WAX Conf 2026

Dev, cloud & sécu1 octobre 2026Marseille, Cepac Vélodrome, boulevard Michelet

Thème : Cloud native, cybersécurité, numérique responsable, IA

Site officiel (nouvel onglet) ↗Programme (nouvel onglet) ↗Chaîne YouTube (nouvel onglet) ↗Synthèse de octobre 2026 →

Première édition de WAX au stade Vélodrome (9 h à 18 h 30), organisée par Les Filles & Les Garçons de la Tech (FGTECH). Le site officiel annonce 12 retours d'expérience, 10 démos tech live, 9 tribunes et 2 tables rondes (un agrégateur, agenda-tech.com, indique 16 REX, 14 démos et 6 tribunes) ; 700 participants attendus, « la barre des 800 billets » dépassée la veille selon la page LinkedIn de WAX. Animations : fresque en facilitation graphique (Sophia Lemonnier, lounge Red Hat), vente aux enchères caritative d'un maillot de l'OM dédicacé, remportée par Wyll, dont 100 % des bénéfices vont à The Shifters (posts LinkedIn de WAX et de Wyll).

Pour sa première au Vélodrome, WAX a réuni plus de 800 inscrits autour d'un programme « 100 % retours d'expérience » où l'IA (agents de code, IA souveraine ou auto-hébergée, risques cyber propres aux LLM) côtoie la souveraineté cloud et la conformité (SecNumCloud, NIS2, CIS Benchmarks) ; les replays confirment une tonalité très concrète (REX d'incidents, démos live, chiffres d'adoption), mais les retours de participants restent à venir.

24 sessions résumées · 18 vidéos · mise à jour le vendredi 9 octobre 2026 · synthèse à compléter

Sources lues et limites de cette synthèse

Corpus : Programme officiel (page d'accueil de waxconf.fr, 34 sessions, titres complets relus le 04/10), page billetterie, CFP Conference Hall, page LinkedIn « WAX conférence » (une dizaine de posts du 17 septembre au 2 octobre, dont le récapitulatif du jour J) et page LinkedIn de FGTECH, posts d'entreprises de speakers publiés fin septembre et le 2 octobre (Wyll, Klanik, Wisetax avec les posts de Sébastien Vian et Jun Suzuki), posts de Florian Trincal et Quentin Henry (Wyll) lus via extraits de recherche le 07/10, récapitulatif « c'était fou » de WAX et post de Julien Landuré (speaker) relayé par WAX, lus le 08/10 avec la page de présentation de ses slides (jlandure.dev), annonces d'agrégateurs (agenda-tech.com, vivospot.fr) et extraits de recherche d'un article d'InformatiqueNews (non lisible en entier). Depuis le 09/10 : transcripts automatiques de 16 replays publiés le 08/10 sur la chaîne YouTube de FGTECH.

Limites : Synthèse établie à J+3, complétée à J+6, J+7 et J+8 : aucun retour de participant extérieur, une seule présentation de slides lue (GitHub Copilot, page d'accueil sans le PDF) ; les posts lus émanent des organisateurs, de sponsors ou des entreprises des speakers (biais promotionnel, retours signalés « speaker »). Les 16 transcripts sont des sous-titres automatiques (noms propres et termes techniques souvent déformés) : ils documentent ce qui a été dit sur scène, pas l'accueil du public. Les tables rondes, les tribunes et plusieurs démos n'ont ni replay ni retour.

Synthèse globale

1. Un changement d'échelle : du campus thecamp au Vélodrome

Après trois éditions à thecamp (Aix-en-Provence), WAX s'installe au Cepac Vélodrome, dans les murs qui accueillaient le DevOps D-Day. L'organisation annonçait 700 participants et indique avoir dépassé « la barre des 800 billets » à 24 h de l'événement (page LinkedIn WAX). La presse locale a relayé ce changement de dimension (article de La Provence repris par FGTECH, citant Laura Bernard-Reymond). Le format revendiqué ne change pas : retours d'expérience et démos live, « zéro slide commerciale », complétés par des tribunes et deux tables rondes de clôture.

2. Un programme dominé par l'IA, abordée par l'ingénierie

D'après le programme, l'IA traverse les quatre pistes. Côté développement, elle est traitée comme un outil à industrialiser : assistant de code configuré « comme on configure son infra » (Wisetax), agent qui livre « pendant que je dors » (Harvest), GitHub Copilot en entreprise, Claude Code pour la veille en IA (Klanik), développeur augmenté (Google et Sogeti), sobriété en tokens (Zenika). Côté infrastructure, la question est où faire tourner les modèles : auto-hébergement de VLM/LLM (Octo), SLM on-premise (FGTECH). Côté cyber, l'IA devient un risque à part entière (manipulation conversationnelle, CVE écrites par l'IA).

