En 1971, l’économiste Herbert Simon énonçait une idée que l’informatique a mis un demi-siècle à éprouver : l’information consomme l’attention de ceux qui la reçoivent, si bien que son abondance engendre une pauvreté d’attention. Le secrétariat qui trie le courrier, la salle de supervision où seule l’anomalie allume un voyant obéissent à la même règle : ménager le temps de celui qui tranche.
Les agents de programmation ont transporté ce goulet d’étranglement dans le développement logiciel. Le calcul s’achète à la demande, et un ingénieur peut mener de front plusieurs sessions, chacune occupée de longues minutes à écrire, tester et corriger du code. Chacune réclame pourtant d’être relancée, surveillée, validée, et c’est à l’humain de retenir quelle consigne il a laissée où.
Le samedi 31 octobre, l’équipe Harness de DeepSeek a publié sur GitHub le prototype d’un Super-agent bâti sur cette inversion : un guichet unique qui répartit le travail entre plusieurs sessions, vit dans la messagerie d’une équipe et revendique pour première qualité de savoir se taire. Le dépôt se lit en six temps : ce qu’il contient, la règle d’économie qui le gouverne, l’architecture qui la sert, des essais à lire avec prudence, le prix en sécurité d’un agent qui écoute une équipe, la stratégie d’un laboratoire chinois face aux outils américains.
Un prototype publié un samedi, pas un produit
Le dépôt deepseek-ai/dsh-superagent-prototype, sous licence MIT, a été créé le 31 octobre à 9 h 32 UTC, avec un commit unique et une description, « Towards a More Autonomous Agent System » ; le soir même, heure de Pékin, l’équipe Harness publiait sur WeChat l’article technique qui l’accompagne. Le mode d’emploi prévient : prototype de recherche, « not an official DeepSeek product », il n’est pas prêt pour la production, peut contenir des bugs et diffère de la version interne comme de l’article. Une large part du code a été rédigée par des agents de programmation, et ses auteurs conseillent d’en confier l’installation à l’un d’eux : lui faire lire le guide, puis répondre une à une à ses questions.
Le Super-agent se loge dans DeepSeek Harness, l’environnement d’agents mis en ligne le 13 août sous licence MIT pour se mesurer à Claude Code, d’Anthropic, et aux autres assistants de code américains. Branché sur un dépôt GitHub, et facultativement sur Feishu, la messagerie d’entreprise de ByteDance, il patiente jusqu’à ce qu’un membre habilité de l’équipe lui adresse une demande, l’instruit dans une session dédiée et livre sa réponse dans le fil où elle est née, une pull request par exemple. Un tableau de bord web recense les dossiers qui attendent un humain.
L’attention humaine érigée en budget
Trois à cinq sessions, un plafond observé
Le projet part d’un constat d’usage : celui qui fait travailler plusieurs agents saute d’une fenêtre à l’autre, et l’équipe Harness observe qu’un utilisateur dépasse rarement trois à cinq sessions actives simultanées. Observation interne plutôt qu’étude publiée, elle fonde l’ensemble : le goulet d’étranglement, écrit l’équipe, est l’attention humaine, non le modèle. Les sessions disparaissent donc derrière un seul interlocuteur, auquel les développeurs s’adressent depuis leur messagerie ou sur GitHub ; ils ne reprennent la main que pour arbitrer ou valider, et n’entendent pas l’agent entre-temps.
Cent mots, une question à la fois
Le mode d’emploi pose sa règle en anglais, « take as little human attention as possible, and give as much value as possible » : solliciter le moins possible l’attention des humains, leur apporter le plus possible. L’agent n’agit que sur demande ou si une règle écrite par l’équipe l’y autorise, ne s’exprime que lorsqu’une personne doit agir ou peut exploiter son résultat, confirme une demande une seule fois et ne pose qu’une question concrète à la fois. Dans la messagerie, un message tient en une phrase par défaut, dans une limite stricte de 100 mots, et un garde-fou interdit à la session principale toute attente prolongée.
