Guide long-form d'**Anthropic** signé **Louis Claxton** (équipe Applied AI), publié le **21 août 2026** sur le blog claude.com : **40 minutes** de lecture annoncées, environ **64 000 caractères**, présenté comme un recueil de *plays* tirés du travail de l'équipe avec ses clients. (A) Le diagnostic : le code n'étant plus le goulot, celui-ci se déplace vers les étapes situées à gauche et à droite du build (plan, revue/test, déploiement), les contrôles ligne-à-ligne cessent de tenir dès que l'agent écrit l'essentiel du diff, et le coût de gouvernance monte, les exceptions passant encore par des comités périodiques. (B) La réponse : six étapes (Plan, Design, Build, Test, Deploy, Maintain) organisées en **boucle** et non en chaîne, chacune se terminant par un **artefact committé** que la suivante lit — `intent.md`, `spec.md`, `plan.md`, le diff et ses tests, la PR et ses constats, l'enregistrement d'incident. (1) Le savoir institutionnel devient des fichiers versionnés : `CLAUDE.md`, skills, `REVIEW.md`, `bands.yaml`. (2) La gouvernance se scinde en deux couches, la skill posée comme contrôle consultatif et le hook comme couche déterministe derrière elle. La séparation des tâches est posée en invariant — l'agent qui écrit le code ne peut pas l'approuver — et le texte se clôt sur *« The loop keeps running. Human judgement stays above it. »* Le corpus tient déjà [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]] sur le versant sécurité du même cycle et [[hingel-augment-how-ai-changes-sdlc-six-stages-2026-06-08]] sur le même découpage en six étapes vu par un concurrent.
#SDLC AI-native#cycle de vie logiciel#plays
Louis Claxton (Anthropic, équipe Applied AI) · sur le blog claude.com ; contributions créditées à Jim Blackhurst · Will Steuk et Jamal Arif.
Guide signé **Michael Segner**, publié le **20 août 2026** sur le blog claude.com dans la catégorie *Claude Code* : **5 minutes** de lecture annoncées pour environ **31 500 caractères** de corps, également proposé en PDF. Matériau déclaré : des entretiens avec **plus d'une douzaine** de jeunes pousses, quinze nommées — **Artemis Security**, **Cainex**, **Clay**, **ClickHouse**, **Cognition**, **Commure**, **Crosby**, **Emergent**, **Harvey**, **Heidi**, **Higgsfield**, **Omni**, **Parahelp**, **Translucent**, **Zingage**. (A) Cinq règles d'exploitation : *everyone ships*, *automate the tedium*, *trust, but verify*, *build for rebuilding*, *prototype, dogfood, productionize*, chacune close par des astuces produit et reprise dans une checklist finale. (B) Un corps fait de citations attribuées, chaque règle étant illustrée par des dirigeants nommés plutôt que par une mesure agrégée. Les quatre chiffres mis en exergue sont ceux des entreprises interrogées : **+30 %** de fonctionnalités livrées (ClickHouse), **2 à 3×** de productivité d'ingénierie (Omni), **100 %** du tri de bugs automatisé (Clay), **plus de 6 000 PR par semaine** (Artemis Security). Deux passages sortent du registre du témoignage : la boucle d'auto-correction de **Cainex** sur le codage médical, décrite étape par étape, et l'usage interne de **Claude Tag** chez **Anthropic** comme premier répondant d'astreinte CI/CD. La question posée en ouverture — *« what would it look like if an organization built their product development lifecycle with Claude Code from the ground up? »* — rejoint [[claxton-anthropic-ai-native-sdlc-playbook-2026-08-21]], paru le lendemain chez le même éditeur, et prolonge [[cherny-wu-reflecting-year-claude-code-2026-07-17]].
#Claude Code#jeunes pousses#everyone ships
Michael Segner · auteur du guide sur le blog claude.com (fonction non affichée par la page) ; entretiens avec les dirigeants de quinze entreprises nommées.
