Open WebUI, une interface de discussion avec l’IA que l’on installe sur son propre serveur, donne désormais aux modèles un ordinateur à piloter. Sa version 0.13.0, publiée le 3 novembre 2026, leur ouvre un bureau Linux, un navigateur web et Git, qui garde l’historique du code. Le modèle déplace la souris ; l’utilisateur regarde, reprend la main ou valide chaque action.
Le code d’Open WebUI est public. Les modèles qu’il utilise tournent soit en local, avec les moteurs Ollama ou llama.cpp, soit chez un fournisseur, joint à distance par une API, une interface entre logiciels. Sur GitHub, où le projet publie son code, son dépôt comptait 157 862 étoiles, ou marques d’intérêt, le 6 novembre.
Cette version contient aussi des correctifs de sécurité encore non détaillés et modifie la base de données : revenir en arrière exige une sauvegarde.
Un bureau, un navigateur et Git à côté de la conversation
Le billet de lancement, publié le 4 novembre sur le blog d’Open WebUI, s’intitule « Your model gets a computer » (votre modèle reçoit un ordinateur). Le bureau passe par Open Terminal, un autre logiciel auto-hébergé du même éditeur, où un modèle peut lancer des commandes et gérer des fichiers. Un administrateur le branche une fois. Chaque personne autorisée retrouve le bureau dans un onglet, à côté de la conversation, sans rien installer.
Le billet recommande l’image Docker par défaut d’Open Terminal, un paquet d’environ 4 Go, car les variantes allégées n’incluent pas le bureau. Docker fait tourner les logiciels dans des conteneurs, des espaces fermés : le bureau y est un Linux isolé, séparé des ordinateurs des salariés.
Open Terminal s’installe aussi avec pip, l’installateur du langage Python, sur macOS ou Windows. Le modèle travaille alors sur l’écran de la session ouverte, avec les droits de l’utilisateur. L’équipe conseille Docker pour un usage en équipe.
Le modèle doit savoir appeler des outils, c’est-à-dire déclencher des actions, et lire des images, car les outils de bureau lui envoient des captures d’écran.
Dans l’onglet Navigateur, le mode Chrome fait partager une même session à l’utilisateur et au modèle ; un mode « proxy » reste réservé aux simples aperçus. Le modèle peut y parcourir des sites, remplir des formulaires et tester les applications web qu’il vient d’écrire. Un panneau Git affiche ses modifications, à valider dans l’historique du code ou à publier sans quitter la discussion.
Une application distincte, Open WebUI Desktop, pour macOS, Windows et Linux, est passée à la version 0.1.0 le 1er novembre, puis à la 0.1.4 le lendemain. Elle installe et lance Open WebUI sur l’ordinateur lui-même, avec en option, décochée par défaut, des modèles locaux via le moteur libre llama.cpp. Elle ne se connecte plus aux serveurs distants.
Des sous-agents sur d’autres modèles, sans plafond par défaut
Dans Open WebUI 0.13.0, les sous-agents, des IA auxiliaires à qui un modèle confie une partie du travail, peuvent tourner sur d’autres modèles. Un grand modèle peut ainsi déléguer les questions simples à un petit. Jusqu’ici, les sous-agents utilisaient toujours le même modèle que l’agent principal. Les sous-agents sont désactivés par défaut ; une fois activés, ils n’ont aucune limite tant que l’administrateur n’en fixe pas.
Jusqu’à la version précédente, les plafonds par défaut étaient : 20 sous-agents en même temps, 20 en arrière-plan, 30 boucles d’outils chacun et 30 000 caractères de réponse. Une seule réponse peut aussi enchaîner jusqu’à 1 024 tours d’appels d’outils, contre 256 auparavant.
Sur simple demande, les modèles qui savent appeler des outils peuvent aussi écrire les leurs en Python, pour les administrateurs et les utilisateurs autorisés à créer des outils. Une option du modèle coupe cette possibilité.
Chaque appel d’outil peut attendre une validation, y compris sur le bureau et dans le navigateur, et la barre latérale signale les discussions en attente. Un administrateur doit activer ce mode : par défaut, le réglage « Full access » (accès complet) exécute les appels d’outils tout de suite.
Des correctifs de sécurité non détaillés depuis trois versions
Les notes de la version 0.13.0 annoncent des correctifs de sécurité et recommandent de mettre à jour « dès que possible ». Ces correctifs ne figurent pas dans la liste des changements. L’équipe publiera ses avis de sécurité après l’attribution des numéros CVE, les identifiants publics des failles. Le même paragraphe figurait dans les notes des versions 0.12.4, du 25 octobre, et 0.12.5, du 29 octobre.
Au 6 novembre, aucun avis ne décrit les correctifs de ces trois versions. Le dernier avis publié sur la page de sécurité du dépôt, le 18 octobre, concerne une faille de gravité moyenne corrigée dans la version 0.12.2.
Les avis précédents n’ont pas suivi de calendrier régulier. La version 0.11.4, sortie le 21 septembre, a été suivie de 19 avis les 27 et 28 septembre, dont quatre de gravité élevée. La version 0.12.0, du 10 octobre, annonçait elle aussi des correctifs de sécurité. Aucun avis publié depuis ne porte sur un correctif de cette version.
