CodeConductor

Qu’est-ce que CodeConductor ?

CodeConductor est une plateforme d’application d’IA d’entreprise, d’agents et de gouvernance développée par CodeConductor, Inc. Fondée en 2024, son équipe est basée dans la région de la baie de San Francisco et à Chandigarh en Inde. Elle regroupe la génération d’applications, l’orchestration d’agents, le routage des modèles, le contrôle des stratégies, le déploiement et l’observation au sein d’un plan de contrôle unifié.

Le produit s’adresse aux équipes de platform engineering, d’IT, de sécurité, de développement et commerciales, en mettant l’accent sur la génération de code réel exportable, tout en utilisant les outils Git, cloud, d’identité et d’observabilité déjà existants dans l’organisation. Ce n’est pas un simple assistant de programmation personnel qui complète le code uniquement dans l’éditeur.

Composition de la plateforme

Fonction principale

Développement d’applications App Studio

• L’équipe de développement peut décrire l’application à créer, puis combiner des composants visuels pour former des pages, lier les données, prévisualiser et soumettre le code.
• Prend en charge l’importation de composants React, Chakra, Tailwind, Material ou internes, permet d’éditer les attributs et de synchroniser les thèmes.
• La logique front-end sera sérialisée en code React et TypeScript et écrite dans le répertoire Git du client, plutôt que d’être stockée dans une base de données propriétaire.
• L’arrière-plan peut être généré en même temps que l’avant-plan ; la page liste des exemples en Python et génère automatiquement des interfaces CRUD, le stack technique spécifique étant déterminé par le plan de déploiement.
• Prend en charge la synchronisation Git bidirectionnelle, les Pull Request et les revues de code ; il n’est pas nécessaire de conserver l’environnement runtime CodeConductor pour générer du code une fois quitté la plateforme.

Orchestration d’entité intelligente Copilot Studio

• Le flux de visualisation est utilisé pour organiser les étapes d’instructions, de raisonnement, de recherche, d’outils et de sortie, ainsi que pour définir les branches, les portes de décision et les paramètres du modèle étape par étape.
• Le pipeline RAG comprend le découpage, l’incorporation, l’indexation, le réarrangement et la gestion du contexte, permettant de relier les connaissances organisationnelles au stockage vectoriel.
• Les agents peuvent, dans le cadre de leurs droits, appeler des fonctions, des interfaces de programme, des bases de données et des chaînes d’outils à plusieurs étapes, et pas seulement générer du texte.
• La trajectoire d’exécution affiche les entrées, les outils, les réponses, les délais, les tokens et les coûts, ce qui facilite le débogage et l’audit a posteriori.
• Les versions de développement, de pré-lancement et de production peuvent être déployées progressivement via des configurations Git, des vérifications CI/CD, des retraits et un trafic canari.

Routage de modèles et récupération de données

• Le Model Router peut se connecter à OpenAI, Anthropic, Google Gemini, Meta Llama, Azure OpenAI, AWS Bedrock, Mistral, des interfaces personnalisées et des modèles locaux.
• Les règles de routage peuvent prendre en compte le coût, le délai, la capacité, le taux de réussite historique, le stockage des données, les informations sensibles et les fournisseurs autorisés.
• Les demandes sensibles peuvent être redirigées vers une VPC privée ou des modèles locaux, avec un mécanisme de fallback en cas d’indisponibilité des modèles externes.
• La couche de données prend en charge les fichiers, les bases de données, le stockage d’objets, les bases de vecteurs et les bases de connaissances, et offre une recherche mixte, un filtrage par métadonnées ainsi que la traçabilité des données.
• Le tableau de bord unifié enregistre le nombre de requêtes, le fournisseur, la raison du routage, les erreurs, les stratégies de fallback et la consommation du modèle ; les indicateurs réels dépendent de la configuration d’accès.

