Billet d'ingénierie d'**Anthropic** publié le **14 septembre 2026** sur claude.com/blog (~1 400 mots, cinq sections), signé **Sachin Malhotra**. Il raconte la mise à l'échelle du service de **test impact analysis** — la sélection des tests à exécuter par changement — sous la pression du codage agentique. Les chiffres d'entrée et leur chaîne : les ingénieurs livrent en moyenne **8×** plus de code par trimestre qu'en 2021-2025, **Claude en écrit 80 %** et pèse aussi lourd dans la revue et l'approbation des PR ; le nombre de tests a été multiplié par **10** à effectifs quasi constants ; d'où **25× de jobs CI en six mois**. **(A)** L'architecture v0 tient en deux composants à garder synchronisés — un *listener* qui enregistre les résultats de chaque run, un *selector* qui décide quels tests tournent sur chaque PR — mais en **processus unique**, un historique tenu par test supposant un écrivain unique. **(B)** Le mode de défaillance est le retard du listener sur la file de PR : *« 20 minutes of listener lag can translate into tens of thousands of test updates not being applied »*, avec trois conséquences nommées — investigations inutiles, *flaky reds* qui bloquent les merges, test corrigé ou ajouté qui ne tourne pas. **(C)** Trois rustines dont la durée de vie s'effondre — **70 jours, 29 jours, moins d'un jour** : machine plus grosse, sharding par package, redémarrages quotidiens. Puis la refonte : un magasin de données **en mémoire**, des workers *listener* **sans état** donc scalables horizontalement, un journal agrégé toutes les quelques secondes. **Trois semaines pour un ingénieur ; un an plus tôt, un trimestre.** Prolonge par l'infrastructure les 80 % de [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]].
#intégration continue#CI#test impact analysis
Sachin Malhotra (ingénieur, Anthropic) · sur le blog claude.com.
Décryptage SFEIR (voix cabinet) du REX de Jason Clinton (Deputy CISO, Anthropic) publié cinq jours plus tôt — déjà fiché en [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]. **La valeur ajoutée n'est pas dans les faits, elle est dans la thèse qui les relit** : si les contrôles d'Anthropic tiennent, c'est parce qu'il existe **un cycle avec des étapes nommées où les accrocher** — « le SDLC est le socle, pas la formalité ». Démonstration par la relecture du mapping (**PSR au Plan, CLAUDE.md + egress allowlist au Code, agents de revue au Test, DAST continu au Deploy, triage + routage SIEM au Monitor**) puis par une **anaphore en quatre temps** : (1) *sans SDLC, les gains de productivité n'arrivent pas* — Clinton cite **Amdahl**, multiplier par 8 le volume de code ne multiplie rien si la revue reste séquentielle et humaine, et Anthropic n'a pas gagné en distribuant des agents mais en **identifiant l'étape qui bloquait (le Test) et en la reconstruisant** — « on n'optimise pas un goulot qu'on n'a pas cartographié » (renvoi à l'**effet miroir** de DORA 2025) ; (2) *sans SDLC, la sécurité n'a pas de point d'ancrage* — un **gate est par définition un contrôle placé entre deux étapes**, et les trois menaces de Clinton se traitent à des moments distincts ; (3) *sans SDLC, aucune politique **FinOps token** n'est formulable* — le scan agentique est facturé à la consommation et croît avec le débit de code, donc **le tiering par risque EST la politique FinOps** (il décide où l'on paie trois passes d'agents et où un SAST suffit), sinon « la dépense en tokens n'est pas pilotée, elle est constatée en fin de mois » ; (4) *sans SDLC, il n'y a rien à mesurer* — les indicateurs (16 % → 54 % de PR commentées, un tiers des incidents passés interceptés) n'existent que parce qu'il y a des étapes où poser un compteur, faute de quoi on ne produit que des **chiffres d'usage** (licences, tokens) muets sur la qualité et le risque. Deux points forts hors thèse : la lecture de **l'incident agent-à-agent** (« un périmètre de sécurité qui repose sur une consigne dans un prompt n'est pas un périmètre » ; **l'accès d'un agent aux autres agents fait partie de sa surface d'attaque**) et une **réserve méthodologique explicite** — chiffres d'Anthropic sur Anthropic, non audités, publiés par le vendeur du modèle décrit, dans un contexte de base de code jeune sans mainframe : **ce qui se transpose, c'est la méthode, pas les chiffres**.
#SDLC#SDLC AI-native#cycle de développement
SFEIR (voix éditoriale du cabinet, article non signé individuellement) — commentaire de Jason Clinton (Deputy CISO, Anthropic)