Avant le terminal interactif, l’informatique fonctionnait par différé : on confiait un jeu de cartes perforées à un opérateur, le travail s’exécutait la nuit dans une salle où l’on n’entrait pas, et l’on revenait chercher un listing au matin. Quarante années de micro-informatique ont consisté à supprimer ce délai. La promesse agentique refait le trajet en sens inverse et renvoie le travail ailleurs, pendant que la machine dort.
Encore faut-il que quelqu’un possède cet ailleurs : une machine isolée, reproductible, capable d’exécuter du code écrit par un modèle sans compromettre le système d’information. C’est l’objet de l’opération rendue publique le 11 juin 2026, par laquelle OpenAI a fait savoir qu’il entendait mettre la main sur Ona, spécialiste des espaces d’exécution isolés que réclament les agents logiciels, pour donner à Codex l’autonomie qui lui manque face à Claude.
L’argument tient en une image : le travail se poursuit machine éteinte, dans le nuage de l’organisation cliente, qui garde la maîtrise des accès aux données, des identifiants et de la trace de chaque action, l’acquéreur n’apportant que le modèle et la conduite des tâches. Restent à examiner ce qui est acheté, ce que la concurrence a déjà livré, ce que deux stratégies engagent avant deux cotations, et le prix de l’autonomie.
Une acquisition annoncée, pas encore conclue
L’annonce décrit une intention, pas un fait accompli. Le montant n’est pas divulgué, la transaction demeure suspendue aux conditions de clôture usuelles et aux autorisations réglementaires requises, et les deux sociétés fonctionneront séparément jusque-là. Après la clôture seulement, l’équipe rejoindra celle qui développe Codex, écrit Johannes Landgraf, signataire du billet d’annonce.
De Gitpod à Ona, une société de Kiel devenue couche d’exécution
L’entité rachetée n’est pas une abstraction californienne. Les mentions légales du site désignent Gitpod GmbH, société de droit allemand domiciliée à Kiel et immatriculée sous le numéro HRB 22228 au registre du tribunal d’instance de la ville. Le nom Ona date du 2 septembre 2025, quand l’entreprise a troqué son identité d’environnement de développement en ligne contre celle d’ingénieur logiciel automatisé.
Deux millions de développeurs, et non deux millions de clients
Le chiffre qui circule mérite rectification : deux millions de développeurs, disait le billet de pivot, soit une base d’utilisateurs et non un portefeuille de clients. L’échelle entreprise se mesure ailleurs, dans des sessions d’agents multipliées par treize depuis janvier 2026 chez la plus ancienne banque des États-Unis, un laboratoire pharmaceutique européen et un fonds souverain asiatique. En interne, les agents co-signaient 60 % des demandes de fusion.
Faire tourner un agent ailleurs reste un problème d’infrastructure
Six années d’ingénierie Kubernetes rendues publiques
Le 31 octobre 2024, Christian Weichel et Alejandro de Brito Fontes publiaient le constat de six années passées à faire tenir sur Kubernetes une plateforme d’environnements de développement pour un million et demi d’utilisateurs. L’outil vise des charges maîtrisées, pas des environnements indisciplinés : la consommation processeur part en pics, au point d’imposer des boucles de contrôle maison fondées sur le CFS.
Le stockage n’a pas mieux répondu : les PersistentVolumeClaims s’attachent et se détachent selon des délais imprévisibles, jusqu’à faire échouer des démarrages, d’où les essais de SSD local en RAID 0. Les micro-machines virtuelles ont été explorées puis écartées, Firecracker, Cloud Hypervisor et QEMU imposant un surcoût, une conversion d’images et, pour la première, aucun processeur graphique. Le chantier ouvert en janvier 2024 a livré en octobre Gitpod Flex.
Ce qui reste ouvert dans la pile rachetée
La configuration repose sur devcontainer.json, spécification en libre accès maintenue par Microsoft, qui décrit l’orchestration par image, par Dockerfile ou par Docker Compose, les scripts de cycle de vie, les variables, les montages et des Features réutilisables. L’acquéreur n’achète donc pas un format mais l’implémentation d’un standard ouvert : n’importe quel concurrent repart du même fichier.
