Sunny Tech 2025

Dev, cloud & sécu26–27 juin 2025Montpellier, L'Institut Agro Montpellier6e édition

Site officiel (nouvel onglet) ↗Programme (nouvel onglet) ↗Chaîne YouTube (nouvel onglet) ↗Synthèse de juin 2025 →

6ᵉ édition, 26 & 27 juin 2025 à L'Institut Agro Montpellier (ex-SupAgro). Environ 70 sessions sur 6 salles (Lavande, Coquelicot, Olivier, Thym, Romarin, Trop chaud) : talks de 50 min, formats courts de 20 min, ateliers de 110 à 120 min, en pistes IA & Data, Cloud & DevOps, Architecture & Sécurité, Web, Langages, Conception et « Atypique ». Keynotes de Jean-Baptiste Kempf (ouverture) et Brian Vermeer (fermeture, en anglais). Conférence associative ; environ 550 participants annoncés par l'organisation.

Sunny Tech 2025 a tourné autour de l'autonomie technique : souveraineté et open source (keynote de Jean-Baptiste Kempf, IA auto-hébergée, xz-utils), sécurité des usages de l'IA (MCP, RAG, keynote de Brian Vermeer) et pratiques d'équipe pragmatiques (tests, legacy, revue de code en mob), le tout dans une ambiance estivale saluée par les rares retours publics.

19 sessions résumées · 15 vidéos · mise à jour le samedi 3 octobre 2026 · synthèse à compléter

Sources lues et limites de cette synthèse

Corpus : Trois comptes-rendus publics : le blog d'Antoine Mayer (speaker, journée du 26 juin, publié le 30/06/2025), l'article collectif de Bpifrance.IO (quatre auteurs, publié le 27/10/2025) et un billet d'ambiance de Synanto (30/06/2025). S'y ajoutent le programme officiel archivé sur 2025.sunny-tech.io et 14 transcripts choisis parmi les 36 vidéos de la playlist officielle (publiées le 03/07/2025).

Limites : Corpus participant très mince : aucun post LinkedIn ni thread Bluesky exploitable trouvé (budget de recherche web limité), et les retours lus couvrent surtout le premier jour. Pour la plupart des sessions, les résumés décrivent ce qui a été dit sur scène (sous-titres automatiques), pas la manière dont les talks ont été reçus. Le choix des transcripts est éditorial (keynotes, IA, pratiques d'équipe, sécurité) ; environ 50 sessions restent sans contenu analysé, dont 21 disposant d'une vidéo non transcrite.

Synthèse globale

1. Une synthèse surtout faite de vidéos, avec peu de retours publics

Pour cette 6ᵉ édition, seuls trois comptes-rendus publics ont été trouvés : le blog d'Antoine Mayer (lui-même speaker), un article collectif de Bpifrance.IO publié quatre mois après l'événement et un billet d'ambiance de Synanto. Ils couvrent surtout le premier jour. L'essentiel des sections suivantes s'appuie donc sur ce qui a été dit sur scène dans 14 talks transcrits (sur 36 vidéos publiées une semaine après l'événement). Le programme compte environ 70 sessions sur six salles, en pistes IA & Data, Cloud & DevOps, Architecture & Sécurité, Web, Langages, Conception et « Atypique ».

2. Autonomie numérique et open source, du discours à l'infra

La keynote d'ouverture de Jean-Baptiste Kempf pose le thème : plutôt que « souveraineté », il parle d'autonomie numérique, l'enjeu étant de ne pas dépendre d'un seul fournisseur. Antoine Mayer et Bpifrance.IO la décrivent comme inspirante et pédagogique. Le sujet trouve un prolongement très concret chez Jean-Philippe Foures, qui raconte comment un infogéreur a monté sa propre plateforme d'IA sur GPU internes parce que des clients refusent les services américains ; lui préfère parler de « gouvernance ». Côté communauté, BearStudio explique comment faire de la contribution open source une pratique d'entreprise financée sur le temps de travail, et Olivier Poncet rappelle avec xz-utils le prix de la fatigue des mainteneurs isolés, point que retient aussi David Donès (Bpifrance.IO).

