# IP73 > Actualité tech en français : IA, développement, DevOps et cybersécurité Texte intégral des 50 derniers articles (Markdown). Chaque article cite et lie ses sources. --- # Emma Walmsley prend la tête de HP pour l’ère de l’IA _5 novembre 2026 — https://ip73.fr/2026/11/05/emma-walmsley-prend-la-tete-de-hp-pour-l-ere-de-l-ia/_ Emma Walmsley prend officiellement les rênes de HP le 4 janvier 2027, succédant à Bruce Broussard. Cette nomination marque un tournant pour l'entreprise, car la nouvelle PDG a clairement indiqué que l'intelligence artificielle serait au cœur de sa stratégie future. Walmsley, dont le parcours est riche, a précédemment dirigé GSK de 2017 à 2025, une expérience significative dans le secteur pharmaceutique. Bruce Broussard, qui assurait l'intérim depuis février 2026, voit son rôle évoluer : il deviendra président du conseil d'administration à la même date. Ce changement intervient après le départ d'Enrique Lores, qui avait quitté HP pour rejoindre PayPal. Les deux médias confirment ces ajustements au sommet de la structure de l'entreprise. La vision de Walmsley est sans équivoque : elle souhaite orienter HP vers un avenir où l'IA jouera un rôle déterminant. « Nous nous concentrerons sur l'exploitation des potentialités de l'ère de l'intelligence artificielle » a-t-elle déclaré, visant à créer de nouvelles sources de croissance pour les clients et les actionnaires. Elle insiste sur l'alliance entre la créativité et l'innovation de HP et les avancées technologiques. Broussard a appuyé cette nomination, soulignant le potentiel de l'entreprise. Selon lui, HP est à un « point d'inflexion technologique important », nécessitant une leader capable de capitaliser sur l'héritage d'innovation de la société. Il a spécifiquement mentionné la nécessité de « capturer les opportunités à mesure que l'IA se déplace vers l'edge », une tendance technique majeure qui redéfinit le travail et la vie connectés. Le profil de Walmsley n'est pas exclusivement lié à l'industrie des technologies de l'information. Elle a été PDG de GSK de 2017 à 2025. Auparavant, elle a passé dix-sept ans chez L'Oréal et était membre du conseil d'administration de Microsoft pendant sept ans. Forbes l'avait d'ailleurs classée parmi les cent femmes les plus puissantes du monde en 2023. Cette transition managériale, qui consolide l'expertise de Walmsley dans la direction de grandes structures, semble destinée à faire de HP un acteur plus affirmé dans l'intégration de l'intelligence artificielle au quotidien. Il faudra voir comment cette approche se traduit concrètement sur les gammes de produits et les infrastructures de l'entreprise dans les prochains mois. ## Sources - [HP ha scelto la sua nuova CEO: è Emma Walmsley, ex GSK](https://www.punto-informatico.it/hp-nuova-ceo-emma-walmsley/), Punto Informatico, 5 novembre 2026 - [Emma Walmsley to take over as the new CEO of HP](https://www.siliconrepublic.com/business/emma-walmsley-hp-ceo-leadership-innovation-ai-skill-appointment), Silicon Republic, 5 novembre 2026 ## Crédits photo - Image en une : [Compaq server racks, HP server towers - IMG 0143](https://commons.wikimedia.org/wiki/File:Compaq_server_racks,_HP_server_towers_-_IMG_0143.jpg), par Jemimus, [CC BY 2.0](https://creativecommons.org/licenses/by/2.0), via Wikimedia Commons (recadrée) --- # APT29 cible mobiles avec exploits n-day via watering holes _5 novembre 2026 — https://ip73.fr/2026/11/05/apt29-cible-mobiles-avec-exploits-n-day-via-watering-holes/_ Mi-octobre 2026, l'équipe de Threat Detection & Research de Sekoia a découvert une campagne d'envergure. Il s'agit d'une série d'attaques de type *watering hole* visant des sites web reconnus aux États-Unis, en Ukraine, en République tchèque et en Bulgarie. Les acteurs derrière cette opération, que Sekoia attribue avec une confiance modérée à élevée à APT29 (également connu sous les noms de Midnight Blizzard ou Cozy Bear), exploitent des vulnérabilités d'un jour (*n-day*) pour cibler les appareils mobiles sans aucune interaction de l'utilisateur. L'attaque repose sur trois vecteurs d'infection : l'injection directe de JavaScript sur des sites légitimes, l'usage de domaines miroirs (type *Adversary-in-the-Middle* ou AiTM), et une compromission de la chaîne d'approvisionnement. Cette dernière a touché le service d'analyse web ukrainien Plerdy, exposant ainsi des centaines de sites légitimes à leur kit d'exploitation pendant une semaine. Le mécanisme de livraison est uniforme : le code injecté sert d'abord à profiler le visiteur, collectant des données sur le navigateur et l'appareil en format JSON. Ensuite, le serveur de livraison sert la chaîne d'exploit spécifique au système d'exploitation. Pour les appareils iOS, on observe l'utilisation de DarkSword, un kit d'exploitation commercial soupçonné, qui permet d'atteindre des objectifs précis. ## Les cibles et les vecteurs d'infection Les attaquants ont utilisé une méthode astucieuse pour contourner les défenses classiques. Lorsque la compromission directe d'un site était difficile, ils ont créé des proxys miroirs. Deux exemples notables sont *america250[.]holiday*, qui agit comme miroir de la page officielle commémorant le 250e anniversaire de l'indépendance américaine, et *theowo[.]club*, qui imitait le Raffles London. Le fait d'imiter un établissement proche de centres gouvernementaux britanniques soulève la question de cibles diplomatiques précises, comme l'a noté Sekoia, citant la présence de Volodymyr Zelensky à l'hôtel. Sur les sites originaux, l'injection se faisait soit dans le modèle de page principal — comme sur une entreprise de gaz ukrainienne — soit par la modification d'une bibliothèque JavaScript existante, tel que vu sur un site militaire bulgare. Pour les navigateurs Android, le dernier exploit connu cible la vulnérabilité CVE-2026-3910, un défaut de *buffer* dans V8 de Chromium, qui permettrait l'exécution de code arbitraire depuis une page HTML élaborée. Sur iOS, l'exploitation de la CVE-2024-27834, une faille dans la protection PAC d'Apple, a permis un accès avec lecture et écriture arbitraire, et ce, même après que les correctifs aient été publiés. ## La gravité réelle des failles et les conséquences Ce qui est inquiétant, ce n'est pas tant la sophistication des kits d'exploitation, mais la réutilisation de ces outils par des groupes étatiques. Sekoia souligne que « l'adoption de chaînes d'exploitation n-day empaquetées abaisse le coût et le seuil technique requis pour mener une exploitation mobile avancée » (« Sekoia »). Ces vulnérabilités, même corrigées, restent des cibles privilégiées, comme le montre l'ajout de la CVE-2024-27834 dans le catalogue KEV de CISA, signalant qu'elle est exploitée activement. Pour les utilisateurs Android, le *payload* final, AndroSnitch, vise à siphonner les données stockées dans Chrome, incluant mots de passe et identifiants Wi-Fi, grâce à l'exploitation de la CVE-2025-27038, un bug Qualcomm. Sur iOS, les conséquences sont bien plus lourdes : les *payloads* peuvent cibler