Vous êtes arrivé ici en cliquant sur le périmètre exact. C’est ce que contient cette page : les questions que je poserais à votre place avant d’installer un runtime d’agents, et mes réponses écrites, y compris les quatre qui ne m’arrangent pas. Vous n’aurez pas à les chercher, elles ouvrent la page.
Aucune n’est adoucie. Aucune n’attend en note de bas de page.
0.2.0-preview · 23 questions · Grille valable pour n’importe quel runtime
Quand on évalue sérieusement un outil, on cherche d’abord ce qui manque, parce que c’est ce qui coûte cher trois semaines plus tard. Autant vous les donner tout de suite, dans les mots où je les écrirais si vous me les demandiez de vive voix.
Chacune est suivie de ce qui borne le risque, quand quelque chose le borne. La borne ne remplace pas la réponse et n’en retire rien : elle vous dit avec quoi vous travaillez.
Aucun.
Sur les trois systèmes, un agent peut faire ce que votre compte peut faire.
Il tourne sous votre compte, avec vos droits, comme n’importe quel programme que vous lancez. Ce qui le tient n’est pas une prison, c’est un compteur : vous fixez le nombre d’étapes, le nombre d’appels d’outils et la durée, le runtime les applique, et le code de l’agent ne peut ni les relever ni s’y soustraire. Apollia borne, il n’enferme pas.
Aucune.
Un texte piégé peut donc tenter de donner des ordres au modèle à votre place, ici comme ailleurs. Ce qui borne les dégâts, ce sont vos règles de permission, relues à chaque appel d’outil sur le chemin conversationnel : un outil qu’aucune règle n’autorise s’arrête et vous demande, et un refus que vous avez écrit l’emporte sur toute autorisation. Un agent installé qui appelle ses outils lui-même, lui, ne rencontre pas ce point de contrôle.
Il détecte une altération, il ne l’empêche pas.
Chaîne de hachage SHA-256, écriture en ajout seul imposée par la base, signature, vérification par l’interface de programmation comme par la ligne de commande, et export présentable. Deux bornes à connaître : la clé de signature vit dans un fichier posé à côté de la base, et les appels d’outils d’une session de chat n’entrent pas dans la chaîne, seulement l’enveloppe du tour.
Ce qu’il garantit vraiment : une modification faite par quelqu’un qui n’a pas accès à votre répertoire de données se voit à la vérification. Ce n’est pas un coffre-fort, c’est un témoin.
Non.
Traitez chaque écriture comme définitive.
Ce qui vous protège se trouve avant et après : l’accord qui vous est demandé au moment de l’action dans une conversation, et le journal qui garde la trace de ce qui a été fait. Entre les deux, il n’y a pas de bouton de retour arrière.
Ce qui coûte cher, ce n’est pas un produit jeune, c’est de se cogner à un mur trois semaines après avoir commencé à construire dessus. Ce que couvre cette préversion est écrit avant que vous l’installiez.
Une page comme celle-ci est vraie le jour où elle est publiée, et lentement fausse ensuite. Le code bouge, la page reste, et personne ne s’en aperçoit avant le lecteur qui s’est fié à elle. C’est le défaut ordinaire du genre, et il n’a qu’un remède : faire relire la page par une machine plutôt que par son auteur.
Vous remarquerez que le nombre d’affirmations qu’elle rejoue n’est écrit nulle part. Ce nombre-là se lit après avoir lancé la commande, pas avant.
git clone https://github.com/Apollia-OS/apollia-os
cd apollia-os
python3 scripts/check_claims.pyVous ne trouverez pas de tableau comparatif sur ce site. Une grille se juge à sa pire cellule, et une seule citation inexacte sur le produit d’un autre suffit à faire tomber tout le reste avec elle. Cette page répond donc pour Apollia, et vous laisse la colonne d’en face.
Les 23 questions ci-dessous valent pour n’importe quel runtime d’agents. Emportez-les, posez-les à ce que vous évaluez par ailleurs, et comparez les réponses plutôt que les promesses.
En texte brut, prêtes à coller dans un document ou dans un message.
La première famille décide si vous pouvez donner à lire vos vrais dossiers. Elle se résume à une question : qu’est-ce qui quitte la machine, et sur quel geste.