3. L'IA vue par sa surface d'attaque

Les sessions IA transcrites parlent moins de productivité que de risques. Philippe Charrière compare MCP à « filer des boîtes d'allumettes à un bébé » et recommande moindre privilège et validation humaine. Carmen Piciorus (La Poste) montre qu'un chatbot RAG interne peut restituer de vrais identifiants de base de données trouvés dans Confluence, et propose Presidio et LLM Guard comme filtres. La keynote de clôture de Brian Vermeer (Snyk) enchaîne les démos d'attaque sur des applications LangChain4j : le modèle lui-même est difficile à pirater, mais son contexte (RAG, mémoire, fonctions) ne l'est pas. Le fil commun : petites fonctions, permissions liées à l'utilisateur, humain dans la boucle, et données nettoyées en amont. L'IA locale et la quantification (Foures) apparaissent comme la réponse côté confidentialité et coût.

4. Des pratiques d'équipe pragmatiques plutôt que des dogmes

Plusieurs talks défendent le « ça dépend » assumé. Tester c'est tricher déconstruit la pyramide des tests et le culte du coverage au profit de motivations explicites ; c'est la session de développement la plus commentée du corpus (Christophe Leroux, Bpifrance.IO), complétée par l'atelier « Tester dans l'Hexagone » en mob programming. Valentin Dumas propose de chiffrer le coût du legacy feature par feature avant de négocier un refactoring. Thibaut Cantet remplace la revue de PR asynchrone par du mob code review à heures fixes. Le programme poussait dans le même sens sans qu'on ait de retour : « Et si vous abandonniez la revue de code systématique ? » (Eric Siber), « Ne jouez plus solo » (Julien Libert), « Scrum : je suis venue, j'ai vu, je n'en veux plus » (Marine Verstraete).

5. Plateformes : la convergence est organisationnelle

Le retour d'Ubisoft sur huit ans de Kubernetes self-service (Fleet, Rancher, namespace as a service, Agones) arrive à une conclusion que retient Antoine Mayer : la convergence vers une plateforme commune est un problème organisationnel qui demande une décision de direction. Le design system de Teads raconte la même histoire côté front : adoption freinée par les breaking changes, nécessité d'en faire un produit et de « communiquer, communiquer encore ». Antoine Mayer cite aussi le défi des 511 clusters Cilium (Joseph Ligier) et la soft-deletion chez Doctolib, d'où il sort avec une règle : ne plus l'utiliser pour les nouvelles tables.

6. Une conférence « en short », curieuse et ludique

Les retours d'ambiance concordent : organisation saluée, cigales, soleil et alerte chaleur (Mayer), « communauté soudée et bienveillante » et speakers « brillants » (Synanto). La chaleur revient dans plusieurs talks (salle qui s'évente, speaker qui craint pour sa machine). La piste « Atypique » assume le pas de côté : une partie de Factorio jouée en direct pour expliquer architecture, scalabilité et sécurité, l'accessibilité des jeux vidéo, un ordinateur 8 bits construit à la main. Les speakers estiment le public à environ 400 personnes pour la keynote d'ouverture et 150 pour « Tester c'est tricher ».

7. Limites et critiques

Le corpus participant est très mince et penche vers deux sources (un speaker et une équipe Bpifrance), ce qui ne permet pas de dire quelles sessions ont le plus marqué. Aucun point de débat n'a été relevé dans les retours lus. Deux formats manquent de traces : les ateliers et une partie des talks courts n'ont pas été filmés (Antoine Mayer regrette l'absence de captation pour son quickie). Les talks transcrits ont été choisis pour couvrir keynotes, IA, sécurité et pratiques d'équipe ; les pistes Web et Langages, pourtant fournies, restent peu analysées.

Actions concrètes citées

  1. Viser l'autonomie numérique plutôt qu'une souveraineté totale : accepter l'interdépendance mais éviter de dépendre d'un seul fournisseur (Kempf).
  2. Distinguer open weight et open source avant de choisir un modèle, et envisager l'IA locale quand les contrats ou la confidentialité l'exigent (Kempf, Foures).
  3. Traiter les serveurs MCP comme du code à risque : moindre privilège, validation humaine, ne pas installer de serveur tiers sans le lire (Charrière, Vermeer).
  4. Nettoyer et anonymiser les données avant de les indexer dans un RAG (Presidio, LLM Guard) : la fuite vient souvent de l'outil, pas du modèle (Piciorus).
  5. Construire sa stratégie de test sur des motivations explicites (stabilité, conformité, documentation, intégrité, reproductibilité) plutôt que sur la pyramide ou le coverage ; préférer le mutation testing (Caron et Poissonnet, retenu par Christophe Leroux).
  6. Face au legacy, mesurer le coût réel par feature et négocier un plan ciblé plutôt qu'une refonte en sous-marin ; sécuriser par approval tests et petits pas (Dumas).
  7. Remplacer la revue de PR asynchrone par des créneaux de mob code review avec time keeper, si l'équipe a la sécurité psychologique nécessaire (Cantet).
  8. Une plateforme interne converge par décision organisationnelle, pas par la technique ; laisser la duplication mûrir avant de converger (Ubisoft, retenu par Antoine Mayer).
  9. Nettoyer régulièrement les feature flags et les instrumenter : l'observabilité est une condition de leur usage (Sopra Steria, retenu par Bpifrance.IO et Antoine Mayer).
  10. Réfléchir avant d'adopter la soft-deletion : elle est facile à démarrer et difficile à abandonner (Doctolib, retenu par Antoine Mayer).