Page produit officielle de **DeepSeek**, publiée le **13 août 2026**, **non signée**, ~450 mots, annonçant la mise en *developer preview* de **DeepSeek Harness** (`dsh`) — un harnais d'agent de codage **open source sous licence MIT**, dont le dépôt est ouvert le même jour. Thèse en trois mots, répétée en titre et en description du dépôt : *« Everything is a plugin »*, assortie d'une seconde promesse, *« Every run is traceable »*. La page pose l'équation *« AGENT = MODEL + HARNESS »* et énumère les capacités enfichables — *« models, tools, skills, sessions, sandboxes, storage, loops, scheduling, and the UI »*. Quatre modes sont livrés : **Standard** (agent de codage complet), **Code** (outils exposés via le *Code Mode SDK*, pour que le modèle compose des opérations multi-étapes dans un programme TypeScript), **Minimal** (*« two-tool coding agent with persistent bash and str_replace_editor »*, explicitement *« for benchmarking models in a minimal environment »*) et **Creator** (inspection du runtime, test de plugins en mémoire). La substance technique est dans le dépôt, non sur la page : `docs/architecture.md` énonce un invariant de journalisation — *« Model-visible means logged. Anything that reaches a model request must be reconstructable from the log, and a runtime invariant asserts it »* — et pose qu'*« il n'y a pas de noyau privilégié à patcher »*. Le noyau technique n'est pas de DeepSeek : DSH est bâti sur **Cordis** (projet `cordiverse`, tiers), **vendoré** dans `vendor/` avec manifeste et procédure de synchronisation, et la page met le *« Cordis paper »* au même rang de navigation que « GitHub » et « Developer docs ». Deux adaptateurs LLM sont livrés — `dsh-llm-deepseek` et `dsh-llm-pi-ai`, adaptateur multi-fournisseurs générique. Le dépôt avertit en capitales : *« THERE WILL BE COMPATIBILITY-BREAKING CHANGES »*, et `CLAUDE.md` précise que `SESSION_FORMAT_VERSION` reste à `0` *« with no compatibility promise »*, les backends rejetant les anciens formats sur disque. Calendrier : DSH sort le jour où **DeepSeek-V4-Pro passe en GA**, trois jours avant une nouvelle grille tarifaire API effective le **16 août 2026 à 16:00 UTC**, en heures pleines / heures creuses avec un creux à **−50 %**.
#DeepSeek Harness#dsh#harnais d'agent
**DeepSeek** (DeepSeek AI, laboratoire chinois) · en tant qu'institution. Page produit **non signée** : aucun auteur · aucun ingénieur mis en avant · aucun billet de blog ni papier technique associé. Le « nous » n'apparaît qu'une fois · en dernière phrase — *« We look forward to exploring the limits of intelligence with developers worldwide »*. Publiée le **13 août 2026**. La page est rendue en JavaScript : `curl` sur l'URL renvoie **HTTP 202 avec un corps vide** · le texte n'existant qu'après exécution du bundle. Deux documents de politique sont liés en pied de page — *Safe Use Policy* et *Data Processing Statement*.
