Support de talk de **Dorra Bartaguiz** (CTO, **Arolla**), présenté à la conférence **Dev With AI** et publié en PDF sur LinkedIn le **15 octobre 2026** ; **61 slides**, en français avec des exemples en anglais. Thèse : quand l'IA fait exploser la vélocité, la qualité se reprend par les pratiques *craft* outillées autour du modèle, le *harness engineering*.
#harness engineering#vélocité#revue de code
Dorra Bartaguiz — CTO d'Arolla (conseil et formation, « agentic software crafters ») ; slides de son talk Dev With AI publiées sur LinkedIn.
Article collectif de sept auteurs (**Zach Davis**, **Michelle Gill**, **Elisabeth Hendrickson**, **Angie Jones**, **Sha Ma**, **Randy Shoup**, **James Wickett**), paru dans l'*Enterprise Technology Leadership Journal* d'**IT Revolution** (automne 2026, vol. 3, n° 2), sous licence CC BY-NC-SA. Environ **7 500 mots**, intitulé *« Toward a Pattern Language for Code Reviews in the Age of Agentic AI »*. **(A)** Cadrage : la revue de code est définie comme un examen par une entité non auteur menant à une action ; les études empiriques (Microsoft 2013, Mäntylä 2009, Beller 2014) montrent que la valeur tient surtout à la maintenabilité et au partage de connaissance, moins aux défauts fonctionnels. **(B)** Trois conditions pour sortir l'humain du chemin critique : validation déterministe maximale, revue **graduée par le risque**, **trace durable** de chaque décision d'agent ; *« no human in the loop »* est un choix de configuration, pas une valeur par défaut. **(C)** Neuf patrons composables, présentés comme une boîte à outils et non une échelle de maturité : petits changements, Shift Left, conception pour la vérification, pratiques d'ingénierie déterministes, ingénierie de contexte, boucle de qualité continue, revue LLM adverse, revues multi-agents, développement piloté par la spécification. **(D)** Trois études de cas : **Block**, **Cloudflare** (131 246 revues sur 48 095 PR en un mois, 1,2 constat par revue), **DryRun Security**. Prolonge les fiches du corpus sur l'ingénierie de contexte et la revue de code assistée.
#revue de code agentique#code review#langage de patrons
Zach Davis (LaunchDarkly) · Michelle Gill (Engineered by AI) · Elisabeth Hendrickson (Curious Duck) · Angie Jones (Agentic AI Foundation) · Sha Ma (Topogy) · Randy Shoup (CircleCI) · James Wickett (DryRun Security) ; article collectif · IT Revolution.
Billet de **Rachel Laycock**, CTO de **Thoughtworks**, publié le **2 septembre 2026** sur *Rachel's Ramblings*, la section de martinfowler.com qu'elle tient, environ **8 000 caractères**. Le texte est une **réponse assumée** à [[houck-dx-what-are-code-reviews-for-2026-08-05]], après un désaccord public entre les deux auteurs sur un panel de **Code Remix** hébergé par **Moderne**. Laycock accepte le diagnostic chiffré de Houck (+**106 %** de lignes par diff chez **Meta**, +**64 %** de taille médiane de PR côté DX) et la liste des fonctions non-défectologiques de la revue, puis déplace la question : *« why are we waiting until code review to do all of those things? »* (A) Le principe directeur est le raccourcissement des boucles de rétroaction appris chez Thoughtworks — si un retour a de la valeur, ne pas le supprimer, le rapprocher de la décision qu'il informe. Chaque fonction attribuée à la revue est réaffectée en amont : exploration d'alternatives avant l'implémentation, transfert de connaissance par le **pair programming**, propriété collective par le **mob programming** et les sessions de design d'équipe, alignement architectural par le design commun puis les **fitness functions**, et automatisation de tout ce qui est déterministe — *« We really shouldn't still be arguing about whitespace in 2026. »* (B) La revue par exception remplace la revue systématique : changement architectural fondamental, frontière de sécurité sensible, rayon d'impact large, zone inconnue d'un système critique, ou simple déclaration d'inconfiance de l'équipe. (1) L'automatisation de la revue par un agent qui imite le relecteur humain est écartée comme *« automating the ceremony rather than questioning why the ceremony exists »*. (2) La dette cognitive de Houck est reconnue comme réelle, mais la PR obligatoire est jugée une défense faible : *« We need engineers to understand systems, not diffs. »*
#revue de code#revue par exception#pull request
Rachel Laycock · CTO de Thoughtworks · sur *Rachel's Ramblings* (martinfowler.com).
