Deux articles sont parus la même semaine et la plupart des gens les liront séparément. L’un parle de licenciements. L’autre parle d’un chercheur en sécurité qui s’intéresse aux cartes mères de serveurs. Lus ensemble, ils indiquent une évolution de carrière dont on parle presque jamais dans les discussions actuelles sur les compétences en IA : descendre, et non monter, dans la pile.

La couche applicative se densifie — à dessein

L’entrée de Meta dans le codage agentique, Muse Code, est remarquable moins par le modèle qui le sous-tend que par le flux de travail qu’il automatise. Zuckerberg a expliqué qu’il se déployait « vers des sous-agents distincts travaillant en parallèle dans des worktrees isolés », affirmant qu’un test avait permis de développer simultanément six fonctionnalités pour un jeu, sans collisions. C’est désormais le strict minimum : Anthropic, OpenAI et une vague de startups proposent déjà des versions de la même chose. Planifier, écrire et valider du code applicatif dans de vastes dépôts devient une capacité banalisée que plusieurs fournisseurs s’empressent d’offrir gratuitement ou d’inclure à bas prix.

Pendant ce temps, Monday.com a supprimé environ 20 % de ses effectifs — soit quelque 600 personnes — en invoquant une restructuration liée à la « transformation » des produits et de la mise sur le marché, rejoignant une liste déjà longue de plus de 20 entreprises qui ont cité l’IA comme facteur dans leurs réductions d’effectifs cette année. Personne ne peut dire précisément quelle part relève d’une substitution par l’IA et quelle part correspond à l’IA utilisée comme formule commode dans un document remis à la SEC. Mais la direction est la même dans les deux cas : le code qui vit dans un dépôt git, est révisé dans une PR et s’exécute dans un pipeline CI classique est précisément celui que les outils agentiques sont conçus pour prendre en charge de bout en bout.

Ce que les agents ne touchent pas

Venons-en à l’autre article. Des chercheurs ont présenté cette semaine des résultats montrant que des milliers de serveurs connectés à Internet, produits par de grands fabricants, peuvent être compromis à distance par des failles dans leurs contrôleurs de gestion de carte mère (BMC) — ces minuscules ordinateurs intégrés à pratiquement toutes les cartes mères d’entreprise, qui permettent aux administrateurs de redémarrer, de corriger ou de réinstaller une machine même lorsqu’elle est éteinte. Certaines des failles sous-jacentes du protocole IPMI sur lequel reposent ces contrôleurs sont connues depuis au moins 2013. Les chercheurs ont qualifié l’infrastructure BMC de « surface d’attaque parallèle omniprésente, insuffisamment surveillée et insuffisamment corrigée » — non pas parce que personne ne connaissait l’existence du risque, mais parce que presque personne ne disposait des ressources nécessaires pour le corriger.

C’est révélateur. Il ne s’agit pas de code applicatif. C’est du micrologiciel, qui exécute son propre système d’exploitation et sa propre pile réseau, largement invisible pour les outils et les flux de travail auxquels les assistants de codage agentiques sont optimisés. Un agent qui planifie une PR sur un vaste dépôt n’a rien sur quoi s’appuyer ici — il n’y a pas de dépôt, pas de suite de tests, souvent aucune incitation du fournisseur à livrer rapidement un correctif, et un processus de mise à jour qui passe par les fabricants de matériel plutôt que par un `git push`. Les compétences qui comptent — C embarqué, débogage au niveau du protocole, rétro-ingénierie de micrologiciels, recherche en sécurité à la frontière du matériel — se situent dans une partie de la pile que les agents de codage actuels ne sont pas conçus pour atteindre et dans laquelle la plupart des organisations d’ingénierie sous-investissent chroniquement, comme le prouvent ces failles connues depuis une décennie.

La réserve, énoncée clairement

Il ne s’agit pas de demander à chaque développeur de se reconvertir en ingénieur firmware — c’est un marché de niche, et la demande ne rivalisera pas avec celle des métiers logiciels généralistes. L’argument est plus limité : si votre poste actuel se situe précisément dans la partie de la pile vers laquelle les outils agentiques convergent le plus rapidement — code applicatif courant, bien à l’intérieur d’un seul dépôt, largement couvert par des tests — il vaut la peine de savoir qu’il existe des couches adjacentes et plus bas niveau où la frontière de l’automatisation n’est pas encore arrivée, où les compétences s’apprennent sans doctorat en informatique et où le signal de demande (une surface d’attaque vieille de dix ans et non corrigée, qui vient d’être publiquement démontrée à grande échelle) est particulièrement concret.

Par où commencer concrètement, ce mois-ci

  • Lisez la recherche originale, pas seulement son résumé. L’article d’Ars Technica nomme le protocole (IPMI) et la catégorie de matériel (les BMC des grands fournisseurs de serveurs) — c’est votre point de départ pour les recherches dans les avis des fournisseurs et l’historique des CVE.
  • Mettez-vous concrètement à une pile BMC ouverte. OpenBMC et des projets de micrologiciels open source similaires vous permettent de lire et de modifier du véritable code BMC sans avoir besoin d’un centre de données — un week-end suffit pour constater à quel point cela diffère du développement web ou applicatif.
  • Reformulez dès maintenant le langage de votre CV, même avant de vous former. « Gestion hors bande », « administration lights-out » et « surface d’attaque sous le système d’exploitation » sont les expressions qui vous permettront d’être trouvé par les équipes qui recrutent dans ce domaine, et elles ne coûtent rien à ajouter si l’expérience est réellement proche de ce que vous avez fait.
  • Considérez cela comme une diversification, pas comme une reconversion. Continuez à livrer du code applicatif — c’est toujours l’essentiel du marché de l’emploi — mais consacrez délibérément une partie de votre budget d’apprentissage à un domaine où un agent ne peut pas encore se déployer dans un worktree et régler le problème à votre place.