Session par session

Jeudi 26 juin

Keynote▶ vidéo + transcript

Keynote ouverture - Open Source & Souveraineté

Jean-Baptiste Kempf — VideoLAN / Scaleway

Retours : Antoine Mayer (blog), Blog Bpifrance.IO

  • Sur scène (transcript) : vingt ans d'open source racontés à travers l'histoire de VLC, né sur le réseau du campus de l'École Centrale Paris, passé en GPL vers 2001 « en cachette » de l'école qui revendiquait la propriété intellectuelle. VLC est « le logiciel français le plus utilisé au monde » et « le moins rentable ».
  • Il préfère « autonomie numérique » à « souveraineté » : l'interdépendance est normale (un projet npm tire des centaines de paquets), le danger est de dépendre d'un seul fournisseur. Exemples cités : hausses de prix de VMware et BigQuery, contrat EDF avec AWS, Airbus et Palantir.
  • Sur l'IA : distinguer open weight et open source (licences de Llama, Mistral, Qwen, DeepSeek) ; démonstration de traduction de sous-titres en IA locale dans VLC sur un portable. Formules marquantes : « si vous avez open dans votre nom, c'est un peu comme la République populaire démocratique de Corée », « une entreprise ne peut pas être morale ».
  • Reçu par les participants comme une keynote inspirante (Bpifrance.IO) et pédagogique, « sans langue de bois » selon Antoine Mayer, qui retient les quatre dimensions de l'autonomie (indépendance technologique, vie privée, concurrence, impact social) et la phrase « tout le monde en parle, mais pas beaucoup de monde en fait ».
  • Environ 400 personnes dans la salle, selon l'estimation du speaker.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo

Fun with (feature) flags

Matthieu Vincent — Sopra Steria, Léonore des Plas — Sopra Steria

Retours : Damien Sans (Blog Bpifrance.IO), Antoine Mayer (blog)

  • Talk jugé « aussi technique que pragmatique » (Damien Sans, Bpifrance.IO) : les feature flags activent une fonctionnalité sans redéploiement.
  • Trois familles de flags : release, expérimentation, opérationnels ; segments pour cibler des groupes d'utilisateurs, variantes pour l'A/B testing (Mayer).
  • Outils comparés : Unleash (mature, multi-langage) face à Flipt (léger, gRPC), et standardisation par OpenFeature (CNCF) (Bpifrance.IO).
  • Pièges : accumulation de flags, imbrications, absence de monitoring, interfaces trop techniques. Bonnes pratiques : nettoyage régulier, tests, séparation des environnements, documentation, mesure (Bpifrance.IO).
  • Antoine Mayer, profil SRE, retient surtout l'observabilité comme condition de mise en œuvre et salue la clarté du talk même sans culture front.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Avec le Model Context Protocol, l'IA peut prendre le contrôle de nos machines

Philippe Charrière — Docker

  • Sur scène (transcript, aucun retour de participant trouvé) : le speaker juge lui-même son titre dépassé, MCP ayant « explosé » depuis l'abstract ; il présente une version « en construction ».
  • Fil rouge ludique : des personnages de Donjons et Dragons joués par des agents en Go, sur des modèles locaux (Docker Model Runner, compatible Ollama). Constat : les petits modèles sont meilleurs en anglais qu'en français, et un petit Qwen 2.5 ne détecte que le premier tool là où les gros gèrent les appels parallèles.
  • Function calling : le nom et la description du tool sont décisifs. MCP (Anthropic, fin 2024) repose sur JSON-RPC, avec trois transports : stdio, SSE (déprécié) et streamable HTTP (recommandé). Le même serveur MCP est réutilisé dans Google ADK et Claude.
  • Sécurité : exemples d'une attaque par issue via le serveur MCP de GitHub et de clés poussées par un agent. Recommandations : moindre privilège, validation humaine, authentification, scan de secrets, préfixer les noms de tools, n'utiliser que ses propres serveurs MCP. « MCP c'est super dangereux. C'est comme filer des boîtes d'allumettes à un bébé. »
  • Salle pleine (« je m'attendais pas à autant de monde »), dernière démo en streamable HTTP ratée faute de temps.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Anatomie d'une faille