messages, e-mails, contacts, photos et le contenu d'iCloud Drive, selon les rapports de Sekoia. ## Que faire maintenant Bien que les systèmes d'exploitation aient reçu des mises à jour, le fait que ces failles soient activement réutilisées montre qu'une vigilance extrême est requise. Les utilisateurs doivent impérativement s'assurer que leurs systèmes d'exploitation sont à jour avec les correctifs pertinents pour iOS 17.5 et iPadOS 17.5, ainsi que les versions Android intégrant les correctifs de sécurité de Qualcomm. Pour les entreprises, la détection des injections JavaScript sur les actifs web, et la surveillance des dépendances tierces comme les trackers SEO, s'avèrent être des priorités immédiates face à ce type d'intrusion sophistiquée. ## Fiche technique | CVE | Produit | Gravité | Exploitée activement | Versions corrigées | |---|---|---|---|---| | CVE-2024-27834 | Apple Multiple Products | Moyenne (CVSS 5,5) | Oui (KEV, 4 novembre 2026) | Voir l’avis de l’éditeur | | CVE-2025-27038 | Qualcomm Multiple Chipsets | Élevée (CVSS 7,5) | Oui (KEV, 3 juin 2025) | Voir l’avis de l’éditeur | | CVE-2026-3910 | Google Chromium V8 | Élevée (CVSS 8,8) | Oui (KEV, 13 mars 2026) | Voir l’avis de l’éditeur | *Données : [NVD](https://nvd.nist.gov/) (NIST), [catalogue KEV de la CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) (CC0) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).* ## Sources - [Poisoned Source: APT29 Watering Holes Targets Mobile Devices](https://www.sekoia.com/blog/poisoned-source-apt29-watering-holes-targets-mobile-devices-with-n-day-exploits), sekoia.com - [Russia-Linked Hackers Hit iOS, Android Devices With Exploit Chains via Watering Holes](https://www.securityweek.com/russia-linked-hackers-hit-ios-android-devices-with-exploit-chains-via-watering-holes/), SecurityWeek, 5 novembre 2026 - [Hackers use n-day exploits in zero-click attacks on iOS, Android devices](https://www.bleepingcomputer.com/news/security/hackers-use-n-day-exploits-in-zero-click-attacks-on-ios-android-devices/), BleepingComputer, 4 novembre 2026 - [Avis de sécurité (support.apple.com)](https://support.apple.com/en-us/HT214101), support.apple.com, 14 mai 2024 - [GHSA-4rmp-jjj9-cfm4](https://github.com/advisories/GHSA-4rmp-jjj9-cfm4) : The issue was addressed with improved checks. This issue is fixed in iOS 17.5 and iPadOS…, GitHub Advisory Database (CC BY 4.0) - [CVE-2024-27834](https://nvd.nist.gov/vuln/detail/CVE-2024-27834), NVD (NIST) - [CVE-2024-27834 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2024-27834), CISA - [GHSA-h454-pc9h-rvh2](https://github.com/advisories/GHSA-h454-pc9h-rvh2) : Memory corruption while rendering graphics using Adreno GPU drivers in Chrome., GitHub Advisory Database (CC BY 4.0) - [CVE-2025-27038](https://nvd.nist.gov/vuln/detail/CVE-2025-27038), NVD (NIST) - [CVE-2025-27038 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-27038), CISA - [GHSA-69wh-543j-25h6](https://github.com/advisories/GHSA-69wh-543j-25h6) : Inappropriate implementation in V8 in Google Chrome prior to 146.0.7680.75 allowed a…, GitHub Advisory Database (CC BY 4.0) - [CVE-2026-3910](https://nvd.nist.gov/vuln/detail/CVE-2026-3910), NVD (NIST) - [CVE-2026-3910 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-3910), CISA --- # Phonon TTS : synthèse vocale de haute qualité en local _5 novembre 2026 — https://ip73.fr/2026/11/05/phonon-tts-synthese-vocale-de-haute-qualite-en-local/_ Phonon TTS, le modèle de synthèse vocale présenté par Hugging Face, vient de sortir avec une promesse forte : offrir une qualité sonore élevée sans jamais passer par un serveur externe. L'idée centrale est simple, mais techniquement exigeante : faire tourner une IA vocale puissante directement sur l'appareil de l'utilisateur, que ce soit un téléphone, un ordinateur ou même une tablette. La plupart des systèmes de voix de synthèse nécessitent un aller-retour constant vers le cloud. Phonon rompt ce schéma. Les poids du modèle, dont la version 31m est sous licence Apache 2.0, sont désormais accessibles, permettant aux développeurs de l'intégrer dans des produits commerciaux sans souci de dépendance réseau. Les modèles viennent en deux tailles, environ 65 Mo et 75 Mo, couvrant cinq langues principales : anglais, français, allemand, espagnol et portugais. Atteindre cette densité de qualité avec une taille aussi modeste était le nœud du problème, comme l'indique l'annonce de github.com. Il est difficile d'obtenir une belle voix sur un appareil contraint, sans sacrifier la qualité ou la taille. Pour y répondre, les équipes ont capitalisé sur la lignée Pocket TTS et ont utilisé le *flow matching* pour générer l'audio, une technique qui, bien que performante, a initialement engendré une instabilité numérique lors de l'entraînement. Ce qui impressionne, c'est la performance mesurée sur le récent Open TTS Leaderboard de Hugging Face. Sur le critère d'intelligibilité, Phonon se classe premier en allemand et en espagnol, et se maintient dans le trio de tête pour toutes les langues évaluées, et ce, face à des modèles potentiellement cent fois plus volumineux. Sur la vitesse, il est remarquable : les modèles dominent le benchmark de streaming CPU en termes de temps jusqu'au premier son (Time-to-First Audio). ## L'écosystème pour les développeurs L'écosystème autour de Phonon est pensé pour être adopté par tous. Hugging Face a fourni l'intégration dans `🤗 Transformers` depuis la version 5.21, permettant aux développeurs de l'utiliser immédiatement dans leur stack PyTorch. Mais l'approche n'est pas monolithique ; le framework d'inférence dédié, `ptts`, offre une flexibilité remarquable. Il supporte plus de dix *backends* différents : CPU (Intel, Arm, WebAssembly), GPU (CUDA, Vulkan, Metal, WebGPU) et même les NPU (Apple Core ML, Snapdragon®). Pour ceux qui veulent une intégration minimale, un simple appel CLI suffit ; il télécharge le modèle par défaut (Phonon 31m) et génère un fichier WAV. Pour les applications web, il existe un paquet npm (`phonon-tts`) qui permet de le faire tourner dans une *worker* en JavaScript. D'après gradium-ai, ce runtime, écrit en Rust, est conçu pour être rapide sur le matériel embarqué, battant même des solutions basées sur `llama.cpp` sur les mêmes machines. ## Au-delà de la démo parfaite Le modèle ne se contente pas de lire des phrases standard. Phonon est entraîné à gérer les pièges classiques des systèmes TTS, comme les numéros de téléphone, les dates et les codes. Et si l'on parle de personnalisation, il y a plus de cent voix intégrées, et les utilisateurs peuvent créer les leurs via Gradium Studio, y compris par clonage vocal. L'utilité pratique est illustrée par des démonstrations concrètes : un Apple Watch, sans connexion Wi-Fi, peut vous guider pas à pas dans la préparation d'un café ; un iPhone hors signal peut compter vos répétitions sportives. L'accessibilité est donc le maître-mot, même quand le réseau décide de faire la grève. Pour les entreprises qui souhaitent utiliser les modèles plus larges, ceux de la série 40m sont