BreizhCamp 2026
Thème : Matrix
Site officiel (nouvel onglet) ↗Programme (nouvel onglet) ↗Chaîne YouTube (nouvel onglet) ↗Synthèse de juin 2026 →
14ᵉ édition, du 24 au 26 juin 2026, Campus de Beaulieu (Université de Rennes), sur le thème de Matrix. Bilan annoncé en keynote de clôture : « 1024+ participants », plus de 110 talks et 119 speakers, en pleine canicule. Édition marquée par un budget contraint (moins de sponsors, frais d'avocat pour défendre la marque) : ni t-shirts, ni soirée « Meet & Greet ». 93 vidéos publiées, les keynotes du matin en direct puis la plupart des sessions les 5 et 6 août 2026. En septembre 2026, le BreizhCamp signe la lettre ouverte de l'AFUP pour la survie des événements techniques en France.
Une édition « Matrix » sous la canicule et un budget serré, qui a conjugué conscience critique du numérique (enshittification, souveraineté, IA de défense, tech « pop culture »), artisanat du dev (Rust pour le métier, livrer directement en prod, dev containers, event sourcing), une IA abordée par ses coûts et ses limites (tokens, contexte, autonomie du développeur) et une forte veine sécurité (supply chain CI/CD, OAuth2 + DPoP, passkeys), portée par une communauté qui appelle à monter sur scène l'an prochain.
31 sessions résumées · 31 vidéos · mise à jour le lundi 28 septembre 2026 · synthèse à compléter
Sources lues et limites de cette synthèse
Corpus : Trois comptes-rendus de blog détaillés, tous écrits par des speakers : Julien Wittouck (codeka.io, 26/06/2026), David Drugeon-Hamon (À l'encre rouillée, 27/06/2026, 10 talks) et Alexandre Muller (blog Néosoft, 07/08/2026, IA, sécurité et souveraineté). S'y ajoutent la vidéo-récap et un post LinkedIn de sponsors (Néosoft, Groupama G2S), quelques posts Mastodon et la playlist officielle de 93 vidéos, dont 16 transcripts automatiques lus (keynotes, clôture, introduction, et 11 talks dont les principaux talks IA et sécurité).
Limites : Aucun retour d'un participant non speaker : les trois blogs sont écrits par des speakers qui ne couvrent que leur parcours, et aucun post LinkedIn individuel n'a pu être lu (recherche bridée). Les talks IA et sécurité sont documentés surtout par leurs transcripts (sous-titres automatiques), donc sans réception du public ; environ 50 sessions restent sans aucun contenu. Les jours de la plupart des sessions sont inconnus.
Synthèse globale
1. Une édition sous la canicule… et sous contrainte budgétaire
Le contexte a marqué les trois jours. Côté météo, c'est une vague de chaleur à plus de 40 °C selon Julien Wittouck, « presque 37 °C » selon David Drugeon-Hamon, qui ajoute des orages le jeudi soir avec des dégâts sur le campus. L'introduction du jeudi détaille les mesures prises : points d'eau et glaçons supplémentaires, brumisateurs, salles fraîches au sous-sol, agent de sécurité dédié aux malaises, possibilité d'annuler des sessions. Wittouck salue une organisation qui a « bien géré », avec de l'eau fraîche distribuée régulièrement et des ventilateurs offerts par un sponsor, malgré quelques annulations de speakers. Drugeon-Hamon loue des organisateurs et bénévoles « aux petits oignons » et une conférence « conviviale depuis ses origines ». Côté budget, les organisateurs annoncent moins de sponsors (crise économique, sponsors revenus à un niveau plus faible) et des frais d'avocat pour défendre la marque BreizhCamp. Conséquences : pas de t-shirts et pas de soirée Meet & Greet, ce qui a finalement été vécu comme un soulagement vu la chaleur. L'édition a malgré tout réuni « 1024+ participants » et 119 speakers. En septembre, l'association signe la lettre ouverte de l'AFUP sur la survie des événements techniques, signe que la difficulté dépasse Rennes.
2. Un fil rouge critique sur le numérique
Le thème Matrix a donné une coloration « pilule rouge » à une partie du programme, en particulier aux keynotes :
- Karine Sabatier décortique l'enshittification des plateformes. C'est le talk que Wittouck dit l'avoir le plus étonné, par le caractère documenté et délibéré du phénomène.
- Julien Topçu montre une tech gouvernée par la pop culture plutôt que par l'esprit scientifique.
- Bertrand Rondepierre (AMIAD) défend l'IA comme enjeu central de défense et de souveraineté ; Alexandre Muller (Néosoft) en fait le point de départ d'une IA qui « redéfinit les enjeux de sécurité ».
- La souveraineté revient chez Ambre Person, dont Muller retient une échelle en quatre niveaux (des hyperscalers à l'on-premise), dans le REX SecNumCloud de Numspot et dans la stratégie d'Ouest-France, qui quitte les hébergeurs américains. L'éthique en entreprise, le burn-out et Illich face à l'IA prolongent ce fil.