La proactivité, un réglage plutôt qu’un réflexe
En interne, DeepSeek laisse son agent suivre les conversations de groupe de ses ingénieurs et tenter, en tâche de fond, de reproduire chaque anomalie signalée, sans attendre qu’on le sollicite ; un correctif simple trouvé, il le soumet sur GitHub, faute de quoi il ne dit rien. Le code publié n’active pourtant pas ce comportement d’office. La proactivité s’y règle en trois modes : off, où rien d’inféré ne devient candidat ; observe, par défaut, où l’agent consigne qu’il aurait accepté un travail sans rien entreprendre ; auto, où un avis favorable déclenche le travail, pourvu qu’une règle écrite au moins corresponde. DeepSeek recommande de commencer en observe.
Un routeur qui parle, des travailleurs qui se taisent
Le partage des rôles
L’économie d’attention repose sur une division du travail. Une session dite « routeur » tient le rôle d’interlocuteur : elle lit le flot des messages et répond aux humains. Chaque tâche est confiée à une session « travailleuse » distincte, cloisonnée, que la suite des échanges sur la pull request ou dans le fil concerné atteint directement, sans transiter par le routeur. Ces travailleuses disposent de tous les outils, mais d’aucun moyen de s’adresser elles-mêmes à une personne.
Le cerveau dans le nuage, les mains sur le poste
Reste un obstacle trivial : le poste d’un développeur s’endort. Pour que le travail continue, l’agent s’exécute dans le cloud et commande à distance les machines qui hébergent le code, par l’intermédiaire d’un léger logiciel déposé sur chacune. Cette dissociation du « cerveau » de l’agent et de ses « mains », l’équipe Harness l’emprunte à un principe exposé par Anthropic le 8 avril 2026, mais la transpose aux machines privées des développeurs, où résident leur code en chantier et leurs identifiants. Le rachat d’Ona, annoncé en juin par OpenAI pour qu’un agent Codex poursuive sa tâche ordinateur éteint, répondait au même besoin. Le prototype publié ne décrit pas ce pilotage à distance.
Des essais qui mesurent la circulation, pas le code
Le banc d’essai imitait une discussion de groupe et le flot des notifications de GitHub : quelque 300 messages par scénario, dont une vingtaine réclamaient un travail, quatre configurations comparées, chacune répétée cinq fois. Le codage était remplacé par un outil à durée fixe, et le modèle employé n’est pas précisé. Selon DeepSeek, le Super-agent a bouclé ses tâches en 12,4 minutes en médiane et 95 % d’entre elles en 15,7 minutes ou moins, presque deux fois moins que les 29,5 minutes relevées au même seuil pour un agent unique qui absorbait toutes les requêtes dans un même fil. Invité à déléguer « lorsque cela est approprié », celui-ci n’a passé la main à aucun sous-agent sur cinq essais, interrompu par chaque nouveau message.
Une seconde variante nuance le résultat. Sur consigne explicite, le même agent a délégué dans quatre essais sur cinq, mais restait plus lent : dans l’un d’eux, il a jugé la tâche « petite » et l’a menée lui-même. Le modèle ne refuse pas de déléguer, il juge mal quand le faire. Aucun tiers n’a reproduit ces mesures. DeepSeek admet que son agent dépense plus de jetons et que ses chiffres, tirés de charges artificielles dans un environnement épuré, restent indicatifs ; sans transfert direct aux travailleuses, les jetons lus en cache passent de 23,23 à 31,77 millions.
Ce que coûte un agent qui écoute une équipe
Des messages qui ne commandent rien
Lire les discussions d’une équipe, c’est recevoir du texte que n’importe qui peut écrire. Le modèle d’autorisation en tire une règle : c’est l’hôte, non le contenu des messages, qui applique les listes de personnes autorisées, les règles et les mandats ; messages, commentaires et documents cités ne sont que des éléments de décision, des données qui ne changent ni les règles ni les droits. DeepSeek documente pourtant les brèches : ouvrir la porte aux non-inscrits qui mentionnent l’agent permet à quiconque, dans le périmètre, de lui commander du travail, et affaiblir un réglage n’arrête pas sur-le-champ les tâches déjà acceptées sous son régime.
