Créer un agent IA sur mesure : le harnais, les outils et la méthode

Un agent IA, c'est un modèle de langage plus un harnais. Le modèle raisonne et rédige. Le harnais fait tout le reste : il fournit les outils, choisit ce que le modèle voit, garde la mémoire, limite les droits, demande une validation humaine, enregistre chaque action et reprend le travail après une panne. À modèle égal, c'est le harnais qui sépare une démonstration d'un agent sur lequel une entreprise peut compter.

Pour en construire un, trois voies existent :

• Partir d'un agent prêt à l'emploi, comme OpenClaw ou Hermes Agent. Idéal pour expérimenter, à garder loin des données sensibles.
• Assembler son harnais avec un framework (une boîte à outils de code qui fournit les pièces de base), comme Mastra, LangGraph ou les kits d'OpenAI et d'Anthropic. C'est la voie du sur mesure.
• S'appuyer sur des briques d'infrastructure, comme celles de NVIDIA, pour isoler l'agent ou faire tourner les modèles chez soi.

Dans tous les cas, la méthode compte plus que l'outil : partir d'un vrai processus, mesurer sur des cas réels, et n'accorder de l'autonomie qu'à mesure que l'agent la mérite.

Le mot vient de l'anglais harness, le harnais qu'on passe à un cheval pour diriger sa force. L'image est juste : le modèle apporte la puissance, le harnais la canalise. En 2026, le terme s'est imposé chez LangChain, Anthropic, OpenAI ou Thoughtworks, avec une définition simple : le harnais regroupe tout le code, la configuration et la logique d'exécution qui ne sont pas le modèle lui-même.

Pourquoi s'y intéresser ? Parce que les écarts mesurés sont spectaculaires.

• Même modèle, 14 points de plus. En février 2026, LangChain a fait passer son agent de 52,8 % à 66,5 % de réussite sur Terminal-Bench 2.0, un banc d'essai de tâches techniques, sans changer de modèle. Seuls ont changé la boucle de vérification, une liste de contrôle avant de rendre le travail et une détection des boucles sans fin.
• Moins d'outils, meilleur résultat. Vercel a remplacé les 17 outils spécialisés de son agent d'analyse de données par un simple accès en ligne de commande à une base bien documentée. Sur un petit jeu de cinq questions, la réussite est passée de 80 % à 100 % et le temps de réponse a été divisé par plus de trois.
• Un harnais complet change la nature du résultat. Anthropic a comparé un même modèle, seul puis entouré de trois agents spécialisés (un planificateur, un développeur et un testeur), sur la création d'une application. Seul : 20 minutes, 9 dollars, et une fonction centrale qui ne marche pas. Avec le harnais : 6 heures, 200 dollars, et une application qui fonctionne.

Ce dernier exemple rappelle l'autre vérité : un bon harnais a un coût. Tout le travail consiste à trouver le juste niveau pour chaque tâche.

Quel que soit l'outil, on retrouve les mêmes pièces :

• La boucle. L'agent lit le résultat de son action, choisit la suivante et s'arrête quand l'objectif est atteint, ou quand il atteint le nombre maximal d'étapes.
• Les outils. Chaque action possible : lire un dossier, chercher un client, créer un brouillon. Peu nombreux, bien décrits, avec des messages d'erreur qui disent comment se corriger.
• Le contexte. Ce que le modèle voit à chaque étape. Trop peu, il devine. Trop, il se perd. Le harnais résume l'historique, range les résultats volumineux dans des fichiers et charge les procédures à la demande.
• La mémoire. Ce qui survit d'une session à l'autre : notes de progression, règles validées, préférences.
• Le bac à sable et les permissions. Où l'agent s'exécute, ce qu'il a le droit de lire, d'écrire et de contacter. Les mots de passe et clés d'accès restent hors de sa portée.
• La validation humaine. Les points où l'agent s'arrête et attend votre feu vert. Imposés par le code, pas par une consigne.
• Les traces. Le journal de chaque appel de modèle et de chaque outil, avec son coût et sa durée.
• Les évaluations. Un jeu de cas réels, rejoué à chaque modification.
• La reprise. L'état sauvegardé à chaque étape, pour repartir après une panne, ou après trois jours d'attente d'une validation.