3. L'IA vue par ses coûts et ses limites
Les transcripts des talks IA dessinent une ligne commune : peu d'enthousiasme béat, beaucoup de lucidité sur ce que coûte et ce que fait vraiment un LLM.
- Le coût financier : le REX d'Ouest-France (Thorel, Girard) raconte la bascule vers la facturation à l'usage de Claude Code, la « guerre des tokens », les spending caps et les dashboards maison. Reprenant DORA, ils retiennent que l'IA « amplifie ce que vous êtes déjà ». Muller retient surtout le passage d'une adoption « anarchique » à une gouvernance mesurée.
- Le coût environnemental : Gani et Mele rappellent l'eau, l'énergie et l'opacité des fournisseurs ; Bierlaire outille la mesure (EcoLogits, CodeCarbon), un sujet que Drugeon-Hamon trouve intéressant mais difficile à évaluer.
- Les limites techniques : Mehdi Lahmam explique la dégradation des modèles quand le contexte grossit et les leviers du context engineering ; Loïc Truchot démonte un GPT en 200 lignes pour « aller voir sous le capot ».
- Le rapport au métier : Nina Pétard (MAIF) invoque la convivialité d'Illich pour ne pas devenir le relecteur au service de l'IA.
Le même réflexe revient d'un talk à l'autre : maîtriser le contexte fourni à l'agent (skills maison chez Ouest-France, write/select/compress/isolate chez Lahmam, « détailler le contexte » chez Pétard). Ces constats viennent surtout des speakers eux-mêmes, faute de retour du public.
4. Une forte veine sécurité
Le programme sécurité est dense et très concret, et Muller en fait l'un des trois axes de l'édition :
- Supply chain et CI/CD : Stéphane Robert et Aurélien Coget montrent qu'on peut exfiltrer des secrets ou publier un artefact signé malveillant sans toucher au code applicatif, et proposent l'outil open source Plumber. Débat sur Renovate et Dependabot : garder l'outil, mais sans auto-approbation et avec une quarantaine des nouvelles versions.
- Identité : OAuth 2.1, PKCE et DPoP contre le rejeu de tokens volés (Jérôme Marchand) ; deux talks passkeys, dont celui de Sébastien Buchoux, jugé très pédagogique mais trop détaillé sur le protocole par Drugeon-Hamon.
- Culture d'attaquant : Florian Toulemont fait passer les développeurs côté red team (IDOR, SSRF, Docker privilégié, UUID v1 prédictible). Muller en tire un devoir de vacances : tester le Top 10 OWASP en attaquant.
5. L'artisanat du développeur et de l'infra reste le cœur
Les parcours documentés de Wittouck et de Drugeon-Hamon sont très « craft » et pratiques :
- Rust pour des applications métier, coup de cœur de Wittouck et « proche d'un standup » pour Drugeon-Hamon ;
- event sourcing expliqué par les replays de jeux vidéo, salué par les deux ;
- UUID v7, dev containers, Diffie-Hellman sans maths, API Green Score ;
- côté infra, Gateway API et GitOps (Kevin Davin), Karpenter et Keda pour diviser presque par deux une facture EKS, uv pour des images Python dix fois plus légères ;
- plateformes internes pensées pour leurs utilisateurs dev et ops. Le talk le plus clivant est « Direct en production ! » : supprimer recette et préprod au profit de déploiements « dark » en prod. Wittouck le juge provocateur et reste sceptique pour les systèmes critiques, et l'orateur lui-même le réserve à des équipes expérimentées.
6. Une communauté qui se renouvelle par la scène
La keynote de clôture de Maxime Odye et Nicolas Ledez, deux habitués, est un appel explicite à devenir speaker : programme de coaching, conseils sur l'abstract, meetups rennais comme tremplin (BreizhJUG, RennesJS, Software Crafters), dédramatisation du refus au CFP. L'appel semble entendu : Loïc Truchot remonte sur scène après dix ans et remercie le BreizhCamp de lui avoir permis de passer de spectateur à speaker ; Drugeon-Hamon, fort de ses retours OpenFeedback, envisage de rejouer son talk ailleurs. Plusieurs talks du circuit des conférences régionales ont été rejoués à Rennes : Factorio, Rust métier, keynote pop culture, Another World, Le hasard fait bien les tests. La chaîne YouTube publie aussi toute l'année les meetups locaux, signe d'un écosystème rennais actif.
7. Limites et biais du corpus
Les trois blogs qui fondent le corpus (Wittouck, Drugeon-Hamon, Muller pour Néosoft) sont tous écrits par des speakers, et l'un est publié par un sponsor (Néosoft). Aucun post LinkedIn individuel n'a pu être lu ; seuls un post de sponsor (Groupama G2S), quelques posts Mastodon et une vidéo de sponsor complètent le tableau. Les talks IA et sécurité sont surtout résumés d'après leurs vidéos officielles et des sous-titres automatiques : on sait ce qui a été dit sur scène, beaucoup moins comment la salle l'a reçu. Une cinquantaine de sessions restent sans aucun contenu.
