En octobre 2026, Claude Code domine les agents de code, Hermes Agent et OpenClaw les agents personnels, LangChain et LangGraph les frameworks. Ces trois classements reposent sur des métriques différentes et ne se comparent pas entre eux :
- Agents de code : enquêtes d'adoption auprès des développeurs.
- Agents personnels : volume de jetons traités via OpenRouter.
- Frameworks : téléchargements de paquets et étoiles GitHub.
Cet article dresse ce panorama, puis examine les exigences de confinement, les risques propres aux agents autonomes et la réponse qu'y apporte le cadre UGAIA.
1. Quels agents sont les plus utilisés en 2026 ?
Agents de code — adoption au travail, mi-2026
Selon l'enquête JetBrains (plus de 15 000 développeurs professionnels), 90 % des développeurs utilisaient un agent de code au moins une fois par semaine en mai–juillet 2026, et 68 % chaque jour. Claude Code est l'agent le plus adopté au travail.
| Agent | Éditeur | Adoption au travail | Observation |
|---|---|---|---|
| Claude Code | Anthropic | ~39 % | 18 % en janvier 2026 ; choisi par 75 % des petites startups |
| GitHub Copilot | Microsoft / GitHub | 21 % | Prédominant dans les entreprises de plus de 10 000 salariés (56 %) |
| Codex | OpenAI | 16 % | Multiplié par 5 depuis janvier 2026 |
| Cursor | Anysphere | 12 % | En recul |
| JetBrains AI / Junie | JetBrains | ~9 % | — |
| OpenCode | Open source | 7 % | 42 % de notoriété |
| Google Antigravity | 6 % | Stable |
Agents personnels et généralistes — trafic OpenRouter, mai 2026
Hermes Agent (Nous Research) a dépassé OpenClaw le 10 mai 2026 au classement quotidien d'OpenRouter : 224 milliards de jetons par jour, contre 186 milliards.
| Agent | Éditeur | Indicateur |
|---|---|---|
| Hermes Agent | Nous Research (licence MIT) | N° 1 en volume quotidien depuis le 10/05/2026 |
| OpenClaw | Open source (Peter Steinberger) | Devant en cumul au moment du dépassement : 9,17 billions de jetons, contre 6,35 pour Hermes |
| Kilo Code, Claude Code, pi, Cline, Roo Code, OpenHands | Divers | Relevé du 21/05/2026 : Kilo Code 3e (163 Md/jour), Claude Code 5e (64,1 Md), pi 6e (58 Md), Cline 11e, Roo Code 12e, OpenHands 19e |
Deux réserves s'appliquent. OpenRouter ne compte que les applications qui acceptent le suivi de leur trafic : Claude Code, Copilot ou Codex utilisés directement chez leur éditeur n'y figurent pas. Le classement varie aussi selon la fenêtre de mesure ; il faut vérifier la page en direct avant toute citation datée.
Frameworks pour construire des agents
LangChain et LangGraph dominent les installations : environ 309 millions et 66,5 millions sur 30 jours au 27 juillet 2026.
| Framework | Indicateur |
|---|---|
| LangChain / LangGraph | ~309 M (LangChain) et ~66,5 M (LangGraph) installations sur 30 jours |
| CrewAI | ~10,8 M installations sur 30 jours ; licence MIT ; ~51 000 étoiles GitHub |
| Mastra (TypeScript) | ~4,9 M installations par mois |
| Microsoft Agent Framework | Fusion d'AutoGen et de Semantic Kernel ; v1.0 en avril 2026 |
| n8n (low-code) | ~190 000 étoiles GitHub, le plus étoilé du panel |
Sont également cités : OpenAI Agents SDK, Google ADK, Pydantic AI, LlamaIndex, smolagents et Claude Agent SDK.
Modèles à poids ouverts
Les paramètres, la longueur de contexte, les licences et les besoins en GPU des principaux modèles à poids ouverts (Hermes 4, Llama 3.3, Phi-4, Mistral Small 4, Qwen3-Coder-Next, gpt-oss) sont réunis dans un tableau relevé sur les fiches Hugging Face au 22/10/2026 : consulter le tableau. Ses sources figurent dans l'onglet « Sources ».
2. Confinement réseau des agents IA
L'étanchéité réseau requise pour les agents IA repose sur un confinement strict en Couche 1 (réseau / système d'exploitation), résumé par la règle : « Le prompt exprime, le contexte filtre, le broker contraint, l'OS garantit. » Seule la Couche 1 garantit techniquement l'absence d'exfiltration de données.
Les exigences de confinement en Couche 1
Pour qu'un agent autonome, en particulier de niveau 3 ou 4, soit jugé conforme et gouvernable, son environnement d'exécution doit respecter les contraintes suivantes :
- Namespace sans route sortante ni DNS : l'agent s'exécute dans un espace isolé, sans route vers Internet ou le réseau externe et sans résolution DNS.