Sur votre machine, dans le programme qui tourne en fond. Votre code Python est appelé directement depuis le runtime écrit en Rust, sans machine virtuelle ni service distant au milieu.
Sur votre machine, dans un programme qui s’appelle llama-server et que le runtime lance lui-même. L’application installée l’embarque ; si vous compilez depuis les sources, c’est vous qui le fournissez. Un modèle distant n’existe que si vous en configurez un.
Rien. Pas de vérification de mise à jour automatique, pas de rafraîchissement de catalogue, aucun traceur d’usage dans le code source.
Sept choses, et chacune part d’un geste : la vérification de mise à jour que vous lancez, le téléchargement d’un modèle, la connexion d’un compte Google ou Microsoft, un serveur d’outils distant que vous déclarez, une recherche web, la lecture d’une page web, et un service d’IA distant si vous en branchez un.
Dans un dossier de votre disque, ~/.apollia, en bases SQLite, une par domaine. Rien n’est répliqué ailleurs.
Il écoute sur 127.0.0.1, l’adresse qui ne sort pas de l’ordinateur. Son interface de programmation exige un jeton, l’équivalent d’un mot de passe, dès qu’elle passe par le réseau ; un canal local, réservé par les permissions du fichier, coexiste avec elle. Si vous l’ouvrez au-delà de la machine sans ce jeton, le démarrage échoue au lieu de vous avertir.
La deuxième est celle qui coûte cher si on la découvre trop tard. Elle contient les trois réponses les plus dures de cette page, et elles sont écrites en toutes lettres.
Sous Linux, le processus lancé est isolé : il ne voit pas les autres programmes en cours, ne voit du disque que ce qu’on lui montre, et se fait couper s’il consomme trop. Sous macOS, seules les limites de consommation s’appliquent, et un avertissement part dans le journal à chaque appel. Sous Windows, aucun confinement.
Ce qui reste devant ces deux outils dans une conversation, sur les trois systèmes, c’est votre accord : un appel qu’aucune de vos règles n’autorise s’arrête et vous demande.
Aucun. Sur les trois systèmes, un agent peut faire ce que votre compte peut faire.
Il tourne sous votre compte, avec vos droits, comme n’importe quel programme que vous lancez. Ce qui le tient n’est pas une prison, c’est un compteur : vous fixez le nombre d’étapes, le nombre d’appels d’outils et la durée, le runtime les applique, et le code de l’agent ne peut ni les relever ni s’y soustraire. Apollia borne, il n’enferme pas.
Dans une conversation : votre accord est demandé appel d’outil par appel d’outil, les chemins de fichiers sont gardés, et un accord qui n’arrive pas vaut refus. Sur le chemin orchestré : les outils que le manifeste de l’agent déclare. Un agent que vous avez installé et qui appelle ses outils lui-même ne rencontre aucun point de contrôle.
La règle pratique qui en découle tient en une phrase : n’installez que des agents que vous avez écrits, ou dont vous avez lu le code. C’est celle que vous appliquez déjà à n’importe quel script récupéré ailleurs.
Non. Elle est active aux deux premiers paliers d’autonomie, ceux où le plan vous est soumis avant de s’exécuter, et contournée aux deux paliers supérieurs, par construction et de manière documentée. Le palier se choisit par exécution, en ligne de commande.
Un palier plus haut n’accorde aucun droit supplémentaire, il retire une interruption. Ce que l’agent a le droit de faire ne change pas ; ce qui change, c’est le nombre de fois où il s’arrête pour vous demander.
Aucune.
Un texte piégé peut donc tenter de donner des ordres au modèle à votre place, ici comme ailleurs. Ce qui borne les dégâts, ce sont vos règles de permission, relues à chaque appel d’outil sur le chemin conversationnel : un outil qu’aucune règle n’autorise s’arrête et vous demande, et un refus que vous avez écrit l’emporte sur toute autorisation. Un agent installé qui appelle ses outils lui-même, lui, ne rencontre pas ce point de contrôle.