3. Souveraineté et conformité, fil rouge cloud et cyber

Le second axe fort est la souveraineté appliquée : état des lieux du cloud souverain, des clouds publics aux clouds confidentiels (SFEIR), poste d'administration SecNumCloud (WeScale et NumSpot), Kubernetes hybride et souverain (Wyll), migration bare metal vers GCP (FGTECH), NIS2 pour l'industrie avec la DREETS PACA. La conformité est montrée sous forme outillée (CIS Benchmarks en Policy-as-Code chez Rudder, supply chain « à 0 CVE (ou presque) » chez Chainguard). Le numérique responsable reste minoritaire, porté surtout par la session Octo/LCL sur la facture climatique de l'IA générative.

4. Premiers échos : l'agent de code « sous contrôle »

Les premiers posts d'après l'événement viennent des speakers et de leurs entreprises, et ils convergent sur un point : l'automatisation par agents doit rester gouvernée. Wisetax a présenté son talk sous le titre « Toward a self-driving product? » et y décrit un développement logiciel « largement automatisé, mais sous contrôle » (Sébastien Vian, speaker). Klanik présente la démo de Julien Boyer comme un passage des agents « du prototype qui impressionne… à des workflows solides », avec des agents « encadrés et gouvernés » (Harness Engineering, Loop Engineering). Le REX GitHub Copilot va dans le même sens à l'échelle d'une entreprise : chez U Tech, l'adoption passe par le Context Engineering, des AGENTS.md par stack, un registry MCP interne, une marketplace de skills et le pilotage de la consommation d'IA, avec une gouvernance FinOps des crédits (slides et post de Julien Landuré, speaker, qui revendique 150 personnes dans la salle). Côté cloud, Wyll raconte une démo live de Kubernetes Kosmos de Scaleway faite « devant la salle, avec tout ce que ça implique de sueurs froides ».

5. Ce que montrent les replays : l'IA au service du run et de la sécurité

Les 16 transcripts disponibles depuis le 8 octobre déplacent le centre de gravité. L'IA y est moins un sujet en soi qu'un accélérateur de problèmes et de réponses. Cloud-IAM décrit des CVE plus nombreuses et exploitables « avec un seul prompt », et y répond par une boucle où l'IA rédige les scripts de vérification mais où l'humain exécute et décide (Luis Rubiera). Chainguard fait le même constat sur la supply chain et prône des images minimales (Mouhamad Koreissi, sponsor). Côté exploitation, FGTECH fait générer un rapport quotidien de prod par IA pour une dizaine d'euros par mois (Jonathan Chardon) et diagnostique un cluster saboté avec un SLM local (Fedir Rykhtik). L'adoption de GitHub Copilot chez U Tech montre l'envers du décor : passage à la facturation au token, plafonds par utilisateur, outils pour réduire la consommation (Sébastien Bourgine et Julien Landuré).

6. Le métier d'Ops raconté sans fard

Plusieurs talks valent surtout par leur honnêteté sur les incidents : etcd en lecture seule et NFS bloqué trois jours avant une migration vers GCP qui a duré 1 an et 3 mois au lieu de 4 mois (FGTECH), pièges d'une migration de control planes sans interruption chez Exoscale, astreintes de nuit où l'on restaure le service avant de chercher la cause (« time to restore service », pas « time to je joue au Cluedo », Sébastien Ferrer, OVHcloud). La conformité est montrée de l'intérieur, avec le poste d'administration SecNumCloud de NumSpot, réinstallé plutôt qu'administré. La souveraineté reste nuancée : un cloud de confiance est « protégé, pas immunisé » et dépend toujours de l'hyperscaler (Seifeddin Mansri, SFEIR). Antoine Mayer (Kaliop) plaide pour que l'infrastructure as code adopte enfin les tests.

7. Tensions et critiques

Les replays mettent aussi en évidence la part de discours d'éditeur : sessions de sponsors (Chainguard, Exoscale, Feesh, Wyll avec Scaleway) et démo Google d'Antigravity et Jules qui parie sur « la mort des IDE », sans retour d'usage chiffré. Plusieurs démos ont débordé ou ont été écourtées (Kosmos, assistant IA en Java). Le co-speaker de Sogeti, bloqué par les intempéries, n'a pas pu venir, et un intervenant de Cloud-IAM a été remplacé au pied levé.

8. Vie de l'événement

Le récapitulatif de WAX, publié vers le 6 octobre sous le titre « #WAXCONF 2026 : c'était fou ! », remercie visiteurs, partenaires et speakers, revendique plus de 800 professionnels de la tech, partage l'album photo et donne rendez-vous « l'année prochaine », sans date. En relayant le post d'un speaker, WAX annonce que toutes les rediffusions seront publiées sur sa chaîne YouTube « d'ici peu ». La vente aux enchères caritative d'un maillot de l'OM dédicacé a été remportée par Wyll, qui précise que 100 % des bénéfices vont à The Shifters pour leurs actions sur la transition énergétique (posts de WAX et de Wyll). Wyll, sponsor, décrit un stand qui « ne s'est pas vidé de la journée ».

