GOUVERNANCES.: Les Agents IA les plus utilisés en 2026

jeudi 22 octobre 2026

Les Agents IA les plus utilisés en 2026

En octobre 2026, Claude Code domine les agents de code, Hermes Agent et OpenClaw les agents personnels, LangChain et LangGraph les frameworks. Ces trois classements reposent sur des métriques différentes et ne se comparent pas entre eux :

Agents de code : enquêtes d'adoption auprès des développeurs.
Agents personnels : volume de jetons traités via OpenRouter.
Frameworks : téléchargements de paquets et étoiles GitHub.

Cet article dresse ce panorama, puis examine les exigences de confinement, les risques propres aux agents autonomes et la réponse qu'y apporte le cadre UGAIA.

1. Quels agents sont les plus utilisés en 2026 ?

Agents de code — adoption au travail, mi-2026

Selon l'enquête JetBrains (plus de 15 000 développeurs professionnels), 90 % des développeurs utilisaient un agent de code au moins une fois par semaine en mai–juillet 2026, et 68 % chaque jour. Claude Code est l'agent le plus adopté au travail.

Agent	Éditeur	Adoption au travail	Observation
Claude Code	Anthropic	~39 %	18 % en janvier 2026 ; choisi par 75 % des petites startups
GitHub Copilot	Microsoft / GitHub	21 %	Prédominant dans les entreprises de plus de 10 000 salariés (56 %)
Codex	OpenAI	16 %	Multiplié par 5 depuis janvier 2026
Cursor	Anysphere	12 %	En recul
JetBrains AI / Junie	JetBrains	~9 %	—
OpenCode	Open source	7 %	42 % de notoriété
Google Antigravity	Google	6 %	Stable

Agents personnels et généralistes — trafic OpenRouter, mai 2026

Hermes Agent (Nous Research) a dépassé OpenClaw le 10 mai 2026 au classement quotidien d'OpenRouter : 224 milliards de jetons par jour, contre 186 milliards.

Agent	Éditeur	Indicateur
Hermes Agent	Nous Research (licence MIT)	N° 1 en volume quotidien depuis le 10/05/2026
OpenClaw	Open source (Peter Steinberger)	Devant en cumul au moment du dépassement : 9,17 billions de jetons, contre 6,35 pour Hermes
Kilo Code, Claude Code, pi, Cline, Roo Code, OpenHands	Divers	Relevé du 21/05/2026 : Kilo Code 3^e (163 Md/jour), Claude Code 5^e (64,1 Md), pi 6^e (58 Md), Cline 11^e, Roo Code 12^e, OpenHands 19^e

Deux réserves s'appliquent. OpenRouter ne compte que les applications qui acceptent le suivi de leur trafic : Claude Code, Copilot ou Codex utilisés directement chez leur éditeur n'y figurent pas. Le classement varie aussi selon la fenêtre de mesure ; il faut vérifier la page en direct avant toute citation datée.

Frameworks pour construire des agents

LangChain et LangGraph dominent les installations : environ 309 millions et 66,5 millions sur 30 jours au 27 juillet 2026.

Framework	Indicateur
LangChain / LangGraph	~309 M (LangChain) et ~66,5 M (LangGraph) installations sur 30 jours
CrewAI	~10,8 M installations sur 30 jours ; licence MIT ; ~51 000 étoiles GitHub
Mastra (TypeScript)	~4,9 M installations par mois
Microsoft Agent Framework	Fusion d'AutoGen et de Semantic Kernel ; v1.0 en avril 2026
n8n (low-code)	~190 000 étoiles GitHub, le plus étoilé du panel

Sont également cités : OpenAI Agents SDK, Google ADK, Pydantic AI, LlamaIndex, smolagents et Claude Agent SDK.

Modèles à poids ouverts

Les paramètres, la longueur de contexte, les licences et les besoins en GPU des principaux modèles à poids ouverts (Hermes 4, Llama 3.3, Phi-4, Mistral Small 4, Qwen3-Coder-Next, gpt-oss) sont réunis dans un tableau relevé sur les fiches Hugging Face au 22/10/2026 : consulter le tableau. Ses sources figurent dans l'onglet « Sources ».

2. Confinement réseau des agents IA

L'étanchéité réseau requise pour les agents IA repose sur un confinement strict en Couche 1 (réseau / système d'exploitation), résumé par la règle : « Le prompt exprime, le contexte filtre, le broker contraint, l'OS garantit. » Seule la Couche 1 garantit techniquement l'absence d'exfiltration de données.

