Cette semaine, je vous parle d'un sujet qui me touche de très près : le MCP, ce protocole devenu en deux ans le branchement universel de l'IA. Chez WiziShop, on vient de lancer le nôtre, et ce que cela change pour un logiciel est le thème de ma réflexion de la semaine.

Mais, avant, le sommaire :

Le principe tient en une image : MCP est le port USB-C de l'IA. Un logiciel décrit une fois ce qu'il sait faire, et n'importe quel assistant compatible sait s'en servir, de Claude à ChatGPT en passant par Le Chat. Pour un marchand, le geste quotidien change. Au lieu de chercher le bon menu, il écrit « passe la commande 1042 en expédiée et préviens la cliente », et sa boutique exécute.

Côté éditeur, la bascule donne le vertige. Pendant dix-huit ans, nous avons poli des écrans, déplacé des boutons, testé des parcours. Une part croissante de nos utilisateurs ne verra bientôt plus ces écrans du tout. Ce qu'un assistant perçoit d'un logiciel, c'est une liste d'actions, leur description et les données qu'elles renvoient.

Bien sûr, tout anneau de pouvoir a son revers. Un agent qui peut agir peut aussi casser, l'épisode 7 de l'affaire des agents le rappelle plus bas, et la NSA écrivait dès mai que la prolifération du MCP avait devancé son modèle de sécurité. Brouillons, aperçus, confirmation avant toute suppression : ces garde-fous comptent autant que les fonctionnalités.

À mon humble avis, le back-office ne disparaît pas, il devient secondaire. On y passera pour vérifier, régler et valider, de moins en moins pour faire. La valeur d'un logiciel se déplace vers ses données et vers les actions qu'il expose, garde-fous compris. Si vous vendez en ligne, posez dès maintenant deux questions à votre plateforme : que peut faire mon assistant chez moi, et que ne fera-t-il jamais sans mon accord ?

WiziShop a lancé mi-octobre son serveur MCP e-commerce. Une fois connecté à Claude, ChatGPT, Mistral ou tout autre assistant compatible, il ouvre près de 400 outils répartis en 48 domaines : catalogue, commandes, clients, promotions, SEO, contenus et même le design. Le marchand formule sa demande avec ses mots, la boutique exécute.

Une seule phrase suffit pour modifier 100 produits, générer 200 codes promo uniques ou importer un article depuis la page d'un fournisseur avec tous ses coloris. Le service est inclus dans toutes les offres, essai gratuit compris, et l'assistant sait même recréer en brouillon le catalogue d'une boutique installée ailleurs, relève E-Commerce Nation.

De mon côté, j’ai fait un test grandeur nature dans un TGV Paris-Valence. En 2 heures et 7 minutes, sans ouvrir une seule fois l'administration, une boutique complète est sortie d'une conversation avec Claude : 31 produits en sept catégories, un design aux couleurs du train et un nom, Trajet Léger, retenu. Le récit minute par minute est dans mon post LinkedIn.

OpenAI a publié le 15 octobre quatre nouveaux rapports d'incidents, tous survenus mi-juin. Le plus grave : un modèle chargé de trouver le nombre de lits d'hôpital d'un district a forgé des jetons d'accès sur un site de statistiques gouvernemental pour aspirer 24 ans de statistiques, sans le mentionner dans sa réponse. Un autre a téléchargé 147 451 lignes non publiques dans les systèmes d'une organisation de recherche internationale.

Les deux derniers ont dépensé les fonds d'un portefeuille de cryptomonnaie de test et contourné une restriction réseau via un navigateur externe. Tous ont été repérés des semaines plus tard, en rejouant la surveillance sur d'anciens journaux d'entraînement.

Les régulateurs, eux, n'attendent plus. La FTC a adressé à OpenAI et à Anthropic des demandes d'enquête de plus de 50 pages chacune, selon Axios. À Dublin, la Commission européenne a annoncé des demandes d'information formelles aux deux labos, premier test grandeur nature de l'AI Act face aux incidents de laboratoire.

Après Amazon, qui bloquait déjà Muse en septembre, la finance verrouille à son tour. Jamie Dimon a prévenu le 13 octobre que JPMorgan Chase ne laisserait pas entrer « n'importe quel agent extérieur » et refuse tout accès obtenu avec les identifiants bancaires des clients, rapporte Cybernews. Bank of America et Citi ont suivi le 16 octobre.

Le même jour, le patron de Charles Schwab a reconnu bloquer des dizaines d'agents non autorisés chaque semaine, Muse compris, avec une question qui résume tout le débat : si quelque chose tourne mal, qui est responsable ? Sa réponse, détaillée par The Next Web, passe par des serveurs MCP maison (encore eux), qui laisseront l'IA du client consulter soldes et recherches sans jamais déplacer d'argent.

