Andrew Ng a publie OpenWorker le 23 juillet, un agent de bureau sous licence MIT desormais en beta ouverte dont le cadrage marque une rupture modeste mais reelle. On ne lui ecrit pas une consigne, on lui donne un resultat : un document soigne, une reponse qui contient les vrais chiffres, un agenda mis a jour, une boite de reception triee. Il decoupe le resultat en etapes, travaille sur les fichiers locaux et les applications connectees, et revient demander avant toute action consequente. Ng parle d'un collegue plutot que d'un agent conversationnel, et le produit est construit pour que ce soit plus qu'un slogan.

Il est local d'abord au sens strict. La boucle de l'agent, les conversations, les jetons des connecteurs et les cles d'API des modeles vivent tous sur la machine de l'utilisateur. La pile est une coquille de bureau Tauri 2 et React 18 posee sur un serveur Python FastAPI ecoutant sur 127.0.0.1:8765, avec des tours plafonnes a 12 iterations. Un routeur de modeles agnostique bati sur aisuite propose une trentaine de modeles selectionnes que l'on pilote avec ses propres cles d'API, ou des modeles entierement locaux via Ollama. Environ 25 connecteurs sont livres avec, dont GitHub, Slack, Jira, Notion, Linear et HubSpot, en plus de l'acces au terminal et aux fichiers locaux.

La partie qui merite l'etude est le modele de permissions. Chaque appel d'outil est classe dans l'une de quatre categories de risque avant execution : read, sans effet de bord, write_local, qui modifie l'espace de travail et reste limite a un chemin, exec, qui lance des commandes, et external, dont les effets sortent de la machine. Cinq modes se posent par-dessus. Discuss et plan sont en lecture seule, interactive est le defaut et demande confirmation avant les ecritures et les appels externes, auto autorise tout a l'interieur de la limite de chemin, et custom approuve automatiquement une liste blanche definie par l'utilisateur. Les commandes shell exigent toujours une approbation, quel que soit le mode.

La meilleure decision de conception est ce que le mode sans surveillance ne fait pas. Il n'augmente pas l'autonomie de l'agent. Il redirige les approbations vers une boite de reception et suspend la session jusqu'a ce qu'un humain reponde. La plupart des agents de bureau traitent sans surveillance comme un synonyme de digne de confiance, ce qui convertit discretement personne ne regarde en tu peux en faire plus. Garder ces deux idees separees, c'est l'essentiel de la difference entre un agent qu'on peut laisser tourner et un agent qu'on ne devrait pas.

C'est ce qui en fait plus qu'une entree de plus dans une categorie encombree. Les agents de bureau sortent depuis un an avec des recits de securite qui se resument a une boite de dialogue de confirmation vissee sur l'interface. Typer le risque a la couche des outils, avant que l'appel ne parte, est structurel plutot que cosmetique, et une licence MIT signifie que le motif peut etre lu et copie plutot qu'admire de l'exterieur. Venant de quelqu'un dont la portee est passee par l'enseignement, c'est probablement le but.