Cloud Nord 2024
Site officiel (nouvel onglet) ↗Programme (nouvel onglet) ↗Chaîne YouTube (nouvel onglet) ↗Synthèse de octobre 2024 →
Journée unique le 10 octobre 2024 à EuraTechnologies, 3e édition en présentiel. Keynote d'ouverture puis 25 sessions sur 4 salles (Auditorium, Conférence, La Cantina, Lab Innovation) : conférences de 50 min, quickies de 20 min et ateliers. Environ 450 participants d'après la page Conference Hall 2025 (objectif annoncé : 500). Catégories : Cloud, Sécurité, DevOps, Data & IA, Conteneurisation, Architecture, Découverte. 20 sessions filmées, publiées le 29 novembre 2024 et le 11 janvier 2025.
Une journée cloud native très concrète (scale-to-zero, Talos, ingestion massive sur AWS, sécurité des conteneurs) où la sobriété se mesure (Cloud Carbon Footprint, Impact Framework) et où l'IA est abordée par ses risques : code vulnérable, licences « open » trompeuses, observabilité des LLM.
21 sessions résumées · 20 vidéos · mise à jour le vendredi 9 octobre 2026 · synthèse à compléter
Sources lues et limites de cette synthèse
Corpus : Programme officiel 2024 (agenda.cloudnord.fr, descriptifs, speakers et grille horaire), pages Conference Hall 2024 et 2025, page d'accueil archivée de cloudnord.fr ; transcripts automatiques des 20 vidéos de la playlist officielle « Cloud Nord 2024 - Lille » ; dépôt de slides d'Emmanuel Peru. Côté participants, seulement un extrait de recherche mentionnant un article du blog Criteo (keynote de Manuel Davy).
Limites : Aucun retour de participant lu : les résumés décrivent ce qui a été dit sur scène (transcripts automatiques, parfois bruités), pas la réception par la salle. La keynote et 4 sessions (dont les 2 ateliers de 2 h) n'ont pas été filmées. Recherche web limitée à 8 requêtes, LinkedIn inaccessible sans connexion.
Synthèse globale
1. Une grosse édition à EuraTechnologies, connue surtout par ses replays
Cloud Nord 2024 est la plus grande édition connue de la conférence : environ 450 participants d'après la page Conference Hall de 2025, une keynote et 25 sessions sur quatre salles le 10 octobre, dont deux ateliers de 2 h. Vingt sessions ont été filmées et mises en ligne fin novembre 2024 et en janvier 2025. Nous n'avons trouvé aucun retour public de participant lisible : cette synthèse décrit ce qui a été dit sur scène, pas la manière dont la salle l'a reçu. Les speakers se répondent toutefois entre eux : Raphaël Semeteys cite la keynote de Manuel Davy et le talk sur les câbles sous-marins, Emmanuel Peru renvoie à Impact Framework présenté le matin, Sébastien Baillet au talk sur Jib.
2. Kubernetes, mais à moindre coût et avec moins de friction
Le fil le plus dense de la journée est d'exploiter Kubernetes et le cloud sans payer ni maintenir l'inutile :
- Éteindre ce qui ne sert pas : SlimFaas fait du scale-to-zero par simple annotation et chiffre ses gains à environ 230 000 € par an sur un projet d'AXA France (Chervet). CAST AI promet la même chose côté nœuds, avec instances spot et ajustement automatique des requests (Legrand, Belli).
- Simplifier l'OS et la plateforme : Ubisoft mise sur Talos, distribution immuable sans SSH, pour sa plateforme serverless GPU et ses serveurs de jeu hybrides (Behar, Cantella). Backstage promet un portail unique pour les développeurs, au prix d'une mise en place exigeante (Grangeau, Jarriault).
- Préférer le managé quand l'équipe est petite : Pubstack ingère 4 milliards de requêtes par jour sur AWS avec une dizaine de développeurs et sans serveur à maintenir, en acceptant le vendor lock-in en connaissance de cause (Maerten, Cloarec).
- Mesurer la livraison sans en faire une compétition : métriques DORA et Apache DevLake, avec l'exemple de Bpifrance (Toublanc, Blanloeil), et API Ops pour appliquer la CI/CD aux proxies d'API (Ben Ouarred).