Birgitta Böckeler, chez Thoughtworks, propose une grille utile pour penser les contrôles. D'un côté, les guides, qui orientent l'agent avant qu'il agisse (consignes, procédures, exemples). De l'autre, les capteurs, qui l'observent après (tests, vérifications, relecture). Et deux natures de contrôle : ceux du code, rapides et fiables, et ceux d'une autre IA, plus souples mais eux-mêmes faillibles. On place toujours les premiers avant les seconds.

Ce sont les deux projets dont tout le monde parle. Ils ont un point commun : ce ne sont pas des pièces pour construire un agent, mais des agents complets, installés sur votre ordinateur ou sur un serveur, que vous pilotez depuis une messagerie.

OpenClaw

Lancé fin 2025 sous le nom de Clawdbot, rebaptisé deux fois début 2026, OpenClaw est devenu l'un des projets open source les plus suivis de l'année (environ 390'000 « étoiles » en octobre 2026, l'équivalent des favoris sur GitHub, la plateforme où se publie le code ; licence MIT). C'est un assistant personnel qui tourne chez vous : une passerelle locale le relie à plus de vingt messageries (WhatsApp, Telegram, Slack, Teams et d'autres), il utilise le modèle de votre choix et s'enrichit de skills (des procédures prêtes à l'emploi) partagées sur un catalogue, ClawHub.

Sa popularité a eu un revers. Fin janvier 2026, une faille notée 8,8 sur 10 permettait de prendre la main sur une installation en un clic. Début février, des chercheurs ont trouvé 341 skills malveillantes sur ClawHub, qui installaient un logiciel de vol de données sur macOS. En avril, le CERT-FR (l'agence française de cybersécurité) a recommandé de ne pas utiliser ce type d'agent de poste de travail en production et de le cantonner à des environnements isolés, sans données sensibles. Microsoft conseille de le traiter comme du code non fiable, sur une machine virtuelle dédiée et jetable.

Le projet a réagi : fondation indépendante depuis juillet 2026 (soutenue notamment par OpenAI, NVIDIA et Microsoft), analyse automatique des skills, audit de sécurité externe, version entreprise. Il reste un formidable terrain d'apprentissage. Mais retenez que, par défaut, ses outils s'exécutent directement sur la machine qui l'héberge.

Hermes Agent

Publié par Nous Research, un laboratoire connu pour ses modèles ouverts, Hermes Agent (licence MIT, environ 257'000 étoiles) vise le même usage : un agent personnel, persistant, joignable par messagerie. Sa particularité est de s'améliorer à l'usage. Il tient deux petits fichiers de mémoire (ce qu'il sait de vous et de votre environnement) et transforme les corrections répétées en skills, au format ouvert. Mieux vaut relire ces skills avant de les garder : une étude de 2026 n'a mesuré aucun gain moyen quand un modèle rédige seul ses propres skills. Hermes accepte presque tous les modèles, des services commerciaux aux modèles qui tournent en local, à condition qu'ils sachent appeler des outils et traiter d'assez longs textes d'un coup.

Sa documentation de sécurité est franche : Hermes est conçu pour un seul utilisateur, et la seule vraie frontière face à un modèle manipulé reste le système d'exploitation. La validation des commandes est un garde-fou, pas un mur. Entre avril et septembre 2026, une quarantaine de vulnérabilités ont été enregistrées à son nom, aucune jugée critique. Le projet évolue très vite (version 0.22 en octobre 2026, des centaines de modifications par version) : parfait pour suivre les dernières avancées, exigeant pour qui doit garantir un service stable.

Ce que j'en retiens

Ces deux outils sont remarquables pour comprendre ce qu'un agent sait faire, et pour des usages personnels ou internes bien isolés. Pour les dossiers d'un client, je ne les utilise pas : il leur manque ce qu'une entreprise exige, à savoir plusieurs utilisateurs avec des droits distincts, une console d'administration, un journal central et une base qui ne change pas chaque semaine.