Un rattrapage sur une capacité déjà livrée ailleurs
Sur le terrain du code, Claude Code s’est installé comme la référence et capte une large part des usages professionnels ; sur celui de l’agentique, Cowork a donné à Anthropic une longueur d’avance en pilotant fichiers et tâches sans supervision continue. C’est ce double constat que l’acquisition cherche à renverser, en donnant à Codex un endroit où travailler quand personne ne regarde plus.
Les sandbox auto-hébergées et l’implémentation Cloudflare
Trois semaines avant l’annonce, la même brique existait déjà chez le concurrent. Le 19 mai, Cloudflare détaillait l’architecture des agents gérés de Claude : plan de contrôle en Workers, micro-machines virtuelles Linux via Containers, isolats V8 pour absorber des dizaines de milliers d’agents simultanés, Cloudflare Mesh et Workers VPC pour les services privés. La formule résume le partage : découpler le cerveau des mains.
Le compte rendu de la conférence Code w/ Claude tenue à Londres, publié le 26 mai, actait le passage des bacs à sable auto-hébergés en bêta publique et des tunnels MCP en aperçu de recherche. Les outils s’exécutent chez le client ou chez un prestataire, Cloudflare, Daytona, Modal ou Vercel, la boucle d’agent restant chez le fournisseur du modèle. L’écart entre les deux camps n’est pas fonctionnel mais méthodologique : acquisition d’un côté, partenariat de l’autre.
Deux thèses de plateforme avant deux introductions en bourse
Une série de rachats qui converge vers la même équipe
Le rachat n’est pas un cas isolé. Plutôt que de bâtir en interne, l’entreprise de Sam Altman absorbe depuis des mois les briques qui lui manquent, de Software Applications à Torch puis Promptfoo. Le 19 mars 2026, Astral, éditeur des outils Python uv et Ruff, annonçait en termes presque identiques son entrée dans l’équipe Codex. La vaste restructuration interne engagée autour de cet outil trouve là son carburant.
Les ordres de grandeur, remis à jour
Les 30 milliards de dollars de revenus annualisés prêtés à Anthropic face aux 24 milliards de son rival appartiennent déjà au passé d’un côté au moins : le communiqué de la série H situe le revenu en rythme annuel au-delà de 47 milliards dès le début de mai 2026. Le 28 mai, la société bouclait un tour de 65 milliards valorisant l’ensemble 965 milliards après opération.
Les deux laboratoires ont déposé leur dossier d’introduction en bourse à quelques jours d’écart, le second une semaine après le premier, et se livrent une guerre ouverte sur la puissance de calcul, les revenus et les abonnés. Une acquisition de plus pèsera-t-elle dans la lecture que feront les souscripteurs ? La réponse tiendra aux comptes que les prospectus rendront publics.
Ce que recouvrent les autorisations réglementaires habituelles
Le seuil de 400 millions d’euros du droit allemand
La formule rituelle loge la seule inconnue de calendrier, et elle n’est pas neutre pour une cible immatriculée à Kiel. Le Bundeskartellamt doit être saisi dès que le chiffre d’affaires mondial cumulé des parties dépasse 500 millions d’euros et qu’une entreprise réalise plus de 50 millions quand une autre dépasse 17,5 millions en Allemagne, l’examen remontant à Bruxelles au-delà de cinq milliards.
Un second mécanisme, logé au paragraphe 35 de la loi contre les restrictions de concurrence lors de la réforme de juin 2017, prend le relais quand la cible reste sous le seuil allemand tout en y étant active : la notification redevient obligatoire si le prix excède 400 millions d’euros. Le montant n’étant pas divulgué, nul ne peut dire si l’examen durera des semaines ou des mois, ni même s’il aura lieu.
Une acquisition notifiable quand le secteur préfère les licences
Le choix d’une acquisition en bonne et due forme tranche avec le montage devenu dominant. Microsoft a versé 650 millions de dollars de licence à Inflection en mars 2024 et repris l’essentiel de ses équipes sans notifier d’opération, ce qui lui a valu l’attention de la FTC et de l’autorité britannique. Google a procédé de même avec Character.AI puis avec Windsurf, le second après l’échec du rachat négocié par OpenAI.