3. La sobriété passe par la mesure et par le rappel du physique
Deux talks de Zatsit forment un parcours : partir des données de facturation avec Cloud Carbon Footprint pour démarrer une démarche GreenOps (Peru), puis viser une mesure globale et partageable avec Impact Framework (Dussart). Les deux reconnaissent des méthodes imparfaites, à challenger. Le talk de Zenika sur les câbles sous-marins rappelle que le « nuage » repose à 97 à 99 % sur des câbles posés au fond des océans, avec des enjeux de souveraineté, de neutralité du Net et d'environnement (Bouron, Oili). Le scale-to-zero est lui aussi présenté comme un petit geste qui compte, plus économique qu'écologique dans les chiffres donnés.
4. L'IA vue par ses risques plus que par ses promesses
L'IA est partout dans le programme, mais rarement célébrée sans réserve :
- Code généré vulnérable : en live coding, Copilot produit une injection SQL puis un path traversal, et cinq assistants interrogés sur une même faille XSS proposent quatre corrections différentes (Leroy, Spiers).
- Licences trompeuses : open weights n'est pas open source, et les restrictions se transmettent d'un modèle à ses dérivés (Semeteys).
- Observer les LLM : latence, prompt injection, toxicité et données personnelles deviennent des sujets d'observabilité, avec un outillage encore jeune (Beulque, Flament).
- Usage concret et modeste : reconnaissance de cartes Pokémon avec embeddings et pgvector, présentée comme la même mécanique que le RAG (Cornillon). La keynote de Manuel Davy, Faut-il avoir peur de l'IA ?, n'a pas été filmée ; seul Raphaël Semeteys en rapporte quelques idées sur scène.
5. Sécuriser la chaîne des conteneurs
Plusieurs talks convergent vers une même discipline : images minimales et reproductibles. Sébastien Baillet part du principe que l'attaquant est déjà dans le conteneur (non-root, capabilities retirées, distroless, lecture seule, NetworkPolicies) et montre comment déboguer sans shell. Ludovic Chombeau (Leroy Merlin) remplace les Dockerfiles Java par Jib pour des couches reproductibles, et ouvre son talk sur un Dockerfile généré par ChatGPT qui tourne en root. Les deux insistent sur le fait que les dépendances, et non le code maison, concentrent l'essentiel du risque et du poids.
6. Carrières, recrutement et inclusion : la part humaine du programme
La catégorie « Découverte » occupe une place notable. Nicolas Martignole et Théotime Lévêque (Back Market) décrivent le rôle de principal engineer, fait d'influence sans autorité, et débattent de la place des CTO cofondateurs. Magali de Labareyre (OVHcloud) et Laurent Grangeau passent en revue les tests techniques et défendent une mise en situation au tableau blanc. Anaïs Moulin (Onepoint) interroge la discrimination positive à partir de son expérience, et Hayet Yefsah et Samira Taibi (Decathlon), reconverties en 2023, plaident pour l'interdisciplinarité dans leur tout premier talk.
7. Tensions, critiques et biais du corpus
- Démos fragiles : export Grafana d'Impact Framework, onglet Kubernetes de Backstage et push d'images Jib ont échoué en direct, souvent faute de réseau.
- Talks d'éditeur : CAST AI annonce jusqu'à 80 % d'économies sans contradiction possible dans la salle ; plusieurs démos s'appuient sur des produits commerciaux (Datadog, Snyk, AlloyDB).
- Débats ouverts : un participant juge les templates Backstage trop « fire and forget » face à Terraform ; Martignole et Lévêque ne sont pas d'accord sur le passage de CTO fondateur à principal ; la loi de Goodhart est rappelée contre le pilotage par les métriques DORA.
- Biais : aucune voix de participant, transcripts automatiques bruités, keynote et quatre sessions non filmées dont les deux ateliers. Les chiffres cités (économies, pourcentages de code vulnérable) viennent des speakers et n'ont pas été vérifiés.
Actions concrètes citées
- Viser le scale-to-zero hors production et la nuit : avec SlimFaas, un seul projet d'AXA France économise environ 230 000 € par an (Chervet, speaker).
- Commencer la démarche GreenOps à partir des données de facturation cloud avec Cloud Carbon Footprint, puis outiller la mesure globale avec Impact Framework (Peru, Dussart).
- Durcir les conteneurs en partant du principe que l'attaquant est déjà dedans : non-root, capabilities retirées, images distroless, système de fichiers en lecture seule, NetworkPolicies ; déboguer avec kubectl debug --target plutôt qu'avec un shell (Baillet).
