La plupart des discussions actuelles sur l’IA et l’emploi portent sur la couche visible : qui écrit le code, qui donne les instructions au modèle, qui sera licencié lorsqu’un chatbot pourra produire la première version. Enfouie dans l’actualité de cette semaine se trouve une histoire concernant une couche que personne, dans cette conversation, ne regarde — et elle mérite précisément votre attention parce que presque personne ne se dispute les compétences qu’elle récompense.

Un bug présent depuis 2013

Cette semaine, des chercheurs en sécurité ont expliqué en détail comment des milliers de serveurs connectés à Internet, provenant de grands fabricants, peuvent être dotés à distance d’une porte dérobée via leurs contrôleurs de gestion de carte mère, ou BMC — ces petits ordinateurs séparés intégrés à pratiquement toutes les cartes mères de serveurs d’entreprise, qui exécutent leur propre système d’exploitation, leur propre pile réseau et leur propre adresse IP, indépendamment de ce qui se passe sur la machine principale (Ars Technica). Les BMC permettent au personnel informatique de redémarrer, de réinstaller l’image système ou de surveiller un serveur à distance, même lorsqu’il est éteint ou totalement non réactif — une gestion « lights out » véritablement utile. Le problème, selon les chercheurs, est que le protocole sous-jacent est considéré comme une cible facile depuis au moins 2013, et que certaines des vulnérabilités actuellement exploitées ont plus de dix ans. Ars le décrit comme une « surface d’attaque parallèle omniprésente, insuffisamment surveillée et insuffisamment corrigée » — pas une nouvelle faille, mais une ancienne qui a été discrètement ignorée parce qu’elle se situe en dessous du niveau où se concentrent l’essentiel de l’attention portée aux logiciels et à la sécurité.

Le codage agentique va bientôt amplifier tout cela, plus rapidement

La même semaine, Meta a lancé Muse Code, un agent de codage fonctionnant dans un terminal, qui rejoint Claude Code, Codex et un domaine en pleine expansion de frameworks capables d’écrire et de déployer des logiciels avec une intervention humaine minimale (TechCrunch). La propre description qu’en donne Zuckerberg est révélatrice : pour une tâche suffisamment importante, l’outil se divise en plusieurs sous-agents travaillant en parallèle, dans des worktrees isolés, afin de développer plusieurs fonctionnalités simultanément. C’est un véritable gain de productivité. C’est aussi, structurellement, davantage d’infrastructure mise en place, configurée et déployée par unité d’attention humaine qu’à aucun autre moment auparavant — davantage d’instances cloud, davantage d’environnements de test, davantage de serveurs provisionnés rapidement par des personnes qui ne toucheront peut-être jamais à un paramètre BMC ni ne liront un journal des modifications du firmware. Les outils agentiques sont très performants pour écrire l’application. Ils n’ont aucun avis sur le fait que la puce de gestion hors bande sous-jacente à cette application utilise un firmware vieux de six ans.

Rien de tout cela ne signifie que les outils de codage agentique sont intrinsèquement peu sûrs — c’est une question distincte de celle posée dans l’article d’Ars Technica. Le point est plus limité : le volume d’infrastructure créée augmente plus vite que la discipline peu glamour consistant à corriger la couche physique sous-jacente, et cet écart ne se résorbe pas de lui-même simplement parce que le code situé au-dessus est devenu plus intelligent.

Pourquoi il s’agit d’un signal de carrière, et pas seulement d’une histoire de sécurité

Mettez cela en regard des licenciements qui continuent de traverser le secteur — la réduction d’environ 20 % des effectifs de Monday.com cette semaine, explicitement liée à une restructuration pilotée par l’IA, rejoint une liste croissante d’entreprises citant l’IA dans leurs suppressions de postes (TechCrunch). Il vaut la peine d’être honnête sur ce que nous ignorons ici : aucun de ces dépôts ne ventile les licenciements par fonction, donc il n’existe pas de données nettes indiquant que « les postes dans la sécurité et l’infrastructure sont épargnés ». Ce serait aller trop loin. Ce que l’on peut affirmer avec davantage de confiance est d’ordre structurel, et non statistique : les postes automatisés le plus rapidement sont ceux dont le produit du travail est du texte, du code ou une interaction client qu’un LLM peut reproduire approximativement. La sécurité physique et au niveau du firmware — savoir ce qu’est un BMC, comment fonctionnent IPMI et ses successeurs, comment auditer l’accès à la gestion hors bande, comment déployer un correctif de firmware sur un parc sans en rendre la moitié inutilisable — se situe plus près de la machine que du modèle. Il ne s’agit pas manifestement d’une tâche vers laquelle les agents d’IA actuels se tournent, et elle ne devient pas plus facile à automatiser simplement parce que la couche logicielle supérieure le devient.

Ce qu’il faut réellement en faire

Vous n’avez pas besoin de devenir ingénieur firmware pour agir en conséquence. Voici quelques mesures vérifiables :

  • Demandez, ne supposez pas. Si vous travaillez dans l’informatique, les plateformes ou la sécurité d’une entreprise qui exploite ses propres serveurs (et qui n’est pas entièrement dans le cloud), demandez si le firmware des BMC fait au moins l’objet d’un cycle de correctifs. De nombreuses organisations ne connaissent réellement pas la réponse.
  • Apprenez le vocabulaire, pas seulement le gros titre. BMC, IPMI, Redfish, gestion hors bande — ce sont des concepts faciles à rechercher et bien documentés, et les comprendre vous place devant la plupart des personnes dont le développement de compétences à l’ère de l’IA s’est entièrement orienté vers les prompts et les agents.
  • Observez ce que les outils de codage agentique ne couvrent pas. À mesure que vous-même ou votre équipe adoptez des outils comme Muse Code ou Claude Code pour des tâches proches de l’infrastructure, demandez explicitement ce qui est hors périmètre — cibles de déploiement, firmware, contrôles d’accès physiques — et considérez cet écart comme un domaine où développer votre expertise plutôt que comme une omission à ignorer.
  • N’en faites pas trop. Il s’agit d’un créneau plausible parmi plusieurs, et non d’un refuge garanti. Considérez-le comme une couverture qui mérite d’être étudiée, pas comme une réorientation de carrière à entreprendre sur la foi d’un seul article d’Ars Technica.

La leçon plus générale dépasse les BMC en particulier : à mesure que l’IA devient meilleure dans les logiciels que les gens peuvent voir, la valeur plus difficile à automatiser se situe de plus en plus dans les couches physiques et opérationnelles sous-jacentes — les éléments qui n’apparaissent pas dans une démonstration. C’est un pari plus ciblé que « apprenez à créer des prompts », mais il est actuellement moins nombreux à le faire.