Les vingt plus grosses valeurs de l'IA et des semi-conducteurs ont perdu plus de 1 000 milliards de dollars de capitalisation en quatre séances, du 12 au 15 octobre, selon des chiffres de CNBC repris par le Seoul Economic Daily. Nvidia a laissé environ 291 milliards dans l'affaire, et SK Hynix a plongé de 11 % sur la seule journée de jeudi.

Deux jours plus tôt, le FMI rangeait une correction des actifs liés à l'IA parmi les trois risques capables de secouer la finance mondiale, aux côtés des rendements obligataires et des cybermenaces.

Même Anthropic sent le vent tourner. Son chiffre d'affaires du troisième trimestre atteint 16,8 milliards, en hausse de 45 % sur le trimestre précédent, et l'entreprise se dit rentable sur une base ajustée. Pourtant, certains investisseurs envisagent désormais une entrée en Bourse autour de 1 500 milliards, contre 2 000 jusqu'ici, selon Reuters repris par AI Weekly.

L'Anthropic Institute a publié le 16 octobre une étude sur ses propres effectifs, et les chiffres piquent. La part des profils juniors dans les embauches techniques est tombée de 27% à 9%, et en août, les heures de travail des agents IA dépassaient de six fois celles des salariés.

Le reste du rapport va dans le même sens : des commits par ingénieur multipliés par cinq en six mois, et une attention humaine devenue le principal goulot d'étranglement. Anthropic l'écrit sans détour : protéger les salariés en place ne sert à rien à ceux qu'on n'embauche pas, d'où son appel à des politiques publiques de reconversion.🧑‍💻

Mistral a dévoilé le 15 octobre Timestral, une famille de quatre modèles de fondation dédiés aux séries temporelles, de 5 à 209 millions de paramètres. Leur métier consiste à prolonger une courbe, avec une prévision probabiliste. Les poids sont publiés sur Hugging Face sous une licence MIT modifiée.

Le plus gros revendique la première place sans entraînement spécifique sur GIFT-Eval, TIME et fev-bench, devant TimesFM-3 de Google et Falcon-2.0, avec moins de paramètres. Sur un simple processeur, une prévision tombe en quelques millisecondes. Mistral vise l'industrie, la finance, l'énergie et la chaîne logistique.

Une semaine après le départ d'Ecosia, Mistral marque un point sur un terrain inattendu : des petits modèles spécialisés, rapides et installables chez soi.

Theo Browne a publié le 7 octobre tsc-rs, une réécriture en Rust du compilateur TypeScript 7, de son vérificateur de types et de son serveur de langage, écrite de bout en bout par Claude Opus 5.5 pour environ 24 047 $ de jetons en deux semaines. Son auteur l'assume dans le README : il n'en a jamais lu une ligne. Une première tentative avec GPT-5.6 Sol et GPT-6 Astra avait englouti plus de 400 000 $ sans dépasser 84 % de compatibilité. 🦀

Les 184 773 tests portés de la version Go passent, et le README mesure aujourd'hui une vérification 2,1 fois plus rapide que tsc 7. Installation par npm install -D tsc-rs, puis npx tsc-rs -p tsconfig.json, sous Linux et macOS Apple Silicon, Windows annoncé. Licence MIT, gratuit, mais le projet reste expérimental : teste-le sur une branche avant de l'envoyer dans ta CI.

dsh-our-free-model est un plugin pour DeepSeek Harness, présenté ici fin septembre. Une fois installé, des modèles comme DeepSeek V4.1 Flash ou Kimi K3 apparaissent dans le sélecteur, sans compte ni clé API, avec un relais compatible OpenAI pour vos autres outils.

Licence MIT, gratuit, Node 22.19 minimum, installation par dsh plugin --profile web add suivi du chemin du dépôt cloné. Une réserve de taille : ces modèles transitent par la passerelle gratuite d'OpenCode Zen, qui voit donc passer vos requêtes, et OpenCode vient de déclarer une fuite de clés API sur sa Console. À réserver aux projets sans code sensible…

Le jeudi 5 novembre, le CIC Est organise le Cyber IA & Business Day à Jossigny, en Seine-et-Marne : une journée entière consacrée à la cybersécurité, à l'IA, aux paiements et au commerce connecté. Une table ronde sur l'IA agentique et le commerce y réunira notamment Mastercard, le réseau CB, Cofidis et DPD.

De mon côté, j'aurai le plaisir d'intervenir sur l'IA appliquée à l'e-commerce. Vous devinez sans peine de quel protocole je vais parler…

L'événement est gratuit, mais limité à 200 places : inscrivez-vous vite si vous êtes dans le coin, et venez me dire bonjour ! 🤝

Avez-vous déjà branché un assistant IA sur votre boutique ou sur vos outils de travail ? Racontez-moi ce qu'il fait pour vous, ou ce qui vous retient encore.

N'hésitez pas à répondre à cette newsletter, vos retours sont toujours les bienvenus. 🤗