- Inférence en loopback : la communication entre l'agent ou l'orchestrateur et le modèle de langage (SLM local comme Mistral, Phi-4 ou Llama sous Ollama) passe exclusivement par la boucle locale.
- Sandbox jetable sans accès réseau : toute exécution de code, de script ou d'outil a lieu dans un conteneur éphémère privé de réseau.
- UID de service dédié : l'agent fonctionne sous un identifiant système non privilégié, aux droits strictement restreints sur le système de fichiers.
Fermeture systématique des surfaces réseau sortantes
Déployer un modèle local ne garantit pas la souveraineté si des passerelles réseau restent ouvertes. La gouvernance exige la désactivation explicite de toutes les surfaces réseau secondaires :
- Recherche web et accès URL : retrait des outils de requête HTTP et de navigation web de la liste d'autorisations (allowlist).
- Navigateurs automatisés : interdiction d'installer des agents de scraping ou de navigation dynamique.
- Connecteurs inter-agents (A2A) et MCP distants : interdiction des serveurs MCP externes et des canaux d'agent à agent non contrôlés par le broker.
- Gateways sortants : suppression des connecteurs d'envoi automatique (e-mails, webhooks, API externes).
Grille d'admissibilité et tests de contrôle (profil souverain « Andorre »)
Pour admettre un agent ou une plateforme agentique sur des données critiques (niveau 4), la DSI et le RSSI vérifient les critères bloquants suivants :
- Test de coupure réseau complète : démontrer que le cycle d'exécution complet de l'agent fonctionne dans un namespace sans route sortante ni DNS.
- Contrôle de télémétrie par capture nftables : capturer les flux au niveau du système d'exploitation pour prouver qu'aucune requête de licence, d'authentification en ligne ou de télémétrie ne sort.
- Indépendance vis-à-vis du SaaS : les agents de code et assistants SaaS (Claude Code, Copilot, ChatGPT…) ne pouvant pas offrir ce confinement local en Couche 1, ils sont proscrits pour les données de niveau 4.
3. Risques des agents IA autonomes
Les limites et vulnérabilités des agents autonomes se structurent autour de cinq axes techniques, cognitifs et réglementaires.
Les quatre risques opérationnels majeurs
Contrairement aux chatbots, qui produisent du texte, les agents agissent directement sur les systèmes d'information. Cette capacité d'action introduit quatre risques spécifiques :
- L'action irréversible : l'agent exécute des opérations (écriture, envoi d'e-mails, suppression de fichiers, modification de droits) sans validation humaine à chaque étape.
- L'enchaînement d'outils imprévu : une suite d'appels, chacun légitime pris isolément, peut produire un effet global inattendu ou contraire à l'intention initiale.
- L'exfiltration via les outils : des outils de sortie légitimes (messagerie, requêtes HTTP, webhooks) peuvent devenir des canaux de fuite de données ou relayer des injections de prompt indirectes.
- La boucle non bornée : l'agent s'enferme dans un cycle d'essais et d'erreurs, consomme des ressources (jetons, puissance GPU) et fait exploser les coûts sans converger.
Les cinq défaillances de gestion du contexte
Gartner et le cadre UGAIA identifient la gestion du contexte comme l'une des principales sources d'échec des agents autonomes :
- Information perdue : oubli d'instructions ou de données clés situées au milieu d'une longue fenêtre de contexte.
- Empoisonnement par hallucination répétée : l'agent réinjecte ses propres hallucinations dans sa mémoire à long terme, ce qui aggrave les erreurs futures.
- Distraction par excès de contexte : une surabondance d'informations perturbe le raisonnement.
- Confusion par contenu non pertinent : l'agent ne sépare plus les données utiles du bruit.
- Conflit entre sources : blocage ou décision incohérente face à des sources contradictoires.
L'inefficacité des règles rédigées uniquement dans le prompt
Une règle de sécurité rédigée comme consigne système (dans le prompt ou un fichier SKILL.md) n'est qu'une recommandation : une injection de prompt documentaire suffit à la neutraliser. Par ailleurs, les moteurs de règles sans état (par exemple OPA/Rego) jugent un appel d'outil isolé, sans pouvoir vérifier s'il respecte l'ordre des étapes précédentes.
L'immaturité de la remédiation et du rollback automatisé
Les garde-fous actuels sont préventifs : ils bloquent ou demandent une approbation, mais ne défont pas automatiquement les conséquences d'une action exécutée. Gartner estime que le rollback automatisé des actions d'agents reste embryonnaire, avec un plateau d'adoption à 5–10 ans. La réversibilité doit donc reposer sur des procédures organisationnelles : sauvegardes avant action, transactions compensatoires.
Les limites d'auditabilité et de gouvernabilité
- L'agent non auditable : un agent dont les appels d'outils et les décisions ne sont pas tracés de façon immuable est non auditable, donc non conforme.