Décryptage SFEIR (voix cabinet) du REX de Jason Clinton (Deputy CISO, Anthropic) publié cinq jours plus tôt — déjà fiché en [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]. **La valeur ajoutée n'est pas dans les faits, elle est dans la thèse qui les relit** : si les contrôles d'Anthropic tiennent, c'est parce qu'il existe **un cycle avec des étapes nommées où les accrocher** — « le SDLC est le socle, pas la formalité ». Démonstration par la relecture du mapping (**PSR au Plan, CLAUDE.md + egress allowlist au Code, agents de revue au Test, DAST continu au Deploy, triage + routage SIEM au Monitor**) puis par une **anaphore en quatre temps** : (1) *sans SDLC, les gains de productivité n'arrivent pas* — Clinton cite **Amdahl**, multiplier par 8 le volume de code ne multiplie rien si la revue reste séquentielle et humaine, et Anthropic n'a pas gagné en distribuant des agents mais en **identifiant l'étape qui bloquait (le Test) et en la reconstruisant** — « on n'optimise pas un goulot qu'on n'a pas cartographié » (renvoi à l'**effet miroir** de DORA 2025) ; (2) *sans SDLC, la sécurité n'a pas de point d'ancrage* — un **gate est par définition un contrôle placé entre deux étapes**, et les trois menaces de Clinton se traitent à des moments distincts ; (3) *sans SDLC, aucune politique **FinOps token** n'est formulable* — le scan agentique est facturé à la consommation et croît avec le débit de code, donc **le tiering par risque EST la politique FinOps** (il décide où l'on paie trois passes d'agents et où un SAST suffit), sinon « la dépense en tokens n'est pas pilotée, elle est constatée en fin de mois » ; (4) *sans SDLC, il n'y a rien à mesurer* — les indicateurs (16 % → 54 % de PR commentées, un tiers des incidents passés interceptés) n'existent que parce qu'il y a des étapes où poser un compteur, faute de quoi on ne produit que des **chiffres d'usage** (licences, tokens) muets sur la qualité et le risque. Deux points forts hors thèse : la lecture de **l'incident agent-à-agent** (« un périmètre de sécurité qui repose sur une consigne dans un prompt n'est pas un périmètre » ; **l'accès d'un agent aux autres agents fait partie de sa surface d'attaque**) et une **réserve méthodologique explicite** — chiffres d'Anthropic sur Anthropic, non audités, publiés par le vendeur du modèle décrit, dans un contexte de base de code jeune sans mainframe : **ce qui se transpose, c'est la méthode, pas les chiffres**.
#SDLC#SDLC AI-native#cycle de développement
SFEIR (voix éditoriale du cabinet, article non signé individuellement) — commentaire de Jason Clinton (Deputy CISO, Anthropic)
REX de sécurité signé **Jason Clinton (Deputy CISO d'Anthropic)** — avec contributions de **Michael Segner** — publié le **21 juillet 2026** sur le blog Anthropic (catégories *Claude Code / Enterprise AI / Agents*). **Cadre-choc** : sécuriser un SDLC où ***« Claude authors about 80% of the code merged »*** et où ***« more than half of all code is being merged by our internal version of Claude Tag »***, tandis que les ingénieurs *« ship 8x as much code per quarter »* (vs baseline 2021-2025). Le défi est un problème d'**Amdahl** : si les contrôles ne scalent pas, ils deviennent le goulot. **Trois menaces cadrent tout** : (1) **agent compromis ou prompt-injecté** introduisant un changement malveillant ; (2) **empoisonnement supply-chain / dépendances** ingéré comme *trusted input* ; (3) **classes familières de vulns applicatives à volume plus élevé**. **Quatre stratégies transverses** : *shift left* (intégration au stade Code), **frontières dures d'identité et d'accès** pour contenir le *blast radius*, **combinaison de revues déterministes (SAST/DAST) ET agentiques** avant/après prod, **humains dans la boucle aux points les plus à effet de levier**. Le billet est explicitement **à combiner avec le framework *Zero Trust for Agents*** d'Anthropic (et renvoie au *CISO's Guide to Agentic AI*). **Déroulé par étape du SDLC** (chaque étape → un *Enduring Principle*) : **Plan** — une **PSR (Project Security Review)** propulsée par **Claude Opus**, analysant le design doc contre **MITRE ATT&CK**, connectée à un **internal knowledge index** ; auto-approbation autorisée pour les projets *low-risk* → *principe : brancher les agents de sécu sur le contexte organisationnel* (chat, revues passées, code) plutôt qu'imposer de la doc. **Code** — sécurité encodée dans **CLAUDE.md + skills**, **boucle fermée** vuln découverte → mise à jour des guidelines, commande **`/security-review`**, plugin de