disponibles, mais attention, ils sont sous licence CC BY-NC, ce qui signifie que leur utilisation commerciale nécessite un accord, basé sur le nombre d'utilisateurs plutôt que sur le volume de parole générée. Il faudra surveiller comment les acteurs tiers vont intégrer cette couche d'inférence optimisée, car la facilité d'accès via des librairies C, C++, et Python promet une adoption rapide dans les applications critiques qui ne peuvent, pour des raisons de latence ou de confidentialité, se permettre de parler au cloud. ## Sources - [blog/phonon-tts.md at main · huggingface/blog](https://github.com/huggingface/blog/blob/main/phonon-tts.md), github.com - [GitHub - gradium-ai/xn-ptts: Phonon TTS inference using xn](https://github.com/gradium-ai/xn-ptts), github.com - [A Closer Look at Phonon TTS. Launching High-Quality On-Device Speech That Tops the Benchmarks.](https://huggingface.co/blog/phonon-tts), Hugging Face, 5 novembre 2026 --- # Nintendo Switch 2 : 26,35 millions d’unités vendues au 30 septembre 2026 _5 novembre 2026 — https://ip73.fr/2026/11/05/nintendo-switch-2-26-35-millions-d-unites-vendues-au-30-septembre-2026/_ Nintendo a annoncé que la Nintendo Switch 2 a atteint 26,35 millions d'unités vendues mondialement au 30 septembre 2026. Bien que les ventes trimestrielles aient chuté de 37,4 % par rapport à l'année précédente, la console conserve une avance significative sur l'ancienne plateforme, dépassant celle-ci de plus de six millions d'exemplaires. Durant les trois mois se terminant le 30 septembre, 2,67 millions de Switch 2 ont été écoulés, accompagnés de 15,04 millions de logiciels. Pour mémoire, l'ancienne Nintendo Switch a vendu 0,61 million d'unités durant cette même période, avec 31,92 millions de jeux vendus. Globalement, le chiffre d'affaires de la division jeux vidéo de Nintendo a baissé de 15,3 % sur un an, mais les revenus liés aux licences de propriété intellectuelle ont grimpé de 87,9 %, notamment grâce au film *The Super Mario Galaxy Movie*. Côté logiciels, le marché reste actif. Les ventes de jeux pour la Switch 2 ont augmenté de 18,8 % pour atteindre 24,49 millions d'exemplaires. *Mario Kart World* est le titre le plus vendu sur cette console, avec 16,48 millions d'unités. Sur la Switch classique, les ventes de logiciels ont progressé de 6,8 %, totalisant 65,73 millions d'exemplaires. Les titres phares de la Switch 2 incluent *Donkey Kong Bananza* (5,05 millions) et *Pokemon Legends: Z-A – Nintendo Switch 2 Edition* (4,04 millions). L'analyste Dr Serkan Toto, de Kantan Games, a commenté ces résultats, suggérant que le remake d'*Ocarina of Time* sera un moteur de vente majeur pour le reste de l'année fiscale. Les prochaines sorties attendues pour la Switch 2 sont déjà planifiées : après la sortie récente de *The Legend of Zelda: Ocarina of Time*, *Pikmin 4 – Nintendo Switch 2 Edition + Dandori Academy* arrivera le 12 novembre, suivi de *Xenoblade Chronicles 3 – Nintendo Switch 2 Edition* le 3 décembre. ## Sources - [Nintendo Switch 2 sales have dropped 37%, but it’s still comfortably beating the original console](https://www.videogameschronicle.com/news/nintendo-switch-2-sales-have-dropped-37-but-its-still-comfortably-beating-the-original-console/), Video Games Chronicle, 5 novembre 2026 - [Switch 2 worldwide sales top 26.35 million, Switch tops 157.20 million](https://www.gematsu.com/2026/11/switch-2-worldwide-sales-top-26-35-million-switch-tops-157-20-million), Gematsu, 5 novembre 2026 --- # Vivaldi 8.3 : contrôle accru sur le blocage des publicités et traqueurs _5 novembre 2026 — https://ip73.fr/2026/11/05/vivaldi-8-3-controle-accru-sur-le-blocage-des-publicites-et-traqueurs/_ La nouvelle mouture de Vivaldi met l'accent sur la souveraineté européenne en donnant aux utilisateurs des outils de blocage publicitaire et de traqueurs très granulaires. Ce navigateur, indépendant et détenu par ses employés, propose désormais quatre niveaux de défense intégrés pour gérer l'intrusion publicitaire sur le web. Le cœur de cette mise à jour 8.3 réside dans une refonte majeure de son bloqueur de publicités et de traqueurs. Selon Vivaldi, cette approche est une réponse directe à l'oligarchie des grandes entreprises technologiques, dont le modèle économique repose sur la collecte et la vente de profils utilisateurs. Pour l'utilisateur, cela se traduit par quatre options par défaut : Désactivé, Léger, Fort, et Agressif. Si on choisit le niveau « Agressif », le blocage est maximal, mais il faut s'attendre à ce que certains sites se comportent de manière erratique. Inversement, sur un site bancaire, on peut opter pour le niveau « Léger » afin de garantir que les formulaires fonctionnent sans accroc. Ce n'est pas tout. Le contrôle peut descendre encore plus loin. Il est possible de configurer des niveaux de blocage entièrement « personnalisés », permettant d'ajouter manuellement des listes de filtres externes via une URL ou le gestionnaire de fichiers. De plus, cette capacité de granularité ne reste pas cantonnée au bureau ; le bloqueur est désormais disponible sur les versions Android et iOS du navigateur. ## Le contrôle des onglets prend une nouvelle dimension Au-delà de la lutte contre la surveillance, Vivaldi continue d'affiner l'expérience de navigation. Les utilisateurs privilégiant les onglets en colonne verticale bénéficient de deux ajouts significatifs dans la version 8.3. Premièrement, la fonction « Expand Tab Bar on Hover » permet de maintenir la barre de navigation verticale compacte, affichant uniquement les icônes de favoris, avant de s'étendre fluidement au survol pour afficher les titres complets. Deuxièmement, les onglets épinglés peuvent désormais s'organiser en une grille compacte en haut de la barre verticale. C'est un gain d'espace notable pour ceux qui gardent plusieurs outils professionnels ou courriels ouverts simultanément. Les développeurs et les utilisateurs de flux de travail complexes apprécieront cette organisation, bien que le réglage pour revenir au format traditionnel (un onglet par ligne) demeure disponible dans les réglages. ## Des raccourcis pratiques pour le quotidien du web Plusieurs fonctionnalités orientées productivité ont également été peaufinées. On retrouve par exemple la possibilité de « Paste and Go » : si un collègue vous envoie une liste longue de liens par messagerie, vous pouvez simplement copier le tout, le coller dans la barre d'adresse, et Vivaldi ouvrira chaque URL dans un onglet distinct, mettant fin aux sessions laborieuses de clic successif. À ce titre, la fonction « Copy Sanitized Link » est intéressante. Elle permet d'éliminer les paramètres de suivi intégrés dans un lien avant qu'il n'atteigne votre presse-papiers. Cela garantit que si vous partagez un lien, la personne ne reçoit que la page elle-même, et rien de plus sur votre navigation. Les améliorations ne sont pas seulement axées sur la protection ; la lecture elle-même bénéficie d'un coup de neuf. Le mode Lecture (Reader Mode) s'est allégé, ouvrant plus rapidement et offrant un défilement