Andrew Ng a publié OpenWorker le 23 juillet, un agent de bureau sous licence MIT désormais en bêta ouverte dont le cadrage marque une rupture modeste mais réelle. On ne lui écrit pas une consigne, on lui donne un résultat : un document soigné, une réponse qui contient les vrais chiffres, un agenda mis à jour, une boîte de réception triée. Il découpe le résultat en étapes, travaille sur les fichiers locaux et les applications connectées, et revient demander avant toute action conséquente. Ng parle d'un collègue plutôt que d'un agent conversationnel, et le produit est construit pour que ce soit plus qu'un slogan.

Il est local d'abord au sens strict. La boucle de l'agent, les conversations, les jetons des connecteurs et les clés d'API des modèles vivent tous sur la machine de l'utilisateur. La pile est une coquille de bureau Tauri 2 et React 18 posée sur un serveur Python FastAPI écoutant sur 127.0.0.1:8765, avec des tours plafonnes à 12 itérations. Un routeur de modèles agnostique bâti sur aisuite propose une trentaine de modèles sélectionnés que l'on pilote avec ses propres clés d'API, ou des modèles entièrement locaux via Ollama. Environ 25 connecteurs sont livrés avec, dont GitHub, Slack, Jira, Notion, Linear et HubSpot, en plus de l'accès au terminal et aux fichiers locaux.

La partie qui mérite l'étude est le modèle de permissions. Chaque appel d'outil est classé dans l'une de quatre catégories de risque avant exécution : read, sans effet de bord, write_local, qui modifie l'espace de travail et reste limité à un chemin, exec, qui lance des commandes, et external, dont les effets sortent de la machine. Cinq modes se posent par-dessus. Discuss et plan sont en lecture seule, interactive est le défaut et demande confirmation avant les écritures et les appels externes, auto autorise tout à l'intérieur de la limite de chemin, et custom approuve automatiquement une liste blanche définie par l'utilisateur. Les commandes shell exigent toujours une approbation, quel que soit le mode.

La meilleure décision de conception est ce que le mode sans surveillance ne fait pas. Il n'augmente pas l'autonomie de l'agent. Il redirige les approbations vers une boîte de réception et suspend la session jusqu'à ce qu'un humain réponde. La plupart des agents de bureau traitent sans surveillance comme un synonyme de digne de confiance, ce qui convertit discrètement personne ne regarde en tu peux en faire plus. Garder ces deux idées séparées, c'est l'essentiel de la différence entre un agent qu'on peut laisser tourner et un agent qu'on ne devrait pas.

C'est ce qui en fait plus qu'une entrée de plus dans une catégorie encombrée. Les agents de bureau sortent depuis un an avec des récits de sécurité qui se résument à une boîte de dialogue de confirmation vissée sur l'interface. Typer le risque à la couche des outils, avant que l'appel ne parte, est structurel plutôt que cosmétique, et une licence MIT signifie que le motif peut être lu et copié plutôt qu'admiré de l'extérieur. Venant de quelqu'un dont la portée est passée par l'enseignement, c'est probablement le but.