Olivier Poncet — Weyland-Yutani

Retours : David Donès (Blog Bpifrance.IO)

  • Sur scène (transcript) : autopsie de l'attaque contre xz-utils (CVE-2024-3094, score 10/10), découverte presque par hasard fin mars 2024 par Andres Freund à cause d'une latence SSH anormale.
  • Ingénierie sociale sur deux à trois ans : le compte « Jia Tan » gagne la confiance d'un mainteneur seul et épuisé, aidé par de faux comptes qui mettent la pression, devient co-mainteneur, redirige les contacts, désactive le fuzzing puis cache la charge utile dans des fichiers de test.
  • Technique : le tarball diffère du dépôt Git, l'injection ne se déclenche qu'au build des paquets .deb ou .rpm et atteint sshd via libsystemd. Le speaker évoque aussi des indices d'attribution (oublis de VPN), avec prudence.
  • Supply chain : sommes de contrôle, gestionnaire d'artefacts, examen des dépendances transitives. Aux questions : le mainteneur a fait une dépression ; « cette personne a souvent plus besoin d'aide que de conseils ».
  • Retenu par David Donès (Bpifrance.IO) : une faille invisible pendant des années, découverte juste avant les sorties des distributions, et le risque que fait peser le goulot de la maintenance open source.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Design System: beyond marketing bullshit

Florian Marin — Teads, Matthieu Rebuffat — Teads

  • Sur scène (transcript, aucun retour de participant trouvé) : quatre ans de design system chez Teads, parti de zéro en 2021 (une vingtaine d'applications, environ 200 ingénieurs, 3 designers pour environ 50 développeurs, migration Angular vers React).
  • Plus d'une centaine d'itérations en deux ans avant une V1 stable. Un outil de documentation payant abandonné après un sondage montrant que presque personne ne l'utilisait, remplacé par Figma Code Connect.
  • Gouvernance : binôme, puis équipe décentralisée, puis équipe centralisée ; un atelier d'une heure maximum par nouveau composant. Les breaking changes freinent l'adoption ; réponses : release notes publiées sur Slack, ambassadeurs, design breakfasts, présentation à l'onboarding.
  • Résultats annoncés : une feature livrée en moins de trois semaines contre environ deux mois, satisfaction client de 3,6 à 4,1 sur 5. Leçons : « viser la perfection, c'est vraiment le contraire à une stratégie produit », en faire un produit et non un projet, « communiquer, communiquer encore ». Avec le recul, ils partiraient d'une librairie headless.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

How to Embed Open Source Contribution into Your Company's DNA

Rudy Baer — BearStudio, Yoann Fleury — BearStudio

  • Sur scène (transcript, en français malgré le titre) : dix ans d'essais dans une ESN d'environ 20 personnes. « Faire de l'open source, c'est pas utiliser de l'open source pour vendre à des clients » : c'est contribuer, sur le temps de travail.
  • Quatre ingrédients : s'investir dans les communautés (conférences, co-organisation de Codeurs en Seine), contribuer à l'existant (JHipster, contributions sans code, dons), avoir son propre projet (Formiz, Start UI) avec un responsable qui le traite « comme le client », puis maintenir (documentation, goodies, sponsoring).
  • Temps dédié : dernière semaine de l'année fermée aux clients et consacrée à l'open source, objectifs annuels, code retreats de deux à trois jours.
  • ROI : un client américain trouvé grâce à Start UI, mais la part du chiffre d'affaires due aux contributions reste « impossible à dire » ; « le retour sur investissement, il se mesure pas en argent ». Les projets qui tiennent partent d'un investissement personnel préalable d'un salarié.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

8 ans de Kubernetes self-service chez Ubisoft

Vincent Behar — Ubisoft, Christopher Cowley — Ubisoft

Retours : Antoine Mayer (blog)