Quand l'agent doit traiter les dossiers d'une entreprise, la logique change. On ne cherche plus un assistant tout fait, mais une bibliothèque qui fournit les pièces du harnais (boucle, outils, mémoire, pauses, traces) et laisse écrire ce qui est propre au métier.

Mastra

Mastra est un framework TypeScript ouvert (licence Apache 2.0, à l'exception de modules entreprise sous licence propre), sorti en version 1.0 en janvier 2026 et soutenu par une levée de fonds de 22 millions de dollars en avril. Il réunit deux approches qu'on oppose trop souvent : des agents qui choisissent leurs outils, et des workflows aux étapes explicites (enchaînements, branches, traitements en parallèle).

Son atout le plus utile pour une PME : un workflow peut se suspendre en attendant une validation humaine et reprendre plus tard, même après un redémarrage du serveur. S'y ajoutent une mémoire à plusieurs niveaux, des évaluations, des traces au format standard (OpenTelemetry) et une console locale, Studio, pour tester agents et workflows.

Deux points de vigilance, valables bien au-delà de Mastra. D'abord, la télémétrie est active par défaut : la ligne de commande et le serveur envoient des statistiques d'usage (sans le contenu des échanges) vers un service américain. Un simple réglage suffit à la couper. Ensuite, les composants tiers : en juin 2026, selon l'analyse de Microsoft, un pirate a pris le contrôle du compte d'un développeur du projet et publié plus de 140 versions piégées des paquets Mastra. Figer les versions installées et bloquer les scripts qui s'exécutent à l'installation sont des réflexes à prendre pour n'importe quel projet.

Les autres options sérieuses

Le marché s'est structuré en 2026. Chaque grand acteur a son kit, avec un tropisme pour ses propres modèles ou son propre cloud. Le choix dépend surtout du langage de programmation de vos développeurs et de l'endroit où l'agent doit tourner.

NVIDIA ne vend pas d'agent à proprement parler. Il fournit l'infrastructure autour : isoler l'agent, faire tourner des modèles chez soi, mesurer.

• OpenShell (open source, Apache 2.0) donne à chaque agent son bac à sable. Le système contrôle les fichiers accessibles, chaque connexion vers l'extérieur est filtrée selon des règles, et l'agent ne voit jamais les vrais identifiants : ils sont injectés uniquement vers les services autorisés. Tout nouvel accès risqué attend une revue humaine. Le projet est jeune (version 0.1 en octobre 2026) et sa télémétrie est active par défaut, mais l'approche répond au bon problème.
• NemoClaw, présenté en mars 2026, installe OpenClaw, Hermes ou Deep Agents à l'intérieur d'OpenShell, avec des modèles locaux ou un routage vers le cloud. NVIDIA le qualifie lui-même de projet alpha.
• Nemotron est la famille de modèles ouverts de NVIDIA. Certains, comme Nemotron 3.5 Bolt (octobre 2026), sont conçus pour tourner sur une seule carte graphique de 24 Go. Les licences varient d'un modèle à l'autre : à lire avant tout usage commercial.
• NIM livre ces modèles sous forme de services prêts à installer. Gratuit pour le prototypage, il exige une licence NVIDIA AI Enterprise en production, à partir de 4'500 dollars par carte graphique et par an.
• DGX Spark est un ordinateur de bureau doté de 128 Go de mémoire unifiée, capable de faire tourner des modèles d'environ 200 milliards de paramètres. Pour une entreprise qui veut garder ses données dans ses murs, c'est une piste réelle, à condition d'accepter une génération de texte plus lente que dans le cloud.
• Côté mesure, l'outil d'évaluation d'agents de NVIDIA (NeMo Agent Toolkit) a été remplacé en octobre 2026 par de nouvelles briques. Signe que tout l'écosystème bouge encore très vite.