Actions concrètes citées
- Traiter les devs et les ops comme des clients de ses outils internes : un outil mal conçu sera contourné par des scripts shell « invisibles » (Klauk, via Wittouck).
- Tester le déploiement en production de façon « dark » (sans communication aux utilisateurs), avec feature flipping, plutôt que de se fier à des environnements de recette qui ne ressemblent pas à la prod — à réserver à des équipes expérimentées (Sperandio).
- Bien implémenter le RGPD (consentement libre, spécifique, éclairé, univoque, rétractable ; l'adresse IP est une donnée personnelle) et promouvoir les alternatives libres et européennes face à l'enshittification (Sabatier).
- Mesurer l'empreinte de ses APIs avec le framework API Green Score (Diallo / De Carvalho).
- Évaluer ses dépendances cloud sous l'angle de la souveraineté : risque de coupure, lois extraterritoriales (Person).
- Préférer les UUID v7 (horodatés, triables) quand l'ordre compte (Reynier), et ne jamais utiliser d'UUID v1, prédictibles, comme jeton de sécurité (Toulemont).
- Standardiser les environnements de dev avec des dev containers (Docker + un fichier JSON) pour accélérer l'onboarding (Philippart).
- Distinguer opinion, intuition et preuve dans les débats techniques (Topçu).
- Commencer à parler en meetup local, soigner son abstract et utiliser le programme de coaching du BreizhCamp pour proposer un talk (keynote de clôture).
- Avant de généraliser un agent de code facturé à l'usage : poser des spending caps, fournir des skills maison et outiller le suivi des tokens par projet (Thorel / Girard, Ouest-France).
Session par session
Mercredi 24 juin
Conférence▶ vidéo
Dev & Ops : des clients comme les autres ?
Fanny Klauk
Retours : Julien Wittouck (codeka.io)
- Considérer les développeurs et les ops comme des clients des plateformes internes, avec un onboarding optimisé : la Developer Experience progresse, l'« Ops Experience » reste oubliée.
- Idée retenue : un outil interne mal conçu ne sera pas utilisé et sera contourné par des scripts shell cachés, soit une dette technique invisible.
Conférence▶ vidéo
Rejouer une partie, rejouer le système de la matrice : des replays de jeux vidéo à l'event sourcing
Pierre Fervel
Retours : Julien Wittouck (codeka.io), David Drugeon-Hamon (À l'encre rouillée)
- Talk jugé original : un replay de jeu vidéo n'est pas une vidéo mais une liste d'événements rejouée par le moteur, et le même principe s'applique à l'event sourcing.
- Permet de « remonter dans le temps » pour observer les états passés d'un système ; démonstrations jugées claires.
- David Drugeon-Hamon, ami du speaker, retient le journal d'événements comme piste d'audit et un talk « rafraîchissant et didactique » : un parallèle « plutôt évident pourtant totalement différent sur le papier ».
Jeudi 25 juin
Keynote▶ vidéo + transcript
Aventure de l'IA et de la défense
Bertrand Rondepierre — AMIAD (Agence ministérielle pour l'IA de défense)
Retours : Alexandre Muller (blog Néosoft)
- Sur scène (transcript) : keynote du jeudi matin sans slides (« à cause de la chaleur »), mi-parcours personnel, mi-réflexion, avec beaucoup de questions-réponses.
- Parcours : maths appliquées, entrée au ministère des Armées quand le machine learning n'y « parlait à personne », mission Villani (stratégie IA 2018), 5 ans chez Google pour développer Brain à Paris, puis direction de l'AMIAD (300 personnes visées, dont ~250 en production près de Rennes et ~50 en recherche à Palaiseau).
- Thèse : l'IA est centrale pour la défense (retour d'Ukraine) car elle permet une boucle numérisée de bout en bout, du renseignement au système d'armes. « Un drone, c'est un ordinateur qui vole. » Le ministère, peu numérique à l'origine, doit se transformer.
- Souveraineté : aucune entreprise privée ne doit prescrire ce que le ministère a le droit de faire. Il achète des modèles (ex. Mistral), ce qui crée une « dépendance collective franco-européenne » à la chaîne d'approvisionnement.
- Sujets de recherche cités : incertitude des modèles, manipulation et robustesse, facteurs humains (garder l'humain en commande ; « le GPS, ça marche bien jusqu'à ce que vous ne l'ayez plus »).
- Retour d'Alexandre Muller (Néosoft) : il en fait l'ouverture de son fil « l'IA redéfinit les enjeux de sécurité », retenant le passage de Google (réseaux de neurones, transformers) à la coordination de l'IA au ministère des Armées, avec ses contraintes de confidentialité.
Conférence▶ vidéo
À la découverte de l'algo de chiffrement Diffie-Hellman
Brieuc Le Faucheur
Retours : Julien Wittouck (codeka.io)
- Comment deux parties établissent un secret commun sur un canal non sécurisé (HTTPS, Signal), expliqué sans mathématiques complexes, en se concentrant sur l'algorithme ; talk apprécié par Wittouck.
