
- Better Call Sol The Workhorse thezvi.substack.com
- Better Call Sol: The Workhorse thezvi.wordpress.com
- GPT-5.6 used a prompt to close a 30-year gap in convex optimization hnrss.org
- [AINews] Thinky’s Inkling: 975B-A41B multimodal, new best American Apache 2.0 open model (with Inkling-Small, 276B-A12B) latent.space
- Thinking Machines Releases First Open Model thinkingmachines.ai
- Inkling: Our open-weights model simonwillison.net
- NVIDIA Nemotron 3 Embed Ranks #1 Overall on RTEB, Advancing Agentic Retrieval huggingface.co
- Google Gemini Launch Delayed as Tech Falls Short of Internal Goals bloomberg.com
- Nvidia unveils new AI model and expands Japan’s physical AI ecosystem cnbc.com
- Gemini 3.5 Pro Reportedly Faced Delays cnbc.com
- NVIDIA Nemotron 3 Embed huggingface.co
- Apple in talks with startup that shrinks AI models to run on an iPhone cnbc.com
- Google announces Gemma 4 optimized for the Pixel 10's TPU 9to5google.com
- Announcing Bonsai 27B: The First 27B-Class Model to Run on a Phone prismml.com
- What is “loop engineering?” newsletter.pragmaticengineer.com
- AI Engineer World’s Fair 2026: The Runtime Is Where Agent Trust Is Won docker.com
- 5 Trends That Defined AI Engineering at World’s Fair 2026 latent.space
- A primer on self-improving agent harnesses bdtechtalks.substack.com
- The first experimental evidence of recursive self-improvement threadreaderapp.com
- Towards a Harness That Can Do Anything eardatasci.github.io
- Proactive Memory for Long-Horizon Agents arxiv 2607.08716
- OpenWiki Brains: Proactive Memory for AI Agents langchain.com
- Engram github.com
- Nobody Has Cracked Agent Memory decodingai.com
- How Anthropic runs large-scale code migrations with Claude Code claude
- Firefox in WebAssembly simonwillison.net
- What can we learn from Bun’s rapid Rust rewrite with AI? blog.pragmaticengineer.com
- How Anthropic runs large-scale code migrations with Claude Code claude.com
- Clawk github.com
- Context Bombs: stopping AI attackers in their tracks agentic.tracebit.com
- Now, Defenders Are Embracing the Prompt Injection Too arstechnica.com
- Secure Sandboxes for Agents perplexity.ai
- NVIDIA OpenShell Secures the Agent. Who Governs the Fleet? tigera.io
- The benchmark grading every text-to-SQL model has wrong answers in its key sqlsure.ai
- Testing Agents on Long-Horizon Terminal Work github.com
- WANDR Benchmark: Evaluating Research Agents That Must Search Wide and Deep research.perplexity.ai
- Working at the frontier: How Cursor knew Claude Fable 5 was ready for the hardest 1 % of problems claude
- Schema x.com
- Better tools made Copilot code review worse. Here’s how we actually improved it github.blog
- GitHub Copilot in Visual Studio: June update github.blog
- GitHub Copilot for JetBrains expands BYOK capabilities github.blog
- GitHub Mobile: Fix pull request comments with Copilot cloud agent github.blog
- Repository-level GitHub Copilot usage metrics generally available github.blog
- GitHub Copilot app now available in the usage metrics API github.blog
- The Same TypeScript Costs 73 % More Tokens on Claude Than GPT playcode.io
- How I Cut an AI Agent’s Token Use by 94 % vivekhaldar.com
- Model Routing Is Simple. Until It Isn’t. huggingface.co
- Meet GPT-Red: an LLM super-hacker OpenAI built to make its models safer technologyreview.com
- GPT-Red: Unlocking Self-Improvement for Robustness openai.com
- GPT‑Red: Unlocking Self-Improvement for Robustness openai.com
- Accelerating EDR Evasion with LLM-Driven Analysis specterops.io
- Modern Data Warehousing at Scale: Arcesium’s Migration to DuckDB and Iceberg medium.com
- Lakekeeper Generic Table API Design medium.com
- Scaling Grab’s Data Lake: Our journey to Apache Iceberg adoption engineering.grab.com
- How Airflow is using AI to make data engineering more resilient, not more complex blog.dataengineerthings.org
- Prefect is Acquiring Dagster dagster
- Prefect just bought Dagster, another big Airflow rival, and it’s not a data pipeline story thenewstack.io