Page de référence publiée sur **eventuallycoding.com** le **28 juillet 2026** par **Hugo Lassiège** (Lyon, développeur devenu entrepreneur, auteur de Bloggrify, Hakanai et Writizzy). L'auteur l'annonce comme telle : *« Ce sera plus une page de référence qu'un article »*, destinée à sa propre page ressources. **Objet** : la description exhaustive et outillée d'une **usine logicielle solo** où *« le code produit est désormais quasi 100 % généré »*, sur plusieurs monorepos polyglottes (Nuxt, Kotlin, JS — Hakanai, Writizzy, Bloggrify) en **déploiement continu en production**. **Distinction posée d'entrée** : ce n'est pas du **vibe coding** au sens de Karpathy (expérimentation, se laisser porter) mais du **context engineering** — *« donner tout le contexte nécessaire, au bon moment, pour que le logiciel corresponde à une intention et soit contrôlé systématiquement »*, avec la phrase qui fonde la responsabilité : *« Même si je n'écris pas le code, j'en suis responsable et je dois garder le contrôle dessus. »* **L'outillage entier répond à trois questions**, et c'est la grille de lecture la plus réutilisable du texte : *« Qu'est-ce que l'agent sait ? »* (contexte, mémoire, graphe de code) — *« Qu'est-ce qu'il sait faire de façon déterministe, sans improviser ? »* (skills, procédures) — *« Qu'est-ce qui l'arrête quand il se trompe ? »* (hooks, tests d'architecture, quality gates). **Six couches détaillées** : (1) **contexte** — `CLAUDE.md` racine + `.claude/rules/*.md` thématiques à chargement conditionnel par `paths:` + `.agents/*.md` pour le non-technique (personas, positionnement, ton) ; (2) **skills** — une trentaine, critère d'existence *« si j'explique la même chose une troisième fois »* ; (3) **outils** — MCP IDE JetBrains, **GitNexus** (graphe de code : `impact(symbole)`, `detect_changes()`), Claude-mem, wrapper de filtrage RTK, Sentry, base en lecture seule ; (4) **garde-fous exécutables** — hooks du harness, **tests d'architecture**, lint de patterns (**ast-grep** pour les décisions d'architecture, pas seulement ESLint) ; (5) **usine** — quality gate bloquante avec `needs:` sur le job de qualité, cinq étages de tests ; (6) **process produit** — specs numérotées avec skill de rédaction **et skill de clôture**, design dans Claude Design, livraison par étapes sous feature flag, distinction **feature flipping** (Unleash) vs **gating** (contrat client). **La règle qui résume tout** : *« Ce qui compte doit être exécutable. Une consigne est suivie "la plupart du temps"… Un hook ou un test est suivi tout le temps. »* **Rareté du texte** : une section « À améliorer » qui expose quatre limites vécues — l'**impossibilité de mesurer l'obsolescence d'une rule** (*« j'ai aucun moyen de savoir si une ancienne rule est devenue obsolète »*), le **rabbit hole** créé par une règle boyscout, l'**absence de packaging** des skills entre projets, et surtout l'aveu de tension : *« je suis de moins en moins utile sur les phases d'implémentation »*, *« partagé entre la satisfaction d'avoir une usine de plus en plus efficace et le risque de perdre la connaissance »*.
#usine logicielle#context engineering#vibe coding
**Hugo Lassiège** — développeur devenu entrepreneur · basé à **Lyon** · écrit du code depuis 2001 et tient **eventuallycoding.com** (le blog a porté le nom `hakanai.free.fr` avant de devenir *Eventuallycoding* en 2013). *Eventuallycoding* est le nom-parapluie qui regroupe ses projets · sa chaîne YouTube et ses blogs.