Les exigences de confinement en Couche 1

Pour qu'un agent autonome, en particulier de niveau 3 ou 4, soit jugé conforme et gouvernable, son environnement d'exécution doit respecter les contraintes suivantes :

Namespace sans route sortante ni DNS : l'agent s'exécute dans un espace isolé, sans route vers Internet ou le réseau externe et sans résolution DNS.
Inférence en loopback : la communication entre l'agent ou l'orchestrateur et le modèle de langage (SLM local comme Mistral, Phi-4 ou Llama sous Ollama) passe exclusivement par la boucle locale.
Sandbox jetable sans accès réseau : toute exécution de code, de script ou d'outil a lieu dans un conteneur éphémère privé de réseau.
UID de service dédié : l'agent fonctionne sous un identifiant système non privilégié, aux droits strictement restreints sur le système de fichiers.

Fermeture systématique des surfaces réseau sortantes

Déployer un modèle local ne garantit pas la souveraineté si des passerelles réseau restent ouvertes. La gouvernance exige la désactivation explicite de toutes les surfaces réseau secondaires :

Recherche web et accès URL : retrait des outils de requête HTTP et de navigation web de la liste d'autorisations (allowlist).
Navigateurs automatisés : interdiction d'installer des agents de scraping ou de navigation dynamique.
Connecteurs inter-agents (A2A) et MCP distants : interdiction des serveurs MCP externes et des canaux d'agent à agent non contrôlés par le broker.
Gateways sortants : suppression des connecteurs d'envoi automatique (e-mails, webhooks, API externes).

Grille d'admissibilité et tests de contrôle (profil souverain « Andorre »)

Pour admettre un agent ou une plateforme agentique sur des données critiques (niveau 4), la DSI et le RSSI vérifient les critères bloquants suivants :

Test de coupure réseau complète : démontrer que le cycle d'exécution complet de l'agent fonctionne dans un namespace sans route sortante ni DNS.
Contrôle de télémétrie par capture nftables : capturer les flux au niveau du système d'exploitation pour prouver qu'aucune requête de licence, d'authentification en ligne ou de télémétrie ne sort.
Indépendance vis-à-vis du SaaS : les agents de code et assistants SaaS (Claude Code, Copilot, ChatGPT…) ne pouvant pas offrir ce confinement local en Couche 1, ils sont proscrits pour les données de niveau 4.

3. Risques des agents IA autonomes

Les limites et vulnérabilités des agents autonomes se structurent autour de cinq axes techniques, cognitifs et réglementaires.

Les quatre risques opérationnels majeurs

Contrairement aux chatbots, qui produisent du texte, les agents agissent directement sur les systèmes d'information. Cette capacité d'action introduit quatre risques spécifiques :

L'action irréversible : l'agent exécute des opérations (écriture, envoi d'e-mails, suppression de fichiers, modification de droits) sans validation humaine à chaque étape.
L'enchaînement d'outils imprévu : une suite d'appels, chacun légitime pris isolément, peut produire un effet global inattendu ou contraire à l'intention initiale.
L'exfiltration via les outils : des outils de sortie légitimes (messagerie, requêtes HTTP, webhooks) peuvent devenir des canaux de fuite de données ou relayer des injections de prompt indirectes.
La boucle non bornée : l'agent s'enferme dans un cycle d'essais et d'erreurs, consomme des ressources (jetons, puissance GPU) et fait exploser les coûts sans converger.

Les cinq défaillances de gestion du contexte

Gartner et le cadre UGAIA identifient la gestion du contexte comme l'une des principales sources d'échec des agents autonomes :

Information perdue : oubli d'instructions ou de données clés situées au milieu d'une longue fenêtre de contexte.
Empoisonnement par hallucination répétée : l'agent réinjecte ses propres hallucinations dans sa mémoire à long terme, ce qui aggrave les erreurs futures.
Distraction par excès de contexte : une surabondance d'informations perturbe le raisonnement.
Confusion par contenu non pertinent : l'agent ne sépare plus les données utiles du bruit.
Conflit entre sources : blocage ou décision incohérente face à des sources contradictoires.

L'inefficacité des règles rédigées uniquement dans le prompt

Une règle de sécurité rédigée comme consigne système (dans le prompt ou un fichier SKILL.md) n'est qu'une recommandation : une injection de prompt documentaire suffit à la neutraliser. Par ailleurs, les moteurs de règles sans état (par exemple OPA/Rego) jugent un appel d'outil isolé, sans pouvoir vérifier s'il respecte l'ordre des étapes précédentes.

