Contact
Rechercher dans les tutoriels Genisoft ESC
Plugin AI 1.5.0 de WordPress : les capacités changent de format
Actualités

Plugin AI 1.5.0 de WordPress : les capacités changent de format

Le plugin AI 1.5.0 renomme les capacités lues par les agents IA et ajoute MCP Access. Nos essais en admin et en abonné, et ce qu'il faut vérifier.

Par

La version 1.5.0 du plugin AI de WordPress, le plugin officiel de l’équipe IA du projet, a été publiée dans la nuit du 29 au 30 octobre 2026. Elle change le format des trois capacités qui permettent à un agent IA de lire les réglages, les utilisateurs et les contenus d’un site, supprime leurs anciens noms et ajoute un écran « MCP Access ». Nous l’avons installée dans notre bac à sable : les anciens appels échouent tous, et un compte abonné, celui d’un client WooCommerce, peut lire les articles publiés et le nom des auteurs, rien de plus. Si un agent ou un script interroge votre site, revoyez ses appels avant de mettre à jour.

Ce qui a été annoncé

La note de version 1.5.0 sur GitHub classe cinq changements comme cassants. Ils touchent trois capacités enregistrées par le plugin sous le préfixe core/ :

La même version ajoute une expérience « MCP Access ». Selon sa description dans le code, l’activer installe et active le plugin MCP Adapter depuis wordpress.org, puis expose par défaut les capacités activées du plugin aux agents IA, avec un écran Outils → MCP Access pour en masquer certaines.

La version corrige aussi deux avis de sécurité de gravité modérée, publiés le 30 octobre, qui concernent les versions 1.4.0 et antérieures et demandent un compte connecté de rang contributeur ou auteur (GHSA-7mwf-4ppp-cxmp, GHSA-g94j-h78j-rr2j).

Le plugin requiert WordPress 7.0.3 et PHP 7.4, et compte plus de 60 000 installations actives selon sa fiche wordpress.org.

Ce que ça change pour un site WordPress

Notre analyse : ces capacités servent de banc d’essai. Le compte rendu de l’équipe IA du 14 octobre indique que les capacités du cœur pour les réglages, les utilisateurs et le contenu étaient en revue finale pour WordPress 7.2, et que le plugin doit en proposer un ensemble plus large avant 7.3. La proposition du 28 octobre vise, elle aussi, un socle de capacités natives et l’arrivée de MCP dans le cœur pour 7.3. Le format que vous voyez dans le plugin 1.5.0 est donc celui vers lequel le cœur converge, et il a déjà changé une fois.

Pour un site qui n’utilise pas le plugin AI, rien ne change aujourd’hui. Pour un site qui l’utilise, deux cas se présentent :

Notre test

Le 30 octobre 2026, nous avons installé le plugin AI 1.5.0 depuis wordpress.org dans notre bac à sable WordPress 7.1.3, sans connecteur de fournisseur IA, puis activé l’expérience « Custom Abilities », celle qui enregistre les trois capacités :

wp plugin install ai --version=1.5.0 --activate
wp option update wpai_feature_custom-abilities_enabled 1
wp eval-file essais.php --user=1            # administrateur
wp eval-file essais.php --user=abonne-test  # abonné créé pour l'essai
wp eval-file essais.php                     # sans utilisateur

Le script appelle chaque capacité avec l’ancien et le nouveau format. Résultats :

EssaiCe que nous avons observé
Plugin actif, expérience désactivée3 capacités seulement, celles du cœur 7.1 (core/get-site-info, core/get-user-info, core/get-environment-info)
Expérience activée5 capacités de plus : core/settings-get, core/users-query, core/content-query, ai/get-post-terms, ai/get-post-details ; les trois alias core/read-* absents
Réglage title (admin){"title":"WP Veille (tests)"}
Réglage blogname (ancien nom)ability_invalid_input, avec la liste des 18 champs acceptés
Recherche d’utilisateur par emailability_invalid_input : « email n’est pas une propriété valide »
Contenu par slug sans typeability_invalid_input : type obligatoire dans where
Ancien format plat (post_type, per_page)ability_invalid_input : where obligatoire
Types de contenu exposéspost, page
Abonné : réglages, ou utilisateurs filtrés par rôleability_invalid_permissions
Abonné : liste des utilisateurs, champs email et username demandésun seul résultat, l’auteur publié, avec id et name ; ni e-mail, ni identifiant, et l’abonné sans article n’apparaît pas
Abonné : article publié par slugtitre et dates renvoyés
Sans utilisateurability_invalid_permissions sur les trois capacités