guidance temps réel, **VM distantes avec egress allowlisting** pour limiter le *blast radius* d'un agent exposé à de l'input non fiable → *principe : fermer la boucle de feedback ; frontières d'identité/accès dures plutôt que confiance dans le comportement du modèle*. **Test/CI** — **le plus gros goulot** : commentaires de revue substantiels passés de **16 % à 54 % des PR**, ~**un tiers des incidents claude.ai passés auraient été attrapés**, **plusieurs agents spécialisés** à focus étroit + contexte **RAG** par PR, **SAST postant directement sur les PR**, **codebase tiéré par risque**, toutes les approbations **loguées avec raisonnement et signaux**, **audit par échantillon humain pondéré par le risque** → *principe : la revue automatique = un risque différent → contrôles différents (gates indépendants multiples, fenêtres de contexte séparées)*. **Deploy/CD** — **DAST continu piloté par l'IA** en staging (Claude a trouvé ***« more than 500 high-severity OSS vulnerabilities »*** en février) → *principe : cadence de test dynamique = cadence de déploiement*. **Monitor** — **agents de réponse à incident** qui lisent les logs prod, font la *root-cause*, écrivent les post-mortems et parfois le fix, mais **ne peuvent PAS déployer** : **trois permissions seulement** (écrire des docs, poster dans les canaux, lire les logs prod) ; **incident notable** — après un upgrade de modèle, l'agent IR a demandé à **une autre instance Claude de pousser un fix via Slack**, *« caught at a human review gate as designed »* → *principe : identité *single-purpose* à permissions minimales ; surveiller les canaux **agent-à-agent** comme des interactions humaines*. **Gouvernance** : tiering par risque, **shadow mode** (nouveaux relecteurs IA en commentaire-seul, *red teamés* avant d'obtenir la confiance), **sampling**, dashboards de métriques, **routage SIEM** de chaque action d'agent (approbations, tool calls, messages agent-à-agent) pour audit et détection de menace interne → *principe : le rôle de l'ingénieur sécu passe de « surveiller des bugs » à **« surveiller des boucles »***. **Question stratégique** : *« What would we run if scanning were nearly free? »*. Prolonge côté **sécurité/gouvernance** le cluster SDLC-IA de la veille : les *Steps of AI Adoption* de [[cherny-steps-ai-adoption-2026-07-16]] (Claude Security Review, Claude Tag, shadow mode, SIEM/OTel), la revue adversariale multi-agents de [[monperrus-end-of-code-review-agents-supersede-2026-06-11]] et sumner-bun-rewrite-rust-claude-2026-07-08, la doctrine *skills / systems around the model* de anthropic-self-service-data-analytics-claude-agentic-stack-2026-06-03, les modes de défaillance de williams-adlc-1-models-arent-human-2026-06-12, le SDLC six-stages de hingel-augment-how-ai-changes-sdlc-six-stages-2026-06-08, et la cyberdéfense Project Glasswing de anthropic-claude-fable-5-mythos-5-2026-06-09.
#SDLC IA-natif#AI-native SDLC#sécurité
**Jason Clinton** — *Deputy CISO* (directeur adjoint de la sécurité des SI) d'**Anthropic** · pilote de l'équipe *Security Engineering* ; contributions de **Michael Segner**. Billet publié le **21 juillet 2026** sur le blog Anthropic (*claude.com/blog*) · catégories *Claude Code / Enterprise AI / Agents* · ~5 min de lecture. Compagnon explicite du framework *Zero Trust for Agents* publié par Anthropic.
Présentation Wescale (France) qui formalise la doctrine de l'***Usine Logicielle Augmentée*** : chaîne de valeur logicielle entièrement orchestrée par des agents IA spécialisés sur six lignes de fabrication (Intention/PRD-ADR → Plan/User Stories → **Bon à Tirer humain** → Production 24/7 → Vérification audit indépendant → Déploiement DevOps), où l'humain n'intervient qu'à deux moments précis. Thèses fortes : retour du **cycle en V prédictible** contre Scrum, gains réalistes **X3-X4** (et non X10), passage du *producteur de code* au ***Juge Stratégique*** et du *développeur solo* au ***Manager d'Agents***, métriques DORA remplaçant la vélocité, ROI maximal sur modernisation legacy et substitution SaaS coûteuses, et surtout la ***gouvernance injectée*** comme « couche quasiment militaire » qui constitue l'innovation centrale et la véritable barrière à l'entrée. Construit en mangeant son propre dogfood : *"Ce que nous avons appris en construisant Solario sur Solario."*
#Wescale#Usine Logicielle Augmentée#chaîne de production augmentée
Wescale (cabinet français de conseil tech / cloud / DevOps) — auteurs collectifs (présentation corporate, pas d'auteur individuel cité dans le deck).