Conférence▶ vidéo
Noms de domaines : la grande histoire des petites extensions
Benoît Masson — OVHcloud, Théo Bougé — OVHcloud
Retours : Julien Wittouck (codeka.io)
- Histoire des domaines, TLD génériques (.com, .org) et nationaux (.fr, .be), enjeux géopolitiques, à l'approche du nouveau round de l'ICANN en 2026.
- Anecdote retenue : le .sucks, qui se vend très bien auprès de marques cherchant à éviter le squatting.
Conférence▶ vidéo
Green Architecture : moins de gras, plus d'impact, plus d'efficacité
Thierno Diallo, David De Carvalho
Retours : Julien Wittouck (codeka.io)
- Tools-in-action : application pas à pas du framework « API Green Score » pour mesurer l'impact environnemental d'une API et obtenir une note à améliorer.
Conférence▶ vidéo
Souveraineté numérique, quelles solutions pour quels enjeux ?
Ambre Person — OVHcloud
Retours : Julien Wittouck (codeka.io), Alexandre Muller (blog Néosoft)
- Format court : risques de dépendance, coupures potentielles et exposition aux lois extraterritoriales quand le cloud devient la norme, dans un monde géopolitiquement instable.
- Alexandre Muller en retient une échelle de souveraineté en quatre niveaux : hyperscalers (aucune), fournisseurs européens sur logiciel étranger (partielle), fournisseurs européens sur logiciel européen (totale), on-premise (totale, avec la gestion des serveurs en plus).
Vendredi 26 juin
Keynote▶ vidéo + transcript
Enshittification, ou la face cachée du numérique
Karine Sabatier — Zenika
Retours : Julien Wittouck (codeka.io)
- Sur scène (transcript) : le concept de Cory Doctorow (2022), la dégradation délibérée des plateformes au détriment des utilisateurs et au profit des actionnaires. Trois temps : verrouiller les utilisateurs (gratuité subventionnée à perte, effet réseau, « travail gris » des utilisateurs et des travailleurs du clic), faire venir et payer les clients professionnels, puis dépecer le produit (content slop accéléré par l'IA, service client dégradé, payer pour voir moins de pub ; exemple de l'évolution des offres Netflix).
- Conséquence : le consentement résigné. Leviers proposés : le RGPD (consentement libre, spécifique, éclairé, univoque, rétractable), la régulation, les alternatives libres et européennes (suite de l'Éducation nationale, alternative open source à Figma), l'alliance devs-product pour des modèles économiques plus vertueux.
- Retour de Julien Wittouck : étonné de découvrir un phénomène aussi bien documenté et délibéré ; il retient aussi le travail gris qui alimente algorithmes et IA.
Keynote▶ vidéo + transcript
Keynote de clôture — Et si c'était vous sur scène l'année prochaine ?
Maxime Odye, Nicolas Ledez
Retours : Julien Wittouck (codeka.io)
- Sur scène (transcript) : bilan chiffré (« 1024+ participants », plus de 110 talks, 119 speakers), remerciements aux sponsors restés malgré la crise ; le trou dans le budget a supprimé le Meet & Greet, « un grand soulagement » vu la chaleur.
- Coulisses d'un talk préparé (en partie avec Claude) par deux habitués, et démystification du parcours de speaker : du CFP au speaker dinner, « le ridicule ne tue pas », syndrome de l'imposteur, premier refus qui fait mal.
- Trois conseils : tout le monde a un sujet, soignez votre abstract, utilisez le programme de coaching du BreizhCamp ; commencer par les meetups rennais (BreizhJUG, RennesJS, Software Crafters…).
- Retenue par Wittouck comme un encouragement aux futurs speakers, avec un aperçu des coulisses de l'organisation.
Conférence▶ vidéo + transcript
Rust pour le développement d'applications métier haut-niveau !
Stéphane Trebel
Retours : Julien Wittouck (codeka.io), David Drugeon-Hamon (À l'encre rouillée)
- Coup de cœur de Julien Wittouck : présenté avec humour, Rust n'est pas cantonné aux CLI et aux kernels, ses frameworks et librairies permettent de faire des applications complètes.
- David Drugeon-Hamon salue un talk « proche d'un standup » qui démystifie structs, new types, traits et pattern matching et souligne la maturité du langage ; « Stéphane est un excellent showman ».
- Sur scène (transcript) : un développeur web « CRUD » qui s'est longtemps cassé les dents sur le borrow checker explique qu'on peut écrire du Rust métier sans lifetimes ni complexité bas niveau. En Q&R : pas de passage en force sans compétences dans l'équipe (faire un POC d'abord), applications hors ligne et dépendances vendorées possibles, arrivée progressive de Rust dans l'écosystème data/IA (Python).
Conférence▶ vidéo + transcript
Direct en production !
Christian Sperandio
Retours : Julien Wittouck (codeka.io)
- Sur scène (transcript) : REX d'une équipe dans un grand opérateur télécom qui a supprimé recette et préprod. Les environnements intermédiaires sont comparés à un simulateur de vol aux données obsolètes : problèmes de configuration, de volumétrie et de données imprévues qui n'apparaissent qu'en prod, et paradoxe du « on a le go mais on ne livre pas le vendredi ».