  • Sur scène (transcript) : huit ans de plateformes Kubernetes dans un groupe de 17 000 personnes aux studios très hétérogènes. Fleet (2016), très orientée développeurs pour les game services ; une plateforme Rancher on-prem (2018) qui a permis de créer des centaines de clusters, opérés par des équipes pas toujours matures, puis bloquée sur une vieille version ; Runway, du namespace as a service sur clusters partagés, avec des problèmes de noisy neighbors.
  • Viennent ensuite une couche multi-cloud pour les game servers basée sur Agones, une plateforme développeur interne, et des îlots d'innovation (Knative et inférence LLM, Talos Linux sur bare metal).
  • Convergence : tout revient sur Fleet, devenue une couche d'UX ; l'accès direct aux clouds managés est bloqué et des DevRel font le pont avec les équipes pour éviter le shadow IT. Même phénomène de duplication observé aujourd'hui avec la GenAI (quatre outils internes de code review).
  • Leçons : le self-service ne convient pas à tout le monde, laisser la duplication mûrir avant de converger, et « c'est pas un problème technique, c'est vraiment un problème organisationnel ».
  • Retenu par Antoine Mayer : l'adoption rapide crée l'hétérogénéité, la convergence vers un PaaS est organisationnelle et demande une décision du top management ; « le self-service ne résout pas tout ».
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Tester c'est tricher

Antoine Caron — Scaleway, Jules Poissonnet — Bedrock Streaming

Retours : Christophe Leroux (Blog Bpifrance.IO)

  • Sur scène (transcript) : talk anti-dogmatique, au biais front assumé, qui démonte la pyramide des tests. Elle vient de Mike Cohn (2009) et non de Martin Fowler, et Cohn jugeait déjà la limite des tests d'interface « probablement temporaire ». Alternatives citées : hexagone, trophée de Kent C. Dodds.
  • Quatre profils de testeurs (believers, technophiles, sceptiques, « good enough ») ; exemples d'un test Gherkin qui passait encore après suppression de la page testée et de CI de 30 à 50 minutes pilotées par le coverage.
  • Cinq motivations construites avec la salle : stabilité, conformité, documentation, intégrité, reproductibilité, à formaliser dans un TESTING.md. Démo Playwright (sélecteurs accessibles, mock des API), Vitest, linters de tests, mutation testing plutôt que coverage, tests ciblés et option bail en CI.
  • Conclusion assumée : « on a passé 50 minutes devant un public à juste dire ça dépend » ; « tout le monde teste, c'est juste qu'il y a des gens qui automatisent ». Environ 150 personnes dans une salle surchauffée, selon les speakers.
  • Retenu par Christophe Leroux (tech lead, Bpifrance.IO) : la remise en cause de la pyramide et du coverage pour revenir à « la réelle valeur des tests », la vitesse d'exécution, le BDD/Gherkin, la qualité de la base de tests au même niveau que le code et l'économie de CI.
Voir sur YouTube (nouvel onglet) ↗

Conférence

Mission impossible : 511 Meshed Kubernetes

Joseph Ligier — Accenture

Retours : Antoine Mayer (blog)

  • Défi parti d'une annonce de Cilium 1.15 : le Cluster Mesh supporte désormais 511 clusters. Le speaker a tenté de les déployer et de les relier, en infrastructure as code, sur sept régions AWS, en surveillant les coûts (programme).
  • Antoine Mayer a apprécié le mélange de curiosité, de retour d'expérience concret et d'humour.
  • Pas de vidéo dans la playlist officielle ; slides publiées sur la page de la session.

Conférence

Et si supprimer tout en douceur n'était pas une si bonne idée ?

Alice Loeser — Doctolib

Retours : Antoine Mayer (blog)

  • Retour d'expérience Doctolib sur la soft-deletion : marquer les données comme supprimées plutôt que les effacer, simple à mettre en place mais bien plus difficile à abandonner (programme).
  • Conséquences relevées par Antoine Mayer : tables surdimensionnées, requêtes plus lentes, bases encombrées de données « fantômes » ; le programme évoque aussi index partiels, tables de milliards de lignes et incidents de production.
  • Sa conclusion : un sujet découvert pendant la conférence, et une règle, ne plus utiliser la soft-deletion pour les nouvelles tables.
  • Pas de vidéo dans la playlist officielle.

