CI/CD avec des agents : l'IA dans le pipeline

La brique de base : les appels headless

Dans un pipeline, il n'y a pas de fenêtre de chat. Le point d'entrée est donc le mode headless : claude -p "prompt" traite une tâche et se termine. Les données peuvent être injectées via un pipe (git diff main | claude -p "..."), et --output-format json fournit un résultat lisible par machine, coût inclus – utile pour les scripts.

GitHub Actions

Pour GitHub, il existe une action officielle (claude-code-action) : elle réagit aux mentions @claude dans les issues et les PR, ou tourne automatiquement avec un prompt fixe – par exemple comme review à chaque nouvelle pull request. La clé API doit impérativement aller dans les GitHub Secrets, jamais dans le dépôt.

Gates : les tests avant la confiance

La règle la plus importante : le résultat d'un agent est du code non vérifié. Il doit passer par les mêmes gates que le code humain – tests, linter, build –, avant que quoi que ce soit ne soit mergé. Concrètement, ça veut dire que l'agent crée une pull request au lieu de pousser directement, et qu'un humain fait la review avant le merge.

Les risques

Premièrement : pas de questions de clarification. Ce que l'agent ne peut pas décider s'interrompt ou est mal décidé. Deuxièmement : les secrets – un agent en CI a accès à tout ce que voit le runner ; il faut donc garder les permissions aussi restreintes que possible. Troisièmement : les coûts – sans limites comme --max-turns et des timeouts de workflow, les runs peuvent devenir chers sans que personne ne le remarque.