- Principe : on déploie en production, on ne développe pas en production. Déploiements « dark » sans communication aux utilisateurs, feature flipping, les autres équipes invitées à « tabasser » le service dès sa sortie ; ~10 déploiements par jour à deux personnes. À réserver à des équipes expérimentées et outillées côté qualité.
- Lecture critique : position jugée provocatrice par Julien Wittouck, qui reste sceptique pour les systèmes critiques.
Conférence▶ vidéo
Let's play Factorio
Julien Wittouck
Retours : Julien Wittouck (speaker)
- Architecture et scalabilité racontées à travers le jeu d'automatisation Factorio, juste après la keynote du vendredi, devant une audience nombreuse malgré la chaleur et avec des retours positifs (speaker). Talk déjà donné à Touraine Tech.
Lightning talk▶ vidéo
Petit guide pratique des UUID
Maxime Reynier
Retours : Julien Wittouck (codeka.io)
- Quickie sur les différentes normes d'UUID : le numéro de version est lisible dans l'UUID lui-même, et la v7 intègre un timestamp qui permet de trier les données.
Conférence▶ vidéo
Les dev containers, la boîte à outils ultime pour les devs ?
Stéphane Philippart — OVHcloud
Retours : Julien Wittouck (codeka.io)
- Tools-in-action : les dev containers facilitent l'onboarding (seuls Docker et un fichier JSON sont requis) et la réplication d'une configuration entre machines.
- Intégration meilleure dans VS Code que dans IntelliJ, même si ce dernier progresse.
Date non précisée
Keynote▶ vidéo + transcript
Pourquoi la Tech tient plus de la pop culture que de l'ingénierie ?
Julien Topçu — Shodo
- Sur scène (transcript, aucun retour participant trouvé) : reprenant Alan Kay (« computing has turned into pop culture »), la tech est décrite comme traversée par les mécanismes de la pop culture : humour et mèmes, production « par nous, pour nous », modèles simples et séduisants comme la vélocité, dont le speaker juge la valeur prédictive démentie par les études.
- Effets : débats qui ne convergent jamais, opinions vécues comme identitaires, aversion aux abstractions d'un côté et gatekeeping contre la vulgarisation de l'autre ; entre les deux, « ce qui disparaît, c'est la pédagogie ».
- Proposition : revenir à Bachelard et à l'esprit scientifique en distinguant opinion, intuition et preuve (« LinkedIn n'est pas la littérature »), réhabiliter l'abstraction et valoriser la vulgarisation. Keynote déjà donnée au Snowcamp (janvier) et à MiXiT.
Conférence▶ vidéo + transcript
AI4IT : prendre la pilule rouge, déployer l'IA gén dans une DSI
Arnaud Thorel — Ouest-France, Florian Girard — Ouest-France
Retours : Alexandre Muller (blog Néosoft)
- Sur scène (transcript) : REX « humble » de la DSI d'Ouest-France (3000 applications à gérer), sous deux axes, efficience économique et souveraineté. Parti du shadow AI de 2023, le cadrage passe par la DG, le juridique (DPA d'entreprise, refus des comptes individuels, des extensions non auditées et des serveurs MCP publics) et trois piliers : gouvernance, adoption, mesure.
- Déploiement : une squad pionnière de 15 personnes, puis environ 150, puis 207 utilisateurs de Claude Code et environ 400 licences. Le passage du forfait Teams à la facturation à l'usage (février) provoque une « guerre des tokens » : budgets qui explosent, développeurs paniqués, jusqu'à un marché noir de tokens. Réponses : spending caps (80 dollars par développeur au départ), skills maison (conventions, architecture hexagonale), outils de réduction du contexte, dashboards de coût par projet, rallonges en self-service.
- Mesures annoncées (en précisant que l'IA n'explique pas tout) : fréquence de déploiement +30 %, délai du développement à la prod divisé par trois, dette technique moyenne passée de 1,46 à 1,22 jour par projet. Reprise de DORA : l'IA « amplifie ce que vous êtes déjà ». Les plus gros consommateurs de tokens sont souvent des non-développeurs qui s'improvisent devs.
- Ce qu'ils ne referaient pas : migrer d'offre pendant les vacances, des spending caps trop larges, un accompagnement trop mince hors des équipes de dev.
- Retour d'Alexandre Muller (Néosoft) : il retient l'adoption d'abord « anarchique » puis la stratégie gouvernance, sécurité, mesure, avec des gains en fréquence de livraison et en qualité du code.
Conférence▶ vidéo + transcript
GitLab CI/CD sous attaque : secrets volés, pipelines détournés
Stéphane Robert, Aurélien Coget — Plumber
Retours : Alexandre Muller (blog Néosoft)
- Sur scène (transcript) : la supply chain logicielle passe désormais par la CI/CD. Rappel des attaques récentes (Trivy, Megalodon) où aucune ligne de code applicatif n'est touchée : une merge request modifie le pipeline, un bout de code encodé en base 64 exfiltre les secrets, voire publie un artefact signé malveillant, donc indétectable.