- Introducing Apache Spark 4.2 databricks.com
- OSI is now Apache Ossie (Incubating) dbt.com
- Introducing Feature Views databricks.com
- How Microsoft Ships AI Agents at Enterprise Scale blog.bytebytego.com
- Meta’s Adam Mosseri says AI token budgets could soon be capped per engineer techcrunch.com
- Building Service Topology at Scale: Architecture, Challenges, and Lessons Learned netflixtechblog.com
- Building Service Topology at Scale: Architecture, Challenges, and Lessons Learned netflixtechblog.com
- New York becomes first US state to impose AI data center ban cnbc.com
- HAMi becomes a CNCF incubating project cncf.io
- Introducing Precursor: detecting agentic behavior with continuous client-side signals blog.cloudflare.com
- Improving Smart Tiered Cache for public cloud regions blog.cloudflare.com
- Cloudflare gives OpenAI network signals covering 20 % of the web ppc.land
- Introducing Precursor: detecting agentic behavior with continuous client-side signals blog.cloudflare.com
- Arroyo is joining Cloudflare arroyo.dev
- GitHub Code Quality license estimate in public preview github.blog
- Quoting GitHub Changelog simonwillison.net
- Advanced search for Projects is generally available github.blog
- Repository admins can archive pull requests github.blog
- Xcode 27 runner image now in public preview github.blog
- Automating cross-repo documentation with GitHub Agentic Workflows github.blog
- Benchmarking Single Node vs Distributed pola.rs
- Announcing Rust 1.97.1 blog.rust-lang.org
- Turso is building a modern version of Postgres in Rust turso.tech
- lobste.rs is now running on SQLite simonwillison.net
- Claude Code uses Bun written in Rust now simonwillison.net
- Claude Code uses Bun written in Rust now hnrss.org
- [AINews] Codex usage up >10x in 6 months to 7M users, +1M in the past ~day; did Codex overtake Claude Code?? latent.space
- OpenAI launches a physical keypad for controlling agents engadget.com
- Supply Co. x Work Louder openai.com
- ‘Ghostcommit' Hides Prompt Injection in Images to Fool AI Agents and Steal Secrets bleepingcomputer.com
- What xAI Grok Build CLI actually sends to xAI gist.github.com
- xai-org/grok-build, now open source simonwillison.net
- The Pulse: Grok’s CLI caught uploading all your local files to the cloud newsletter.pragmaticengineer.com
- Security incident disclosure: July 2026 huggingface.co
- OAuth Client ID Spoofing Lets Attackers Validate Stolen Microsoft Entra Credentials thehackernews.com
- Defending SaaS-based applications against ShinyHunters OAuth abuse microsoft.com
- Microsoft Entra ID Gets Passkeys Default Authentication Starting September bleepingcomputer.com
- OAuth Client ID Spoofing: Why Fake Client IDs Are Gaining Traction for Stealthy Enumeration proofpoint.com
- Smashing the ServiceNow Sandbox – Pre Authentication RCE slcyber.io
- Cursor 0day: When Full Disclosure Becomes the Only Protection Left mindgard.ai
- Microsoft’s Secure Boot has been broken for a decade and no one noticed until now arstechnica.com
- Zoom Warns of Critical Account Takeover Vulnerability bleepingcomputer.com
- Compromised Injective SDK npm Package Exfiltrates Wallet Keys and Mnemonics socket.dev
- Introducing GuardDog 3.0: A new rules engine, transparent sandboxing, and more securitylabs.datadoghq.com
- Lessons Learned from CISA’s Recent GitHub Leak krebsonsecurity.com
- Google and Microsoft Pull ModHeader With 1.6 Million Installs After Dormant Collector Found thehackernews.com
- Apple Sues OpenAI, Accusing It of Stealing Company Secrets nytimes.com
- Apple Sued OpenAI techcrunch.com
- Apple’s Lawsuit Threatens to Disrupt OpenAI’s Bid to Rival the iPhone bloomberg.com
- AI advice made people 3x less accurate but 2x confident, researchers found hnrss.org
- AI Mania Is Eviscerating Global Decision-Making simonwillison.net
- AI Mania Is Eviscerating Global Decision-Making hnrss.org
- Kaiser nurses say AI, surveillance are making their jobs and patient care worse hnrss.org