MTI·Training

Actu News · lundi 24 août 2026 Monday 24 August 2026 Actu Semaine 35

GitHub à genoux pendant 8 heures : les agents IA ont doublé le trafic, l'infra n'a pas suivi GitHub down for 8 hours: AI agents doubled the traffic, the infrastructure gave way

Le 17 août, GitHub a passé 7h47 en panne mondiale : pas un bug, un pur manque de capacité face à un trafic doublé par les agents IA. Plus : Nvidia finance jusqu'à 105 Md$ de datacenter pour OpenAI, 421 CVE au Patch Tuesday, Claude conçoit des protéines validées en labo. On August 17, GitHub spent 7h47 in a global outage: not a bug, a pure capacity shortage against traffic doubled by AI agents. Plus: Nvidia backs up to $105B in OpenAI data center financing, 421 CVEs on Patch Tuesday, Claude designs lab-validated proteins.

La une

Le dimanche 17 août, GitHub est tombé. De 13h28 à 21h15 UTC, soit 7 heures et 47 minutes, github.com, l’authentification, les API, les Issues, les Pull Requests, GitHub Actions et Copilot ont été dégradés dans le monde entier. Au pic, environ 20 % des requêtes web et API échouaient, et jusqu’à 50 % des téléchargements d’archives.

Le postmortem, publié cette semaine sur le blog de GitHub, tient en une phrase qui change tout : la panne n’a été causée ni par une modification de code ni par un changement de configuration. Un composant d’infrastructure critique du datacenter Central US n’a simplement pas suivi un pic de trafic record, et la pression de capacité s’est propagée en cascade, en commençant par l’authentification. La presse spécialisée pointe les proxys sidecar (Istio) qui relaient la communication entre services : saturés, mais invisibles pour l’auto-scaling, qui ne comptait pas leur capacité.

D’où vient ce trafic record ? Des chiffres du postmortem eux-mêmes : les commits mensuels sont passés de 1,4 milliard en avril à 2,9 milliards en août 2026. Un doublement en quatre mois, largement attribué aux agents IA qui committent, ouvrent des PR (environ 130 millions fusionnées par mois) et déclenchent des runs Actions (plus de 115 millions) à un rythme qu’aucune croissance humaine n’explique. L’ironie de 2026 résumée en une panne : l’IA qui écrit le code a fait plier la plateforme qui l’héberge.

Détail technique savoureux : la récupération a été ralentie par les clients eux-mêmes. Les boucles de retry des services Copilot ont augmenté le trafic pendant la reprise, un classique de la « retry storm » qu’il a fallu maîtriser avant de pouvoir rouvrir en sécurité. GitHub annonce en réponse plus de 3 millions de cœurs CPU et 120 pétaoctets de stockage déployés, une migration vers Azure passée de 12 % de la charge en mai à 58 %, et des budgets de retry cohérents entre services.

🎤 En entretien : le réflexe qui vous distingue, c’est de savoir que toutes les pannes ne sont pas des bugs. Ici, zéro déploiement fautif : de la capacité, un auto-scaler aveugle à un composant, et des retries qui aggravent. Si vous savez placer « backoff exponentiel avec jitter et budget de retry » en expliquant pourquoi les clients Copilot ont ralenti la récupération de GitHub, vous parlez comme quelqu’un qui a déjà lu un postmortem.

Aussi cette semaine

QuoiQuiPourquoi c’est notable
Jusqu’à 105 Md$ de financement pour un datacenter OpenAINvidiaRévélé par un dépôt SEC du 17 août : Nvidia garantit le financement de la première phase d’un campus de 8 gigawatts dans l’Ohio, construit et exploité par SB Energy avec un bail de 20 ans pour OpenAI. Nvidia sera le fournisseur exclusif du compute, mise en service à partir de 2028. Le fournisseur de puces finance son propre client : la circularité de l’économie IA en une transaction
4 failles activement exploitées ajoutées au catalogue KEVCISALe 18 août : traversée de chemin vCenter (CVE-2026-59310, CVSS 9.8), 361 serveurs compromis dans 47 pays avec un ransomware dérivé de Babuk ; contournement d’authentification SharePoint (CVE-2026-55040, 9.1) exploité quelques heures après la publication du PoC ; une faille IKE Windows wormable (9.8) ; un bypass du partage d’écran macOS utilisé pour installer des cryptomineurs
Patch Tuesday : 421 CVE corrigées, un zero-dayMicrosoftDont CVE-2026-68820, un use-after-free dans le driver afd.sys (Winsock) exploité dans la nature pour élever ses privilèges jusqu’à System
Claude conçoit des protéines validées en laboAnthropicDes binders conçus par Claude ont fonctionné contre 14 cibles sur 15 testées par Adaptyv Bio et Twist Bioscience, avec 22 à 35 % de réussite contre 10 à 15 % de taux typique du secteur. L’IA générative sort du texte et entre dans la biologie mesurable
30 licenciements et départs volontaires proposésCognitionTrois semaines après avoir racheté Windsurf, la startup derrière Devin licencie 30 personnes et propose un buyout aux ~200 restants. La consolidation des startups de code IA continue, même chez les mieux financées
Release de sécurité programmée le 26 aoûtNext.jsPatches annoncés pour Next.js 16.3 et 15.5, dont une faille critique. Si vous avez un projet Next.js en prod, bloquez 30 minutes mardi pour mettre à jour