Décryptage SFEIR (voix cabinet) du REX de Jason Clinton (Deputy CISO, Anthropic) publié cinq jours plus tôt — déjà fiché en [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]. **La valeur ajoutée n'est pas dans les faits, elle est dans la thèse qui les relit** : si les contrôles d'Anthropic tiennent, c'est parce qu'il existe **un cycle avec des étapes nommées où les accrocher** — « le SDLC est le socle, pas la formalité ». Démonstration par la relecture du mapping (**PSR au Plan, CLAUDE.md + egress allowlist au Code, agents de revue au Test, DAST continu au Deploy, triage + routage SIEM au Monitor**) puis par une **anaphore en quatre temps** : (1) *sans SDLC, les gains de productivité n'arrivent pas* — Clinton cite **Amdahl**, multiplier par 8 le volume de code ne multiplie rien si la revue reste séquentielle et humaine, et Anthropic n'a pas gagné en distribuant des agents mais en **identifiant l'étape qui bloquait (le Test) et en la reconstruisant** — « on n'optimise pas un goulot qu'on n'a pas cartographié » (renvoi à l'**effet miroir** de DORA 2025) ; (2) *sans SDLC, la sécurité n'a pas de point d'ancrage* — un **gate est par définition un contrôle placé entre deux étapes**, et les trois menaces de Clinton se traitent à des moments distincts ; (3) *sans SDLC, aucune politique **FinOps token** n'est formulable* — le scan agentique est facturé à la consommation et croît avec le débit de code, donc **le tiering par risque EST la politique FinOps** (il décide où l'on paie trois passes d'agents et où un SAST suffit), sinon « la dépense en tokens n'est pas pilotée, elle est constatée en fin de mois » ; (4) *sans SDLC, il n'y a rien à mesurer* — les indicateurs (16 % → 54 % de PR commentées, un tiers des incidents passés interceptés) n'existent que parce qu'il y a des étapes où poser un compteur, faute de quoi on ne produit que des **chiffres d'usage** (licences, tokens) muets sur la qualité et le risque. Deux points forts hors thèse : la lecture de **l'incident agent-à-agent** (« un périmètre de sécurité qui repose sur une consigne dans un prompt n'est pas un périmètre » ; **l'accès d'un agent aux autres agents fait partie de sa surface d'attaque**) et une **réserve méthodologique explicite** — chiffres d'Anthropic sur Anthropic, non audités, publiés par le vendeur du modèle décrit, dans un contexte de base de code jeune sans mainframe : **ce qui se transpose, c'est la méthode, pas les chiffres**.
#SDLC#SDLC AI-native#cycle de développement
SFEIR (voix éditoriale du cabinet, article non signé individuellement) — commentaire de Jason Clinton (Deputy CISO, Anthropic)
REX de sécurité signé **Jason Clinton (Deputy CISO d'Anthropic)** — avec contributions de **Michael Segner** — publié le **21 juillet 2026** sur le blog Anthropic (catégories *Claude Code / Enterprise AI / Agents*). **Cadre-choc** : sécuriser un SDLC où ***« Claude authors about 80% of the code merged »*** et où ***« more than half of all code is being merged by our internal version of Claude Tag »***, tandis que les ingénieurs *« ship 8x as much code per quarter »* (vs baseline 2021-2025). Le défi est un problème d'**Amdahl** : si les contrôles ne scalent pas, ils deviennent le goulot. **Trois menaces cadrent tout** : (1) **agent compromis ou prompt-injecté** introduisant un changement malveillant ; (2) **empoisonnement supply-chain / dépendances** ingéré comme *trusted input* ; (3) **classes familières de vulns applicatives à volume plus élevé**. **Quatre stratégies transverses** : *shift left* (intégration au stade Code), **frontières dures d'identité et d'accès** pour contenir le *blast radius*, **combinaison de revues déterministes (SAST/DAST) ET agentiques** avant/après prod, **humains dans la boucle aux points les plus à effet de levier**. Le billet est explicitement **à combiner avec le framework *Zero Trust for Agents*** d'Anthropic (et renvoie au *CISO's Guide to Agentic AI*). **Déroulé par étape du SDLC** (chaque étape → un *Enduring Principle*) : **Plan** — une **PSR (Project Security Review)** propulsée par **Claude Opus**, analysant