Kiel, San Francisco et l’agenda de souveraineté européen
Au début du mois de juin, la Commission européenne poussait son volet de souveraineté technologique avec le Cloud and AI Development Act : tripler la capacité européenne de centres de données en cinq à sept ans, simplifier les autorisations, faciliter l’accès à l’énergie et au foncier, réduire la dépendance aux fournisseurs de nuage établis hors de l’Union. Le texte reste une proposition, soumise au Parlement et au Conseil.
Une semaine plus tard, une société immatriculée à Kiel, dont l’argument commercial consistait à laisser données et identifiants chez le client, annonçait son passage sous pavillon américain. La coïncidence ne vaut pas démonstration, mais elle éclaire un angle mort : la capacité matérielle ne dit rien de la propriété des couches logicielles qui décident où s’exécute un agent.
Un agent autonome est un agent que personne ne surveille
L’OWASP GenAI Security Project tient un état des lieux de la sécurité agentique dont la version 2.01 recense 53 projets suivis, parmi lesquels 28 agents de code ; les cinq qui croissent le plus vite sont Claude Code, Gemini CLI, Codex, Cline et Aider. Le déplacement d’une édition à l’autre est instructif : celle de 2025 cataloguait des menaces plausibles, celle de 2026 aligne des CVE et des rapports d’incidents.
L’injection de prompt est reliée à six des dix catégories du Top 10 agentique, pour une raison structurelle : le modèle traite l’invite système, la demande de l’utilisateur et le texte venu d’une source externe comme un seul flux de jetons. De là découle la trifecta létale : un agent devient un vecteur d’exfiltration dès qu’il combine données privées, contenu non fiable et capacité à émettre vers l’extérieur. La règle des deux, proposée par Meta, veut qu’il n’en réunisse jamais plus de deux sans humain.
La démonstration n’est pas théorique. Publiée le 3 décembre 2025 et notée 9,8 sur 10, la faille CVE-2025-66032 tenait à des erreurs d’analyse des commandes shell autour de la variable IFS et des options courtes : elles permettaient de contourner la validation en lecture seule de Claude Code et d’obtenir l’exécution de code arbitraire, à condition d’avoir glissé le contenu voulu dans la fenêtre de contexte.
Ce que l’autonomie coûte, et ce qu’elle rapporte
Un agent qui travaille pendant des jours consomme pendant des jours, et la facture suit une trajectoire que les budgets d’expérimentation n’anticipent pas. Gartner prévoit d’ailleurs l’abandon de plus de 40 % des projets agentiques d’ici la fin de 2027, faute de valeur démontrée, de maîtrise des coûts ou de contrôle des risques.
Le gain de productivité, lui, reste une hypothèse. La seule expérimentation randomisée publiée, conduite par METR et parue le 10 juillet 2025, a suivi seize développeurs chevronnés sur 246 tâches réelles, dans des dépôts qu’ils pratiquaient depuis des années. Le temps de complétion ressort supérieur de 19 % avec les outils d’IA, quand les participants en attendaient un gain de 24 % et croyaient encore, après coup, avoir gagné 20 %.
L’effet sur l’emploi, en revanche, se mesure déjà. À partir des registres du premier gestionnaire de paie américain, Erik Brynjolfsson, Bharat Chandar et Ruyu Chen relevaient le 13 novembre 2025 une baisse relative d’emploi de 16 % chez les 22-25 ans dans les métiers les plus exposés à l’intelligence artificielle, quand les travailleurs plus expérimentés des mêmes professions restaient stables. L’ajustement passe par le gel des embauches.
L’opération se lit à deux niveaux. Sur le papier, OpenAI ajoute à Codex la couche qui lui manquait pour tenir une tâche longue sans machine locale allumée, et dispute à son concurrent un terrain que celui-ci occupait. Dans les faits, il achète une capacité déjà disponible ailleurs, construite en partenariat trois semaines plus tôt par l’autre camp.
Ce que cette acquisition dit aux investisseurs qui liront bientôt deux prospectus tient dans un arbitrage entre acheter un manque et le construire : l’un consomme du capital et du temps d’intégration, l’autre du temps d’ingénierie. La seule inconnue de calendrier tient dans un paragraphe rédigé en 2017 pour les sociétés trop jeunes pour déclencher un contrôle.