- L'agent non gouvernable : sans arrêt d'urgence persistant (kill switch) capable d'interrompre immédiatement l'exécution, un agent ne peut pas satisfaire l'exigence de contrôle humain de l'article 14 de l'AI Act pour les systèmes à haut risque.
4. La réponse de la gouvernance UGAIA
Le cadre UGAIA oppose à chacune de ces limites un point d'application vérifiable, selon le principe directeur « Le prompt exprime, le contexte filtre, le broker contraint, l'OS garantit. » Ces contrôles réduisent les risques ; ils ne les annulent pas.
Face aux quatre risques opérationnels
- Action irréversible : le broker (Couche 2) classe les actions en quatre catégories (READ, DRAFT, SEND, DESTRUCTIVE). Les actions à impact externe (SEND) exigent une validation humaine simple ; les actions critiques (DESTRUCTIVE), une double validation humaine et une sauvegarde préalable obligatoire.
- Enchaînement d'outils imprévu : AgentLTL contrôle la séquence temporelle de la trace. Il impose un ordre d'exécution (déployer en préproduction avant la production) et lie les variables entre appels (appliquer exactement l'artefact relu). Le broker réévalue les autorisations à chaque décision.
- Exfiltration via les outils : Presidio pseudonymise les données personnelles avant tout appel d'outil ou envoi externe. Le confinement en Couche 1 enferme l'agent dans un namespace sans route sortante ni DNS, et le broker applique une liste blanche stricte des destinations autorisées.
- Boucle non bornée et explosion des coûts : le garde-fou « Bornage de la boucle et kill switch » fixe des plafonds d'étapes, de durée et de budget. En cas de dépassement, la passerelle bloque l'exécution et le kill switch persistant interrompt l'agent.
Face aux cinq défaillances de gestion du contexte
- Contexte surchargé, distrait ou confus : le registre des sources de contexte (phase 4) garantit qu'un agent ne lit que des sources enregistrées, vérifiées et adaptées à son niveau d'habilitation. Le broker applique une allowlist d'outils et de sources restreinte par tâche.
- Empoisonnement par hallucination et conflits : la provenance est obligatoire en mémoire durable (aucun contenu non sourcé ne devient persistant) ; le principe cite-or-abstain s'ajoute à la détection automatique des contradictions.
Face aux règles « prompt-only »
- Bascule vers des contrôles appliqués : une consigne dans le prompt ou un SKILL.md reste une recommandation vulnérable aux injections. UGAIA déplace la contrainte vers le broker (Couche 2), via des politiques externes OPA/Rego, et vers l'OS (Couche 1).
- Règles temporelles opposables (AgentLTL, TR-070) : les instructions sont converties en règles formelles exécutées en modes bloquants (block, ask, stop). Les commandes masquées ou non analysables (
eval, variables de commande$CMD) sont refusées pour empêcher tout contournement par reformulation.
Face à l'immaturité du rollback automatisé
Garde-fou 7 — Remédiation par procédure : faute de rollback automatisé mature, UGAIA compense par l'organisation. Aucune action SEND ou DESTRUCTIVE n'est autorisée sans plan de rollback documenté, instantané d'état préalable ou transactions compensatoires testées.
Face aux limites d'auditabilité et de gouvernabilité
- Garde-fou 5 — Journalisation via
mlflow_run_idétendu : chaque décision consigne l'outil appelé, ses paramètres pseudonymisés, la version du modèle, la validation humaine horodatée et l'effet produit. Les journaux sont exportés sur un volume append-only en Couche 1, hors d'atteinte de l'agent. - Garde-fou 3 — Kill switch persistant : le RSSI peut interrompre le système en temps réel. Le coupe-circuit désactive les outils, survit au redémarrage et bloque le lancement de tout nouveau run.
- Garde-fou 8 — Évaluation continue : suites de tests automatisées (hallucination, toxicité, dérive) en intégration continue et en production, avec seuils bloquants.
.png)
Sources
- JetBrains Research — AI Coding Agents: Adoption Trends (août 2026)
- The Pragmatic Engineer — AI tooling 2026
- Labellerr — 10 Best AI Coding Agents in 2026 (Stack Overflow 2026)
- OpenRouter — App & Agent Rankings (page en direct)
- Build Fast with AI — Hermes Agent #1 on OpenRouter
- Glukhov — OpenClaw vs Hermes: Stars, Downloads & Usage 2026
- Rick Hightower — LangGraph vs CrewAI vs Claude Agent SDK (données du 27/07/2026)
- Future AGI — Comparing OSS Agent Frameworks 2026
- Tinycommand — Best Open Source AI Agent Frameworks 2026
- GitLab Duo Agent Platform
- Best AI Voice Agents & Phone Answering 2026 | ToolChase
- GitLab Orbit : le contexte pour les agents d'IA
- External agents - GitLab-managed
.png)