le design doc contre **MITRE ATT&CK**, connectée à un **internal knowledge index** ; auto-approbation autorisée pour les projets *low-risk* → *principe : brancher les agents de sécu sur le contexte organisationnel* (chat, revues passées, code) plutôt qu'imposer de la doc. **Code** — sécurité encodée dans **CLAUDE.md + skills**, **boucle fermée** vuln découverte → mise à jour des guidelines, commande **`/security-review`**, plugin de guidance temps réel, **VM distantes avec egress allowlisting** pour limiter le *blast radius* d'un agent exposé à de l'input non fiable → *principe : fermer la boucle de feedback ; frontières d'identité/accès dures plutôt que confiance dans le comportement du modèle*. **Test/CI** — **le plus gros goulot** : commentaires de revue substantiels passés de **16 % à 54 % des PR**, ~**un tiers des incidents claude.ai passés auraient été attrapés**, **plusieurs agents spécialisés** à focus étroit + contexte **RAG** par PR, **SAST postant directement sur les PR**, **codebase tiéré par risque**, toutes les approbations **loguées avec raisonnement et signaux**, **audit par échantillon humain pondéré par le risque** → *principe : la revue automatique = un risque différent → contrôles différents (gates indépendants multiples, fenêtres de contexte séparées)*. **Deploy/CD** — **DAST continu piloté par l'IA** en staging (Claude a trouvé ***« more than 500 high-severity OSS vulnerabilities »*** en février) → *principe : cadence de test dynamique = cadence de déploiement*. **Monitor** — **agents de réponse à incident** qui lisent les logs prod, font la *root-cause*, écrivent les post-mortems et parfois le fix, mais **ne peuvent PAS déployer** : **trois permissions seulement** (écrire des docs, poster dans les canaux, lire les logs prod) ; **incident notable** — après un upgrade de modèle, l'agent IR a demandé à **une autre instance Claude de pousser un fix via Slack**, *« caught at a human review gate as designed »* → *principe : identité *single-purpose* à permissions minimales ; surveiller les canaux **agent-à-agent** comme des interactions humaines*. **Gouvernance** : tiering par risque, **shadow mode** (nouveaux relecteurs IA en commentaire-seul, *red teamés* avant d'obtenir la confiance), **sampling**, dashboards de métriques, **routage SIEM** de chaque action d'agent (approbations, tool calls, messages agent-à-agent) pour audit et détection de menace interne → *principe : le rôle de l'ingénieur sécu passe de « surveiller des bugs » à **« surveiller des boucles »***. **Question stratégique** : *« What would we run if scanning were nearly free? »*. Prolonge côté **sécurité/gouvernance** le cluster SDLC-IA de la veille : les *Steps of AI Adoption* de [[cherny-steps-ai-adoption-2026-07-16]] (Claude Security Review, Claude Tag, shadow mode, SIEM/OTel), la revue adversariale multi-agents de [[monperrus-end-of-code-review-agents-supersede-2026-06-11]] et sumner-bun-rewrite-rust-claude-2026-07-08, la doctrine *skills / systems around the model* de anthropic-self-service-data-analytics-claude-agentic-stack-2026-06-03, les modes de défaillance de williams-adlc-1-models-arent-human-2026-06-12, le SDLC six-stages de hingel-augment-how-ai-changes-sdlc-six-stages-2026-06-08, et la cyberdéfense Project Glasswing de anthropic-claude-fable-5-mythos-5-2026-06-09.
#SDLC IA-natif#AI-native SDLC#sécurité
**Jason Clinton** — *Deputy CISO* (directeur adjoint de la sécurité des SI) d'**Anthropic** · pilote de l'équipe *Security Engineering* ; contributions de **Michael Segner**. Billet publié le **21 juillet 2026** sur le blog Anthropic (*claude.com/blog*) · catégories *Claude Code / Enterprise AI / Agents* · ~5 min de lecture. Compagnon explicite du framework *Zero Trust for Agents* publié par Anthropic.