Chaîne de hachage SHA-256, écriture en ajout seul imposée par la base, signature, vérification par l’interface de programmation comme par la ligne de commande, et export présentable. Deux bornes à connaître : la clé de signature vit dans un fichier posé à côté de la base, et les appels d’outils d’une session de chat n’entrent pas dans la chaîne, seulement l’enveloppe du tour.
Ce qu’il garantit vraiment : une modification faite par quelqu’un qui n’a pas accès à votre répertoire de données se voit à la vérification. Ce n’est pas un coffre-fort, c’est un témoin.
Le budget de pas : vous fixez le nombre d’étapes de raisonnement, le nombre d’appels d’outils et la durée. Le runtime les compte et arrête l’agent au-delà. Le compteur vit du côté Rust, hors de portée du code de l’agent.
Non. Le dépassement d’un seuil en jetons lève une alerte, il n’arrête rien.
Ce qui borne une exécution n’est pas son coût, c’est son compte d’étapes et d’appels. Sur un modèle qui tourne chez vous, il n’y a rien à facturer ; le seuil en jetons ne concerne que les services distants, ceux que vous branchez vous-même.
Non. Traitez chaque écriture comme définitive.
Ce qui vous protège se trouve avant et après : l’accord qui vous est demandé au moment de l’action dans une conversation, et le journal qui garde la trace de ce qui a été fait. Entre les deux, il n’y a pas de bouton de retour arrière.
La troisième décide de ce qui vous reste dans deux ans. C’est la famille qu’on saute le plus souvent, et celle qui se paie le plus longtemps.
Apache 2.0 ou MIT, à votre choix, textes complets dans le dépôt, héritée par tout le code et par le kit de développement. Aucune restriction d’usage, de redistribution ou de fork.
Des installeurs macOS, Windows et Linux sur la page des publications du dépôt, et la compilation depuis les sources pour qui préfère. L’étiquette est 0.2.0-preview : une préversion, jugez-la comme telle.
Linux sur la quasi-totalité des étapes automatiques, macOS Apple Silicon sur une étape bloquante, Windows sur moins que les deux autres. Windows est livré, moins gardé.
Concrètement : une régression propre à Windows a plus de chances de passer qu’une régression Linux. Le canal de signalement est le même pour les trois, et il est ouvert.
Un mainteneur unique. Les propositions de code extérieures sont fermées sur la ligne v0.1.x, et c’est annoncé avant que quelqu’un y passe six semaines.
Les tickets, eux, sont ouverts, bugs comme demandes. Et le fork ne demande la permission de personne : c’est le recours, et rien ne le restreint.
Aucun abonnement, aucune édition entreprise. Un soutien récurrent sans contrepartie produit, et une prestation séparée pour qui veut un agent construit sur mesure. Il n’y a pas de service en ligne à revendre, ni de données d’usage à monétiser.
En Python : un décorateur @agent au-dessus d’une classe, au moins une méthode marquée @skill ou @on_message, rien à hériter, et un kit de développement qui n’installe aucune bibliothèque tierce. Pour brancher des outils extérieurs, Apollia est client MCP, le protocole standard qui expose des outils à un modèle, sur ses trois modes de transport.
Une. Apollia tourne sous votre compte et travaille pour vous seul : pas d’instance partagée, pas de rôles à distribuer, pas de comptes à administrer.
Rien n’empêche de l’installer sur plusieurs postes, chacun avec ses données et ses règles. Ce qui n’existe pas, c’est une instance unique que plusieurs personnes se partagent.
Le code, sous une licence qui ne se retire pas. Vos données, dans des fichiers SQLite de votre dossier personnel, que n’importe quel outil du marché ouvre. Vos agents, qui sont du Python ordinaire et repartent avec vous.
Il n’y a pas de service en ligne à couper, pas de clé d’activation à révoquer, pas de format propriétaire à convertir. C’est ce qui rend le fork praticable plutôt que théorique.
Vous savez maintenant ce que cette préversion couvre et où elle s’arrête. Ce qu’une page ne peut pas vous dire, c’est si elle tient sur votre travail à vous, sur vos fichiers, avec vos habitudes. Une soirée y répond mieux que moi.
0.2.0-preview · macOS, Windows, Linux · Apache 2.0 ou MIT