Lightning talk

Exegol : Le Hacking à base de conteneurs

Antoine Mayer — WeScale

Retours : Antoine Mayer (speaker)

  • Format court de 20 minutes : présenter Exegol, environnement de pentest en conteneurs Docker censé remplacer la VM Kali, puis un mini challenge CTF sur le site d'une école fictive « Sunny » (programme).
  • Le speaker raconte une version mise à jour avec les annonces Exegol Pro et Enterprise, un souci technique de dernière minute avec le navigateur de Burp Suite et un format très comprimé, mais une salle pleine ; il regrette l'absence de captation vidéo (speaker).

Lightning talk▶ vidéo + transcript

Les gardiens des données à l'ère de l'IA

Carmen Piciorus — La Poste, Branche Services-Courrier-Colis

  • Sur scène (transcript) : beaucoup d'entreprises bloquent l'IA par peur de fuite de secrets, de code et de données personnelles ; les recommandations existantes (ANSSI, OWASP, AI Act) parlent surtout d'entraînement, peu de RAG.
  • Anecdote : en testant un chatbot RAG interne, elle demande les identifiants par défaut de PostgreSQL et obtient « un vrai login mot de passe » d'une base de recette, puis de production, tirés de pages Confluence.
  • Deux « gardiens » : Presidio (Microsoft, open source) pour détecter et anonymiser de façon réversible les données sensibles, et LLM Guard pour filtrer entrées et sorties (prompt injection, toxicité). Démo dans Open WebUI.
  • Message : « c'est pas forcément le modèle qui pose problème, mais c'est l'outil que vous utilisez » ; nettoyer les données avant de les indexer.
Voir sur YouTube (nouvel onglet) ↗

Vendredi 27 juin

Conférence▶ vidéo + transcript

On a refait OpenAI en Open Source

Jean-Philippe Foures

  • Sur scène (transcript, aucun retour de participant trouvé) : retour d'expérience d'un hébergeur-infogéreur (le nom de l'entreprise est mal transcrit ; le speaker est chez Iguane Solutions en 2026). Point de départ : un équivalent interne de Dust branché sur Slack, parce que certains clients interdisent contractuellement les services américains.
  • Dimensionnement : Qwen 2.5 72B en FP8 sur une H200 plutôt que deux H100 ; un serveur à 8 GPU coûte « environ 1 million d'euros » prix public. Virtualisation OpenNebula/KVM en VM de 1, 2 ou 4 GPU.
  • Pile : vLLM, ComfyUI, NVIDIA MPS, LiteLLM comme endpoint compatible OpenAI (quotas, clés, load balancing), copilote privé via Continue, métriques GPU croisées avec Electricity Maps pour le CO2. Démo d'un RAG (Onyx) sur Confluence et Slack, et d'un « app store » interne (Open WebUI, Dify, n8n…).
  • Préfère le mot « gouvernance » à « souveraineté ». « Il se passe pas une semaine que quand on fait une mise à jour, c'est cassé. » Équipe de six personnes, cinquième version en deux ans ; pas de coût par token calculé.
  • Salle nombreuse et au moins sept questions, dont une sur la rentabilité.
Voir sur YouTube (nouvel onglet) ↗

Lightning talk▶ vidéo + transcript

La Quantification ou comment compresser les LLMs pour un usage plus responsable

Jean-Philippe Foures

  • Sur scène (transcript) : suite courte (20 min) du talk du matin. Les bons LLM sont gros, gourmands en GPU et en électricité ; la quantification garde le nombre de paramètres mais change leur type, de façon irréversible.
  • Formats et techniques : FP32 pour l'entraînement, FP16 et BF16 pour l'inférence, FP8 popularisé par DeepSeek ; quantification affine INT8 (précision dégradée) et AWQ (la plupart des poids en INT4, chemins critiques en 16 bits). Exemple : un modèle 72B passe d'environ 144 Go à 41 Go.
  • Limite observée en production : au-delà d'environ 32 000 tokens, les modèles en entiers deviennent instables, d'où le passage au FP8 sur H200.
  • Aux questions : méfiance envers les benchmarks, quantification 1 bit jugée « un poil trop extrême », et une conviction : « l'avenir est plutôt dans les plus petits modèles ultra spécialisés ».
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Le dilemme du code legacy : on maintient ou on réécrit ?