- Démonstration sur une fintech fictive : variables masquées mais pas protégées, runners partagés et non éphémères, relecteur qui ne comprend pas le YAML. Parades : variables protégées et séparées par environnement, CODEOWNERS, branches protégées,
npm cisans scripts post-install, SBOM, tags épinglés par digest, séparer build et signature. - Message organisationnel : sécuriser tous les pipelines et pas seulement les plus critiques, en continu, et éviter que la sécurité CI/CD devienne un nouveau point de défaillance unique. Présentation de Plumber, outil open source qui note les pipelines de A à E (modèle économique : plateforme payante au-delà de 10 projets).
- Débat en Q&R : Renovate et Dependabot restent de bonnes pratiques, mais sans auto-approbation, avec une période de quarantaine des nouvelles versions. C'est aussi ce que retient Alexandre Muller, qui veut intégrer Plumber à sa CI.
Lightning talk▶ vidéo + transcript
Context Engineering : pas des modèles plus malins, du contexte plus malin
Mehdi Lahmam
- Sur scène (transcript, aucun retour participant trouvé) : format court, sans slide de remerciement. Pourquoi l'agent qui brille en greenfield déçoit sur une base de code de dix ans (brownfield), avec une étude de Stanford citée sur le code généré plus souvent réécrit.
- Un LLM est une fonction sans état qui relit tout son « carnet de notes » à chaque tour, et sa qualité se dégrade avec la quantité de tokens (étude Chroma citée : dégradation dès environ 50 000 tokens sur une fenêtre de 200 000). Une grande fenêtre est « une spec de stockage », pas de l'intelligence. On passe alors de la « smart zone » à la « dumb zone ».
- Quatre dégradations du contexte (empoisonnement, distraction, confusion, conflit) et quatre leviers : write, select, compress, isolate (fichiers de plan, grep au bon moment, compaction, sous-agents). Les agents « spécialistes » sont surtout de l'isolation de contexte.
- Conseil pratique : séparer recherche, plan et implémentation dans des sessions distinctes, faire relire le plan par l'équipe, et alléger son
CLAUDE.md.
Conférence▶ vidéo + transcript
Microgpt : on partage la pilule rouge ?
Loïc Truchot — Shodo
- Sur scène (transcript, aucun retour participant trouvé) : après une phase d'« AI psychosis » avec un agent personnel, le speaker, développeur front, décide d'aller voir sous le capot en réécrivant en TypeScript fonctionnel le microGPT d'Andrej Karpathy (200 lignes de Python, zéro dépendance).
- Parcours pas à pas d'un transformer : dataset nettoyé et mélangé (10 000 noms de papillons au lieu des prénoms de Karpathy), tokenizer, paramètres, autograd, optimiseur Adam, entraînement puis inférence avec une température qui dose l'invention.
- Parti pris : parler de modèle qui « rêve » plutôt qu'il n'« hallucine ». Talk dense qui a débordé, sans temps pour les questions.
Lightning talk▶ vidéo + transcript
Le vrai coût d'un token : la facture cachée de l'IA générative
Amine Gani, Pietro Mele
- Sur scène (transcript, aucun retour participant trouvé) : 15 minutes non pas sur le coût financier mais sur le coût environnemental du token (électricité, eau, minerais), avec un entraînement opaque faute de transparence des fournisseurs. Estimation citée pour GPT-5 : 162 millions de kWh sur trois mois ; environ un demi-litre d'eau pour dix prompts ; paradoxe de Jevons.
- Leviers selon le cas : si l'on entraîne, énergie décarbonée, données curées, mixture of experts, quantification ; si l'on consomme une API, prompts courts,
max_output_tokens, prompt caching et cache sémantique ; si l'on héberge, petits modèles (SLM), fine-tuning, autoscaling. - Ton explicitement non culpabilisant : « avoir la conscience » du coût réel.
Lightning talk▶ vidéo + transcript
S'augmenter sans se déposséder : la convivialité d'Illich face à l'IA
Nina Pétard — MAIF
- Sur scène (transcript, aucun retour participant trouvé) : la product owner de la plateforme IA de la MAIF applique aux assistants de développement la convivialité d'Ivan Illich : un outil convivial ne rend pas dépendant, ne crée « ni esclave ni maître » et élargit le rayon d'action (exemples de la voiture, du vélo, du tracteur).
- Risque décrit : hallucinations et complaisance des IA transforment l'humain en relecteur au service de l'IA, et le cycle « vite puis retour en arrière » court-circuite l'apprentissage (taxonomie de Bloom).
- Conseils : s'entraîner à faire sans pour repérer les « muscles cognitifs » qui s'atrophient, écrire soi-même le premier jet et laisser l'IA le critiquer, détailler le contexte, utiliser et contribuer à des technologies libres. Mise en garde contre le discours du « développeur manager d'agents ».
