LangChain, LangGraph, LangSmith, LangFlow : quatre noms, deux entreprises, une décision

Le titre est la stabilité après des années de remous. LangChain 1.0 et LangGraph 1.0 ont tous deux atteint une version stable le 22 octobre 2025, avec un engagement de ne pas introduire de changements cassants jusqu'à la 2.0. La nouvelle abstraction phare du framework, create_agent, tourne désormais sur le runtime LangGraph en dessous, si bien que la boucle d'agent est un graphe LangGraph. C'est le signal le plus clair de la fusion : le framework et le runtime d'orchestration ne sont plus des choix séparés.

LangGraph 1.0 a apporté l'exécution durable en natif : l'état est enregistré automatiquement, si bien qu'un flux à longue durée ou avec humain dans la boucle reprend après une interruption ou un redémarrage de serveur. LangSmith, la couche d'observabilité et d'évaluation, a ajouté un support complet d'OpenTelemetry en mars 2026, ce qui signifie que vous pouvez lui envoyer des traces depuis du code qui n'utilise pas du tout LangChain. Le tableau commercial a suivi le tableau technique : LangChain Inc a levé une série B de 125 millions de dollars à une valorisation de 1,25 milliard en octobre 2025, et a renommé LangGraph Platform en LangSmith Deployment, regroupant déploiement, observabilité et évaluation en un seul produit.

Démêler qui fait quoi est la chose la plus utile avant de choisir. La plupart des articles le brouillent ; le clarifier change la décision.

LangFlow est celui qui trompe les gens. Ce n'est pas un produit de LangChain Inc. C'est un constructeur visuel open source créé par DataStax, dont la maison mère a été rachetée par IBM en février 2025, et il pointe désormais vers watsonx d'IBM. La rime des noms est une coïncidence. Si votre besoin est un canvas glisser-déposer pour des gens qui n'écrivent pas de Python, LangFlow est le candidat ; ce n'est pas une couche du stack LangChain.

Une fois les noms clairs, le choix est généralement un court arbre de décision, et vous avez rarement besoin des quatre.

• Besoin d'orchestration durable ? LangGraph est la pièce la plus solide, et celle que même les critiques tendent à respecter. État reprenable, checkpointing et humain dans la boucle sont de la vraie ingénierie, pas des enrobages.
• Besoin d'observabilité et d'évaluation ? LangSmith est capable, mais il vous couple à l'écosystème. Langfuse est le contrepoids open source et auto-hébergeable, et l'échappatoire la plus citée. Maintenant que LangSmith parle OpenTelemetry, vous pouvez tracer depuis du code non-LangChain, ce qui adoucit la dépendance.
• Vous construisez un agent simple ? Les SDK des fournisseurs (l'OpenAI Agents SDK, le Claude Agent SDK) et Pydantic AI sont des alternatives crédibles et plus légères. La plainte dominante des praticiens est l'empilement d'abstractions du framework, et plusieurs équipes rapportent avoir réduit code et maintenance en passant à un stack plus mince.
• Des non-développeurs qui prototypent ? LangFlow, avec la réserve qu'un prototype sur canvas a toujours besoin de la même gouvernance et évaluation avant d'être livré.

C'est la même leçon que nous avons tirée en comparant comment câbler l'IA dans un stack via une API, un serveur MCP ou une CLI : les outils sont des couches, et vous choisissez par la tâche, pas par la nouveauté. Cela fait aussi écho à ce que nous avons trouvé en examinant les constructeurs d'agents no-code pour les PME, où le canvas vous donne une démo rapidement et s'arrête exactement à la gouvernance, la fiabilité et le coût.

Une réserve compte pour un public d'affaires : la 1.0 a acheté la stabilité de l'API, pas une posture de sécurité durcie. Un ensemble de CVE a touché LangChain et LangGraph fin 2025 et début 2026, mené par une faille de désérialisation qui pouvait fuir des clés API et des secrets d'environnement, notée CVSS 9.3 et surnommée LangGrinch. Deux autres ont suivi : une traversée de chemin dans l'API de chargement de prompts, et une injection SQL dans le checkpointer SQLite de LangGraph.

La lecture pratique n'est pas d'éviter le framework. C'est de le traiter comme toute autre dépendance qui touche à vos secrets et à vos données : figez les versions, appliquez les correctifs, et incluez-le dans votre modèle de menace. Un framework qui orchestre des appels d'outils et détient des identifiants fait partie de votre surface d'attaque, et « stable » sur le numéro de version dit peu de chose à ce sujet. Pour un déploiement réglementé ou on-prem, cette revue appartient à la même conversation que la résidence des données, pas après la mise en service.