La nouvelle arme secrète d’OpenAI vient de sortir

Le 10 septembre 2026, Codex a lancé une nouvelle API qui, au-delà d'un simple appel de modèle, rend accessible à tout développeur le moteur, ou "harness", qui fait fonctionner Codex, l'agent de développement d'OpenAI. Cette vidéo vise à expliquer ce qu'est un harness, son importance capitale par rapport au modèle lui-même, ce que cette API d'agent permet de construire, ses limites et sa portée stratégique. Contrairement à un modèle de langage classique comme GPT-6 Astra, qui gère un simple aller-retour prompt-réponse, un agent reçoit un objectif. Le modèle réfléchit, prend des décisions, utilise des outils, observe les résultats et itère dans une boucle pour atteindre cet objectif. Codex n'est pas seulement un modèle, mais aussi un harness qui gère cette boucle, des outils et un environnement d'exécution. Le modèle n'est qu'une composante parmi quatre. Jusqu'à présent, cette boucle était construite manuellement par le développeur, incluant la gestion du contexte, des outils, des permissions, de la compaction du contexte, des sessions, de la reprise après erreur, de l'environnement d'exécution, des sous-agents et de leur orchestration. C'est tout cela qui constitue le harness. Si le modèle est le cerveau, le harness est le système nerveux et l'environnement le corps. L'efficacité d'un agent dépend fortement de la qualité de son harness. Un excellent modèle avec un mauvais harness donne un agent médiocre, tandis qu'améliorer le harness améliore l'agent sans toucher au modèle. OpenAI a donc lancé l'Agent API en bêta publique le 10 septembre, permettant de décrire une tâche et de laisser OpenAI gérer l'exécution. La documentation s'articule autour de quatre concepts : l'agent (modèle, instructions, outils, serveurs MCP), l'environnement (machine ou sandbox), la session (instance durable de l'agent avec historique) et les événements (flux d'entrée/sortie). L'utilisateur n'a plus à coder la boucle, la persistance ou la reprise ; son application communique avec l'Agent API, qui fait tourner le harness de Codex. Les capacités clés de cette API incluent : 1. **Sessions durables :** L'agent peut gérer des tâches sur des minutes, des heures, voire plus. En cas d'erreur, le harness la lit, corrige, relance, et la session persiste. L'utilisateur peut interagir avec une session en cours pour la réorienter. 2. **Compaction du contexte :** Pour les tâches longues, le contexte de l'agent peut devenir saturé. Le harness gère automatiquement la compaction en résumant le travail antérieur, allégeant le contexte sans intervention de l'utilisateur. 3. **Multi-agent :** Une option permet à l'agent principal de créer des sous-agents, de leur déléguer des tâches en parallèle avec leurs propres contextes isolés mais partageant le même système de fichiers, puis de synthétiser leurs résultats. Le parallélisme est borné (6 sous-agents par défaut). 4. **Tool Search :** Plutôt que d'injecter tous les outils dans le contexte, le harness charge seulement les définitions pertinentes à la demande, réduisant les tokens, préservant le cache du modèle et simplifiant la sélection. 5. **Programmatic Tool Calling :** Le modèle peut écrire un petit programme JavaScript pour appeler des outils en parallèle, filtrer et fusionner les résultats avant de renvoyer uniquement les informations utiles au modèle, réduisant les passages et les données injectées. Ce code s'exécute dans un runtime isolé. Une distinction cruciale pour la sécurité est la séparation du harness (chez OpenAI) et de l'environnement d'exécution (choisi par l'utilisateur). Les options d'environnement incluent la sandbox d'OpenAI (Linux avec Python, Node, outils CLI), un exécuteur auto-hébergé sur la machine de l'utilisateur (connexion sortante uniquement via websocket) ou un fournisseur tiers (Cloudflare, Vercel, etc.). La sandbox d'OpenAI offre une machine jetable par session, configurable (packages, commandes d'initialisation, fichiers, variables d'environnement, skills). Les sorties peuvent être téléchargées comme artefacts. La politique réseau de la sandbox est configurable : tout sortant autorisé par défaut, mode restreint avec liste blanche d'hôtes, ou tout coupé. Cependant, le mot "sandbox" ne garantit pas une sécurité totale. Une sandbox isole le shell, mais ne limite pas les capacités de l'agent. Si un agent a accès en écriture à GitHub ou à des systèmes de production, il peut causer des dommages même dans une sandbox isolée. La "prompt injection" reste un risque majeur si l'agent lit des contenus externes malveillants, pouvant le pousser à divulguer des informations sensibles. Les principes de sécurité classiques (moindre privilège, isolation, validation humaine, séparation dev/prod, gestion des secrets, restrictions réseau, méfiance envers les entrées externes) sont plus importants que jamais avec les agents autonomes. Il est important de ne pas confondre l'Agent API avec l'Agent SDK ou la Response API d'OpenAI. La Response API est de bas niveau, nécessitant de coder la boucle. L'Agent SDK est une bibliothèque open source pour construire des agents localement. L'Agent API est un service managé qui fournit le harness de Codex, gérant le runtime chez OpenAI. Concernant les coûts,