9. Limites de cette synthèse

Établie à J+3 et complétée à J+6, J+7 et J+8, elle s'appuie sur le programme officiel (titres désormais complets), sur les posts des organisateurs et sur ceux de trois entreprises de speakers ou sponsors (Wyll, Klanik, Wisetax), plus deux posts de speakers Wyll lus via extraits de recherche, le post et les slides du REX GitHub Copilot, et les transcripts automatiques de 16 des 18 replays publiés le 8 octobre (sous-titres imparfaits). Aucun retour de participant extérieur n'a été trouvé, les replays Wisetax et Zenika n'ont pas encore de sous-titres et les tables rondes, tribunes et plusieurs démos n'ont pas de replay : la synthèse décrit ce qui a été dit sur scène, pas l'accueil du public.

Actions concrètes citées

  1. Le format reste la marque de WAX : REX et démos live de terrain, « zéro slide commerciale » (descriptif de l'événement), avec des tribunes de 20 à 90 minutes ouvertes à la stratégie, à l'éthique et au leadership (CFP).
  2. L'IA de développement est traitée comme un objet d'ingénierie : configurer Claude Code « comme on configure son infra » pour un développement « largement automatisé, mais sous contrôle » (Wisetax, speaker), agents qui livrent la nuit (Harvest), adoption de GitHub Copilot chez U Tech avec gouvernance FinOps des crédits IA, AGENTS.md par stack et registry MCP interne (Julien Landuré, speaker), agents de veille « encadrés et gouvernés » avec Claude Code (Klanik) (programme, posts LinkedIn).
  3. La souveraineté se décline en pratique : état des lieux du cloud souverain (SFEIR), poste d'administration conforme SecNumCloud (WeScale/NumSpot), Kubernetes hybride et souverain (Wyll), auto-hébergement de VLM/LLM (Octo) et SLM on-premise (FGTECH) (programme).
  4. La cybersécurité s'ouvre aux risques liés à l'IA : manipulation conversationnelle des IA (Duo Link), CVE écrites par l'IA (Cloud-IAM), identité des machines comme angle mort (Squad, source indirecte) (programme).
  5. La conformité s'automatise : CIS Benchmarks gérés en Policy-as-Code pour le durcissement et le patch management Linux/Windows (démo Rudder), supply chain « à 0 CVE (ou presque) » (Chainguard) (programme, post Rudder).
  6. Le numérique responsable prend l'angle de la facture carbone de l'IA générative (Octo/LCL) et du « Do more with less » via des SLM (programme).
  7. Une place notable aux sujets humains et sociaux : leadership au féminin (Corail Leadership), « Dev & ops : des clients comme les autres ? » (CGI), modèle social comme « killer feature » (FGTECH), management de l'innovation (programme).
  8. Ancrage régional assumé : tribunes avec la DREETS PACA sur NIS2 et l'IA industrielle, table ronde IA animée par un ambassadeur « Osez l'IA » (programme, vivospot.fr).
  9. Face à des CVE plus nombreuses et exploitables en un prompt, l'IA rédige les scripts de vérification, l'humain exécute et décide : chez Cloud-IAM, la moitié du parc Keycloak est mise à jour en 48 h (Luis Rubiera, replay).
  10. En production, restaurer le service avant de chercher la cause racine : couper un load balancing ou relever un seuil de rate limiting la nuit, corriger durablement le lendemain en équipe (Sébastien Ferrer, OVHcloud, replay).

Session par session

Jeudi 1 octobre

Conférenced'après le programme

Pendant que je dors, mon agent livre : retour sur 80+ features en 5 semaines

Rafik Ferroukh — Harvest

  • Retour d'expérience annoncé sur un agent de code autonome qui livre des fonctionnalités sans supervision continue : plus de 80 features en 5 semaines (titre officiel complet).
  • Session emblématique du glissement de l'édition vers l'IA agentique appliquée au delivery.
  • Contenu réel non documenté à J+3 (aucun post de Harvest trouvé) : résumé établi d'après le seul titre du programme.

Conférence▶ vidéo

Configurer son assistant de code comme on configure son infra : REX Claude Code

Jun Suzuki — Wisetax, Sébastien Vian — Wisetax

Retours : Sébastien Vian (speaker), Jun Suzuki (speaker)

  • Présenté sur scène sous le titre « Toward a self-driving product? » (post de Sébastien Vian, speaker) : un REX sur la configuration de Claude Code chez Wisetax, traitée comme de l'infrastructure.
  • Thèse exposée : viser un développement logiciel « largement automatisé, mais sous contrôle » (Sébastien Vian, speaker).
  • Teaser d'avant l'événement : « notre config #ClaudeCode, de voiture autonome et de crise existentielle » (Jun Suzuki, speaker), la voiture autonome servant de métaphore.
  • Slides annoncées « en commentaire » du post de Sébastien Vian (non lues) ; replay publié le 08/10 (45 min) mais sans sous-titres au 09/10, contenu non encore résumé ; aucun retour de participant.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