Reste l’écart entre la promesse et ce qui est établi : un agent persistant réunit les trois propriétés que la sécurité juge dangereuses et n’a pas démontré qu’il fasse gagner du temps aux développeurs chevronnés, quand le rétrécissement de la porte d’entrée du métier, lui, se mesure. Une infrastructure vendue comme garantie de maîtrise change de main la semaine où Bruxelles veut tripler ses centres de données : où tourne l’agent ne regarde plus les seules directions techniques.
Aller plus loin
Le point de vue de la cible tient dans le billet Ona is joining OpenAI signé le 11 juin par Johannes Landgraf, qui chiffre les sessions d’agents multipliées par treize depuis le début de l’année, nomme les clientèles visées jusqu’à la plus ancienne banque des États-Unis, et rappelle que rien n’est encore clos.
Neuf mois plus tôt, le billet Gitpod is now Ona: your AI software engineer actait le pivot vers l’orchestration d’agents et livrait les chiffres que les reprises déforment : deux millions de développeurs et non de clients, 60 % des demandes de fusion co-signées en interne, 72 % des lignes fusionnées, et les briques Environments, Agents et Guardrails.
Pour comprendre ce qui s’achète réellement, rien ne remplace We’re leaving Kubernetes, où Christian Weichel et Alejandro de Brito Fontes détaillent six années d’échecs à l’échelle d’un million et demi d’utilisateurs : boucles de contrôle CFS maison, PersistentVolumeClaims imprévisibles, SSD local en RAID 0, micro-machines virtuelles écartées.
La couche de configuration, elle, n’appartient à personne : la Development Container Specification documente ce que déclare un fichier devcontainer.json, orchestration par image, par Dockerfile ou par Docker Compose, cycle de vie, variables, montages et Features, standard ouvert maintenu par Microsoft.
Deux semaines avant l’annonce, le compte rendu Code w/ Claude London 2026: Rethinking how we build décrivait les bacs à sable auto-hébergés en bêta publique et les tunnels MCP en aperçu de recherche : outils exécutés chez le client, boucle d’agent chez le fournisseur, aucune règle de pare-feu entrante.
L’architecture concurrente se lit jusqu’aux primitives dans Announcing Claude Managed Agents on Cloudflare, publié le 19 mai : plan de contrôle en Workers, micro-machines virtuelles Linux via Containers, isolats V8 pour absorber des dizaines de milliers d’agents simultanés, Cloudflare Mesh et Workers VPC pour les services privés.
Les chiffres de revenus se corrigent à la source : le communiqué Anthropic raises $65B in Series H funding at $965B post-money valuation date du 28 mai et situe le revenu en rythme annuel au-delà de 47 milliards de dollars dès le début du même mois, loin des trente milliards encore repris ici et là.
Ce que recouvrent les autorisations réglementaires apparaît sur la page Obligation to notify a merger and key aspects of merger control du Bundeskartellamt, avec ses seuils de 500 millions d’euros dans le monde, de 50 et 17,5 millions en Allemagne, et celui de 400 millions en valeur de transaction.
Publiée le jour même de l’annonce, la synthèse Prompt injection still drives most agentic AI security failures in production restitue la version 2.01 de l’état des lieux OWASP : 53 projets suivis dont 28 agents de code, l’injection de prompt liée à six des dix catégories, la trifecta létale et la règle des deux.
Le contrepoint empirique tient dans l’étude Measuring the Impact of Early-2025 AI on Experienced Open-Source Developer Productivity, seul essai randomisé publié sur le sujet : seize développeurs expérimentés, 246 tâches réelles, 19 % de temps en plus avec les outils d’IA quand ils croyaient avoir gagné 20 %.
Lus ensemble, ces documents déplacent la question posée par l’opération. Ce qui s’échange n’est pas une idée neuve mais une compétence rare, longuement payée en ingénierie puis publiée par celui-là même qui la vend ; le format de configuration reste ouvert, l’architecture concurrente est documentée, et le calendrier dépendra d’un paragraphe rédigé neuf ans plus tôt. Demeurent les deux angles morts : la sécurité d’un agent qui tourne sans témoin, et son bénéfice non démontré.