dimanche 16 août 2026

Digest court

Week-end calme côté framework : aucun tag Angular publié depuis 22.2.0-next.2 du 13 août, déjà traité ici le 14. Le blog officiel n'a sorti qu'un récap communautaire le 14 août. Le vrai mouvement de la semaine vient de l'outillage de test front : Expedia Group a ouvert mockql-rs, un CLI Rust qui remplit à la volée les champs GraphQL annotés @mock avec des données générées par un LLM. C'est la troisième tentative publique en six mois sur le même problème, après le @generateMock d'Airbnb en avril et une RFC de la GraphQL Foundation ouverte en février. Les trois designs divergent, et deux d'entre eux emploient le même nom de directive pour des sémantiques incompatibles.

Top 1 — Les fixtures de test générées par modèle

• mockql-rs (Expedia Group) : proxy autonome entre client et serveur, écrit en Rust, sous licence open source.
• Directive @mock(hint: "...") : tu annotes le champ dont le resolver n'existe pas encore, le reste part vraiment en amont.
• @generateMock (Airbnb) : même intention mais au build, via la codegen Niobe, avec fichier JSON et accesseurs typés.
• RFC GraphQL Foundation : @mock posé sur l'opération et non le champ, mocks stockés dans __graphql_mocks__, zéro requête réseau.
• Statut Stage 0 : la RFC est un strawman sans champion — standardiser sur @mock aujourd'hui, c'est parier sur une lecture propriétaire.

Top 2 — Sur le radar

• Angular 22.2.0-next.2 : toujours la dernière préversion publiée, pas de next.3 ce week-end.
• npm 12 : scripts d'installation désactivés par défaut — vérifie tes pipelines Angular CLI si ce n'est pas déjà fait.

→ Analyse complète : 2026-08-16_detail.md

Digest court

Rien de neuf en 48 h sur l'écosystème .NET. Le blog .NET n'a rien publié depuis le 13 août — « Routing and Failover for Microsoft.Extensions.AI », déjà décortiqué ici le 15. Rx.NET 7.0 et le scindage des intégrations UI Windows ont eux aussi été traités hier. Aucune préversion, aucun bulletin de sécurité, aucune release EF Core depuis. Journée honnêtement creuse : pas de _detail.md aujourd'hui, tu ne rates rien.

Top 1 — État du cycle .NET

• .NET 11 Preview 7 : toujours la dernière préversion publiée (11 août), CLI en NativeAOT et serveur MSBuild par défaut.
• Rx.NET 7.0 : WPF, WinForms, UWP et Windows Runtime sortis de System.Reactive — migration à planifier si tu es en self-contained.
• Microsoft.Extensions.AI 10.9.0 : RoutingChatClient et FailoverChatClient disponibles, rien de nouveau depuis.

Top 2 — Échéances à ne pas rater

• 1er novembre 2026 : toutes les anciennes clés API NuGet.org expirent. Les nouvelles plafonnent à 30 jours — automatise la rotation dans ta CI avant cette date.
• 10 novembre 2026 : .NET 11 GA, en Standard Term Support. EF Core 11 sort dans la même fenêtre.

Digest court

Hugging Face a publié son bilan semestriel du Hub, et les chiffres démontent plusieurs intuitions confortables. Sur presque chaque mois de 2026, le plus gros modèle ouvert d'un labo chinois dépasse tout ce qu'un labo américain a sorti de son côté. Mieux : les licences les plus permissives sont sur les plus gros modèles, pas l'inverse. Et pour la première fois, les agents sont mesurables comme utilisateurs du Hub — Claude Code pesait 44,4 % du trafic agent en juillet après 6,4 % en mai. En parallèle, DeepSeek a ouvert son propre runtime d'agents, où littéralement tout est un plugin, y compris la boucle d'agent.

Top 1 — State of Open Models, été 2026 (Hugging Face)

• Plafond chinois : de 754 Md à 2,78 T de paramètres par mois ; côté américain, sous 130 Md cinq mois sur sept.
• Licences : sur 178 sorties chinoises > 20 Md, 59 % Apache 2.0, 22 % MIT, zéro clause non commerciale.
• Attention ≠ adoption : un seul dépôt commun entre le top 25 des téléchargements et le top 25 des likes.
• Qwen socle communautaire : 151 448 dérivés sur le Hub, 2,6× l'empreinte Meta, +180 à 210 dépôts par jour.
• Couche runtime : dépôts déclarant gguf +464 %, mlx +148 %, contre +16 % pour transformers.

Top 2 — DeepSeek Harness

• MIT, Node.js, preview : plus de 33 000 étoiles GitHub en quelques heures.
• « Everything is a plugin » : adaptateur de modèle, registre d'outils, log de session et boucle d'agent sont tous remplaçables.
• Quatre presets : Standard, Minimal (deux outils), Code (SDK TypeScript généré) et Creator.
• Journal append-only : resume, fork, replay, transcripts et UI web dérivent tous du même flux d'événements.
• Sandbox : Landlock sur Linux, Seatbelt sur macOS, jeton restreint par ACL sur Windows.

→ Analyse complète : 2026-08-16_detail.md

Digest court

Deux sujets d'infrastructure ce week-end, et ils posent la même question sous deux angles : comment prouver ce qui s'est passé. AWS documente ECR Managed Signing, qui déplace la signature d'images du poste de développeur vers le registre, en ne te donnant jamais la clé privée. Cloudflare, de son côté, ouvre l'agent tracing : des spans dédiés aux invocations d'agent, appels de modèle, exécutions d'outil et approbations, avec une date de facturation au 1er octobre. Les deux rappellent la même limite : un artefact ou une trace ne vaut que par ce que l'on peut en vérifier, et les deux documentations sont explicites sur ce qu'elles ne garantissent pas.

Top 1 — Signature d'images au niveau du registre

• Amazon ECR Managed Signing : jusqu'à dix règles de signature par registre, chaque push correspondant est signé automatiquement.
• Custody résolue par l'absence : AWS Signer garde certificat et clé privée — aucune clé dans un dépôt, un runner ou un log de build.
• Ce qui est signé : un payload Notary décrivant le manifeste (type, digest, taille), pas les octets de l'image.
• Signature asynchrone : le push commit d'abord, ECR appelle SignPayload après — pas de latence de signature devant tes pipelines.
• Sans enforcement, rien ne change : Kyverno ou Gatekeeper + Ratify bloquent à l'admission, la trust policy est le vrai document.

Top 2 — Cloudflare agent tracing

• Spans agent : invoke_agent → chat → execute_tool → tool_approval, un trace par tour, sous-agents imbriqués.
• Conventions OpenTelemetry GenAI : export vers n'importe quel endpoint OTLP, mais Workers ne supporte pas encore l'API OTel directement.
• Défauts de confidentialité incohérents : Think ne stocke rien sans storeMessages, Flue stocke tout sauf content: false.
• Pas un journal d'audit : la doc dit que les traces ne sont ni complètes ni sans perte, et que les payloads sont tronqués.
• 1er octobre 2026 : chaque span devient un événement facturable, y compris les spans internes que le dashboard n'affiche pas.

Sur le radar

• PGSimCity : Nikolay Samokhvalov a publié un simulateur 3D dans le navigateur qui visualise les mécanismes internes de PostgreSQL. Outil pédagogique open source, à regarder si tu formes des juniors sur l'exécution des requêtes.

→ Analyse complète : 2026-08-16_detail.md