Des commandes sans approbation, des identifiants exposés
Les sessions travailleuses exécutent leurs commandes sans approbation, sous le compte système de l’opérateur, et leurs enveloppes comme leurs répertoires établissent, selon la documentation, « defaults, not a security boundary ». Le développeur Simon Willison a baptisé en juin 2025 « trifecta létale » la combinaison qui rend un agent détournable : accès à des données privées, exposition à du contenu non fiable, moyen de communiquer vers l’extérieur. Un agent qui lit des discussions, tient des identifiants et pousse du code coche les trois cases.
Les ingénieurs de DeepSeek en font l’aveu : un intrus qui pénétrerait les machines hébergeant l’agent, ou l’orienterait par une injection de prompt, pourrait s’emparer de tous les appareils raccordés, et la manière dont l’agent emploierait les identifiants d’un développeur sans jamais y accéder en clair reste à trouver. Anthropic a affronté la même question : une injection suffisait à faire lire à son agent les jetons de son conteneur, et la parade a consisté à les ranger dans un coffre, servis par un proxy, hors d’atteinte du bac à sable. Sur le poste personnel d’un développeur, ce coffre reste à inventer.
L’ouverture comme stratégie face aux outils américains
Ce qui existait, et ce qui change
Confier un ticket à un agent qui rend une pull request n’a rien de neuf. GitHub a ouvert le 19 mai 2025, en aperçu public, l’agent de codage de Copilot, auquel on assigne une issue comme à un collègue ; le 8 décembre 2025, Anthropic a ouvert en bêta la délégation à Claude Code depuis Slack, sur simple mention. Encore fallait-il solliciter l’agent. La nouveauté tient à deux partis pris réunis : la proactivité dans la messagerie et le silence par défaut.
Le mouvement est général : Claude Duet, l’agent qui prend les devants présenté par Anthropic le 21 octobre, est arrivé un peu plus de trois semaines après les dots d’OpenAI et environ six semaines après Muse de Meta ; GPT-6.1 Terra, lancé par OpenAI le 26 octobre, est servi dans Codex. Un prototype de recherche ne se mesure pas à ces produits, et rien n’établit qu’il surpasse Claude Code ou Codex.
Exclu des achats fédéraux, crédité de quinze milliards
Le bilan publié le 10 septembre par Anthropic accusait sept laboratoires chinois, dont DeepSeek, d’avoir capté près de 200 millions d’échanges avec Claude. Le 20 octobre, le ministère américain de la Sécurité intérieure a publié l’ordre d’exclusion et de retrait n° 2026-01, signé le 24 juillet : les agences fédérales civiles doivent retirer les produits DeepSeek, y compris ceux de tiers bâtis sur ses technologies, et ne plus en acheter. Selon le Congressional Research Service, ce ministère use pour la première fois de ce pouvoir.
Le 22 octobre, Bloomberg rapportait que DeepSeek avait réuni lors de son dernier tour de table quelque 100 milliards de yuans, environ 15 milliards de dollars, CATL et Tencent figurant parmi les investisseurs cités, en prélude à une introduction en bourse envisagée au plus tôt en 2027 ; l’entreprise n’a rien confirmé. Publier du code sous licence MIT n’a dès lors rien d’anodin : ces interdictions visent la commande publique, non l’usage privé, et un dépôt que chacun peut lire, auditer et modifier circule par un canal qu’elles ne couvrent qu’en partie.
Le Super-agent ne vaut pas par sa vitesse, que seuls ses auteurs ont mesurée sur des charges simulées, mais par la question qu’il rend explicite. Un agent de programmation n’a plus seulement à prouver qu’il sait écrire un correctif : il doit montrer qu’il sait quand le proposer, à qui et en combien de mots. La limite de cent mots et le mode observe par défaut traduisent en règles une leçon que les organisations humaines ont apprise à leurs dépens : une alerte superflue use la vigilance qu’elle prétend servir.
Cette économie a un prix. Ce que l’agent épargne en attention, il le dépense en jetons ; ce qu’il gagne en initiative, il le prend sur la sécurité. Un système qui lit les conversations d’une équipe, exécute sans approbation et manipule des identifiants concentre les risques de l’injection d’instructions, et la franchise d’une documentation qui avoue que ses cloisons ne sont pas une frontière de sécurité ne tient pas lieu de protection.