Stratégie, sécurité et gouvernance

• Le plan de contrôle analyse d’abord l’identité et le domaine de travail, puis utilise des politiques OPA pour vérifier les droits, après quoi il analyse les dépendances, exécute la requête et enregistre un journal.
• La stratégie permet de gérer les droits des rôles, l’isolation des données des locataires, le masquage des informations sensibles, une liste blanche des modèles, des restrictions de vitesse et l’approbation pour la publication en production.
• App Studio effectue des vérifications de sécurité sur le code généré, telles que la validation des stratégies, le balayage des dépendances, l’injection et les scripts cross-site.
• Copilot Studio offre la détection des informations sensibles, le filtrage de la toxicité, des stratégies de sortie, des restrictions thématiques, une protection contre les injections et des tests de red team avant publication.
• Les contrôles de sécurité permettent de réduire les risques, mais ils ne garantissent pas l’absence de défauts dans le code, les modèles et les configurations ; les entreprises doivent donc procéder à des tests et des audits indépendants.

Intégration avec l’stack technologique existant

• Les connexions d’ingénierie comprennent GitHub, Jenkins, PagerDuty, Harness, Datadog, Slack et Terraform.
• Les connexions d’identité comprennent Okta et Azure AD, pouvant être combinées avec SAML, OIDC, SCIM et la mise en correspondance des rôles.
• La connexion des données aux modèles couvre PostgreSQL, Snowflake, Pinecone, Elasticsearch, Firebase, Kafka, Dataverse, S3 ainsi que de nombreux fournisseurs de modèles.
• Les connexions commerciales comprennent Salesforce, QuickBooks, Xero, Plaid, Gong, Zapier, n8n, etc. Les actions de lecture et d’écriture spécifiques doivent être vérifiées une par une.
• Le rôle de CodeConductor est de placer les connexions sous une politique et un contrôle d’audit unifiés, sans exiger que l’entreprise remplace immédiatement tous ses systèmes existants.

Architecture et flux de demande

1. L’application ou l’agent envoie une demande ; le plan de contrôle analyse l’identité de l’utilisateur, son espace de travail et son contexte.
2. La stratégie OPA détermine si une action est autorisée en fonction du niveau d’accès, des limites des données, des règles du modèle et du type d’opération.
3. Unified Graph analyse les dépendances entre applications, données, outils et modèles.
4. Le routage de modèle sélectionne les modèles et les chemins de données en fonction de la stratégie, des capacités, du coût et du délai.
5. Le plan de données isolé exécute les requêtes en temps réel et renvoie les résultats à l’application ou à l’agent.
6. Le système enregistre les données de télémétrie, les décisions stratégiques, les appels d’outils et les événements de déploiement, à des fins de surveillance et d’audit.

Processus de mise en œuvre complet

1. Listez les applications cibles, le niveau de sensibilité des données, les rôles des utilisateurs, les clouds existants et les réglementations à respecter, afin de demander une réunion de découverte ou un pilote structuré.
2. Choisissez l’échelle Standard, Pro, Enterprise ou Strategic, et précisez dans la proposition les postes à créer, la capacité, l’environnement et le support.
3. Relier l’identité, Git, les données, les modèles, les interfaces de programme et l’observabilité, en utilisant d’abord des identifiants non productifs avec les droits minimaux.
4. Décrire une application dans App Studio et lier les composants et les données, ou concevoir les recherches, les outils et les branches d’un agent dans Copilot Studio.
5. Formuler les permissions, les informations sensibles, le stockage des données, l’utilisation des modèles et les exigences de publication en production en stratégies exécutables.
6. Mener des tests de fonctionnalité, de sécurité, de charge, de red team, de récupération et d’approbation manuelle dans les environnements DEV et STAGE.
7. Produire des versions en utilisant des pipelines et un déploiement par étapes, tout en surveillant les erreurs, les coûts, le routage et les journaux d’audit.
8. Effectuer un renouvellement périodique des clés, réviser les permissions des connecteurs, évaluer les changements dans les modèles, et tester l’exportation du code et des données.