Un agent construit aujourd'hui changera de modèle, peut-être de framework. Quatre standards ouverts limitent la dépendance :

• MCP (Model Context Protocol) branche l'agent sur des outils et des données. Créé par Anthropic, il est géré depuis décembre 2025 par l'Agentic AI Foundation, sous l'égide de la Linux Foundation.
• Agent Skills décrit un savoir-faire dans un dossier contenant un fichier SKILL.md. Le même format sert dans Claude Code, Codex, Hermes et bien d'autres. Je l'explique en détail dans mon article sur Claude Code et Codex.
• AGENTS.md donne à l'agent les consignes d'un projet, dans un simple fichier texte.
• A2A permet à des agents de se déléguer des tâches ; il a rejoint la même fondation en août 2026.

Concrètement : outils exposés en MCP, procédures en skills, mémoire en fichiers lisibles et versionnés. Si un meilleur modèle ou un meilleur framework apparaît demain, vous changez de moteur sans réécrire votre savoir-faire.

Voici la méthode que j'applique. Elle part toujours du travail réel, jamais de l'outil.

1. Choisir un processus et le décrire tel qu'il se pratique. Qui reçoit quoi, quelles décisions, quelles exceptions, quels logiciels. Une demande d'offre, une déclaration de sinistre, une facture fournisseur.
2. Rassembler 20 à 50 cas réels. Tirés de l'historique, avec la réponse attendue. C'est votre banc d'essai : sans lui, impossible de prouver que l'agent progresse.
3. Séparer ce qui est fixe de ce qui demande du jugement. Les étapes connues deviennent un workflow explicite ; le modèle intervient seulement là où il faut comprendre, chercher ou rédiger. J'explique ce partage dans mon article sur la différence entre automatisation et agent IA.
4. Donner peu d'outils, et des outils étroits. La lecture d'abord, l'écriture ensuite. Un outil « créer un brouillon d'offre » vaut mieux qu'un accès complet au logiciel de facturation.
5. Mettre les garde-fous dans le code. Validation humaine avant toute action qui sort de l'entreprise, réponses du modèle vérifiées par rapport à un format attendu, montants recalculés par programme, budget maximal de temps, d'étapes et de tokens (les unités de texte que le modèle lit et facture). Comme le rappelle la documentation d'Anthropic, une consigne donnée au modèle est une demande, pas une garantie : ce qui doit toujours s'appliquer va dans le code.
6. Isoler. Un environnement par client, des sorties réseau limitées à une liste, des identifiants que l'agent ne voit jamais.
7. Choisir une mémoire prudente. Des fichiers lisibles et versionnés, alimentés seulement par des corrections validées. Une mémoire qui retient automatiquement tout ce que l'agent lit peut être empoisonnée par un simple email piégé.
8. Tracer et rejouer. Chaque exécution journalisée (appels, outils, coût, durée), et le jeu de cas rejoué à chaque changement de modèle, de consigne ou d'outil.
9. Prévoir la reprise. L'état sauvegardé à chaque étape, et des outils qui peuvent être relancés sans créer deux fois la même facture.

Un agent performant n'est pas celui qui a le plus d'outils ou le plus gros modèle. Les gains viennent presque toujours de la sobriété.

• Moins d'outils, un contexte propre. Chaque outil ajouté est une décision de plus pour le modèle, chaque page d'historique inutile une source de confusion. L'exemple de Vercel le montre : un accès simple à des données bien documentées bat une panoplie d'outils spécialisés.
• Le bon modèle à la bonne étape. Un petit modèle pour trier, un grand pour rédiger une réponse délicate. Chez Anthropic, en octobre 2026, le million de tokens en entrée coûte de 0,10 à 10 dollars selon le modèle : un rapport de 1 à 100.
• Séparer celui qui fait de celui qui juge. Un modèle relit mal son propre travail. Anthropic obtient de meilleurs résultats avec un évaluateur distinct, qui teste réellement le résultat.
• Réviser le harnais à chaque nouveau modèle. Anthropic le formule ainsi : chaque composant d'un harnais repose sur une hypothèse sur ce que le modèle ne sait pas faire seul. Quand le modèle progresse, certaines pièces deviennent du poids mort. Elles ralentissent l'agent et coûtent des tokens pour rien.