plus souple, facilitant le passage d'une page chargée à un article net et lisible en un clin d'œil. ## Une posture européenne face aux géants du web Il est impossible de ne pas remarquer la réaffirmation du positionnement de l'éditeur. Vivaldi insiste sur son statut d'entreprise européenne indépendante, qui ne dépend ni des annonceurs, ni des fonds de capital-risque pour dicter ses fonctionnalités. Cette indépendance est présentée comme le garant d'un produit qui vise l'utilisateur plutôt que les intérêts commerciaux des méga-plateformes. En parallèle de ces avancées fonctionnelles, le navigateur intègre désormais le support de l'API Tab Groups de Chrome pour les extensions, assurant une meilleure compatibilité pour ceux qui utilisent des outils externes basés sur cette gestion d'onglets. Tableau comparatif des niveaux de protection contre le traçage | Niveau | Action principale | Risque de dysfonctionnement | Contrôle granulaire | Disponible sur Mobile | | :--- | :--- | :--- | :--- | :--- | | Off | Désactive tout blocage | Nul | Non | Oui | | Léger | Bloque la majorité des traqueurs et certains annonces | Faible | Configurable par site | Oui | | Fort | Bloque plus de traqueurs et d'annonces | Moyen | Configurable par site | Oui | | Agressif | Bloque presque tous les traqueurs et annonces | Élevé | Configurable par site | Oui | Si cette capacité à choisir sa dose de protection est un pas vers une plus grande autonomie numérique, il reste à observer comment les utilisateurs vont intégrer cette gestion fine dans leurs pratiques quotidiennes. L'intégration des niveaux par site, qui permet de jongler entre un mode ## Sources - [Vivaldi 8.3 for Desktop: make bad ads sad \| Vivaldi Browser](https://vivaldi.com/blog/vivaldi-on-desktop-8-3/), vivaldi.com - [Vivaldi 8.3, il browser diventa aggressivo contro le pubblicità](https://www.punto-informatico.it/vivaldi-8-3-browser-aggressivo-contro-pubblicita/), Punto Informatico, 5 novembre 2026 - [Vivaldi 8.3 rolling out updates to give users finer control over web content](https://www.neowin.net/news/vivaldi-83-rolling-out-updates-to-give-users-finer-control-over-web-content/?utm_source=rss), Neowin, 5 novembre 2026 --- # Ubisoft ajoute des balises d’accessibilité à 80 de ses jeux _5 novembre 2026 — https://ip73.fr/2026/11/05/ubisoft-ajoute-des-balises-d-accessibilite-a-80-de-ses-jeux/_ Ubisoft a étiqueté 80 de ses jeux sur leurs pages produits grâce à l'Accessible Games Initiative. Ce programme, dont Ubisoft est membre fondateur, vise à donner aux joueurs des informations claires sur les fonctionnalités d'accessibilité disponibles dans les titres. Les définitions précises de ces balises sont disponibles sur le site de l'Initiative. Des exemples de ces étiquettes incluent « Narrated Menus », « Save Anytime », « Full Input Remapping » et « Large & Clear Subtitles ». Ces balises ont été conçues en collaboration avec des joueurs en situation de handicap, des groupes de défense de l'accessibilité et des équipes de développement de jeux. Le catalogue des titres concernés est conséquent, incluant des opus de la série *Assassin’s Creed*, *Far Cry*, *Heroes of Might and Magic* (des titres I à IX), *The Settlers* (des éditions 1 à 7), et des jeux *Rainbow Six*. Ce déploiement s'inscrit dans une tendance plus large. Six entreprises ont adopté ce processus de marquage : Nintendo, Xbox, Ubisoft, EA, Riot Games et Google. L'Accessible Games Initiative, mené par l'Entertainment Software Association, cherche à établir un langage commun pour que les fonctionnalités d'accessibilité soient plus faciles à reconnaître et à découvrir. Les balises sont classées en quatre catégories : auditives, de gameplay, d'entrée et visuelles. Les plateformes mettent en place des moyens pour que cette information soit visible. Nintendo affiche les balises dans la section « À propos de cet article » sur son site. Le site Xbox propose une page « Accessibility in Games » avec des filtres basés sur ces balises. Pour Google, sa page YouTube Playables intègre ces étiquettes par jeu, permettant aux utilisateurs de vérifier les exigences avant d'acheter. EA, quant à elle, indique que les joueurs peuvent trouver les tags en consultant le jeu sur l'application ou le site EA. Daniella Decker, directrice exécutive de l'Accessible Games Initiative, souligne l'intérêt de cette démarche partagée. Elle a déclaré : « Trouver un jeu avec les fonctionnalités d'accessibilité que vous préférez devrait être simple. » Elle ajoute que l'adoption de ces balises fournit un vocabulaire commun, ce qui est bénéfique pour les joueurs comme pour les entreprises. Cette adoption est volontaire et les tags peuvent coexister avec d'autres systèmes de marquage déjà en place. ## Sources - [Every Ubisoft Game With Accessible Games Initiative Tags](https://news.ubisoft.com/en-us/article/2yNenJ9AiK8BegTQyAMx91/every-ubisoft-game-with-accessible-games-initiative-tags), news.ubisoft.com - [Accessible Games Initiative tags adopted by Nintendo, Xbox, Ubisoft and EA, making it easier to find accessibility features](https://www.videogameschronicle.com/news/accessible-games-initiative-tags-adopted-by-nintendo-xbox-ubisoft-and-ea-making-it-easier-to-find-accessibility-features/), Video Games Chronicle, 4 novembre 2026 - [YouTube Playables adds accessibility tags to its game library](https://www.neowin.net/news/youtube-playables-adds-accessibility-tags-to-its-game-library/?utm_source=rss), Neowin, 3 novembre 2026 ## Crédits photo - Image en une : [Hands holding video game controller (50811892858)](https://commons.wikimedia.org/wiki/File:Hands_holding_video_game_controller_%2850811892858%29.jpg), par Vu Hoang, [CC BY 2.0](https://creativecommons.org/licenses/by/2.0), via Wikimedia Commons (recadrée) --- # Volatilité du Naira et l’essor des infrastructures de paiement africaines _5 novembre 2026 — https://ip73.fr/2026/11/05/volatilite-du-naira-et-l-essor-des-infrastructures-de-paiement/_ Le Naira nigérian a chuté de 83,93 % entre 2021 et 2023, selon les données de la Banque Centrale du Nigeria (CBN). Cette dévaluation massive intervient dans un contexte où les solutions de paiement transfrontalières, telles que celles proposées par Flutterwave, deviennent cruciales pour les entreprises qui opèrent sur le continent. La politique de change nigériane vise à préserver la valeur de la monnaie locale et à maintenir une position de réserves externes favorable, tout en assurant la stabilité macroéconomique. Pourtant, l'évolution des taux révèle un écart entre les mécanismes officiels et les marchés parallèles. Si le taux moyen de l'IFEM est resté dans ses bandes de fluctuation prédéterminées, le taux moyen des Bureaux de Change (BDC) a connu une progression plus forte. Entre 2016 et 2020, le taux moyen BDC est passé de 372,86 à 433,70 Naira pour un dollar, alors que le taux IFEM évoluait de 253,50 à 358,81 Naira sur la même période. ## L'impératif de l'interopérabilité en Afrique Face à cette fragilité économique et à l'hétérogénéité des systèmes, des entreprises comme