Advisory LLM — 2026-05-08
🚨 Breaking
pydantic-ai v1.95.0 — Agent(instrument=True) retiré sans délai de grâce supplémentaire. Migration obligatoire :
# AVANT
agent = Agent('openai:gpt-4o', instrument=True)
# APRÈS
from pydantic_ai.instrumentation import Instrumentation
instrumentation = Instrumentation()
agent = Agent('openai:gpt-4o', instrumentation=instrumentation)
La Instrumentation est maintenant un objet de première classe, réutilisable entre agents. Release notes
langchain-core 1.4.0 — load() exige valid_namespaces. C'est une correction de sécurité : sans ce paramètre, un manifeste externe pouvait déclencher une désérialisation arbitraire (RCE potentielle).
# AVANT — dangereux sur toute source non contrôlée
result = load(untrusted_manifest)
# APRÈS
result = load(trusted_manifest, valid_namespaces=["langchain_core"])
crewAI 1.14.5a5 (alpha) — CrewAgentExecutor déprécié, AgentExecutor devient le défaut :
# AVANT
from crewai.agents import CrewAgentExecutor
executor = CrewAgentExecutor(agent=my_agent)
# APRÈS
from crewai.agents import AgentExecutor
executor = AgentExecutor(agent=my_agent)
C'est une alpha, mais le changement est stable de conception — anticiper avant la 1.15.0. Release
🗑️ Dépréciations
- pydantic-ai :
Agent(instrument=...)— warning actif, pas de date d'extinction annoncée mais le paramètre sera ignoré silencieusement dans les versions suivantes. - crewAI :
CrewAgentExecutor— maintenu uniquement pour compatibilité ascendante.
💰 Pricing
Rien à signaler cette semaine sur Anthropic, OpenAI, Mistral ou Google. Stable.
🆕 Nouveautés
Qdrant v1.18.0 — Ajout de named vectors sur collection existante sans la recréer. Fini le double-swap destructif pour ajouter un champ vectoriel en production :
await client.createVectorField("col", {
name: "img",
params: { size: 512, distance: "Cosine" }
});
- TurboQuant : compression 8× des vecteurs sans perte de recall significative selon leurs benchmarks internes. Release
lm-evaluation-harness v0.4.12 — Backend TensorRT-LLM ajouté, tensor_parallel_size disponible pour les modèles HF multi-GPU sans wrapper externe. Release
💡 Conseil du jour
Le valid_namespaces de langchain-core n'est pas une amélioration — c'est un patch de sécurité. Si ton code charge des manifestes d'agents depuis une base de données, une API tierce, ou un fichier uploadé par un utilisateur, tu exposes potentiellement une RCE.
Action à faire AUJOURD'HUI :
grep -rn "from langchain_core.load import load" . --include="*.py"
Tout fichier dans la liste doit vérifier que valid_namespaces est passé explicitement. Ne pas déléguer ça au prochain sprint.