P'tit REX, j'ai croqué mon bare metal pour du GCP

Jonathan Chardon — FGTECH

  • Sur scène (transcript) : la migration, pour Amarena (groupe Cafom, logistique et e-commerce vers les outre-mer), d'un socle bare metal OVH (Proxmox, Rancher, NFS partagé, GitLab fragile, certificats posés à la main) vers GCP.
  • Incidents racontés avec autodérision : base etcd passée en lecture seule après une avalanche d'événements Argo Workflows, NFS managé bloqué trois jours, firewall cassé par une mauvaise règle.
  • Choix défendus : tout ce qui peut être managé l'est (Cloud SQL, cache, certificats et registry GCP), buckets à la place du NFS quand c'est possible, un Argo CD par environnement, un cluster pour le hub de données et un pour le public, GKE Autopilot pour les services critiques.
  • Contraintes humaines : dernier sysadmin parti, développeurs peu disponibles, appli legacy sans commit depuis cinq ans ; le speaker reconnaît avoir poussé lui-même du code avec Gemini pour débloquer ses environnements.
  • Bilan annoncé : estimation commerciale de 4 mois, réalité de 1 an et 3 mois ; déploiements passés de 22 à 3 minutes et, la semaine de la mise en production, « leur meilleure semaine ever » en chiffre d'affaires (effet aussi du catalogue Amazon et du fret aérien, précise-t-il en réponse à une question). Coût d'infra plus élevé qu'en bare metal, assumé par le client contre moins de run.
  • À côté, un petit outil maison : rapport quotidien de santé de la prod généré par IA sur Cloud Run, enrichi d'un CMS versionné (Decap) pour limiter les hallucinations, pour environ « 10 balles » par mois.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

État des lieux de la souveraineté du Cloud : des Clouds publics aux Clouds confidentiels

Seifeddin Mansri — SFEIR

  • Sur scène (transcript) : un cadrage juridique d'abord, FISA (section 702) et Cloud Act, avec les gag orders qui empêchent un opérateur de signaler une requête ; Donald Trump présenté, avec ironie, comme « le meilleur ambassadeur de la souveraineté ».
  • Définition proposée : la souveraineté est un gradient, pas un état binaire, à la fois juridique, technique, opérationnelle, et elle impose de « penser à la sortie avant l'entrée ».
  • Typologie : hébergeurs historiques, cloud privé, hyperscalers, PaaS, confidential computing (enclaves Intel ou VM confidentielles AMD), chiffrement externe des clés, clouds de confiance (S3NS avec Thales et Google, Bleu avec Microsoft, Capgemini et Orange), offres air gap.
  • Nuance juridique soulignée : les clouds de confiance sont « protégés, pas immunisés » ; leur faiblesse majeure reste la dépendance technologique à l'hyperscaler (et si les mises à jour s'arrêtaient ?).
  • Point sur SecNumCloud : 276 exigences en 15 chapitres, 2 à 3 ans de qualification, renouvellement tous les 3 ans ; S3NS qualifié en décembre 2025, NumSpot ajouté « hier soir » à sa liste (IaaS).
  • Démo : console S3NS (sous-ensemble de Google Cloud, région imposée, identité fédérée obligatoire), landing zone Terraform adaptée en changeant d'« univers », API de modèles open weight chez Scaleway. Question finale ouverte : effet de mode ou tendance durable ?
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Construire un poste d'administration conforme SecNumCloud

Chris Navas — WeScale, David Gandra — NumSpot

Retours : page LinkedIn WAX (photo des speakers dans le récapitulatif du jour J)

  • Sur scène (transcript), dernière session de la journée : l'équipe SI interne de NumSpot raconte la fabrication du poste d'administration exigé par SecNumCloud pour les administrateurs de son cloud, dont l'offre IaaS vient d'être qualifiée.
  • Choix structurant : aucun administrateur du poste. Pas de comptes nominatifs à gérer sur des postes sans Internet : on réinstalle complètement le poste à chaque mise à jour, en conservant les données utilisateur chiffrées (systemd-homed).
  • Chaîne de confiance : « cérémonie des quatre yeux » pour construire un poste de mise à jour éphémère, puis installation par boot réseau PXE en moins de 30 minutes ; détection de CVE hors ligne à partir d'un inventaire des paquets ; score Lynis passé de 31 à 78.
  • Durcissement détaillé : UEFI verrouillé et chiffrement mémoire, Secure Boot avec image noyau unifiée, TPM, noexec/nosuid/nodev, USB désactivé dans le noyau, lockdown, pare-feu nftables (avec une astuce contre l'échec de résolution DNS), logs envoyés à un SOC.
  • Leçons : itérer, faire un pentest matériel, faire de faux audits, documenter au fil de l'eau (politiques, procédures, guides) avec un correspondant de l'équipe CISO, et « être créatif ».
Voir sur YouTube (nouvel onglet) ↗

Conférenced'après le programme

Sécurité Opérationnelle : dompter les CIS Benchmarks pour une conformité à grande échelle via le Policy-as-Code

Robinson Maigné — Rudder

Retours : post LinkedIn de Rudder (sponsor, avant l'événement)

  • Démo tech live : gérer les CIS Benchmarks en Policy-as-Code pour tenir la conformité à l'échelle (post Rudder, programme).
  • Périmètre annoncé : durcissement et patch management de parcs Linux et Windows, automatisés.
  • Speaker présent sur le récapitulatif photo du jour J ; aucun retour de participant à J+3.