- En Q&R, un participant rappelle que l'hallucination est une propriété du fonctionnement du modèle ; la speaker y ajoute la logique d'engagement voulue par les fournisseurs.
Conférence▶ vidéo + transcript
Agents Smith vs OAuth2 + DPoP : stopper le replay et le vol de bearer tokens
Jérôme Marchand — Zenika
- Sur scène (transcript, aucun retour participant trouvé) : démonstrations avec Keycloak. Rappel des recommandations de la RFC 9700 et du futur OAuth 2.1 : abandon des flux implicit et password, PKCE généralisé (y compris côté back), validation stricte des redirect URI sans wildcard, access tokens de 5 minutes, authentification forte des clients au lieu du client secret.
- Faille restante : un access token ou un refresh token volé se rejoue sans que l'API ou le fournisseur d'identité ne puisse le détecter. Premier palier simple : refresh tokens à usage unique.
- DPoP (demonstrating proof of possession) : l'application signe chaque requête avec une clé privée non exportable, le token est lié à l'empreinte de la clé publique, l'API vérifie la preuve (méthode, URL, date, identifiant anti-rejeu). Pour les applications publiques (SPA, mobile) ; mTLS reste préférable pour les applications back.
- Q&R : support encore partiel selon les écosystèmes (keycloak-js via une branche, Spring Security en cours).
Conférence▶ vidéo + transcript
De développeur à hacker : savoir casser, c'est savoir protéger
Florian Toulemont — Softeam (groupe Docaposte)
Retours : Alexandre Muller (blog Néosoft)
- Sur scène (transcript) : plaidoyer pour que les développeurs (blue team) adoptent le regard de la red team, avec un rappel appuyé que tester sans autorisation est illégal. Chiffres cités : la France serait devenue le troisième pays le plus attaqué depuis les JO de Paris.
- La CI comme premier outil de défense : SAST, analyse des dépendances, détection de secrets, scan d'images, DAST. Panorama des outils d'attaque (nmap, ffuf, sqlmap, Metasploit, hashcat, Kali, Exegol).
- Démonstrations d'attaques simples mais encore vues en audit : XSS stockée (parade : CSP), IDOR sur des identifiants incrémentaux, SSRF vers un Redis interne jusqu'au reverse shell, socket Docker monté et conteneur privilégié, ARP spoofing, jeton de reset en UUID v1 prédictible, supply chain.
- Pour s'entraîner : plateformes et événements CTF (dont le Breizh CTF à Rennes), Juice Shop, VulnHub, GOAD. Alexandre Muller en tire un « devoir de vacances » : tester le Top 10 OWASP du point de vue de l'attaquant.
Conférence▶ vidéo + transcript
Passkeys : adieu les mots de passe, bonjour la sécurité sans friction !
Sébastien Buchoux
Retours : David Drugeon-Hamon (À l'encre rouillée)
- Sur scène (transcript) : en fil rouge, Bob l'éponge se fait voler sa session par phishing, même avec une MFA classique. La solution : ne plus échanger de secret, grâce à la cryptographie asymétrique (signature d'un challenge) sur laquelle reposent FIDO2 et WebAuthn. Deuxième talk passkeys de l'édition, présenté comme complémentaire.
- Retour de David Drugeon-Hamon : clé privée dans l'authenticator (TPM, clé matérielle, gestionnaire de mots de passe), clé publique côté serveur ; talk « très pédagogique », avec un bémol : il « s'est trop attardé à décrire l'implémentation pas à pas du protocole ».
Conférence▶ vidéo
REX : construire un poste d'administration conforme SecNumCloud
David Gandra — Numspot, Chris Navas — WeScale
Retours : David Drugeon-Hamon (À l'encre rouillée)
- Numspot vise la qualification SecNumCloud de l'ANSSI : postes d'administration airgap et immuables, pipeline CI/CD qui déploie les images en 30 minutes, base RAG pour naviguer dans une documentation complexe.
- Jugé « très intéressant pour apercevoir les coulisses d'un cloud provider français » (Drugeon-Hamon).
Conférence▶ vidéo
Karpenter & Keda : le duo gagnant du FinOps
Sébastien Fourreau — RCA, Guillaume Membré
Retours : David Drugeon-Hamon (À l'encre rouillée)
- Sur un cluster EKS : Keda ajuste le nombre de pods selon l'horaire ou des métriques (jusqu'au scale-to-zero), Karpenter consolide les nœuds et choisit dynamiquement les instances.
- Résultat retenu : « réduire de près de 50 % leur facture du cluster » en un an ; talk jugé applicable à ses propres projets (Drugeon-Hamon).
Conférence▶ vidéo
Réduire l'empreinte carbone du code legacy avec l'IA
Olivier Bierlaire
Retours : David Drugeon-Hamon (À l'encre rouillée)
- Outils de mesure (CodeCarbon, Kepler, Electricity Maps, EcoLogits pour l'impact des requêtes LLM), optimisations par refactoring Python vers Rust, et l'IA pour identifier des pistes d'amélioration.