Adapté aux utilisateurs et aux scénarios

• Il est souhaitable de fournir une plateforme d’application d’IA unifiée aux différentes équipes métier, tout en évitant la création d’une IT parallèle par les CIO et les responsables de plateforme.
• Équipes d’ingénierie qui ont besoin de déployer rapidement des applications internes à l’aide de composants d’entreprise et d’architectures de référence.
• Équipe d’IA qui souhaite combiner la recherche de connaissances, les requêtes de base de données et les actions métier pour créer des agents intelligents auditableurs.
• Équipe de sécurité et de conformité nécessitant des limites de données obligatoires, une liste blanche de modèles, du masquage des données et une approbation pour la publication.
• Organisations réglementées qui ont besoin d’une VPC privée, d’un déploiement local ou isolé, ainsi que du contrôle des clés de modèle et du lieu de stockage des données.
• Intégrateur de systèmes qui met en œuvre les capacités de la plateforme pour plusieurs clients, migre des systèmes anciens ou établit une feuille de route commune.

Prix, propositions et projets pilotes

CodeConductor ne divulgue pas de montant fixe ; les devis tiennent généralement compte de la création de postes, de la capacité de la plateforme, de la charge de travail, des exigences de gouvernance et du lieu de déploiement. Tous les projets officiels nécessitent un contact avec le service des ventes, et les offres Enterprise et Strategic peuvent également prévoir un facturation en fonction de la capacité ou des résultats.

Précautions relatives au plan

• La génération illimitée de codes par Standard, ainsi que GitLab et les pipelines, ne signifient pas pour autant que le nombre de produits, de fonctionnalités et d’intégrations est illimité.
• Pro élargit les produits, fonctionnalités, intégrations, développeurs et support, mais les limites de combinaison indiquées dans le tableau restent en vigueur.
• Le SLA maximal de 99,99 % d’Enterprise est une limite personnalisable et n’est pas un niveau de service offert par défaut à tous les clients.
• Les startups naissantes, les organisations à but non lucratif et les établissements d’enseignement disposent de programmes spéciaux, mais le taux de remise doit être confirmé au cours du processus de vente.
• Aucune politique de remboursement et d’annulation unifiée et publique n’a été confirmée pour cette fois ; elle doit être indiquée dans la proposition de prix, le contrat de service principal et la commande.

Déploiement et forme de la plateforme

État de sécurité et de conformité

• La transmission des données des clients utilise TLS 1.2 ou une version ultérieure, et le chiffrement des données statiques est assuré par AES-256.
• Le contrôle d’identité comprend SAML, SSO OIDC, les droits de rôle et les droits minimaux par défaut ; l’administrateur peut obtenir ou demander l’export des journaux d’audit.
• L’état HIPAA indique que des charges de travail correspondantes sont prises en charge, et un BAA est fourni aux clients éligibles ; les limites spécifiques du système doivent être confirmées dans l’accord.
• L’état du RGPD, qui indique un soutien aux droits des personnes concernées, au traitement légal et aux DPA, ne signifie pas que toutes les obligations de conformité sont automatiquement remplies une fois le client connecté.
• Le SOC 2 Type II est toujours en cours et ne peut pas être considéré comme une certification obtenue.
• La page de sécurité garantit qu’aucuns données des clients ne seront utilisées pour entraîner les modèles, et qu’en cas de disponibilité, des modèles tiers seront employés avec une politique de zéro conservation de données.
• Le client peut exporter les applications, le code et les données, mais les procédures, formats, délais et coûts réels de sortie doivent être consignés dans le contrat et testés.