Flutterwave proposent une couche intermédiaire nécessaire. D'après Y Combinator, le paysage des paiements africain est très différent de celui des États-Unis. Là où un commerçant américain peut accepter une multitude de cartes de débit et de crédit, le marché africain exige une intégration individuelle pour chaque méthode, qu'il s'agisse de cartes traditionnelles, de mobile money ou de virements ACH. Iyinoluwa Aboyeji, cofondateur de Flutterwave, a souligné cette complexité : « Nous traitons dix fois plus de transactions et de volume avec des paiements alternatifs qu'avec des paiements basés sur des cartes » (Y Combinator). Cette réalité oblige les acteurs globaux à utiliser des solutions capables d'unifier ces canaux variés. L'API de Flutterwave permet d'intégrer simultanément ces systèmes, offrant aux marchands un point d'entrée unique pour des millions de cartes et portefeuilles de mobile money à travers plusieurs pays. ## Des fondations construites sur la friction L'ambition de bâtir cette infrastructure fluide ne vient pas du néant. D'après TechCabal, les fondateurs de Flutterwave ont été motivés par des frictions concrètes. Olugbenga Agboola, après des expériences dans le secteur financier nigérian, s'est lassé de la nécessité pour les entreprises de devoir effectuer des transferts bancaires complexes entre Lagos, New York et Ghana, un processus qui rendait l'instant T de l'échange impossible. L'idée initiale, formalisée en 2016, visait à résoudre ce problème de fragmentation des systèmes. Auparavant, un paiement transfrontalier impliquait souvent un virement SWIFT, un processus pouvant prendre jusqu'à 48 heures en transit, ce qui freinait l'activité commerciale instantanée. Flutterwave a cherché à créer un effet d'entraînement dans l'écosystème. Leur ambition était de connecter les marchands aux banques, aux réseaux de cartes comme Visa et Mastercard, et à d'autres prestataires de paiement via une seule API. Cela permet aux entreprises de collecter et de débourser des fonds sans devoir construire des intégrations séparées pour chaque marché. ## Sources - [Exchange Rate Policy](https://www.cbn.gov.ng/intops/exchratepolicy.html), cbn.gov.ng - [Flutterwave is Building Digital Payment Infrastructure for Africa \| Y Combinator](https://www.ycombinator.com/blog/flutterwave), ycombinator.com - [Flutterwave spent a decade moving money. Now it wants to keep more of it.](https://techcabal.com/2026/11/05/flutterwave-financial-infrastructure/), TechCabal, 5 novembre 2026 --- # Vulnérabilité Paint Windows CVE-2026-83844 : risque d’exécution de code _5 novembre 2026 — https://ip73.fr/2026/11/05/vulnerabilite-paint-windows-cve-2026-83844-risque-d-execution-de-code/_ Microsoft a rendu publique la vulnérabilité CVE-2026-83844, une faille de sécurité découverte dans le code de Paint sur les systèmes Windows, et le risque est substantiel. Selon les informations disponibles, cette vulnérabilité, classée à un niveau CVSS de 8,1 (HIGH), permet à un attaquant non authentifié d'exécuter du code à distance simplement en envoyant un paquet spécialement préparé sur le réseau de la victime. Bien qu'aucune attaque réussie n'ait été documentée jusqu'à présent, la porte est ouverte. La nature exacte du problème est un « out-of-bounds read », comme l'explique Microsoft ; en termes simples, cela signifie que le logiciel autorise la lecture de zones de mémoire qui ne devraient pas être accessibles. Ce mécanisme, s'il est exploité, permettrait l'exécution de commandes malveillantes sur le poste de travail. Les sources confirment cette sévérité, citant des advisories comme GitHub GHSA-2h2h-j632-qrgj pour corroborer ce niveau de menace. ## Ce qui est touché et la gravité réelle L'impact se concentre sur l'application Paint intégrée à Windows. Le danger réside dans le caractère à distance de l'exploitation : l'utilisateur n'a pas besoin d'ouvrir le fichier ou de cliquer sur quoi que ce soit ; le simple fait de se trouver sur le même réseau qu'un attaquant peut suffire. D'ailleurs, il est intéressant de noter que l'application elle-même semble avoir pris du poids, atteignant plus de 720 Mo après une réinstallation depuis le Microsoft Store, probablement suite à l'intégration de fonctionnalités d'intelligence artificielle, ce qui ne diminue en rien le risque de cette faille. ## Qui doit agir et comment La solution proposée par Redmond est claire : mettre à jour l'application via le Store officiel. La version corrigée intervient dans la release 11.2609.401.0 et les suivantes. Si vous utilisez une version antérieure, vous êtes exposé. Pour vérifier votre statut, une commande simple dans PowerShell permet de lister la version : `powershell Get-AppxPackage -Name Microsoft.Paint | Select-Object Name, Version`. Certains utilisateurs rapportent des délais de déploiement, notant que même après plusieurs semaines de mise à disposition du correctif, la nouvelle version n'apparaît pas immédiatement, comme ce fut le cas pour un utilisateur dont la version restait à 11.2605.81.0. Pour ceux qui hésitent ou qui ne peuvent pas se mettre à jour immédiatement, il est difficile de ne pas se demander si des contournements existent. Les sources indiquent que l'exploitation réelle de cette faille est complexe, ce qui réduit la probabilité immédiate d'une compromission, mais cela ne doit pas être interprété comme une garantie de sécurité. Pour sécuriser son poste, il faut donc impérativement s'assurer que l'application est à jour. La vigilance doit se porter sur les notifications du Microsoft Store ou, à défaut, sur l'exécution manuelle de la vérification de version. On attend de voir si Microsoft accélérera le déploiement de la patch pour atteindre une couverture plus large des utilisateurs. ## Fiche technique | CVE | Produit | Gravité | Exploitée activement | Versions corrigées | |---|---|---|---|---| | CVE-2026-83844 | — | Élevée (CVSS 8,1) | Non signalée | Voir l’avis de l’éditeur | *Données : [NVD](https://nvd.nist.gov/) (NIST) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).