- Traiter le code généré par l'IA comme celui d'un développeur inexpérimenté : le même prompt a produit du code vulnérable sur cinq assistants, d'où revue et SAST systématiques (Leroy, Spiers).
- « Open weights » ne veut pas dire open source : lire les licences des modèles (seuil de 700 millions d'utilisateurs chez Llama, licence non-production chez Mistral, interdiction d'entraîner un concurrent avec les sorties d'OpenAI) (Semeteys).
- Partitionner un data lake par jour et par client et alerter sur les requêtes sans filtre : une seule requête Athena mal écrite a coûté 300 $ (Pubstack).
- Suivre la tendance des métriques DORA par équipe sans en faire des objectifs ni comparer les équipes, loi de Goodhart oblige (Toublanc, Blanloeil).
- Pour les images Java, séparer dépendances, ressources et classes en couches reproductibles (Jib) : le code applicatif pèse environ 0,5 % du fat jar (Chombeau).
- En recrutement, préférer une mise en situation au tableau blanc à un QCM sur plateforme : OVHcloud l'a généralisée à toute sa DSI (de Labareyre, Grangeau).
Session par session
Jeudi 10 octobre
Keynote
Faut-il avoir peur de l'IA ?
Manuel Davy — Vekia, La Cité de l'IA
Retours : Raphaël Semeteys (speaker d'une autre session, sur scène), blog Criteo (extrait de recherche seulement)
- Keynote d'ouverture dans l'Atrium, non filmée et sans descriptif dans le programme.
- Seule trace directe : Raphaël Semeteys y fait référence pendant son talk. Il retient l'explication des embeddings (transformer des mots en vecteurs), l'idée que les modèles « n'ont pas de morale » et « prédisent le prochain mot », et que l'IA va changer les entreprises « pas forcément radicalement mais à des petits endroits ». Il cite aussi une évocation de la blockchain.
- Un article du blog Criteo listant des enseignements de la journée la mentionne, mais nous n'avons lu qu'un extrait de moteur de recherche.
Conférence▶ vidéo + transcript
Talos chez Ubisoft : serveurs de jeux & plateforme Serverless
Vincent Behar — Ubisoft, Christophe Cantella — Ubisoft
- Talos Linux : distribution immuable dédiée à Kubernetes, écrite en Go, sans SSH ni shell, pilotée par une API gRPC, avec une douzaine de binaires seulement.
- Démos : création de cluster, patchs de configuration (modules NVIDIA pour les nœuds GPU), mise à jour de l'OS en schéma A/B avec rollback en une commande, puis montée de version Kubernetes.
- Limites citées : le mode maintenance n'est pas sécurisé tant que la configuration n'est pas poussée, et il n'y a pas d'autoscaling natif (Cluster API et cluster autoscaler en complément).
- Plateforme serverless (Cantella) : Knative, scale-to-zero, GPU pour de l'inférence d'IA générative, clusters multi-providers (OpenStack interne et AWS) reliés par KubeSpan (WireGuard). Démo de génération d'image depuis un modèle de 70 Go.
- Serveurs de jeu (Behar) : monolithes stateful en UDP, sensibles à la latence, hébergés avec Agones. Nouvelle génération hybride : control plane dans le cloud public, serveurs de jeu sur machines physiques i3D.net, configurées via Omni (SaaS de Sidero, sous BSL). Pas encore de jeu en production, mais des tests à 40 000 joueurs simulés.
Conférence▶ vidéo + transcript
20 000 nuages sous les mers
Nicolas Bouron — Zenika, Antoine Oili — Zenika
- Thèse : le cloud évoque les airs, mais 97 à 99 % du trafic intercontinental passe par plus de 450 câbles sous-marins, soit environ 1,4 million de km.
- Ordres de grandeur : toute la constellation Kuiper offre 11,3 Tbit/s, le seul câble Dunant de Google (2020, atterrissement en Vendée) 250 Tbit/s. Des câbles de la taille d'un tuyau d'arrosage, posés entre 3 000 et 6 000 m.
- Histoire : premier essai à Calais en 1851, message transatlantique de 1858 mis 17 h à passer, 60 % du réseau britannique en 1914, premier câble optique TAT-8 en 1988.
- Marché : quatre fabricants (américain, français, japonais, chinois), poseurs comme Orange Marine, et des GAFAM devenus propriétaires (une vingtaine de câbles pour Google), ce qui pose la question de la neutralité du Net. Rachat annoncé par l'État de 80 % d'Alcatel Submarine Networks.