Les sorties brutes sont conservées. Nous avons ensuite supprimé l’utilisateur de test et désinstallé le plugin ; le site est revenu à ses trois capacités d’origine.

Limites de ce test : nous avons appelé les capacités en PHP, pas à travers un client MCP, et nous n’avons pas activé « MCP Access », puisqu’il installe un second plugin. WooCommerce n’était pas installé : le constat sur les produits ci-dessous vient de la lecture du code.

Que faire cette semaine

  1. Repérez le plugin. Écran Extensions → Extensions installées, ou wp plugin list --name=ai. Si la version est 1.4.0 ou antérieure, prévoyez la mise à jour : elle corrige les deux avis de sécurité.
  2. Listez les expériences actives. Écran Réglages → AI, ou en ligne de commande : 
    wp option get wpai_feature_custom-abilities_enabled
wp option get wpai_feature_mcp-adapter_enabled
    Si la commande répond par une erreur, l’option n’existe pas : l’expérience n’a jamais été activée.
  3. Cherchez les anciens noms dans vos intégrations. Dans vos scripts, flux d’automatisation ou configurations d’agent, cherchez core/read-settings, core/read-users, core/read-content et blogname. Réécrivez-les au format where / fields / pagination avant la mise à jour.
  4. Si vous activez MCP Access, ouvrez Outils → MCP Access et ne laissez exposées que les capacités dont votre agent a besoin. Sur une boutique, vérifiez aussi qui peut se connecter au serveur MCP (voir notre test de MCP Adapter).
  5. Faites la mise à jour sur une copie d’abord. La description du plugin le recommande elle-même pour les expériences, qui peuvent changer à chaque version.

Versions stables le 30 octobre 2026 : WordPress 7.1.4, plugin AI 1.5.0.

Pour un développeur de plugins

Limites et incertitudes

Questions fréquentes

Mon site n’a pas le plugin AI : suis-je concerné ? Non, pas aujourd’hui. Le cœur de WordPress 7.1 n’enregistre que trois capacités de lecture, et rien dans cette version ne les modifie. Le sujet reviendra avec WordPress 7.3, si les capacités du plugin entrent dans le cœur.

Un client de ma boutique peut-il lire les e-mails des autres clients avec ces capacités ? Pas d’après notre test. Un abonné, qui a les mêmes droits qu’un client WooCommerce, ne voit que les auteurs ayant publié, sans e-mail ni identifiant, et ne peut pas filtrer par rôle. Les e-mails ne sont renvoyés qu’au compte concerné ou à un compte qui peut modifier les utilisateurs.

Faut-il une clé d’API d’un fournisseur IA pour ces capacités ? Non. Les capacités de lecture testées ici n’appellent aucun fournisseur : la description de l’expérience précise qu’elle n’envoie rien. Une clé n’est nécessaire que pour les expériences de génération, comme les titres ou les textes alternatifs.

Comment cet article a été produit. Faits vérifiés dans les sources primaires listées plus bas ; installation du plugin AI 1.5.0, appels des capacités en administrateur, en abonné et sans utilisateur, et lecture du code du plugin, réalisés le 30 octobre 2026 sur notre bac à sable WordPress 7.1.3 (sorties conservées). Rédigé avec l’aide de Claude (Anthropic), puis relu et validé par l’équipe Genisoft avant publication.

Sources

Pour aller plus loin :

Agence web PrestaShop & WordPress

Agence web spécialisée PrestaShop et WordPress : création, maintenance, sécurité, performance et référencement. Nos tutoriels sont issus de nos interventions sur de vraies boutiques.

L'agence Genisoft → LinkedIn →