Table ronded'après le programme

Manipulation conversationnelle des IA : un nouveau risque cyber à anticiper

Zakaria Semlali — Duo Link

  • Tribune annoncée sur un risque émergent : la manipulation des IA par la conversation, présentée par le CEO de Duo Link.
  • Rejoint la session de Cloud-IAM « Quand l'IA aussi écrit les CVE » : à WAX, l'IA est autant un vecteur de risque qu'un outil.
  • Résumé établi d'après le programme uniquement.

Table ronded'après le programme

NIS2 & Cyber-résilience : piloter la souveraineté numérique de l'industrie

Elodie Rasa — DREETS PACA, Frédéric Vilanova — Effective Yellow

  • Tribune sur la mise en conformité NIS2 et la cyber-résilience des industriels, avec la DREETS PACA (programme ; InformatiqueNews la présente comme animée par la DREETS).
  • Angle régional et industriel, complété par une autre tribune DREETS sur « L'IA industrielle en action ».
  • Résumé établi d'après le programme uniquement.

Table ronded'après le programme

IA générative et réchauffement climatique : comment réduire la facture ?

Arielle Villa-Massone — Octo Technology, Emilie Greff — LCL

  • Seule session explicitement consacrée au coût environnemental de l'IA générative, sur la piste numérique responsable (MLOps Octo, AI Engineer LCL).
  • À rapprocher de la démo FGTECH « Do more with less » (SLM on-premise) et de la session Octo sur l'auto-hébergement de VLM/LLM.
  • Résumé établi d'après le programme uniquement.

Conférence

Claude Code au service de notre veille technologique en IA

Julien Boyer — Klanik

Retours : page LinkedIn Klanik (posts d'avant et d'après l'événement)

  • Démo tech live d'un GenAI engineer de Klanik : Claude Code mis au service de la veille technologique en IA (programme, posts Klanik).
  • Angle annoncé par Klanik : faire passer les agents IA « du prototype qui impressionne… à des workflows solides », avec des agents « encadrés et gouvernés ».
  • Vocabulaire mis en avant : Harness Engineering et Loop Engineering, avec Claude Code et GitHub Copilot, pour transmettre « les garde-fous et les bons réflexes » d'orchestration de systèmes multi-agents (post Klanik).
  • Le post d'après l'événement confirme la démo sur scène, sans détail sur son déroulé ni sur l'accueil du public (source d'entreprise).

Conférence▶ vidéo + transcript

Prise en main de GitHub Copilot & adoption en entreprise

Julien Landuré, Sébastien Bourgine

Retours : Julien Landuré (speaker, post relayé par la page WAX)

  • Sur scène (transcript), à deux voix (Sébastien Bourgine, U Tech, la DSI de la coopérative U ; Julien Landuré, cofondateur et CTO d'une société de conseil cloud et IA) : l'adoption de GitHub Copilot chez U Tech, avec un avertissement d'entrée, « tout ce qu'on va présenter sera peut-être totalement faux dans quelques semaines ».
  • Chiffres annoncés : bêta avec 75 volontaires, 98 % le recommandent ; 102 personnes passées par un codelab maison ; environ 325 licences (x4) et usage du mode agent passé d'environ 35 % à 70-75 %. Leçon : aller voir les équipes une par une est « chronophage » mais très rentable.
  • Industrialisation : AGENTS.md fournis par stack, registry MCP interne qualifié (sécurité, juridique) avec actions au nom de l'utilisateur, skills distribuées par une marketplace de plugins mise à jour automatiquement, essais de Spec Driven Development (GSD, BMAD, Spec Kit) jusqu'à une mise en production imminente ; binôme dev et BA jugé efficace en phase de discussion.
  • Après le passage de Copilot à une facturation au token en juin : plafond global, plafond par utilisateur ajusté par scripts via l'API GitHub, outils RTK et Caveman pour réduire les tokens, session d'acculturation avec la vue de debug du chat.
  • Leçons répétées en conclusion : « s'appuyer sur les standards » (AGENTS.md, MCP, skills, plugins) pour rester libre de changer d'outil, et prendre le temps d'acculturer (aussi dans le post de Julien Landuré, speaker).
  • Accueil : selon le speaker, 150 personnes dans la salle et « les discussions ont continué toute la journée » ; en questions, la salle interroge surtout la validation juridique des MCP et l'usage de modèles locaux (jugé peu intéressant sous 200 développeurs, en citant une étude de Doctolib).
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Kosmos Kubernetes hybride et souverain

Florian Trincal — Wyll, Samih Lachegur — Wyll

Retours : page LinkedIn Wyll (post du 2 octobre), Florian Trincal (speaker), Quentin Henry (Wyll, via extrait de recherche)

