Cette semaine, GitHub permet de verrouiller ses workflows Actions avec un lockfile, Meta publie Muse Spark Open et Jev 1.14 apprend à lire les images. Le lockfile est le seul à voir tout de suite.
À retenir
- Verrouille tes actions GitHub sur des commits, pas sur des tags.
- Muse Spark Open est open weight, pas open source : lis la licence.
- Jev 1.14 lit les images, mais reste en preview.
Cette semaine
Meta publie Muse Spark Open, son modèle open weight pour le code
research.meta.aiÀ suivre
Ce qui s'est passé. Meta publie les poids de Muse Spark Open, un modèle de 816 milliards de paramètres dont 42 milliards actifs, avec 1M de tokens de contexte. Il accepte en entrée du texte, des images, de la vidéo et de l'audio, et répond en texte. Les poids sont sur Hugging Face, sur demande d'accès. Le modèle est aussi disponible en API chez OpenRouter, Groq, Together AI et d'autres. En local, Meta vise deux Mac Studio M5 Ultra avec MLX.
Impact pour les développeurs. 42 milliards de paramètres actifs, c'est le principe d'un modèle MoE (Mixture of Experts) : seule une partie des poids travaille pour chaque token. Ça réduit le calcul, mais pas la mémoire, puisqu'il faut quand même charger tout le modèle (700 Go de VRAM minimum en NVFP4). Open weight ne veut pas dire open source. La licence impose d'afficher « Built with Muse Spark Open » et exige un accord séparé au-delà de 20 M$ de chiffre d'affaires pour revendre l'accès en API.
Notre avis. À suivre. Teste-le en API, pas en local. Les benchmarks viennent surtout de Meta, attends des mesures indépendantes.
Les workflows GitHub Actions ont enfin leur lockfile
github.blogIncontournable
Ce qui s'est passé. GitHub ouvre en preview publique un fichier `.github/workflows/actions.lock`. Il fige chaque action, ses deps et les workflows réutilisables sur un commit précis. Le fichier se génère avec l'extension `gh actions-lock`, un mode check vérifie en CI qu'il est à jour, et Dependabot le met à jour quand il fait monter la version d'une action. La preview est ouverte au plan Free.
Impact pour les développeurs. `uses: some/action@v4` pointe vers un tag, et un tag peut bouger du jour au lendemain. C'est la faille qu'ont exploitée plusieurs attaques supply chain sur Actions. Le lockfile applique à ta CI la logique de `package-lock.json`. GitHub précise que verrouiller ne prouve pas qu'une dépendance est sûre : relis-la avant de la figer.
Notre avis. À apprendre. Cinq minutes sur un repo perso.
Jev 1.14 apprend à lire les images
typesafe.aiÀ suivre
Ce qui s'est passé. TypeSafe AI publie Jev 1.14 en preview. Jev ne génère pas de texte libre : il répond à des questions typées (un choix, un score) avec une valeur, des probabilités et un niveau de confiance. Cette version met en avant l'entrée image (PNG ou JPEG) et ajoute un type `box` qui renvoie un rectangle englobant dans l'image. Elle ajoute aussi un mode long contexte qui passe de 64k à 262k tokens. Le modèle est accessible uniquement par API, sans poids publics.
Impact pour les développeurs. Pour une décision dans ton code (« ce ticket est-il urgent ? », « cette photo montre-t-elle un reçu ? »), tu récupères une valeur typée au lieu de parser une réponse en texte. Mais TypeSafe dit lui-même que ces fonctions ne sont pas prêtes pour la prod. Par exemple, `box` renvoie toujours des coordonnées, même quand l'objet est absent de l'image.
Notre avis. À suivre. L'idée d'un modèle qui renvoie un type plutôt que du texte mérite un test, mais pas en prod avant la fin de la preview.
Outils
context-modeÀ suivre
Un serveur MCP qui exécute les commandes en sandbox pour que seul le résultat entre dans le contexte de ton agent. Attention, la licence est l'Elastic 2.0, donc ce n'est pas de l'open source.
reaIncontournable
Un serveur MCP qui met les agents IA au travail sur du reverse engineering (binaires, APK, WASM), seulement sur du code que tu as le droit d'analyser. La plus grosse dinguerie qu'on a vu emerger cette semaine.