- Risques : ancres et chalutiers (environ 60 % des coupures), catastrophes (Tonga, 2022), sabotages et surveillance ; aucune gouvernance mondiale hormis une convention de 1884.
- Premier talk public pour l'un des deux speakers, issus l'un du conseil DevOps, l'autre du commercial.
Conférence▶ vidéo + transcript
Introduction à Impact Framework
Ludovic Dussart — Zatsit
- Problème posé : chaque outil mesure un périmètre (Cloud Carbon Footprint, co2.js, Scaphandre…), difficile d'obtenir l'impact global d'une application.
- Impact Framework (Green Software Foundation) : une CLI qui exécute un manifeste YAML décrivant un pipeline de plugins chaînés (observation puis calcul), partageable et rejouable par d'autres.
- Démo en direct : données simulées (mock-observation), métadonnées d'instances cloud, plugins d'énergie mémoire, réseau et CPU, puis somme SCI. Comparaison d'un WordPress hébergé et du site statique de Zatsit sur un bucket GCS, présentée comme un ordre de grandeur « à challenger ».
- L'export vers Grafana a buggé en direct ; l'outil « bouge beaucoup ». Appel à contribuer pendant l'Hacktoberfest.
- Zatsit maintient aussi un landscape d'outils green inspiré de celui de la CNCF.
Conférence▶ vidéo + transcript
Comment ingérer 100 Mrd. d'événements depuis des millions d'appareils par mois ?
Valentin Maerten — Pubstack, Erwann Cloarec — Pubstack
- Contexte : Pubstack collecte des données publicitaires pour de grands sites médias, soit 4 milliards de requêtes HTTP et 650 Go par jour, avec une petite équipe d'une dizaine de développeurs.
- Ingestion : Cloudflare en entrée (forfait mensuel d'environ 200 $ contre une facturation au trafic chez CloudFront), ALB, conteneurs ECS Fargate autoscalés, conversion JSON vers Protobuf, Kinesis Data Streams puis Firehose vers S3.
- Kinesis sert de tampon rejouable : lors d'une panne OpenSearch, la pipeline a été coupée 7 h sans perdre un événement.
- Restitution : agrégats dans OpenSearch (13 nœuds réservés, données horaires puis journalières après J+15, 93 jours), data lake Parquet interrogé avec Athena, partitionné par jour et par client, bascule en Infrequent Access après 90 jours. Une requête sans filtre a coûté 300 $.
- Exploitation : Step Functions plutôt que du code de glue, un rôle IAM par Lambda, alertes CloudWatch dans Slack, objectif de coût de 0,50 $ par million d'événements, tout en Terraform. « Je me suis pas connecté en SSH depuis 4 ou 5 ans ».
- Lucidité sur le vendor lock-in : « le tout c'est d'en être conscient ». En questions, le développement en local reste difficile sans OpenSearch ni données.
Conférence▶ vidéo + transcript
D'OpenAI à Opensource AI : naviguer entre propriété commerciale et ouverture collaborative
Raphaël Semeteys — Worldline
- Lecture d'un expert open source : l'IA générative suit la trajectoire d'Internet et de l'open source (recherche ouverte, usage de masse, entreprise, commoditisation), mais beaucoup plus vite.
- Grille d'ouverture de 0 à 4 sur cinq actifs : poids du modèle, jeux de données de pré-entraînement et de fine-tuning, reward model, code.
- Trajectoires : OpenAI ouvert jusqu'à GPT-2 puis fermé, avec interdiction d'utiliser les sorties pour entraîner un concurrent ; Google qui referme puis ouvre Gemma avec une liste d'usages interdits ; Llama ouvert mais avec une clause au-delà de 700 millions d'utilisateurs mensuels.
- Les restrictions se transmettent : Alpaca et Vicuna héritent de celles de Llama et des données issues d'OpenAI. Mistral combine modèles ouverts, commerciaux et une licence non-production pour Codestral, qui rappelle les éditions community et enterprise.
- Conclusion : « open weights » n'est pas open source ; LLM360 et OLMo sont les plus ouverts. Le speaker a fait faire un étirement de yoga à la salle.
Conférence▶ vidéo + transcript
Maximisez la productivité des développeurs avec Backstage : plongez dans l'ingénierie des plateformes et créez un portail interne pour les développeurs
Laurent Grangeau — Google, Tony Jarriault — Sogeti
- Le platform engineering prolonge DevOps et SRE : unifier outils et bonnes pratiques (CI/CD, sécurité, documentation, observabilité) dans un portail interne plutôt que des dizaines d'onglets.