Autonome ne veut pas dire sans contrôle. Des chercheurs de l'Université de Washington proposent de décrire l'autonomie par le rôle laissé à l'humain : opérateur, collaborateur, consultant, approbateur, observateur. Pour une PME, la plupart des agents utiles se situent au niveau « approbateur » : l'agent prépare tout, l'humain valide d'un clic.

Deux repères aident à placer le curseur.

La règle des trois ingrédients. Simon Willison, développeur et auteur d'un blog de référence sur l'IA, l'a formulée en 2025 : un agent qui a accès à des données privées, qui lit des contenus non fiables (un email entrant, une page web) et qui peut envoyer des informations vers l'extérieur peut être manipulé pour faire fuiter ces données. Meta en a tiré une règle pratique : jamais plus de deux de ces trois propriétés dans une même session sans supervision humaine.

La régularité se mesure sur plusieurs essais. Un agent qui réussit 75 % des cas ne réussit trois fois de suite que 42 % du temps. Avant de supprimer une validation humaine, mesurez sur vos cas réels, et plusieurs fois.

L'injection de prompt, ce texte piégé qui détourne un agent, n'est pas un problème résolu : OpenAI a reconnu qu'elle ne le serait probablement jamais complètement. L'autonomie se gagne donc par paliers, action par action. D'abord les actions internes et réversibles, et jamais en premier celles qui engagent l'entreprise vis-à-vis d'un tiers.

La combinaison que je recommande en 2026 ressemble à ceci :

• un moteur de workflows ouvert (Mastra ou LangGraph selon le projet), où les étapes du métier sont écrites noir sur blanc ;
• des modèles hébergés en Suisse par défaut, chez Infomaniak (Qwen, Mistral, Apertus et d'autres), et un modèle de pointe seulement pour les étapes qui le justifient, avec l'accord du client ;
• la télémétrie de chaque brique coupée et un environnement séparé par client ;
• une validation humaine imposée par le code avant tout envoi ;
• une mémoire en fichiers versionnés, des traces conservées en Suisse et un jeu de cas réels rejoué à chaque évolution.

Ce n'est pas la solution la plus spectaculaire. C'est celle qu'on peut expliquer à un client, à sa fiduciaire et au Préposé fédéral à la protection des données et à la transparence. Si vous voulez voir ce que ça donne sur l'un de vos processus, la page Agents IA détaille l'approche, et l'offre IA et automatisation la manière de démarrer.

• LangChain, The Anatomy of an Agent Harness (10 mars 2026) et Improving Deep Agents with harness engineering (17 février 2026)
• Anthropic, Harness design for long-running application development (24 mars 2026) et Demystifying evals for AI agents (9 janvier 2026)
• Birgitta Böckeler, Harness engineering for coding agent users (2 avril 2026)
• Vercel, We removed 80% of our agent's tools (22 décembre 2025)
• Dépôt OpenClaw, NVD, CVE-2026-25253, Koi Security, ClawHavoc (1er février 2026)
• CERT-FR, CERTFR-2026-ACT-016 (13 avril 2026) ; Microsoft, Running OpenClaw safely (19 février 2026)
• Dépôt Hermes Agent et sa politique de sécurité
• Mastra, suspension et reprise des workflows, licence ; Microsoft, analyse de l'incident npm Mastra (17 juin 2026)
• NVIDIA, OpenShell, NemoClaw, Nemotron 3.5 (15 octobre 2026), FAQ NIM
• Linux Foundation, Agentic AI Foundation (9 décembre 2025) ; Agent Skills ; AGENTS.md
• Simon Willison, The lethal trifecta (16 juin 2025) ; Meta, Agents Rule of Two (31 octobre 2025)
• Feng, McDonald et Zhang, Levels of Autonomy for AI Agents (Université de Washington, 2025)
• TechCrunch, OpenAI et l'injection de prompt (22 décembre 2025)