Un laboratoire exclu des achats fédéraux américains, accusé de distillation et crédité d’une levée de quinze milliards de dollars répond par du code lisible par tous, sur le terrain même où ses concurrents lancent leurs agents proactifs. Si l’attention humaine devient la ressource rare, la concurrence se jouera moins sur la puissance des modèles que sur la confiance accordée à un agent assez discret pour se faire oublier, et assez puissant pour agir au nom d’une équipe.
Aller plus loin
Le manifeste du projet tient en une page : le document de philosophie du prototype dsh-superagent énonce quand l’agent parle, quand il se tait, pourquoi il ne pose qu’une question à la fois et comment le régler pour réduire le bruit plutôt que produire du volume.
Le dispositif de confiance se lit dans le modèle d’autorisation du prototype, avec son tableau d’admission par périmètre, ses trois modes de proactivité et les réglages qui ouvrent l’agent à quiconque le mentionne, documentation rare par sa franchise sur ses propres faiblesses.
Pour qui ne peut ouvrir l’article publié sur WeChat, le compte rendu de Sina Tech et Zhidongxi, en chinois, restitue le protocole des essais, les médianes et les centiles, la consommation de jetons et les questions que l’équipe Harness laisse ouvertes, de la mémoire à long terme aux identifiants.
Le principe revendiqué par DeepSeek est exposé dans Scaling Managed Agents: Decoupling the brain from the hands, billet d’ingénierie d’Anthropic qui raconte comment des identifiants logés dans le conteneur du code généré s’exposaient à une simple injection, et pourquoi la parade a consisté à les confier à un coffre servi par un proxy.
Le précédent de référence est l’annonce GitHub Copilot coding agent in public preview, qui décrit le circuit devenu classique, que DeepSeek reprend en le rendant proactif : une issue assignée comme à un collègue, un environnement GitHub Actions, des tests avant l’envoi, une relecture demandée et des retouches réclamées par commentaire dans la pull request.
La délégation depuis la messagerie, sur mention explicite, se comprend avec la page Claude Code and Slack, qui détaille la session créée à la demande, le contexte du fil récupéré, l’avancement publié et le lien de pull request rendu : de quoi mesurer ce que change un agent qui lit les fils sans y être appelé.
Côté recherche, l’étude CooperBench: Why Coding Agents Cannot be Your Teammates Yet mesure sur plus de 600 tâches le coût de la coordination entre agents de programmation, 30 % de réussite en moins pour un binôme, et en décrit les causes : messages vagues, engagements non tenus, fausses idées sur le plan de l’autre.
Pour évaluer un agent qui lit des conversations et tient des identifiants, le billet The lethal trifecta for AI agents de Simon Willison fournit la grille la plus simple, données privées, contenu non fiable et canal de sortie, et rappelle qu’aucun filtre ne garantit qu’un modèle ignorera les instructions cachées dans ce qu’il lit.
La définition normative figure dans la fiche LLM01:2025 Prompt Injection de l’OWASP, qui distingue injection directe et indirecte et recommande notamment de séparer le contenu externe, de restreindre les privilèges et d’exiger une approbation humaine pour les actions à risque, trois points sur lesquels le prototype fait des choix explicites.
Le contexte politique est éclairé par la note Removing PRC Artificial Intelligence Models from Federal Agencies du Congressional Research Service, qui détaille la base légale de l’ordre visant DeepSeek, sa portée, des agences fédérales civiles jusqu’à leurs fournisseurs, et les ordres parallèles de la Défense et du renseignement.
Ensemble, ces documents dessinent un agent moins spectaculaire que sa réputation naissante et plus instructif qu’elle. Le circuit qui mène du ticket à la pull request existe depuis 2025, la séparation du cerveau et des mains vient d’Anthropic, les gains annoncés ne portent que sur la circulation des tâches. Ce qui est neuf tient dans une conception où le silence est la règle et la parole l’exception, et dans l’aveu que cette discrétion repose sur des cloisons que leurs auteurs ne tiennent pas pour une frontière de sécurité.