Confidentialité et traitement des données

• La politique de confidentialité énumère les noms, numéros de téléphone, adresses e-mail, adresses, postes, comptes, préférences de contact, informations de paiement et informations fournies volontairement par l’utilisateur.
• Le système peut également traiter les adresses IP, les navigateurs, les appareils, les systèmes d’exploitation, les pages consultées, le temps passé, la localisation, les cookies et autres données de suivi similaires.
• Les paiements sont gérés par Stripe, et les fonctionnalités d’IA peuvent transmettre les entrées, les sorties ainsi que les informations personnelles associées à OpenAI, AWS AI, Anthropic et Google Cloud AI.
• L’engagement de non-formation concernant la page de sécurité doit être interprété conjointement avec le traitement par des tiers mentionné dans la politique de confidentialité ; l’acheteur doit néanmoins confirmer les conditions et les régions de conservation pour chaque modèle.
• Les informations personnelles sont conservées pendant la durée nécessaire à la réalisation des objectifs fixés, généralement jusqu’à la fin de la durée de validité du compte ; elles sont supprimées ou anonymisées lorsque plus nécessaires, à l’exception des sauvegardes pour lesquelles une confirmation est requise.
• Les utilisateurs remplissant les conditions peuvent demander l’accès, la correction, la suppression, la limitation, l’opposition, le retrait du consentement ou le transfert de leurs données, et peuvent également utiliser le mécanisme de choix de confidentialité pour se désinscrire de la diffusion de publicités ciblées.
• Le service n’est pas destiné aux utilisateurs de moins de 16 ans, et les conditions du site exigent que les utilisateurs aient au moins 18 ans.

Propriété du code, API et statut open source

• La page de sécurité indique que le client possède son application, ses données et son code, et App Studio permet également d’écrire la logique générée dans le Git du client et de l’exporter.
• Les conditions du site ne confèrent qu’une licence limitée d’accès au site à des fins personnelles et non commerciales ; toute utilisation à des fins commerciales par une entreprise est soumise à un accord de service principal, un accord de données et une commande signés séparément.
• La plateforme peut générer des interfaces CRUD et se connecter aux interfaces de programmes internes, mais aucune API de développeur unifiée ou SDK universel destiné au grand public n’a été confirmé cette fois-ci.
• L’intégration avec GitHub, l’hébergement sur GitLab, la possibilité d’exporter du code et l’utilisation de frameworks open source ne signifient pas pour autant que le produit CodeConductor lui-même est open source.
• Aucun dépôt de code public officiel ni licence open source pour le produit n’a été confirmé ; la plateforme doit donc être considérée comme un service commercial propriétaire.

Limites des capacités

• Le code de stratégie n’est valide que lorsque les règles sont complètes et que le contexte est correct ; une stratégie erronée peut autoriser des accès indésirables ou bloquer les opérations normales.
• RAG, le routage des modèles et la détection des hallucinations peuvent améliorer le contrôle, mais ils ne garantissent pas que chaque réponse soit vraie, complète ou adaptée à une exécution automatique.
• Un grand nombre de connecteurs ne signifie pas que toutes les actions sont prédéfinies ; l’authentification, la mise en correspondance des champs, le contrôle du débit et la récupération en cas d’erreur doivent encore être mis en œuvre.
• Le code généré doit faire l’objet d’une revue de code standard, d’un scan des dépendances, de tests et d’un processus de gestion des changements ; on ne peut se contenter du simple fait que le scan de la plateforme soit positif.
• Les déploiements nuageux, locaux et isolés augmentent la complexité en matière de réseau, de mises à niveau, de clés, de surveillance et de reprise après sinistre.
• Les exemples d’efficacité et de coûts sur le site web ne doivent pas être considérés directement comme des engagements de gains liés aux achats ; les entreprises doivent utiliser leurs propres données de référence et pilotes pour évaluer.

Résumé

CodeConductor convient aux organisations qui souhaitent accélérer à la fois la livraison des applications et des agents intelligents, tout en intégrant les modèles, les données, le code et le déploiement sous une gouvernance unifiée. L’accent des achats doit être mis sur l’acceptation pilote, les plafonds de solution, les responsabilités de déploiement, la conservation des modèles, les progrès SOC 2, les exercices de sortie et le prix du contrat, plutôt que de se limiter à comparer la vitesse de l’interface de génération.