- « Intéressant à tout point de vue, même si c'est assez difficile d'évaluer son empreinte carbone » (Drugeon-Hamon).
Conférence▶ vidéo
Gateway API, 10 ans de maturation pour une nouvelle API Kubernetes
Kevin Davin
Retours : David Drugeon-Hamon (À l'encre rouillée)
- Migrer de Nginx Ingress Controller vers Gateway API (v1.5) : dépasse les limites des Ingress (WebSockets, gRPC natif), n'est pas embarquée par défaut dans Kubernetes, et s'adresse à trois personas (réseau, administration du cluster, développeurs).
- « Très didactique et pragmatique » (Drugeon-Hamon).
Conférence▶ vidéo
Astro GitOps : Press ⓧ to start
Kevin Davin
Retours : David Drugeon-Hamon (À l'encre rouillée)
- Les principes OpenGitOps : état déclaratif, versionné et immuable dans Git, tiré (pull) par l'outil et réconcilié en continu ; « mettre des scripts dans Git n'est pas conforme à l'approche GitOps ».
- Critique des charts Helm (peu standardisés, traçabilité insuffisante) : commiter le manifeste YAML généré. Talk « plutôt dense, mais facile à suivre » (Drugeon-Hamon).
Lightning talk▶ vidéo
Tuner uv pour travailler avec Docker
Florent Vuillemin
Retours : David Drugeon-Hamon (À l'encre rouillée)
- Quickie de 15 minutes : grâce aux options de uv, une image Docker Python passe de 500 Mo à 55 Mo ; des astuces jugées directement réutilisables (Drugeon-Hamon).
Conférence▶ vidéo
Comment j'organise ma veille technologique
David Drugeon-Hamon
Retours : David Drugeon-Hamon (speaker)
- Une heure de veille par jour, à la pause déjeuner, pour passer d'une veille passive à un apprentissage actif : capture et annotation (Snipd pour les podcasts, Kindle, articles), centralisation dans Readwise, notes structurées dans Obsidian qui deviennent articles ou talks.
- Retour du speaker : amphi bien rempli, 19 votes « Super intéressant » sur OpenFeedback, questions intéressantes.
Sessions sans retour trouvé (17)
- Le parcours de Doctolib vers une plateforme de données médicales (S. Lukes, C. Anciaux)
- La revanche des VMs : sandboxing avec NerdBox (N. De Loof)
- Vous pensiez que la dette technique était le pire ? (J. Chevalier, J. Topçu)
- Au-delà de la hype : embeddings à l'échelle du milliard (P. Mele, L. Precup)
- Aimer le dev à l'ère de l'IA (M. Durand, S. Spassevitch)
- Comment l'IA va vous aider à réduire votre impact carbone (N. Ledez)
- Burn-out : The Matrix Reboot (P. Fervel)
- Petit guide pour prendre des décisions éthiques en entreprise (C. Bossard, J. Paliès)
- Concevoir accessible pour les personnes déficientes visuelles (A. Faubry, C. Corfmat)
- RGPD, souverain, SecNumCloud… comment choisir son cloud ? (J. Mouchotte, M. Charles)
- Comment proposer une UX passwordless à base de passkeys (D. Hervieux, N. Bogrova)
- Sécuriser son réseau Kubernetes avec Cilium (P. Chaignon)
- Dix pièges à éviter lors de l'intégration de Keycloak (T. Denmat)
- Safety et Undefined Behavior : lab interactif de sécurité inter-langages (J. Laurenceau)
- Retour d'expérience – la quête du homelab parfait (M. Vincent)
- Arrêtez de miser sur vos tests unitaires ! (J.-M. Leclercq)
- …et environ 45 autres sessions visibles dans la playlist
Sources
- Site officiel BreizhCamp 2026 (nouvel onglet) ↗
- Playlist YouTube Breizhcamp 2026 (93 vidéos) (nouvel onglet) ↗
- Keynote jeudi matin (live, introduction des organisateurs) (nouvel onglet) ↗
- Julien Wittouck — Breizhcamp 2026 (blog) (nouvel onglet) ↗
- Néosoft — [RENNES] BreizhCamp 2026 : Immersion dans la Matrice (vidéo sponsor) (nouvel onglet) ↗
- Posts Mastodon #breizhcamp (24–25/06/2026) : dblanchet@piaille.fr, Rio@mastodon.social (nouvel onglet) ↗
- David Drugeon-Hamon — Retours sur le Breizhcamp 2026 (blog À l'encre rouillée) (nouvel onglet) ↗
- Alexandre Muller — BreizhCamp 2026 : IA, sécurité et souveraineté (blog Néosoft) (nouvel onglet) ↗
- Post LinkedIn Groupama G2S (sponsor Gold) — Retour sur l'édition BreizhCamp 2026 (nouvel onglet) ↗
- Blog BreizhCamp — Un budget contraint (07/06/2026) (nouvel onglet) ↗
- Blog BreizhCamp — Lettre ouverte pour la survie des événements techniques en France (08/09/2026) (nouvel onglet) ↗