- Backstage (Spotify, Node et React) : catalogue décrit en YAML dans chaque dépôt, plugins (Cloud Build, GitHub, Kubernetes), documentation vivante traitée comme du code.
- Démo : catalogue d'une application de 13 microservices, puis template qui crée un dépôt Go avec sa CI GitHub Actions. L'onglet Kubernetes échoue en direct (droits manquants).
- Retour d'expérience honnête : il faut « être un peu développeur » pour installer Backstage, et la migration du backend v1 vers v2 rendait la doc peu fiable. Backstage récupère l'information plus qu'il ne déploie.
- Exemple d'un « avionneur français » dont un plugin relance les équipes, puis leur N+1 et N+2, quand un template évolue.
- En questions, un participant juge les templates trop « fire and forget » face à une gestion des dépôts par Terraform.
Lightning talk▶ vidéo + transcript
The Journey of Computing: from individual experiences to investigating fundamental connections with Science
Hayet Yefsah — Decathlon, Samira Taibi — Decathlon
- Premier talk de deux ingénieures Ops de Decathlon, reconverties en 2023 après des parcours en physique et en mathématiques (enseignement).
- Objectif : déconstruire l'idée que l'informatique serait séparée des sciences dures, chiffres de publications et de recherche interdisciplinaire à l'appui.
- Figures historiques : Ada Lovelace et Chien-Shiung Wu.
- Innovations nées de ces liens : ordinateur quantique, réseaux de neurones, modélisation climatique utilisée par le GIEC ; défis à venir : données massives du LHC, IA médicale avec ses enjeux éthiques, simulation avancée.
- Message : la diversité des profils et l'interdisciplinarité aident à comprendre le monde.
Lightning talk▶ vidéo + transcript
API Ops : Une approche DevOps pour l'API Management
Nejmeddine Ben Ouarred — Sfeir
- Une solution d'API management ne se réduit pas à la gateway : portail développeur, analytics, sécurité centralisée et parfois monétisation.
- Trois modèles de gouvernance : fédérée (rapide mais hétérogène), centralisée (goulet d'étranglement), hybride où une équipe centrale fournit l'outillage et les pipelines.
- API Ops : versionner les proxies (exemple d'Apigee) dans Git et leur appliquer une CI/CD classique : lint OpenAPI avec Spectral, tests, déploiement par environnements, tests de bout en bout.
- Critère de choix d'un produit : tout ce qui se fait dans l'interface doit être faisable par API.
- En questions : ce sont les équipes qui agissent sur le code des API, pas une équipe centrale sur les pipelines.
Conférence▶ vidéo + transcript
DevLake : Un voyage au pays du DORA
Kevin Toublanc — WeScale, Morgan Blanloeil — WeScale
- Position assumée : « le DevOps n'est pas un métier », mais une culture (CALMS) ; un ingénieur qui ne fait que du Terraform sans partager manque l'essentiel.
- Les 4 métriques DORA et l'évolution de leurs seuils entre 2021 et 2023. Mise en garde : loi de Goodhart, ne pas comparer les équipes, suivre la tendance.
- Retour d'expérience à Bpifrance (DSI de 200 équipes, passage à SAFe, build it you run it) : un framework maison capte tous les changements, calcule DORA et produit des notes de version pour les audits.
- Apache DevLake (incubateur Apache) : connecteurs GitLab, Jira, Sonar, webhook pour déclarer déploiements et incidents, tableaux Grafana fournis. Démo : en mode 2023, le délai de détection d'un incident pénalise le temps de rétablissement.
- Tendances du State of DevOps citées : platform engineering, expérience développeur, et une IA très adoptée mais dont les résultats inspirent peu confiance.
Conférence▶ vidéo + transcript
Jib : Osez le Dockerless pour vos projets Java !
Ludovic Chombeau — Leroy Merlin
- Point de départ : un Dockerfile généré par ChatGPT (JDK, root, un seul gros layer), puis un Dockerfile de docker init complet mais difficile à maintenir.
- Jib (Google) : plugin Maven ou Gradle, sans Dockerfile ni démon Docker, qui découpe l'image en couches dépendances, ressources et classes. Le code ne représente qu'environ 0,5 % d'un fat jar de 115 Mo.