Valentin Dumas — Takima

  • Sur scène (transcript, aucun retour de participant trouvé) : ouverture sur l'échec du premier vol d'Ariane 5 (1996), dû à du code repris d'Ariane 4 sans être retesté. Définition proposée : « un code legacy, c'est un code qui a de la valeur et donc vous avez peur de le changer ».
  • Symptômes (vélocité en baisse, régressions, bus factor) et anti-patterns : la « refonte en sous-marin » cachée dans les estimations, la refonte sans fin.
  • Cas d'une banque en ligne qui passe au multidevise : mesurer le coût réel par feature, proposer un plan ciblé, le négocier avec la direction, avancer par POC et petits pas. Réécrire se justifie surtout sous contrainte matérielle ; distinguer réarchitecture et refactoring (strangler, branch by abstraction).
  • Démo live sur le kata Trivia : churn git pour repérer les fichiers chauds, matrice de dépendances, scratch refactoring jeté ensuite, approval tests, méthode Mikado, micro-commits. Références : Feathers, Nicolas Carlo.
Voir sur YouTube (nouvel onglet) ↗

Atelier

Tester dans l'Hexagone : du Mob, du DDD, du TDD, des Doublures et les TestContainers !

Anthony Cassaigne — Adeo, Guillaume Saint Etienne — ITER Organization

Retours : Christophe Leroux (Blog Bpifrance.IO)

  • Atelier de deux heures en mob programming (Kotlin) : construire une application autour d'un cas métier, introduire pas à pas DDD et architecture hexagonale, en TDD, avec doublures de test et TestContainers (programme).
  • Christophe Leroux en retient l'application pratique de ces pratiques et une leçon : la testabilité dépend d'abord de la conception.

Lightning talk▶ vidéo + transcript

Comment merger sa PR en 10 secondes : REX mob code review

Thibaut Cantet — Néosoft

  • Sur scène (transcript, aucun retour de participant trouvé) : critique des pull requests asynchrones (context switching, lenteur, commentaires écrits parfois violents). Le titre est un gag : la PR se merge en dix secondes parce que tout a été relu avant, ensemble.
  • Contexte : refonte du tunnel de vente de la billetterie de Roland-Garros, équipe passée de 2 à 5 développeurs, pair programming et une seule branche mergée très souvent.
  • Quand l'équipe grossit, les revues s'allongent : passage à deux créneaux fixes par jour, un time keeper, et suppression de la seconde revue au profit de la confiance.
  • Bénéfices : branches courtes, quasi trunk-based, alignement sur l'architecture, bus factor réduit, onboarding rapide. Prérequis : sécurité psychologique et egoless programming (« on est là pour critiquer le code, pas les gens »). Il doute que la pratique tienne à 10 ou 15 personnes.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Let's play Factorio

Julien Wittouck — Freelance / Ekité

  • Sur scène (transcript) : 50 minutes de partie en direct, Factorio servant de « miroir de mon métier » (300 heures de jeu, 15 ans d'IT).
  • Architecture : usine spaghetti contre lasagnes (« n'en faites pas dans votre code, faites plutôt des lasagnes »), raviolis en microservices dont les dépendances deviennent invisibles (d'où la traçabilité), main bus comparé à un ESB.
  • Scalabilité verticale puis horizontale, load balancing par splitters, monitoring construit en circuits logiques jusqu'à une alerte « SMS à l'ops », et sécurité figurée par un DoS et un pare-feu filtrant les « paquets ».
Voir sur YouTube (nouvel onglet) ↗

Keynote▶ vidéo + transcript

Keynote fermeture

Brian Vermeer — Snyk

  • Sur scène (transcript, en anglais, aucun retour de participant trouvé) : la sécurité des applications à base de LLM. Les LLM sont stateless ; mémoire et RAG sont réinjectés par l'application : « I cannot hack the LLM but I can interfere with your context ».
  • Trois démos d'attaque sur des applications LangChain4j : une faille de path traversal remplace les conditions générales lues par le RAG et fait annuler une réservation ; une injection SQL insère un faux historique de conversation ; une prompt injection par payload splitting finit en suppression de tables via une fonction SQL trop générique.
  • Remèdes : limiter la taille des entrées, garde-fous en entrée et en sortie (un second LLM qui note le risque), petites fonctions aux permissions liées à l'utilisateur, human in the loop, logs ; ne pas installer de serveurs MCP sans lire leur code. « Don't make just one LLM to rule them all. »
  • Vie privée : connaître les politiques des fournisseurs et router les tâches sensibles vers un modèle local.
Voir sur YouTube (nouvel onglet) ↗

Sessions sans retour trouvé (49)

