Agentic AI : Veille agentique

Sommaire & objectif

Ce projet a pour but de mettre en place un cluster K3s sur mon homelab, afin d'y faire tourner des agents IA qui s'occupent de la veille à ma place. Plutôt que de passer du temps chaque matin à parcourir des flux RSS, des bulletins de sécurité et des articles sur l'IA, l'idée est que des agents fassent le tri et m'envoient directement ce qui est pertinent.

Nous avons trois types de veille :

• la veille technologique : infrastructure, Kubernetes, réseau, cloud, DevOps et outils IA pour les ops ;
• la veille innovation : des idées de produits ou de services autour de l'IA qui pourraient intéresser des gens ;
• la veille vulnérabilités : les CVE qui touchent mon parc, triées et priorisées.

Les deux premières sont gérées par des agents Hermès, la troisième par un workflow n8n. La raison de ce choix est expliquée plus bas.

Les agents communiquent avec moi via Telegram, avec un bot par agent et un bot dédié aux alertes du cluster. Pour la partie IA, c'est Claude (API Anthropic) qui est utilisé, mais jamais en direct : tous les appels passent par une passerelle, LiteLLM, qui centralise les clés, les budgets et le suivi des coûts.

Pour plus tard : monter Ollama sur une machine avec un vrai GPU (pas les ressources pour l’instant), pour que Claude se concentre sur le boulot qui demande de la cervelle et que les modèles légers en local se tapent le tri en masse.

Architecture

Voici une architecture globale du lab déployé pour ce projet :

Composant	Rôle
K3s	Distribution Kubernetes légère, en mono-nœud.
Ansible	Installation de la machine : prérequis Debian, K3s, ArgoCD et l'application racine.
ArgoCD	Déploiement en GitOps : le cluster se synchronise sur le contenu du dépôt Git.
Sealed Secrets	Permet de stocker les secrets chiffrés dans Git, seul le cluster peut les déchiffrer.
cert-manager	Génère les certificats HTTPS du lab et ceux de Linkerd.
Linkerd	Service mesh, chiffre automatiquement les échanges entre les applications (mTLS).
Traefik	Point d'entrée HTTPS pour les interfaces web, via la Gateway API.
LiteLLM	Passerelle vers Claude, avec une clé et un budget par agent.
Prometheus / Alertmanager	Métriques du cluster et envoi des alertes sur Telegram.
Grafana	Visualisation des coûts LLM et de l'état du cluster.
n8n	Outil de workflows, utilisé pour la veille vulnérabilités.
Hermès	Agents IA pour la veille technologique et innovation.

Fonctionnement du dépôt

Tout le cluster est décrit dans un seul dépôt Git, nommé homelab. Il contient deux dossiers principaux :

• applications-manifest/ : un fichier par application ArgoCD. L'application root surveille ce dossier et crée toutes les autres ;
• applications/ : une application correspond à un chart Helm, avec son values.yaml et ses templates/.

Le lab a d'abord été monté sous WSL (Debian), puis sera migré sur un ThinkCentre M720q sous Debian. La configuration est la même sur les deux machines, seule une ligne de l'inventaire Ansible change.

Côté sécurité, chaque namespace bloque par défaut tout le trafic réseau, et on n'ouvre que ce qui est nécessaire. Aucune application n'a accès à l'API Kubernetes, et seul LiteLLM connaît la clé de l'API Anthropic.

Agentic AI

Un chatbot classique répond à une question, puis s'arrête. Il n'agit pas et ne se souvient de rien d'une conversation à l'autre.

Un agent IA va plus loin : c'est un modèle de langage auquel on donne des outils (recherche web, lecture de pages, commandes...) et qu'on fait tourner en boucle. Concrètement, il reçoit un objectif, réfléchit à ce qu'il doit faire, utilise un outil, analyse le résultat, et recommence jusqu'à avoir terminé.

En plus de ça, un agent dispose généralement :

• d'une mémoire, afin de retenir ce qu'il a déjà vu et ce que l'on préfère ;
• de tâches planifiées, pour se déclencher tout seul sans attendre qu'on lui parle ;
• d'un canal de communication, dans notre cas Telegram.

Il faut cependant garder en tête qu'un agent peut se tromper. Il peut inventer une information (hallucination), se faire manipuler par un contenu piégé qu'il lit sur le web (injection de prompt), ou tourner en boucle et consommer du budget. C'est pour cette raison que les agents sont isolés au niveau réseau, que leur budget est limité, et qu'on ne leur confie pas les tâches qui doivent être exactes à 100 %.

Veille Technologique & Innovation (Agent Hermès)

Objectif

Nous avons deux agents qui utilisent le même outil, mais avec des consignes différentes :

• veille-tech : chaque matin en semaine, une synthèse de 5 à 10 éléments, avec pour chacun le titre, la source, un résumé et pourquoi c'est intéressant. Une section « À tester dans le lab » termine la synthèse ;
• veille-innovation : 3 à 5 idées par semaine autour de l'IA, avec le problème, la cible, ce qui existe déjà, ce qui serait différenciant et un premier pas réalisable rapidement.

Pour ce type de veille, une petite approximation n'est pas grave. Par contre, il est intéressant que l'agent apprenne avec le temps ce qui m'intéresse, et c'est justement ce que propose Hermès.

Hermès

Hermès Agent est un agent IA open source (licence MIT) développé par Nous Research, sorti en février 2026. Ses principales fonctionnalités sont :

• une mémoire persistante : il garde le contexte d'une session à l'autre ;
• des skills : des capacités qu'il peut utiliser et améliorer ;
• il est agnostique du modèle : il fonctionne avec n'importe quel fournisseur compatible OpenAI. Dans notre cas, il passe uniquement par LiteLLM ;
• une passerelle de messagerie : il se connecte à Telegram, Discord, Slack, etc. ;
• des tâches planifiées : on peut lui demander de faire sa veille tous les jours à une heure précise ;
• des profils : chaque agent a son propre dossier avec sa configuration, sa mémoire et ses tâches.