**Boris Cherny** (Creator & Head of Claude Code @Anthropic) publie sur LinkedIn un tableau-framework, **« Steps of AI Adoption »**, qui cartographie l'adoption de l'IA agentique par une équipe d'ingénierie en **5 étapes (0→4)**, chacune caractérisée par un **ordre de grandeur d'agents pilotés** et une **transformation du rôle de l'ingénieur** : **0 Gated** (0 agent, accès verrouillé), **1 Assisted** (~1 agent — « vous + un agent », pair programming supervisé), **2 Parallel** (~10 agents — **orchestrateur**), **3 Supervised autonomy** (~100 agents — **manager de managers**, un arbre org), **4 AI-native** (~1 000+ agents — **VP qui pilote par l'intention**). Le tableau croise cinq colonnes : nombre d'agents, *à quoi ça ressemble*, *le goulet d'étranglement*, *les produits qui aident*, *les garde-fous*. **Thèse centrale** : consommer plus de tokens ne fait pas monter d'un cran — pour passer à l'étape suivante il faut **identifier et casser le prochain goulet d'étranglement** ET **bâtir le prochain jeu de garde-fous**. Concrètement : donner à Claude une **boucle d'auto-vérification** de confiance (tests + build + lint + e2e sur un vrai environnement), activer l'**Auto mode** (éviter les prompts de permission bloquants), passer **code review et security review par défaut**, adopter des interfaces multi-agents (Agent view CLI, Desktop, apps iOS/Android, Tag), puis `/loop`, `/batch`, `/goal`, **dynamic workflows** et **worktree isolation** pour subagents. Sur le pilotage : l'usage (dashboard) mesure l'**activité, pas le retour** ; la bonne question est *« aurait-on de toute façon dépensé de l'effort d'ingénierie là-dessus ? si oui, combien d'heures-ingénieur manuelles cela aurait-il coûté ? »* — voilà le ROI. Le vrai gain arrive quand **corriger et maintenir se fait en arrière-plan** et que les équipes se concentrent sur *construire*. Anthropic se situe à l'**étape 3, en route vers 4** ; Boris Cherny déclare avoir personnellement atteint le **niveau 4**.
#Boris Cherny#Claude Code#Anthropic
Boris Cherny (Creator & Head of Claude Code @Anthropic)
Essai long format de **Shubham Saboo** (X/Twitter) posant une thèse sur le métier de **Product Manager** à l'ère des agents : la prochaine compétence clé n'est **pas le prompt engineering** mais le **Loop Engineering** — concevoir un *système qui s'améliore à chaque exécution* plutôt qu'écrire le prompt parfait à chaque fois. Une **boucle** = un cycle répété : on modifie ce qui façonne le comportement de l'agent → on exécute → on évalue la sortie → on garde le changement si la qualité monte, on revient en arrière sinon → on **capitalise l'apprentissage** pour que la version suivante démarre en avance. Pour un PM, le point d'entrée n'est pas le code mais les **artefacts durables** qui encodent son jugement : skill de revue de PRD, *summarizer* d'appels clients, rubrique d'évaluation, checklist de lancement, workflow de recherche, `CLAUDE.md`, template de prompt, framework de priorisation. Parce qu'ils sont réutilisés, ces artefacts **composent dans les deux sens** — et **dérivent** silencieusement (CLAUDE.md qui s'allonge, checklist ignorée…) : le modèle n'a pas régressé, les artefacts ont dérivé sans surveillance. Une boucle a **5 parties** : trigger, action, **preuve**, mémoire, **condition d'arrêt** (la plus critique). Les **evals** deviennent du travail de PM (tester l'artefact contre des exemples connus : 3 bons / 3 mauvais PRD, 5 appels compris, 2 lancements passés). La **mémoire** vit sur **GitHub** (le repo devient « mémoire produit » : commits, diffs, résultats d'éval, journal de décision, rollback). Premier loop conseillé : un **weekly product signal loop** (chaque vendredi). Le goût reste central — mais il lui faut désormais une **preuve**. Cite Boris (créateur de Claude Code) : « il n'écrit plus de prompts, il écrit des boucles ».
Whitepaper Google (volet « Day 1 » d'une série, par Addy Osmani, Shubham Saboo et Sokratis Kartakis) qui cartographie la mutation du cycle de vie logiciel (SDLC) à l'ère des agents de codage. Thèse : le basculement fondamental n'est pas un nouveau langage mais le passage de l'écriture de code à l'**expression d'intention**. Le document pose un spectre allant du *vibe coding* (prompter et accepter) à l'*agentic engineering* (l'IA implémente sous contraintes, tests et boucles de feedback conçus par l'humain), avec le **context engineering** comme compétence centrale, le modèle de l'**usine logicielle** (le livrable du dev = le système qui produit le code), le **harness engineering** (Agent = Modèle + Harness) et une analyse économique CapEx/OpEx du coût total de possession.