  • Sur scène (transcript) : Kosmos, l'offre Kubernetes managée multicloud de Scaleway, sépare un control plane hébergé chez Scaleway de nœuds qui peuvent être n'importe où (autre cloud, on-premise), reliés par un agent et un VPN WireGuard.
  • Démo live : création du cluster (control plane mutualisé, environ 100 € par mois), ajout d'un pool interne Scaleway et d'une VM OVH vierge rattachée en trois commandes, puis placement des pods par pool.
  • Comparaison avec Kapsule (offre 100 % Scaleway) et limites assumées : control plane payant, autoscaling et stockage dépendants du fournisseur externe (pistes : Longhorn, Ceph, tunnels).
  • Les démos sur les classes de stockage ont été coupées faute de temps, les speakers renvoyant à leur stand.
  • Wyll décrit une démo faite « devant la salle, avec tout ce que ça implique de sueurs froides ».
  • Florian Trincal (speaker) présente la session comme une démo tech live du potentiel du Kubernetes managé de Scaleway, faite avec Samih Lachegur ; Quentin Henry (Wyll) remercie FGTECH et évoque des échanges passionnés avec les participants (posts LinkedIn lus via extraits de recherche, non en entier).
  • Sponsor de l'édition, Wyll indique que son stand « ne s'est pas vidé de la journée » (clients, confrères, candidats) ; sources d'entreprise et de speakers, aucun retour de participant extérieur.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Quand l'IA aussi écrit les CVE

Luis Rubiera — Cloud-IAM

  • Sur scène (transcript) : le CTO de Cloud-IAM (Keycloak managé, environ 5 personnes tech pour 30 millions d'utilisateurs finaux) part d'un constat, les CVE se multiplient (le volume de l'année précédente dépassé dès août) et une faille critique de Keycloak (réinitialisation de mot de passe) était exploitable « avec un seul prompt ».
  • Paradoxe relevé : cette faille touchait les versions récentes, donc les clients qui mettaient à jour ; et le traitement d'une CVE prendrait en moyenne 43 jours, surtout en attente.
  • Réponse : « combattre l'IA avec l'IA » selon un principe « les agents écrivent, vous exécutez, les humains décident » : Claude rédige les scripts de détection, relus automatiquement (requêtes en lecture seule) puis exécutés par l'équipe ou le client, avec une boucle d'apprentissage.
  • Même boucle pour les questions suivantes : vulnérable, exploité, compromis ? Avec des campagnes suivies dans un security center in-app et des rapports par client et par CVE.
  • Résultat annoncé : en septembre, 50 % du parc mis à jour en 48 h et 95 % en une semaine ; objectif, que la prochaine CVE ne soit plus « un événement ».
  • Le speaker remplaçait au pied levé l'intervenant prévu (annonce de l'animateur) ; il précise n'utiliser Claude que pour la rédaction, le reste étant des scripts.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Scaling Trust : notre REX sur le mTLS multi-région pour Keycloak

Luis Rubiera — Cloud-IAM

  • Sur scène (transcript) : 45 minutes de cryptographie, d'abord pédagogiques : handshake TLS 1.3 avec authentification mutuelle, suites cryptographiques, échange de clés éphémère, chaîne racine, intermédiaire et feuille, SAN.
  • Bilan honnête du mTLS : authentification forte, traçabilité, résistance au rejeu, mais gestion de PKI, rotation et révocation coûteuses, debug pénible dans le navigateur et surcoût de calcul.
  • Où l'utiliser : entre microservices, en B2B avec onboarding long (finance, santé, État, défense), en IoT ; à éviter pour un site public, un SaaS B2C au jour zéro ou sans équipe PKI.
  • Mise en œuvre dans Keycloak : flow d'authentification X.509 en alternative au mot de passe, mapping par e-mail ; le piège est la liste de révocation (CRL), fichier local qui ne tient pas en multi-région.
  • Solution maison de Cloud-IAM : un agent par nœud, alimenté en événementiel via Kafka, qui sert certificats et CRL en local aux load balancers et aux Keycloak, sans redémarrage.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Détectives de la prod : résoudre l'enquête avant le crash

Sébastien Ferrer — OVHcloud

  • Sur scène (transcript) : un ancien développeur qui n'avait « quasiment jamais touché la prod » rejoint une équipe OVHcloud de 50 à 60 microservices, avec l'objectif de faire du run en 3 mois et d'entrer dans l'astreinte.
  • Le run vu comme une « astreinte de jour » tournante (une semaine sur cinq) : dashboard de morning check à gros chiffres, priorités P1 à P5, métriques TTA et TTRS, et rôle de point de contact de l'équipe.
  • Méthodes de recherche de cause : historique (rapide mais trompeur), drill down, bottom up, cinq pourquoi pour les post-mortems ; le troubleshooting devient un mode d'apprentissage des projets inconnus.
  • Message central : la métrique s'appelle « time to restore service », pas « time to je joue au Cluedo ». Exemples d'astreinte de nuit : retirer deux VM malades du load balancing, relever un rate limiter face à un client trop gourmand, corriger durablement le lendemain.
  • Côté développement : « développez vos applications comme si vous alliez les maintenir, parce que c'est le cas » ; logs structurés à champs, niveaux de log, request ID, dashboards et règles d'alerte Prometheus.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Créer un assistant IA dans son terminal avec Java, Picocli et Quarkus