* ## Sources - [Grave vulnerabilità per Paint su Windows: aggiorna subito (se puoi)](https://www.punto-informatico.it/grave-vulnerabilita-paint-windows/), Punto Informatico, 5 novembre 2026 - [Microsoft Paint CVE-2026-83844 lets hackers hack Windows 11 PCs over internet](https://www.neowin.net/news/microsoft-paint-cve-2026-83844-lets-hackers-hack-windows-11-pcs-over-internet/?utm_source=rss), Neowin, 4 novembre 2026 - [GHSA-2h2h-j632-qrgj](https://github.com/advisories/GHSA-2h2h-j632-qrgj) : Out-of-bounds read in Windows Paint allows an unauthorized attacker to execute code over…, GitHub Advisory Database (CC BY 4.0) - [CVE-2026-83844](https://nvd.nist.gov/vuln/detail/CVE-2026-83844), NVD (NIST) --- # Agile Deliberation : affiner les concepts visuels subjectifs avec l’IA _5 novembre 2026 — https://ip73.fr/2026/11/05/agile-deliberation-affiner-les-concepts-visuels-subjectifs-avec-l-ia/_ Des experts en modération de contenu ont révélé une méthode de travail que les systèmes d'intelligence artificielle peinent à reproduire : la « délibération conceptuelle ». L'annonce faite par arxiv.org détaille un cadre nommé Agile Deliberation, conçu pour faire de l'IA un partenaire de réflexion plutôt qu'un simple outil de catégorisation rigide. Jusqu'à présent, on supposait que pour entraîner un classifieur visuel, l'utilisateur fournissant les étiquettes possédait une conception claire et stable du concept, comme pour identifier un panneau stop. Or, dans le monde réel, quand il s'agit de qualifier ce qui est « bon pour la santé » ou « un art inspirant », les frontières sont intrinsèquement subjectives et peuvent évoluer en fonction du contexte culturel ou des politiques internes. Les chercheurs de Google Research ont d'ailleurs souligné que les workflows traditionnels ne prévoient pas cette évolution constante du modèle mental de l'annotateur. Agile Deliberation renverse cette prémisse. Au lieu d'exiger des étiquettes statiques, le système transforme la création du classifieur subjectif en une « conversation itérative ». Ce processus se divise en deux temps structurés. Premièrement, le « scoping conceptuel », où l'IA aide à décomposer une idée vague en une hiérarchie structurée de sous-concepts, tout en précisant les exclusions. Ensuite vient la « itération conceptuelle ». C'est là que l'approche devient vraiment intéressante. Inspiré de l'apprentissage actif, le système ne demande pas à l'humain de deviner les règles. Au contraire, il utilise des modèles de langage visuels (VLMs), qui sont des modèles multimodaux capables de traiter images et textes simultanément, pour faire émerger des exemples sémantiquement ambigus. Imaginez le système présentant une boisson fruitée pour défier la définition initiale de « régime sain » ; l'utilisateur est alors forcé de clarifier si c'est acceptable en raison de ses ingrédients ou s'il doit être exclu pour son taux de sucre. L'évaluation de ce cadre n'a pas reposé sur des jeux de données standardisés, car ceux-ci ne parviennent pas à capturer la dynamique d'un concept qui se précise en cours de route. Les auteurs ont mené dix-huit sessions réelles de 1 heure et demie. Les résultats, selon l'étude, montrent qu'Agile Deliberation atteint un score F1 7,5 % supérieur aux méthodes de décomposition automatisée et plus de 3 % au-dessus des approches de délibération manuelle. Les participants ont également rapporté une réduction de l'effort cognitif et une meilleure clarté conceptuelle. Ce travail s'inscrit dans un mouvement plus large des entreprises qui cherchent à pousser l'IA vers des modèles de décision plus nuancés, au-delà des simples tâches de génération de code ou de résumé de documents, comme le suggèrent des analystes spécialisés dans l'IA d'entreprise. Ce type d'interaction collaborative rappelle comment les VLMs, qui sont des modèles génératifs capables de prendre en entrée des images et du texte, peuvent être exploités. Des plateformes comme Hugging Face proposent une diversité de ces modèles ouverts — LLaVA, CogVLM, ou Qwen-VL — qui peuvent déjà gérer des tâches complexes comme la question-réponse visuelle ou la détection d'objets. Le système d'Agile Deliberation vient ajouter une couche de métacognition : il utilise la capacité multimodale des VLMs non pas pour donner une réponse finale, mais pour *poser la bonne question* à l'humain, ajustant ainsi les frontières du classifieur en temps réel. ## Sources - [Agile Deliberation: Concept Deliberation for Subjective Visual Classification](https://arxiv.org/abs/2512.10821), arxiv.org - [Vision Language Models Explained](https://huggingface.co/blog/vlms), huggingface.co - [Agile Deliberation: How AI helps humans define the gray areas](https://research.google/blog/agile-deliberation-how-ai-helps-humans-define-the-gray-areas/), Google Research, 4 novembre 2026 - [The Enterprise AI Push For Decision Models](https://inc42.com/features/the-enterprise-ai-push-for-decision-models/), Inc42, 3 novembre 2026 - [From Beginner to Bug Hunter: Learning Cybersecurity in the AI Era.](https://www.bleepingcomputer.com/news/security/from-beginner-to-bug-hunter-learning-cybersecurity-in-the-ai-era/), BleepingComputer, 31 octobre 2026 --- # Pokémon Pokopia : le second DLC arrive le 9 décembre _5 novembre 2026 — https://ip73.fr/2026/11/05/pokemon-pokopia-le-second-dlc-arrive-le-9-decembre/_ Le jeu de simulation de vie Pokémon Pokopia recevra son deuxième pack d'extension, intitulé « Expansion Pass Part 2 : Dazzling Decorations », le 9 décembre. Les développeurs Game Freak et Koei Tecmo, en collaboration avec The Pokemon Company, ont annoncé ce contenu téléchargeable payant. Ce DLC apportera de nouveaux Pokémon, des objets et des accessoires pour personnaliser les joueurs et leurs compagnons Pokémon. Ce second passage s'inscrit dans la continuité du premier, « Bubbly Basin », sorti en août. Bien que l'accent soit mis sur les éléments cosmétiques — permettant de s'habiller et de décorer son environnement — il est précisé qu'il y aura également de nouveaux Pokémon à découvrir. Les joueurs devront d'ailleurs accomplir certaines missions préalables pour accéder à ce contenu, notamment « Raise the environment level ! » et « Rebuild the Pokémon Center ! » dans Withered Wasteland, ainsi que la requête de Drifloon, « Find a doll ! » (Gematsu). L'ajout de nouveaux quartiers n'est pas prévu dans cette deuxième partie, contrairement à ce que suggéraient les premières informations (Video Games Chronicle). En parallèle de cette extension payante, une mise à jour gratuite, la version 3.0.0, sera disponible pour tous les joueurs, et elle sera déployée le même jour que le lancement du DLC (Video Games Chronicle). Pokopia a rencontré un franc succès sur Switch 2. Selon Video Games Chronicle, le jeu a vendu cinq millions d'exemplaires en cinq mois, représentant 21 % des détenteurs de Switch 2 en août. Il est ainsi le deuxième titre le plus populaire sur cette console, derrière Mario Kart World. Cette réussite justifie les plans de Nintendo de continuer à soutenir le jeu via ces extensions payantes, et ce, au-delà de sa première année sur le marché. Une troisième extension est d'ailleurs annoncée, prévue pour 2027, qui ajoutera de nouvelles zones au jeu et, par conséquent, de nouveaux Pokémon. Le jeu a reçu des éloges, notamment pour son côté « excellent jeu de simulation de vie » qui mêle les meilleurs aspects du genre. Il est décrit comme une aventure riche en découvertes, même après cent heures de jeu. ## Sources - [Pokémon Pokopia’s second expansion announced for December](https://www.videogameschronicle.com/news/pokemon-pokopias-second-expansion-announced-for-december/), Video Games Chronicle, 4 novembre 2026 - [Pokemon Pokopia DLC ‘Expansion Pass Part 2: Dazzling Decorations’ launches December 9](https://www.gematsu.com/2026/11/pokemon-pokopia-dlc-expansion-pass-part-2-dazzling-decorations-launches-december-9), Gematsu, 4 novembre 2026 --- # DharmaOCR : SSLM spécialisés pour l’OCR structuré _5 novembre 2026 — https://ip73.fr/2026/11/05/dharmaocr-sslm-specialises-pour-l-ocr-structure/_ DharmaOCR Full et DharmaOCR Lite arrivent sur la scène de l'OCR spécialisé, promettant de surpasser les solutions propriétaires et open-source existantes. Ces modèles, conçus spécifiquement pour le traitement de documents structurés, cherchent à optimiser simultanément la qualité de la transcription, la stabilité de la génération et le coût d'inférence. L'annonce, relayée par arxiv.org, présente cette paire de Modèles de Langage Spécialisés (SSLMs). Le cahier des charges est ambitieux : ces modèles doivent gérer des documents imprimés, manuscrits, ainsi que des pièces administratives et juridiques. Un point méthodologique notable, selon l'article, est l'application inédite de l'Optimisation par Préférence Directe (DPO) pour l'OCR. En utilisant les générations dégradées – c'est-à-dire les erreurs ou les boucles anormalement longues – comme exemples de rejet, les auteurs ont pu réduire le taux de dégradation jusqu'à 87,6 % en moyenne, tout en maintenant ou en améliorant la qualité d'extraction. Ces modèles, dont le plus grand, DharmaOCR Full, compte 7 milliards de paramètres, ont établi un nouvel état de l'art sur le benchmark DharmaOCR-Benchmark. Ils affichent respectivement des scores de 0,925 et 0,911, avec des taux de dégradation respectifs de 0,40 % et 0,20 %. De plus, l'utilisation de la quantification AWQ permet de diminuer le coût de traitement de 22 % par page sans perte notable de qualité, ce qui adresse directement le besoin de compromis coût/performance souvent évoqué avec les API OCR propriétaires. ## L'extraction de champs au-delà du texte brut Il faut bien distinguer l'OCR classique de l'extraction de champs. L'OCR restitue le texte tel qu'il figure sur la page, mais lorsqu'une entreprise recherche des données précises – telles que le nom du fournisseur, le numéro de facture ou la date d'échéance – elle ne souhaite pas le document intégral. Elle exige des champs structurés, immédiatement utilisables pour alimenter une base de données. C'est là que la spécialisation paie, comme l'illustre le travail présenté sur Hugging Face. Un modèle généraliste peut tenter cette tâche avec un « prompt » bien formulé, mais à fort volume, ce coût devient exponentiel. Le Field Extractor, une version optimisée de DharmaOCR-LITE, résout ce problème. Il prend une image et, soit une requête ouverte, soit un schéma JSON précis, et retourne une sortie parfaitement typée. On peut choisir d'envoyer une requête ouverte lorsque le contenu du document est inconnu ; le modèle tente alors de deviner les champs structurés à partir du contexte et du formatage. Inversement, si votre système attend des données dans une forme rigide, vous fournissez un schéma exact. Le modèle garantit alors que la réponse correspondra à cette structure, renvoyant `null` si l'information demandée est absente du document. ## Le coût face aux modèles généralistes Si les performances sont bonnes, il faut aussi regarder les fondations. Les modèles sont entraînés sur trois flux de données : des documents multilingues du web, des données propres au domaine brésilien en portugais, et un ensemble plus restreint d'images de documents locaux. Ce mélange multi-domaine vise à assurer une généralisation au-delà de l'anglais et du portugais. En comparant ce Field Extractor aux LLM généralistes, les résultats montrent un écart de qualité significatif, allant de 1,8 point à 9,3 points selon le modèle testé. Plus frappant encore, sur le plan financier, le coût est bien plus bas. En comparaison avec les prix affichés par les fournisseurs frontières, le modèle self-hosted peut être jusqu'à 147 fois moins cher, car il est facturé en temps de GPU sur une seule machine L40S, et non en jetons traités. D'ailleurs, le besoin de datasets spécialisés est bien connu. Par exemple, le BID Dataset, qui contient 28 800 images de documents d'identité brésiliens, illustre la complexité des tâches de classification et de reconnaissance de texte dans des contextes d'identité documentaires très spécifiques. ## Sources - [DharmaOCR: Specialized Small Language Models for Structured OCR that outperform Open-Source and Commercial Baselines](https://arxiv.org/abs/2604.14314), arxiv.org - [GitHub - ricardobnjunior/Brazilian-Identity-Document-Dataset: Brazilian Identity Document Dataset (BID Dataset): The first public dataset…](https://github.com/ricardobnjunior/Brazilian-Identity-Document-Dataset), github.com - [Dharma Field Extractor: Any Document In, Structured Fields in JSON Out](https://huggingface.co/blog/Dharma-AI/dharma-field-extractor), Hugging Face, 4 novembre 2026 --- # Vulnérabilités Xen : accès arbitraire à la mémoire des VM _5 novembre 2026 — https://ip73.fr/2026/11/05/vulnerabilites-xen-acces-arbitraire-a-la-memoire-des-vm/_ Deux failles ont été découvertes dans l'implémentation *grant copy* du hyperviseur Xen. Elles permettent à une machine virtuelle invitée malveillante de lire et d'écrire arbitrairement la mémoire d'autres domaines, y compris Dom0, le domaine de gestion principal. Vates, qui propose XCP-ng, classe l'impact de ces failles comme Critique et affecte la version XCP-ng 8.3. Ces problèmes, identifiés sous les CVE-2026-102703 et CVE-2026-102704, proviennent d'un mécanisme de performance interne à Xen. Ce dernier, dans sa tentative d'optimiser le traitement de lots d'opérations *Grant Copy* sur des plages d'adresses adjacentes, ne réévaluait pas toujours correctement les conditions de validation interne. Ce défaut d'inspection permet, en substance, de contourner les séparations de mémoire prévues entre les machines. La première faille, CVE-2026-102703, concerne le mélange potentiel entre les numéros de trame (*frame numbers*) et les références *grant*. Pour ce qui est de la seconde, CVE-2026-102704, la vérification qui devait restreindre la copie par numéro de trame uniquement aux mémoires propres à l'appelant était mal positionnée. Dom0, qui détient par défaut les pleins droits sur l'hôte, peut donc être ciblé. L'impact est une rupture d'isolation complète : un seul invité compromis peut théoriquement prendre le contrôle de l'intégralité de l'hôte, comme l'a indiqué XCP-ng dans ses notes de mise à jour. ## Ce qui est touché et la gravité réelle L'exposition ne se limite pas à un seul écosystème. Les recherches pointent vers des versions de Xen à partir de 4.6, bien que les détails précis varient selon les produits construits dessus. Le Xen Project a confirmé que ces failles sont liées au processus de copie de données entre les machines virtuelles, un mécanisme essentiel de la virtualisation. Anthropic a découvert ces failles en utilisant son modèle Claude, information corroborée par le CodeAnt AI Security Research Team. Stephan Lipp, de Ada Logics, a ensuite validé ces observations. Les systèmes Qubes OS, qui utilisent Xen pour séparer leurs compartiments *qubes*, sont également concernés, nécessitant des correctifs pour leurs versions supportées. Bien que le Xen Project n'ait pas spécifié de vecteur d'attaque ou de niveau d'accès requis