Pourquoi ça vous concerne

  • Votre CI vit chez GitHub, pas chez vous. Huit heures sans Actions ni authentification, c’est une journée de travail d’équipe perdue si personne ne sait travailler en dégradé. Rappel utile : git est distribué. Committez localement, échangez des branches entre collègues, gardez éventuellement un remote miroir (GitLab, Codeberg). La panne de l’hébergeur n’est une panne de git que si vous l’acceptez.
  • Le retry naïf est un amplificateur de panne. Une boucle while (fail) retry sans backoff transforme chaque client en participant au DDoS de récupération. Backoff exponentiel, jitter, budget de retry, idempotence : quatre mots à connaître avant votre premier service en production.
  • Lisez les postmortems, c’est de la formation gratuite. Celui de GitHub donne la chronologie, la cause racine, les facteurs aggravants et les remédiations chiffrées. C’est exactement le niveau de détail qu’un recruteur adore entendre cité en entretien.
  • La fenêtre de patch se compte en heures. SharePoint exploité quelques heures après le PoC public, vCenter cinq jours après le correctif. La vraie question n’est plus « avez-vous patché ? » mais « pourquoi votre vCenter ou votre SharePoint est-il joignable depuis Internet ? »
  • Le marché du stage IA a deux visages. D’un côté des dizaines de milliards en infrastructure (Nvidia, OpenAI, Ohio), de l’autre des licenciements chez les startups de code IA les mieux financées (Cognition). Cibler l’infra, les plateformes et les boîtes qui déploient l’IA en interne est aujourd’hui moins risqué que la n-ième startup d’agents.

En entretien

« GitHub est en panne, votre équipe est bloquée. Vous faites quoi ? »

D’abord constater proprement (status page, pas de panique), puis rappeler que git est distribué : les commits, branches et diffs continuent en local, et deux collègues peuvent s’échanger des branches sans serveur central. Ensuite protéger la reprise : ne pas marteler l’API avec des retries agressifs, différer les pushes non urgents. Enfin communiquer : prévenir l’équipe de ce qui est bloqué (CI, reviews) et de ce qui ne l’est pas. Ce que le recruteur évalue, c’est votre calme et votre compréhension de l’outil, pas votre capacité à attendre.

« C’est quoi un retry bien conçu ? »

Quatre ingrédients. Un backoff exponentiel : on attend de plus en plus longtemps entre les tentatives. Du jitter : un aléa qui évite que tous les clients réessaient à la même seconde. Un budget de retry : au-delà d’un certain taux d’échec, on arrête d’insister et on dégrade proprement. Et l’idempotence : rejouer la requête ne doit pas créer de doublon. Exemple d’actualité : pendant la panne du 17 août, les boucles de retry des clients Copilot ont augmenté le trafic au moment précis où GitHub essayait de récupérer.

« Racontez-moi une panne célèbre et ce qu’elle enseigne. »

Le 17 août 2026, GitHub : 7h47 d’indisponibilité mondiale, sans bug ni mauvais déploiement. Cause : un composant du datacenter Central US saturé par un trafic record (commits doublés en quatre mois, poussés par les agents IA), invisible pour l’auto-scaling. Leçons : la capacité est une cause de panne à part entière, l’auto-scaling ne protège que ce qu’il mesure, et les retries clients peuvent prolonger un incident. Bonus : citer la remédiation (budgets de retry, migration Azure à 58 % de la charge) montre que vous avez lu la source, pas un tweet.

Pour aller plus loin

The big story

On Sunday, August 17, GitHub went down. From 13:28 to 21:15 UTC, that is 7 hours and 47 minutes, github.com, authentication, the APIs, Issues, Pull Requests, GitHub Actions and Copilot were degraded worldwide. At peak, roughly 20% of web and API requests were failing, and up to 50% of archive downloads.

The postmortem, published this week on the GitHub blog, fits in one sentence that changes everything: the outage was caused neither by a code change nor by a configuration change. A critical infrastructure component in the Central US data center simply failed to keep up with record traffic, and the capacity pressure cascaded through the systems, starting with authentication. Specialist coverage points at the sidecar proxies (Istio) relaying service-to-service traffic: saturated, but invisible to auto-scaling, which did not account for their capacity.

Where did that record traffic come from? From the postmortem’s own numbers: monthly commits went from 1.4 billion in April to 2.9 billion in August 2026. A doubling in four months, widely attributed to AI agents committing, opening PRs (about 130 million merged per month) and triggering Actions runs (over 115 million) at a pace no human growth explains. The irony of 2026 in one outage: the AI writing the code brought down the platform hosting it.