Stéphane Philippart — OVHcloud

  • Sur scène (transcript), dernier créneau de la journée : du live coding pour construire « Jarvis », une CLI d'assistant IA en Java avec Quarkus, Picocli et LangChain4j, branchée sur des modèles open weight d'OVHcloud AI Endpoints.
  • Étapes : chatbot en streaming, packaging en jar puis exécutable natif GraalVM (66 Mo, autonome, mais un binaire par plateforme), RAG sur le programme de WAX, client MCP vers le serveur MCP d'OVHcloud avec confirmation avant chaque appel d'outil.
  • Dernière étape : orchestration d'agents (classifieur puis agent RAG, MCP ou chat) avec LangChain4j agentic ; le mode supervisor est seulement évoqué faute de temps.
  • Messages au passage : parler de modèles « open weight » plutôt qu'open source, se méfier d'un modèle qui « croit » connaître WAX (il l'a décrite comme une conférence blockchain avant le RAG), sécuriser ses serveurs MCP.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Migration de clusters Kubernetes à l'échelle dans un contexte Kube in Kube

Rémy Rojas — Exoscale

  • Sur scène (transcript) : sponsor, Exoscale choisit de raconter une migration « avec les trucs qui se sont mal passés » plutôt qu'un pitch. Son offre Kubernetes managée (SKS) fait tourner les control planes des clients comme charges d'un cluster plateforme.
  • Objectif : passer à une nouvelle plateforme (Cilium à la place de Calico) sans interruption pour les clients, migration menée sur six mois.
  • Méthode en deux phases : migrer d'abord l'orchestrateur (réconciliation activable par un flag, base de jobs partagée), puis les control planes, déployés en double sur les deux plateformes et branchés sur les mêmes clusters etcd, avant de basculer DNS et IP.
  • Deux pièges partagés : déployer le VPA avant le déploiement (un API server très gourmand tué en boucle) et le décalage entre la bascule instantanée de Konnectivity et le TTL DNS de l'API server.
  • Bilan : 24 h de double capacité par zone, une zone restant à migrer ; la partie la plus dure a été la conception (« 3 mois de meetings »).
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Bienvenue dans l'ère du développeur augmenté

Laurent Grangeau — Google

  • Sur scène (transcript) : talk de 20 minutes donné seul, le co-speaker de Sogeti étant bloqué par les intempéries. Thèse : le développeur écrit moins et passe plus de temps à concevoir, vérifier et déléguer à des agents.
  • Cadre : niveaux d'automatisation (on serait aux niveaux 3 à 4), harness (boucle de feedback, contexte, mémoire, bac à sable) et standards comme AGENTS.md.
  • Démo d'Antigravity 2.0 (prompt d'abord, code en second) : conversations parallèles, plan d'implémentation validé avant d'agir, permissions, skills et MCP ; puis Jules, agent asynchrone qui traite des issues taguées ou des tâches planifiées la nuit et ouvre des pull requests.
  • Pari affiché par le speaker : « la mort des IDE » à terme ; possibilité d'utiliser des modèles locaux (Gemma) pour éviter de faire sortir des tokens. Discours d'éditeur, sans retour d'usage en entreprise.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Do more with less : AI Engineering & AIOps on-premise grâce aux SLM

Fedir Rykhtik — FGTECH

  • Démo courte (transcript) sur un lab entièrement on-premise et air gap : mini PC avec cluster Kubernetes de trois VM, observabilité Grafana, modèle de 9 milliards de paramètres (famille Qwen, format MLX) servi par LM Studio sur un Mac.
  • Scénario de chaos : saturation du disque, CPU throttling et OOM kills provoqués volontairement, diagnostic avec K8sGPT, puis script de remédiation généré par le SLM et appliqué après confirmation humaine.
  • Réglages pour petit modèle : température basse relevée progressivement en cas d'échec, raisonnement désactivé, sortie JSON contrainte.
  • Contexte posé par le speaker : la difficulté d'obtenir du GPU justifie de « faire plus avec moins » ; pas de mesure de fiabilité au-delà de la démo.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Tuez votre README : l'onboarding en un « cd »

Nicolas Goudry — Sciam

  • Sur scène (transcript) : un développeur met 4 à 8 h à être opérationnel sur un projet existant (estimation du speaker). Démo : un cd dans le dépôt suffit à obtenir Node 24, PostgreSQL et FFmpeg, sans rien installer à la main.
  • Le moteur est Nix (déclaratif, isolé, reproductible au bit près, contrairement à un apt-get dans un Dockerfile), mais le speaker « ne conseille pas Nix brut » à cause de sa courbe d'apprentissage.
  • Comparatif en métaphore culinaire : direnv pour le chargement automatique, Devbox (simple, JSON), Flox (TOML, composition d'environnements), et devenv préféré pour gérer langages et services (PostgreSQL et son initialisation) de façon déclarative.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Démocratiser le DevSecOps : transformer la complexité en simplicité