- Reproductibilité : avec Docker, un simple
touchsur le jar invalide le layer ; Jib fixe les dates au 1er janvier 1970 pour obtenir des empreintes identiques. - Monorepo : configuration commune dans le pom parent, surcharges par module, exclusion d'une librairie partagée.
- Retour d'expérience : migration en un an et demi, plus de 50 modules en production sans incident lié à Jib. Limites : Java uniquement, pas d'instruction RUN, métadonnées perdues, pas de rebase (contrairement aux buildpacks).
- Les démos de push vers la registry ont échoué faute de réseau.
Conférence▶ vidéo + transcript
J'ai perdu du poids sur Kubernetes avec SlimFaas
Guillaume Chervet — AXA France
- Témoignage chiffré (en « pingouins » pour euros) : un projet passé de 200 à 42 par jour en production, environ 19 000 par mois sur 4 environnements, soit environ 230 000 par an ; un autre projet en économiserait plus de 300 000.
- SlimFaas (licence MIT) : un simple proxy à ajouter, activé par annotation, qui fait du scale-to-zero, des appels synchrones et asynchrones avec file d'attente, du retry, du pub/sub en HTTP et gère la visibilité publique ou privée des fonctions.
- Base interne répliquée avec Raft (3 réplicas en production) ; routes wake-up et d'état de l'infrastructure qui permettent de reporter la résilience côté front.
- Cas d'usage : classification de 10 000 e-mails par jour en moins d'une minute, avec démarrage anticipé des pods selon le type de document.
- Contraintes réelles : une VM met environ 7 minutes à arriver ; SlimFaas Schedule réveille l'infra le matin et l'éteint le soir.
- Origine : remplacer OpenFaaS, jugé cher et couplant ; Knative refusé car trop lourd et non multi-tenant ; KEDA jugé « juste génial » mais moins fin.
Lightning talk▶ vidéo + transcript
Mesure ton empreinte avec Cloud Carbon Footprint
Emmanuel Peru — Zatsit
- Rappel : le cloud est physique (data centers, besoins énergétiques annoncés en forte hausse avec l'IA), même si son immatérialité le fait oublier.
- Cloud Carbon Footprint (open source, initié par Thoughtworks) s'appuie sur les données de facturation : la démarche FinOps devient le point de départ d'une démarche GreenOps, sans agents à déployer.
- Calcul : émissions opérationnelles (énergie × PUE × intensité carbone) plus part des émissions de fabrication ; sur GCP, facteurs CFE et option Electricity Maps.
- Exemple chez Zatsit : un petit service hébergé aux États-Unis, environ 5 % de l'usage, pèse 67 % des émissions.
- Méthode imparfaite mais transparente ; appel à être « green by design ». Slides en Slidev publiées sur GitHub.
Lightning talk▶ vidéo + transcript
L'IA et l'observabilité : un mariage presque parfait ?
Yann Beulque — Partenor Hauts-de-France, Maxence Flament — Partenor Hauts-de-France
- Trois IA pour l'observabilité : générative, prédictive, et causale, « la moins intelligente mais qui rend le plus de services ».
- Panorama de Dynatrace, Datadog et Elastic ; démo d'un assistant Elastic qui génère des requêtes à partir de questions en langage naturel, avec une latence notable.
- Observer les LLM : démo de Datadog LLM Observability (sortie en juin 2024, jugée « embryonnaire ») sur un chatbot e-commerce : toxicité, tentatives de prompt injection, appel de 16 s dû à trois requêtes OpenAI, regroupement par sujets et sentiment.
- Data observability : une réponse HTTP 200 peut cacher des données erronées, par exemple les bénéficiaires d'un autre client affichés dans une assurance vie.
- En questions : masquage automatique des données personnelles dans les prompts, mais accès à restreindre.
Conférence▶ vidéo + transcript
Sorting through 10.000 Pokémon cards for fun and profit
Matthieu Cornillon — Google
- Problème personnel : identifier et revendre 10 000 cartes Pokémon ; seule l'illustration permet de reconnaître une carte de façon fiable.
- Étape 1, détection d'objet : un peu plus de 1 000 photos annotées à la main (environ 10 h, la partie la plus longue), entraînement AutoML sur Vertex AI, séparation 80/20 entre entraînement et test.
- Étape 2, embeddings de 768 dimensions pour les quelque 20 000 cartes existantes, stockés avec pgvector dans AlloyDB (« choisir une technologie ennuyeuse »).