Les notes de version ne disent pas si ces failles ont été exploitées. Les outils d’IA pour développeurs restent une cible. Le 29 octobre, une version piégée de l’extension Claude Code, l’assistant de programmation d’Anthropic, est restée environ onze heures sur la boutique d’extensions de l’éditeur de code Cursor.
La mise à jour demande une préparation. La 0.13.0 modifie la structure de la base de données : revenir en arrière passe par la restauration d’une sauvegarde. Les installations sur plusieurs serveurs doivent toutes passer à la nouvelle version en même temps. Une mise à jour serveur par serveur provoque des pannes, préviennent les notes de version.
Les démonstrations tournent sur des modèles d’OpenAI
Le billet présente l’outil comme auto-hébergé et rappelle où partent les captures d’écran : vers le modèle choisi. Un modèle local les garde sur le matériel de l’entreprise, un modèle en ligne les envoie à son fournisseur. Les vidéos du billet ont pourtant été enregistrées avec deux modèles d’OpenAI accessibles par API : gpt-6.1-sol comme modèle principal et gpt-6-luna pour les sous-agents. Aucune démonstration ne montre donc un modèle local aux commandes du bureau.
Le billet prévoit aussi le cas d’un modèle local qui clique au mauvais endroit. Il conseille d’écrire dans les consignes de base du modèle que les clics se comptent en pixels sur la dernière capture, et d’en donner la taille. Sans cette précision, certains modèles locaux visent selon une grille de 0 à 1 000.
Les risques du navigateur et du partage
Le billet signale aussi des risques. Une page web peut contenir des instructions destinées au modèle, local ou non. Le modèle peut utiliser tous les comptes connectés dans la session de navigateur partagée. Pour les sites que l’utilisateur ne maîtrise pas, l’équipe recommande de lancer Open Terminal dans Docker, de garder la validation des actions et de rester déconnecté des comptes sensibles.
Depuis la version 0.15.5 d’Open Terminal, publiée le 2 novembre, ses images Docker désactivent par défaut le bac à sable de Chromium, la base libre de Chrome. Cette protection interne du navigateur est coupée pour qu’il démarre sous les restrictions standard de Docker. L’isolation du conteneur ne change pas, précisent les notes de version, mais Chromium ne protège plus les fichiers et les programmes du conteneur. Un réglage rétablit le bac à sable là où l’environnement le permet.
Sur une même connexion, tous les utilisateurs voient les mêmes fichiers et les mêmes programmes. Le mode multi-utilisateur d’Open Terminal n’isole pas les personnes, précise son dépôt. L’outil Terminals, qui donne un conteneur à chacun, exige une licence Enterprise pour un usage en production.
Cinq versions d’Open Terminal sont sorties le 5 novembre. La 0.16.3 permet à l’onglet Navigateur d’ouvrir les pages dans le Chrome de l’utilisateur, avec les connexions déjà ouvertes sur ses sites. Ce mode « personal » doit être activé à la main, suppose un seul utilisateur et demande une autorisation dans Chrome. Dans la nuit suivante, la version 0.16.7 a ajouté une image Docker « agents », avec les outils de code Codex et Claude Code préinstallés.
Notre analyse
Open WebUI s’éloigne encore de la simple interface de discussion. Le logiciel reliait déjà les modèles à des sous-agents et à un terminal, la fenêtre où l’on tape des commandes. La 0.13 y ajoute un bureau, un navigateur et un panneau Git, comme les fonctions d’« utilisation de l’ordinateur » des assistants en ligne.
La différence revendiquée tient à l’hébergement : avec un modèle local, les captures et les fichiers restent sur la machine de l’entreprise. C’est l’argument des équipes qui ont choisi l’IA locale pour la confidentialité. C’est aussi celui des entreprises qui font tourner chez elles des modèles ouverts, téléchargeables par tous, comme Revolut avec un modèle chinois auto-hébergé.
Sur ce point, le lancement affirme plus qu’il ne montre. Les démonstrations utilisent des modèles d’OpenAI, et le billet décrit les erreurs de clic des modèles locaux sans mesurer leur taux de réussite.
Les administrateurs ont aussi plus de travail : une base de données modifiée sans retour simple, des plafonds supprimés par défaut, une création d’outils ouverte aux modèles, et des correctifs de sécurité au contenu inconnu.
Deux inconnues dominent. La première porte sur la nature et la gravité des failles corrigées depuis la 0.12.4. La seconde, sur la capacité réelle des modèles ouverts à piloter un bureau sans erreur. Restent à suivre les avis de sécurité attendus après l’attribution des CVE, et les premiers tests publics du bureau avec un modèle servi par Ollama ou llama.cpp.
Sources
- Release v0.13.0, Open WebUI (GitHub), 3 novembre 2026
- Open WebUI v0.13.0: your model gets a computer, Open WebUI, 4 novembre 2026
- Security Overview, open-webui/open-webui, Open WebUI (GitHub), consulté le 6 novembre 2026
- Open WebUI Desktop v0.1.0, Open WebUI (GitHub), 1er novembre 2026
- Open Terminal, Open WebUI (GitHub), consulté le 6 novembre 2026
- Open Terminal releases (v0.15.5 à v0.16.7), Open WebUI (GitHub), 2 au 6 novembre 2026
Image d’en-tête : graphique MACCUS, données des notes de version et des avis de sécurité du dépôt open-webui/open-webui, relevées le 6 novembre 2026.