Frédéric Legrand — Feesh

  • Sur scène (transcript) : constat du speaker, les plateformes DevOps restent trop techniques et les équipes métier ne participent pas à la chaîne de valeur.
  • Présentation d'un produit maison, Cubicus, Kubernetes-native (CRD, opérateur) en quatre modules : Mobility (déplacer une application d'un cluster à l'autre), Refresh (données de prod anonymisées vers la non-prod), Deploy (un product manager déclenche les déploiements, avec politiques de promotion) et Schedule.
  • Le produit s'appuie sur l'existant (Argo CD, Tekton, GitLab, Kasten) plutôt que de le remplacer, avec des dashboards par profil et un assistant d'analyse de logs.
  • Session de démonstration d'éditeur (tarification par utilisateur et par module, brevet en cours sur le rollback), sans retour client chiffré.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Une Supply Chain plus sûre avec 0 CVE (ou presque) : du concept à la pratique

Mouhamad Koreissi — Chainguard

  • Sur scène (transcript) : les attaques récentes de supply chain (Trivy, LiteLLM, Axios…) ont deux points communs, l'abus de confiance et la cible des dépendances plutôt que du code source.
  • Dilemme posé : aller vite et s'exposer aux malwares, ou figer ses versions alors que l'IA réduit à presque rien le délai entre publication d'une CVE et exploit.
  • Démo sur une application fictive : image Python ancienne avec environ 1 700 CVE et un shell exploitable, image récente toujours vulnérable, puis image distroless et bibliothèques reconstruites depuis les sources, ramenées à quelques CVE et sans le shell.
  • Approche « secure by default » : moins de code, moins de CVE ; le speaker refuse de promettre zéro CVE. Modèle économique (par image ou catalogue) précisé en questions : session de sponsor.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Tester c'est douter ? Alors doutons de notre infra

Antoine Mayer — Kaliop

  • Sur scène (transcript) : l'infrastructure as code a adopté versionnement, branches et code review, mais pas les tests ; un terraform apply réussi ne prouve ni la sécurité ni le fonctionnement.
  • Causes avancées : culture, rôle historique des Ops centré sur la stabilité, coût réel du test d'infrastructure, formations qui ne l'enseignent pas.
  • Progression proposée en cinq étapes : linting, analyse statique (Checkov, tfsec) et policy-as-code (OPA, Kyverno) ; tests unitaires avec terraform test ; tests d'intégration avec Testinfra ; tests de bout en bout sur environnement éphémère ; puis les tests dans la definition of done et la CI.
  • Défis : coûts (penser à détruire l'environnement), acculturation, legacy ; conseil de commencer petit et de proportionner l'effort à la criticité du service.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéod'après le programme

Heroes : Save the token, save the world

Christophe Breheret-Girardin — Zenika, Norbert Jeff Nadir — Zenika

  • Session de Zenika sur la sobriété en tokens dans l'usage de l'IA (titre du programme).
  • Replay publié le 08/10 (23 min) mais sans sous-titres au 09/10 : contenu non résumé.
  • Résumé établi d'après le programme uniquement.
Voir sur YouTube (nouvel onglet) ↗

Sessions sans retour trouvé (11)

  • Biomimétisme et cybersécurité : s'inspirer de 3 milliards d'années d'évolution pour mieux se protéger (Ludovic Lefebvre, Peaksys)
  • Dev & ops : des clients comme les autres ? (Fanny Klauk, CGI)
  • LeadHERship : l'audace au féminin, prendre sa place en TI (et la garder) (Caroline Loignon, Corail Leadership)
  • De Warhol à Basquiat : le vibe coding démocratise-t-il vraiment la création logicielle ? (Alexis Kovalenko, Hosakka Studio)
  • Vers un auto-hébergement des modèles VLM/LLM (Gireg Roussel et Karim Sayadi, Octo Technology)
  • Le management de l'innovation passe par l'innovation dans le management (Thierry Willieme)
  • Du brief flou de mission au matching parfait : comment l'IA a sauvé nos pauses déjeuner (Kenza Barnier et Oussama Abai, FGTECH)
  • Le modèle social comme killer feature (Arnaud Lambert, FGTECH)
  • L'IA industrielle en action : du concept à la transformation concrète (Laurent Perier, ThinkNsolV, et Louise Paris, DREETS PACA)
  • Identité des machines, angle mort de la cybersécurité à l'ère de l'IA (Souleymane Kabbaj, Squad ; 15 h, source indirecte, titre approximatif)
  • Table ronde IA animée par Sylvain Gras, CBS Group, ambassadeur « Osez l'IA » (source : vivospot.fr)

Sources