- Étape 3, recherche par similarité cosinus ; comparaison entre recherche exacte et index approximatifs (IVFFlat, HNSW, ScaNN).
- Résultats : une carte française retrouvée dans sa version anglaise, la pré-évolution du Pokémon en deuxième résultat. La même mécanique sert au RAG.
- En questions : coût faible, export CSV vers une marketplace de cartes avec estimation du prix.
Conférence▶ vidéo + transcript
Container & Security
Sébastien Baillet — Lupise
- Hypothèse de travail : l'attaquant contrôle déjà le conteneur, il faut l'empêcher d'atteindre le reste du cluster.
- Règles : ne pas tourner en root, retirer les capabilities (Docker en accorde une dizaine par défaut, cinq sont « game over »), images de base de confiance et minimales (distroless, Chainguard), système de fichiers en lecture seule, aucun secret dans les layers ni les métadonnées.
- Déboguer sans shell : comprendre les namespaces Linux, utiliser les conteneurs éphémères avec
kubectl debug --target, accéder au système de fichiers via/proc/1/root. - Le patch management se fait sur les images (rebuild et redéploiement), pas sur les conteneurs. Environ 80 % du code vient des dépendances : les scanner d'abord (Trivy, Renovate, Copacetic, NeuVector).
- Pas d'isolation réseau par défaut dans Kubernetes : écrire des NetworkPolicies.
- En questions : chez Leroy Merlin, 41 % des images de sa plateforme sont distroless ; l'adoption dépend de la présence d'Ops dans les équipes.
Conférence▶ vidéo + transcript
CAST AI et son obsession pour l'optimisation Kubernetes
Yoann Legrand — CAST AI, Skander Belli — CAST AI
- Talk d'éditeur assumé (un commercial, un technique), avec cas clients et modèle de prix.
- Mesure gratuite en lecture seule de l'écart entre ressources utilisées, demandées et provisionnées.
- Leviers : choix du type d'instance et bin packing (exemple de facture passée de 43 000 à 20 000 $), passage sur instances spot avec prédiction des interruptions 30 minutes à l'avance grâce aux données agrégées de tous les clients, repli sur du on-demand.
- Workload autoscaler : un admission webhook ajuste les requests des pods sans toucher aux déploiements, en mode immédiat ou différé.
- Revendications non vérifiables ici : jusqu'à 80 % d'économies, 8 $ économisés par dollar payé chez un client.
- Questions nombreuses de la salle : Terraform, mode lecture seule, métriques Prometheus, pics de CPU au démarrage des applications Java.
Conférence▶ vidéo + transcript
Hacking code : exploiter le code généré par l'IA
Tim Leroy — Snyk, Frédéric Spiers — Gentle IT
- Chiffres cités : 92 % des développeurs utilisent l'IA, et environ 40 % du code généré contient des vulnérabilités, avec des utilisateurs plus confiants dans leur code.
- Les LLM se trompent avec aplomb (calcul simple, nombre de « r » dans strawberry).
- Expérience : le même prompt Express donné à cinq assistants (ChatGPT, Gemini, Claude, Perplexity, Mistral) produit une faille XSS ; confrontés, ils proposent quatre corrections différentes, dont des librairies mal maintenues.
- Live coding avec Copilot : une recherche vulnérable à l'injection SQL, puis un upload vulnérable au path traversal (démontré avec Burp Suite), corrigés par un meilleur prompt et détectés par un outil SAST.
- Recommandations : formation, politiques d'usage, « ne faites pas confiance, vérifiez », considérer l'IA comme un développeur inexpérimenté.
- En questions : Spiers observe peu de contrôle réel de l'usage de l'IA par les développeurs en entreprise.
Conférence▶ vidéo + transcript
« On a 34 % de femmes, venez chez nous, on fait des trucs pour vous ! »
Anaïs Moulin — Onepoint
- Titre tiré d'un message LinkedIn reçu par la speakeuse, femme en situation de handicap invisible, qui donnait ce talk pour la deuxième fois.
- Récit fictif de trois amis au même profil (notes, entretiens) pour montrer les effets de la discrimination positive, puis histoire : États-Unis dans les années 1960, lois françaises de 1983 (égalité professionnelle) et 1987 (handicap).
- Avantages chiffrés (accès des femmes aux études, à l'emploi, aux métiers dits masculins) et inconvénients : syndrome de l'imposteur, question du mérite, ressentiment des collègues.
