Visez bas : les métiers de la couche sous l’IA

Le signal de carrière le plus intéressant de cette semaine ne se trouvait pas dans le lancement d’un produit. Il se trouvait dans la divulgation d’une faille de sécurité concernant les cartes mères. Des chercheurs présentant de nouveaux résultats ont montré que les contrôleurs de gestion de la carte mère — ces petits ordinateurs séparés intégrés aux cartes mères de la plupart des serveurs d’entreprise, dotés de leur propre système d’exploitation et de leur propre pile réseau afin que les administrateurs puissent redémarrer ou réinstaller une machine même lorsqu’elle est éteinte — peuvent être dotés d’une porte dérobée à distance au moyen de failles qui, dans certains cas, étaient présentes depuis plus de dix ans. Une formulation employée par l’un des chercheurs m’est restée en tête : une « surface d’attaque parallèle omniprésente, insuffisamment surveillée et insuffisamment corrigée ». Cette phrase décrit en réalité une opportunité de carrière qui se cache au vu et au su de tous, et qui mérite d’être examinée sous toutes ses facettes par quiconque réfléchit à sa prochaine étape dans ce marché.

Ce qui a réellement été exposé

Les BMC existent précisément parce qu’ils opèrent en dehors des systèmes auxquels tout le monde prête attention. Ils constituent la couche « lights out » — accessible et puissante même lorsque le système d’exploitation qui la surplombe ne répond plus ou que la machine est éteinte. C’est exactement ce qui les rend dangereux lorsqu’ils sont négligés : une flotte de milliers de serveurs des plus grands fabricants, exécutant des micrologiciels que personne n’a examinés de près depuis leur livraison. Personne n’a développé d’application élégante par-dessus un BMC. La présentation d’aucune journée de démonstration ne disait : « nous corrigeons IPMI ». C’est, presque par définition, la couche la moins glamour de la pile — et c’est précisément pour cela qu’elle s’est dégradée.

Le schéma sous-jacent au schéma

Mettez cette histoire à côté de deux autres de la même actualité, et une tendance se dessine. Le nouvel agent de codage dans le terminal de Meta, Muse Code, distribue ses propres sous-agents pour écrire et valider du code en parallèle dans de vastes dépôts — l’exemple donné par Zuckerberg lui-même consistait à créer six fonctionnalités simultanément. Google a reconstruit sa barre de recherche pour la première fois en 25 ans, en réunissant AI Overviews et AI Mode dans un point d’entrée conversationnel unique qui accepte du texte, des images, des PDF et de la vidéo. Ces deux initiatives injectent davantage d’investissement, d’effectifs et d’attention produit tout en haut de la pile : l’interface, la requête, le code que l’utilisateur ou l’agent touche directement.

Pendant ce temps, lorsque Monday.com a invoqué l’IA pour justifier sa restructuration et la réduction d’environ 20 % de ses effectifs ce mois-ci, le document déposé auprès de la SEC citait spécifiquement « product, marketing, and go-to-market » comme les fonctions transformées — la couche de l’organigramme tournée vers le client, les résultats et les invites. Ce n’est pas tant une coïncidence qu’une direction générale : les capitaux et l’automatisation se concentrent tous deux en haut de la pile, là où se trouve l’utilisateur, là où se trouve la démonstration, là où le LLM peut générer directement l’artefact. Le socle sous-jacent — l’infrastructure physique et semi-physique qui doit continuer à fonctionner quel que soit l’agent ou le modèle à la mode ce trimestre — reçoit comparativement moins d’attention, et non davantage, alors même que le volume de code et de trafic qui s’exécute au-dessus continue de croître.

Pourquoi le socle se comporte différemment

Il ne s’agit pas de dire que le travail sur le matériel et l’infrastructure est « à l’épreuve de l’IA » — rien ne l’est, et je me méfierais fortement de quiconque vous vend une forteresse permanente. Mais il se comporte différemment de trois façons qu’il vaut la peine d’énoncer clairement. Premièrement, il est hétérogène et spécifique à chaque fournisseur, d’une manière qui résiste aux données d’entraînement propres et à la généralisation qui rendent les agents de codage performants pour, disons, une refactorisation Python — une faille dans le micrologiciel d’un BMC d’un fabricant ne se transpose pas proprement à celui d’un autre. Deuxièmement, sa correction exige généralement un jugement ancré dans le monde physique — coordonner des fenêtres de maintenance, vérifier la provenance du micrologiciel, décider si un correctif généralisé peut être déployé hors bande en toute sécurité — auquel un agent autonome peut contribuer, mais que les organisations hésitent pour l’instant à lui confier sans supervision, précisément parce que le scénario d’échec est celui d’un « serveur doté d’une porte dérobée qui le reste même après une réinstallation ». Troisièmement, et plus simplement : moins de personnes choisissent de se spécialiser dans ce domaine. La sécurité des micrologiciels et des infrastructures bas niveau souffre d’une pénurie de talents depuis des années, bien avant cette vague d’inquiétude liée au recrutement dans l’IA, parce qu’elle est plus lente, moins facile à montrer en démonstration et moins à la mode que la livraison d’une fonctionnalité.

Ce qu’il faut réellement en faire

Je ne dis pas à chaque lecteur de devenir ingénieur micrologiciel d’ici vendredi. Mais si vous travaillez déjà à proximité de l’infrastructure, de la sécurité ou de l’ingénierie de plateforme, prenez cela comme une invitation à approfondir plutôt qu’à vous précipiter vers la couche dans laquelle tout le monde s’engouffre :

• Familiarisez-vous avec le vocabulaire, même si vous n’êtes pas spécialiste : BMC, IPMI, Redfish, gestion hors bande, attestation des micrologiciels de la chaîne d’approvisionnement. Vous n’avez pas besoin d’être expert pour être la personne de l’équipe qui sait que cette couche existe et qui pose des questions à son sujet.
• Si vous travaillez dans la sécurité et vous orientez vers le « red teaming de l’IA » parce que c’est le sous-domaine en vogue, sachez que c’est aussi le plus encombré à l’heure actuelle. L’infrastructure non corrigée et non surveillée sous-jacente à la pile d’IA de votre entreprise constitue une surface de risque réellement insuffisamment couverte et une ligne distinctive sur un CV.
• Si vous occupez un poste dans les fonctions produit, marketing ou go-to-market qui vous semble exposé — les fonctions effectivement citées dans les documents de licenciement de ce mois-ci — les rôles liés à l’infrastructure et à la fiabilité des plateformes constituent une véritable mobilité latérale, et non une rétrogradation. L’écart de compétences est réel, et se mesure en années de patience institutionnelle, pas en une formation intensive de six semaines.
• Ne confondez pas « ennuyeux » et « sûr pour toujours ». Il s’agit d’un pari sur une pénurie relative, lié à l’endroit où se concentrent l’attention et les effectifs cette année, et non d’une garantie permanente. Continuez à observer la direction que prendront les investissements.

La leçon à tirer de la réapparition en 2026 d’une faille vieille de dix ans dans une carte mère ne concerne pas vraiment les BMC. Elle est que les éléments de la pile qui n’enthousiasment personne sont précisément ceux qui accumulent discrètement les risques — et, pour quiconque est prêt à s’y aventurer, accumulent aussi discrètement de la valeur.