L'immaturité de la remédiation et du rollback automatisé

Les garde-fous actuels sont préventifs : ils bloquent ou demandent une approbation, mais ne défont pas automatiquement les conséquences d'une action exécutée. Gartner estime que le rollback automatisé des actions d'agents reste embryonnaire, avec un plateau d'adoption à 5–10 ans. La réversibilité doit donc reposer sur des procédures organisationnelles : sauvegardes avant action, transactions compensatoires.

Les limites d'auditabilité et de gouvernabilité

L'agent non auditable : un agent dont les appels d'outils et les décisions ne sont pas tracés de façon immuable est non auditable, donc non conforme.
L'agent non gouvernable : sans arrêt d'urgence persistant (kill switch) capable d'interrompre immédiatement l'exécution, un agent ne peut pas satisfaire l'exigence de contrôle humain de l'article 14 de l'AI Act pour les systèmes à haut risque.

4. La réponse de la gouvernance UGAIA

Le cadre UGAIA oppose à chacune de ces limites un point d'application vérifiable, selon le principe directeur « Le prompt exprime, le contexte filtre, le broker contraint, l'OS garantit. » Ces contrôles réduisent les risques ; ils ne les annulent pas.

Face aux quatre risques opérationnels

Action irréversible : le broker (Couche 2) classe les actions en quatre catégories (READ, DRAFT, SEND, DESTRUCTIVE). Les actions à impact externe (SEND) exigent une validation humaine simple ; les actions critiques (DESTRUCTIVE), une double validation humaine et une sauvegarde préalable obligatoire.
Enchaînement d'outils imprévu : AgentLTL contrôle la séquence temporelle de la trace. Il impose un ordre d'exécution (déployer en préproduction avant la production) et lie les variables entre appels (appliquer exactement l'artefact relu). Le broker réévalue les autorisations à chaque décision.
Exfiltration via les outils : Presidio pseudonymise les données personnelles avant tout appel d'outil ou envoi externe. Le confinement en Couche 1 enferme l'agent dans un namespace sans route sortante ni DNS, et le broker applique une liste blanche stricte des destinations autorisées.
Boucle non bornée et explosion des coûts : le garde-fou « Bornage de la boucle et kill switch » fixe des plafonds d'étapes, de durée et de budget. En cas de dépassement, la passerelle bloque l'exécution et le kill switch persistant interrompt l'agent.

Face aux cinq défaillances de gestion du contexte

Contexte surchargé, distrait ou confus : le registre des sources de contexte (phase 4) garantit qu'un agent ne lit que des sources enregistrées, vérifiées et adaptées à son niveau d'habilitation. Le broker applique une allowlist d'outils et de sources restreinte par tâche.
Empoisonnement par hallucination et conflits : la provenance est obligatoire en mémoire durable (aucun contenu non sourcé ne devient persistant) ; le principe cite-or-abstain s'ajoute à la détection automatique des contradictions.

Face aux règles « prompt-only »

Bascule vers des contrôles appliqués : une consigne dans le prompt ou un SKILL.md reste une recommandation vulnérable aux injections. UGAIA déplace la contrainte vers le broker (Couche 2), via des politiques externes OPA/Rego, et vers l'OS (Couche 1).
Règles temporelles opposables (AgentLTL, TR-070) : les instructions sont converties en règles formelles exécutées en modes bloquants (block, ask, stop). Les commandes masquées ou non analysables (eval, variables de commande $CMD) sont refusées pour empêcher tout contournement par reformulation.

Face à l'immaturité du rollback automatisé

Garde-fou 7 — Remédiation par procédure : faute de rollback automatisé mature, UGAIA compense par l'organisation. Aucune action SEND ou DESTRUCTIVE n'est autorisée sans plan de rollback documenté, instantané d'état préalable ou transactions compensatoires testées.

Face aux limites d'auditabilité et de gouvernabilité

Garde-fou 5 — Journalisation via mlflow_run_id étendu : chaque décision consigne l'outil appelé, ses paramètres pseudonymisés, la version du modèle, la validation humaine horodatée et l'effet produit. Les journaux sont exportés sur un volume append-only en Couche 1, hors d'atteinte de l'agent.
Garde-fou 3 — Kill switch persistant : le RSSI peut interrompre le système en temps réel. Le coupe-circuit désactive les outils, survit au redémarrage et bloque le lancement de tout nouveau run.
Garde-fou 8 — Évaluation continue : suites de tests automatisées (hallucination, toxicité, dérive) en intégration continue et en production, avec seuils bloquants.

Sources

Pierre Erol GIRAUDY — about.me/giraudyerol

UGAIA · uga-ia.blogspot.com · larselesrse.blogspot.com · cluboffice2010.blogspot.com · erolgiraudy.eu

Aucun commentaire:

Enregistrer un commentaire

Translate