- Alternatives : éducation, lutte contre les préjugés, et poser la question quand un traitement paraît injuste, comme elle l'a fait par e-mail auprès d'un recruteur.
- Conclusion : « hier on en avait besoin, aujourd'hui ça aide, demain ça doit disparaître ».
- En questions, un recruteur témoigne d'hommes très sûrs d'eux et de femmes qui sous-estiment leurs compétences en entretien.
Conférence▶ vidéo + transcript
Ma startup a grossi : quand les fondateurs CTO partent et que les Principals Engineers arrivent
Nicolas Martignole — Back Market, Théotime Lévêque — Back Market
- Deux parcours : Lévêque a grandi avec Back Market, Martignole arrive de Doctolib. Back Market compte environ 200 développeurs et deux principal engineers rattachés à la CTO.
- Le rôle : leadership technique sans management, obsession de l'impact (outcome plutôt qu'output), changements de posture permanents, agenda construit soi-même et sans tickets, travail par influence.
- Débat assumé entre les deux : on ne peut pas être CTO et principal à la fois, et un CTO cofondateur ferait selon Lévêque « un mauvais principal ». Chez Doctolib comme chez Back Market, les fondateurs techniques ne sont pas restés CTO.
- Accompagner une nouvelle CTO venue de grandes entreprises : liste priorisée de sujets classés par sphère de contrôle, d'influence ou de préoccupation, avec des actions proposées ; ne jamais isoler la CTO dans les messages.
- Question clé à poser à un dirigeant : « comment je peux te soutenir ? ».
- On peut alterner entre management et contribution individuelle ; promotion de la communauté francophone Staff 42 (environ 300 membres).
Conférence▶ vidéo + transcript
(con)test-és et (dé)test-és MAIS (at)test-ables ? Les tests techniques dans le cadre des recrutements de profils techs
Magali de Labareyre — OVHcloud, Laurent Grangeau — Google
- Duo recruteuse et candidat expérimenté, avec une « météo » par type de test. Déclic : un candidat furieux d'un test jugé irréaliste.
- Échange entre pairs : agréable pour le candidat mais peu structuré, avec un écart fréquent entre niveau perçu en entretien et en période d'essai. Revue de code : pertinente mais coûteuse (3 h chez AWS).
- Tests sur plateforme : pratiques pour trier, mais scolaires et stressants ; certains candidats refusent de les passer. Projet à la maison : des candidats y passaient 5 à 15 h, au risque d'en perdre.
- Solution retenue chez OVHcloud : le « test de Thomas », une mise en situation au tableau blanc (mettre en ligne une vidéo de chaton face à un product owner), adaptable aux profils dev, SRE, DBA et non tech, généralisée à la DSI pendant plus d'une centaine de recrutements.
- Conseils : travailler son personal branding et ses contributions open source, qui peuvent remplacer le test.
- En questions : l'IA pour trier les CV reproduit les biais des données (exemple d'Amazon) ; le recrutement reste un échange humain.
Sessions sans retour trouvé (4)
- Découvrir Pulumi par la pratique, atelier de 2 h (Alexandre Nédélec, Avanade), non filmé
- Réconciliez-vous avec la sécurité et surmontez ses défis avec Dependency-Track ! (Elisa Degobert, HoppR), non filmé
- Si j'étais un hacker, comment est-ce que je prendrais le contrôle de votre cluster Kubernetes, atelier (Thibault Lengagne, Padok), non filmé
- Confidentialité des données sur les offres SaaS Kafka ou Pulsar (Guillaume Dufrêne, AXA France), non filmé
Sources
- Page Conference Hall Cloud Nord 2024 (formats, catégories, 5e édition) (nouvel onglet) ↗
- Programme 2024 agenda.cloudnord.fr (archive Wayback Machine) (nouvel onglet) ↗
- Page d'accueil cloudnord.fr, octobre 2024 (archive) (nouvel onglet) ↗
- Page Conference Hall Cloud Nord 2025 (450 participants en 2024) (nouvel onglet) ↗
- Playlist YouTube officielle « Cloud Nord 2024 - Lille » (20 talks et aftermovie) (nouvel onglet) ↗
- Slides d'Emmanuel Peru (Cloud Carbon Footprint, Slidev) (nouvel onglet) ↗
- Blog tech Criteo : article sur CloudNord connu seulement par extrait de recherche, non retrouvé (nouvel onglet) ↗
- Posts LinkedIn : aucun lu (recherche web sans résultat exploitable)