  • Les codes à barres, c'est pas que de la barre ! (Sylvain Gougouzian) — vidéo
  • Full Stack App with Scala in 10 s (Olivier Nouguier)
  • Défi : L'accessibilité au bout des doigts ! (Patrice De Saint Steban, Océane Gillard) — atelier
  • Démystifions les bases de données vectorielles avec Qdrant (Bertrand Nau) — vidéo
  • Éviter que le chat botté ne vole vos secrets (Jérôme Masson, Sébastien Ribiere) — atelier
  • Open-source sans burn-out ? Le modèle CNCF (Damien Mathieu)
  • Enter the Daggerverse ! (Emeric Martineau, Julien Haumont) — atelier
  • Modéliser votre domaine métier grâce aux types (Jordane Grenat)
  • Un Élephant de Première Classe (Valentin Bergeron)
  • Méta programmation en Rust (Didier Plaindoux) — vidéo
  • Découvrons ensemble la relève de l'observabilité : Quickwit (Idriss Neumann) — vidéo
  • Pourquoi faire simple quand on peut faire compliqué ? (Olivier Huber)
  • Fermé pour inventaire : histoire et mécanique des « closures » (Frédéric Cabestre) — vidéo
  • L'API viewTransition : une révolution pour le web ? (Théo Gianella)
  • Développer avec l'IA : et si c'était aussi simple qu'ajouter une librairie ? (Stéphane Philippart) — atelier
  • Développer publiquement un site en milieu hostile (Alexis Lozano)
  • Comment j'ai trouvé le sens de la vie grâce à WebAssembly (Théo Gianella)
  • Parcours first : penser parcours, c'est penser utilisateur (Simon Gomez) — vidéo
  • Utiliser git est devenu simple quand j'ai compris que c'était « juste » un graphe (Jules Grand) — vidéo
  • Elysia : un cousin d'ExpressJS sous Bun (Sylvain Gougouzian) — vidéo
  • Port Knocking : le « Sésame, ouvre-toi » du SSH (Paul Jeannot)
  • Les Méta-Lois, vous ne leur échapperez pas ! (Stéphane Trebel)
  • Visual Regression Testing (Thomas Simonnet)
  • Succès débloqué : rendre son jeu vidéo accessible (Noëlie Roux, Yasmine Messaoudi) — vidéo
  • Clever KMS (Yannick Guern)
  • Ne jouez plus solo : le mob programming (Julien Libert)
  • Générer des milliers de sites statiques avec une approche serverless sur Kubernetes (Didier Segura, Jérôme Galais) — vidéo
  • Doc As Code (Benoît Lagarde)
  • HTMX 2.0 & Web Components (Horacio Gonzalez) — vidéo
  • Comme Alice, plongez dans la JVM (Antoine Dessaigne)
  • Le numérique accessible à chaque individu, un combat du quotidien ! (Stéphane Trognon)
  • Sécurisez vos pipelines : la sécurité de GitHub Actions (Paul Molin)
  • Understanding Kubernetes in a visual way (Aurélie Vache)
  • Homonyme parfait : un enfer administratif ! (David Aparicio) — vidéo
  • Scrum : je suis venue, j'ai vu, je n'en veux plus (Marine Verstraete)
  • Faisons de la musique réactive avec RxJS et l'API WebAudio (Benjamin Legrand) — vidéo
  • Les héros invisibles des livraisons bien orchestrées (Jeremy Roulle, Carmen Piciorus) — vidéo
  • Mockoon : Les bouchons contre-attaquent ! (Ivan Béthus) — vidéo
  • Inbox Zero sur Sentry : mission impossible ? (Sébastien Couniot)
  • Manifests, blobs et tags : les images de conteneurs (Yves Brissaud) — vidéo
  • Apache Arrow (Sylvain Wallez) — vidéo
  • Concevoir une librairie de traitements asynchrones distribués et robustes (Olivier Bourgain)
  • Coder un MMORPG en live avec Elixir, Phoenix et les Liveviews (Nicolas Savois) — atelier
  • Les coulisses de JavaScript (Mickael Alves, Etienne Idoux) — vidéo
  • 10 fonctionnalités utiles du web que vous ne connaissez pas (Yohan Lasorsa, Olivier Leplus) — vidéo
  • Du chaos à l'élégance : refactorer des workflows complexes avec des events (Thibaut Cantet)
  • Rust on Rails avec le framework Loco (Sylvain Wallez) — vidéo
  • Et si vous abandonniez la revue de code systématique ? (Eric Siber)
  • Construit ton ordi 8-bit « from scratch » (Olivier Huber) — vidéo

Sources