One tasty technical detail: recovery was slowed by the clients themselves. Retry loops in Copilot services increased traffic during recovery, a classic “retry storm” that had to be tamed before services could safely reopen. In response, GitHub announced more than 3 million CPU cores and 120 petabytes of storage deployed, an Azure migration that went from 12% of platform load in May to 58%, and consistent retry budgets across services.

🎤 In an interview : the reflex that sets you apart is knowing that not every outage is a bug. Here, zero faulty deploys: capacity, an auto-scaler blind to one component, and retries making things worse. If you can drop “exponential backoff with jitter and a retry budget” while explaining why Copilot clients slowed GitHub’s own recovery, you sound like someone who has actually read a postmortem.

Also this week

WhatWhoWhy it matters
Up to $105B in financing for an OpenAI data centerNvidiaRevealed in an August 17 SEC filing: Nvidia backs the first phase of an 8 gigawatt campus in Ohio, built and operated by SB Energy under a 20-year lease to OpenAI. Nvidia will be the exclusive compute provider, coming online from 2028. The chip supplier financing its own customer: the circularity of the AI economy in a single deal
4 actively exploited flaws added to the KEV catalogCISAOn August 18: a vCenter path traversal (CVE-2026-59310, CVSS 9.8), 361 servers compromised across 47 countries with Babuk-derived ransomware; a SharePoint auth bypass (CVE-2026-55040, 9.1) exploited within hours of the public PoC; a wormable Windows IKE flaw (9.8); a macOS Screen Sharing bypass used to install cryptominers
Patch Tuesday: 421 CVEs fixed, one zero-dayMicrosoftIncluding CVE-2026-68820, a use-after-free in the afd.sys (Winsock) driver exploited in the wild to elevate privileges to System
Claude designs lab-validated proteinsAnthropicClaude-designed binders worked against 14 of 15 targets tested by Adaptyv Bio and Twist Bioscience, with 22 to 35% success versus the sector’s typical 10 to 15%. Generative AI stepping out of text and into measurable biology
30 layoffs and buyouts offeredCognitionThree weeks after acquiring Windsurf, the startup behind Devin lays off 30 people and offers buyouts to the ~200 remaining. Consolidation among AI coding startups continues, even the best-funded ones
Security release scheduled for August 26Next.jsPatches announced for Next.js 16.3 and 15.5, including one critical vulnerability. If you run a Next.js project in production, block 30 minutes on Tuesday to update

Why it matters to you

  • Your CI lives at GitHub, not at your place. Eight hours without Actions or authentication is a lost team day if nobody knows how to work degraded. Useful reminder: git is distributed. Commit locally, exchange branches between teammates, possibly keep a mirror remote (GitLab, Codeberg). The host’s outage is only a git outage if you let it be.
  • Naive retries amplify outages. A while (fail) retry loop with no backoff turns every client into a participant in the recovery DDoS. Exponential backoff, jitter, retry budget, idempotency: four words to know before your first production service.
  • Read postmortems, it is free training. GitHub’s gives the timeline, the root cause, the aggravating factors and the costed remediations. That is exactly the level of detail a recruiter loves to hear quoted in an interview.
  • The patch window is now measured in hours. SharePoint exploited within hours of the public PoC, vCenter five days after the fix. The real question is no longer “did you patch?” but “why is your vCenter or SharePoint reachable from the Internet at all?”
  • The AI internship market has two faces. On one side, tens of billions in infrastructure (Nvidia, OpenAI, Ohio); on the other, layoffs at the best-funded AI coding startups (Cognition). Targeting infrastructure, platforms and companies deploying AI internally is currently less risky than the nth agent startup.

In an interview

“GitHub is down, your team is blocked. What do you do?”

First, assess calmly (status page, no panic), then remember git is distributed: commits, branches and diffs keep working locally, and two teammates can exchange branches without a central server. Then protect the recovery: do not hammer the API with aggressive retries, defer non-urgent pushes. Finally, communicate: tell the team what is blocked (CI, reviews) and what is not. What the recruiter is evaluating is your calm and your understanding of the tool, not your ability to wait.

“What does a well-designed retry look like?”

Four ingredients. Exponential backoff: wait longer and longer between attempts. Jitter: randomness so all clients do not retry in the same second. A retry budget: past a certain failure rate, stop insisting and degrade gracefully. And idempotency: replaying the request must not create duplicates. Topical example: during the August 17 outage, retry loops in Copilot clients increased traffic at the exact moment GitHub was trying to recover.

“Tell me about a famous outage and what it teaches.”

August 17, 2026, GitHub: 7h47 of global unavailability, with no bug and no bad deploy. Cause: a Central US data center component saturated by record traffic (commits doubled in four months, driven by AI agents), invisible to auto-scaling. Lessons: capacity is a first-class cause of outages, auto-scaling only protects what it measures, and client retries can prolong an incident. Bonus: citing the remediation (retry budgets, Azure migration at 58% of load) shows you read the source, not a tweet.

Going further

S'entraîner sur ce sujet → Practice this topic →