Hermès a été préféré à OpenClaw, l'autre agent open source populaire, à cause des nombreux problèmes de sécurité rencontrés par ce dernier en 2026.

Déploiement dans le cluster

Chaque agent correspond à un Deployment avec un seul pod. Il n'y a pas de réplicas, car un agent possède une seule mémoire et un seul bot Telegram, deux instances entreraient en conflit.

Tous les agents utilisent le même chart Helm, situé dans applications/hermes/. Chaque agent a ensuite son propre fichier de valeurs et sa propre application ArgoCD.

Au démarrage, un initContainer copie la configuration (config.yaml et SOUL.md) depuis Git vers le dossier de l'agent. La mémoire, les sessions et les tâches planifiées sont stockées sur un volume persistant, et sont donc conservées après un redémarrage.

Chaque agent possède également un secret contenant :

• le token de son bot Telegram ;
• mon identifiant Telegram, qui est le seul autorisé à lui parler ;
• sa clé LiteLLM, avec un budget mensuel limité.

Au niveau réseau, l'agent peut uniquement joindre LiteLLM et Internet en HTTPS. Il n'a pas accès au réseau local ni aux autres applications du cluster.

Configurer un nouvel agent

Voici les étapes pour ajouter un agent, par exemple veille-cloud.

1. Créer son fichier de valeurs dans applications/hermes/values-veille-cloud.yaml :

agent:
  name: veille-cloud

model:
  default: smart
  fallback: fast

soul: |
  Tu es un agent de veille cloud.
  Domaines : AWS, Azure, GCP, FinOps.
  Chaque lundi, une synthèse de 5 éléments maximum avec le titre,
  la source, un résumé en deux phrases et l'impact concret.
  Réponds en français, de façon concise.

Le champ soul correspond aux consignes de l'agent. Plus elles sont précises (format, longueur, ce qu'il doit ignorer), meilleure sera la veille.

2. Créer son application ArgoCD en copiant applications-manifest/hermes-veille-tech.yaml, puis en adaptant le nom, la release et le fichier de valeurs.

3. Créer son bot Telegram avec la commande /newbot de @BotFather, puis démarrer la conversation avec le bot. Sans cette étape, il ne pourra pas envoyer de message en premier.

4. Créer sa clé LiteLLM (ici avec un budget de 10 $ par mois) :

marijan$ ./scripts/litellm-create-key.sh hermes-veille-cloud 10

5. Créer son secret à partir du modèle secrets-templates/hermes__veille-tech.example.yaml, le remplir, puis le chiffrer :

marijan$ ./scripts/seal-secrets.sh

6. Commit et push : ArgoCD crée l'agent automatiquement.

7. Planifier la veille en écrivant directement au bot sur Telegram, par exemple : « Chaque lundi à 8h, fais ta veille et envoie-moi la synthèse ici ».

Veille Vulnérabilités déterministe (Agent n8n)

Objectif

Le but est d'être averti rapidement lorsqu'une vulnérabilité touche mon matériel ou mes logiciels (FortiGate, hyperviseurs, systèmes, applications du lab), avec les informations nécessaires pour décider quoi faire : la CVE, son score, si elle est exploitée activement et si un correctif existe.

Les sources utilisées sont structurées et fiables : la base NVD, le catalogue CISA KEV (vulnérabilités activement exploitées), les bulletins CERT et les avis de sécurité des éditeurs.

n8n

n8n est un outil d'automatisation de workflows, qu'il est possible d'héberger soi-même. On construit des enchaînements de nœuds via une interface graphique : un déclencheur (planification, webhook...), des appels HTTP, des filtres, des transformations et des envois (Telegram, mail...). Chaque exécution est historisée, ce qui permet de voir exactement ce qui s'est passé.

n8n propose également un nœud AI Agent, qui permet d'intégrer un agent IA à un endroit précis du workflow. Dans notre cas, ce nœud utilise LiteLLM avec sa propre clé.

Workflow

Sans entrer dans le détail, le workflow fonctionne en quatre étapes :

1. récupération des vulnérabilités depuis les différentes sources ;
2. filtrage selon mon inventaire, pour ne garder que ce qui me concerne ;
3. priorisation et rédaction de la synthèse par le nœud AI Agent ;
4. envoi du résultat sur Telegram.

Pourquoi n8n et pas Hermès ?

Pour la veille vulnérabilités, il n'y a pas de place pour l'approximation. Il faut être exhaustif, pour ne rater aucune CVE critique, et exact, avec le bon identifiant, les bonnes versions et le bon score.

Un agent autonome comme Hermès n'est pas fiable sur ce point. Il peut oublier une entrée, se tromper de version, ou même inventer un numéro de CVE, sans que l'on s'en rende compte. Et comme c'est lui qui déciderait quoi chercher, il serait impossible de garantir qu'il n'a rien oublié.

Avec n8n, les rôles sont séparés :

• la liste des vulnérabilités est produite par le workflow (appels API et filtres), elle est donc déterministe : la même entrée donne toujours le même résultat ;
• l'IA intervient uniquement à la fin, sur une liste déjà établie, pour prioriser et rédiger un résumé lisible ;
• chaque exécution est traçable dans n8n.

Pour résumer, Hermès est utilisé pour ce qui demande du jugement, et n8n pour ce qui demande de la rigueur. L'IA sert à rédiger, pas à trouver les informations.