pour exploiter ces failles, la nature de l'accès arbitraire à la mémoire des autres domaines rend la gravité élevée. Les métriques NVD associées aux CVE indiquent un CVSS 4.4, classé comme « Medium » pour les deux failles, mais l'impact pratique sur un hyperviseur critique dépasse souvent cette notation théorique. ## Que faire maintenant Des correctifs existent déjà. Vates a publié la version `xen-4.17.7-4.2.xcpng8.3` le 3 novembre 2026, et les hôtes concernés doivent impérativement effectuer un redémarrage. Pour les utilisateurs de Xen directement, des correctifs ont été publiés pour la branche instable de Xen, couvrant jusqu'à la version 4.19.x. Attention toutefois : le support de sécurité pour Xen 4.16 s'est achevé le 2 décembre 2024, rendant les anciennes versions particulièrement vulnérables et non corrigibles par ce canal. Les administrateurs doivent vérifier non seulement les paquets Xen, mais aussi les systèmes dérivés comme Qubes OS, qui a déployé des correctifs spécifiques pour ses distributions. Il faut surveiller attentivement les trackers de sécurité des distributions Linux, car Debian, par exemple, a listé le paquet `xen` comme vulnérable dans ses versions bookworm et trixie, mais corrigé dans sid. ## Fiche technique | CVE | Produit | Gravité | Exploitée activement | Versions corrigées | |---|---|---|---|---| | CVE-2026-102703 | — | Moyenne (CVSS 4,4) | Non signalée | Voir l’avis de l’éditeur | | CVE-2026-102704 | — | Moyenne (CVSS 4,4) | Non signalée | Voir l’avis de l’éditeur | *Données : [NVD](https://nvd.nist.gov/) (NIST) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).* ## Sources - [VSA-2026-055: arbitrary read/write via grant copy (CVE-2026-102703, CVE-2026-102704 / XSA-523) \| Vates VMS Documentation](https://docs.vates.tech/security-advisories/advisories/2026/vates-sa-2026-055/), docs.vates.tech - [xen/SUPPORT.md at stable-4.16 · xen-project/xen](https://github.com/xen-project/xen/blob/stable-4.16/SUPPORT.md), github.com - [Xen Hypervisor Flaws Let One Malicious VM Read and Write Any Other VM's Memory](https://thehackernews.com/2026/11/xen-hypervisor-flaws-let-one-malicious.html), The Hacker News, 4 novembre 2026 - [GHSA-f25v-mw79-cqg5](https://github.com/advisories/GHSA-f25v-mw79-cqg5) : \[This CNA information record relates to multiple CVEs; the text explains which aspects..., GitHub Advisory Database (CC BY 4.0) - [CVE-2026-102703](https://nvd.nist.gov/vuln/detail/CVE-2026-102703), NVD (NIST) - [GHSA-5425-5qfw-cm7h](https://github.com/advisories/GHSA-5425-5qfw-cm7h) : \[This CNA information record relates to multiple CVEs; the text explains which aspects..., GitHub Advisory Database (CC BY 4.0) - [CVE-2026-102704](https://nvd.nist.gov/vuln/detail/CVE-2026-102704), NVD (NIST) ## Crédits photo - Image en une : [Free Modern Hi Tech Data](https://www.rawpixel.com/image/5914966/image-public-domain-technology-free), par auteur inconnu, [CC0](https://creativecommons.org/publicdomain/zero/1.0/), via Rawpixel via Openverse (recadrée) --- # Agents IA : sécuriser les changements de code automatisés _5 novembre 2026 — https://ip73.fr/2026/11/05/agents-ia-securiser-les-changements-de-code-automatises/_ Les agents d'IA autonomes, capables de soumettre des modifications directement dans un dépôt de code, nécessitent des garde-fous robustes. GitHub a intégré plusieurs couches de protection pour son agent Copilot cloud. Par défaut, ce système vérifie le code généré contre des problèmes de sécurité en utilisant CodeQL. Il examine aussi les dépendances ajoutées au regard de la base de données d'avis de GitHub, notamment pour détecter les vulnérabilités classées comme critiques ou de haut niveau. Une analyse de recherche de secrets est appliquée pour traquer les clés d'API ou les jetons sensibles. GitHub encadre strictement les actions de cet agent. Seuls les utilisateurs disposant de droits d'écriture sur le dépôt peuvent déclencher l'agent. De plus, l'agent ne peut pousser que sur une branche unique. La validation humaine reste obligatoire avant toute fusion ; l'agent ne peut ni marquer une proposition comme « Prête pour révision », ni approuver ou fusionner le travail lui-même. Les journaux de session permettent aux administrateurs de retracer chaque action. Les risques d'injection de *prompt* sont atténués par le filtrage des caractères cachés dans les commentaires ou les problèmes assignés à l'agent. En outre, les commits réalisés par l'agent sont signés, et bien que l'agent soit l'auteur, le développeur initial est marqué comme co-auteur, ce qui facilite l'audit. ## Gestion des opérations répétables et des limites d'action Le concept d'idempotence, essentiel dans les systèmes qui peuvent se répéter, prend toute son importance quand les workflows impliquent des interactions externes. Les systèmes d'exécution durable d'AWS illustrent bien cette distinction. Il est fondamental de différencier les opérations qui peuvent être exécutées plusieurs fois sans modifier l'état final de celles qui ont un effet secondaire unique, comme un paiement. AWS documente cette distinction : les opérations idempotentes, telles qu'une mise à jour dans une base de données capable d'« upsert », peuvent utiliser une sémantique « at-least-once » par tentative. Une réexécution après une interruption ne modifie pas le résultat. En revanche, une tentative de débit de carte de paiement, effet externe critique, doit être configurée en « at-most-once » et sans stratégie de nouvelle tentative pour garantir qu'elle ne soit jamais exécutée deux fois. Inkitt, dans son projet de créateur de *pull request* à usage unique, applique également cette rigueur. Leur orchestrateur gère des étapes qui peuvent potentiellement se répéter. Ils appliquent le principe d'idempotence aux *workflows* qui risquent de recevoir des événements en double, par exemple lors de la réception de webhooks. ## Les limites imposées aux agents de codage Au-delà des mécanismes de sécurité intégrés, les architectes de ces systèmes imposent des frontières strictes aux agents. Inkitt, par exemple, limite son automatisation à des modifications confinées. Ils rejettent explicitement toute tâche impliquant la modification de schémas de base de données, les configurations de *build* de conteneurs, ou les codes d'authentification. Ce cadrage répond aux risques que les agents pourraient introduire en agissant de manière trop générale. Ce contrôle s'aligne avec ce que l'on observe chez GitHub Copilot. L'agent ne peut pas exécuter directement des commandes Git complexes ; il est cantonné à des opérations de *push* simples. Des mécanismes de contrôle des *workflows* GitHub Actions sont mis en place pour attendre l'approbation humaine avant de lancer des traitements lourds. Même lorsqu'une automatisation est déclenchée sans initiation humaine, les actions sont clairement attribuées, permettant de maintenir la piste d'audit et de respecter les contrôles de révision. ## Sources - [Risks and mitigations for GitHub Copilot cloud agent - GitHub Docs](https://docs.github.com/en/copilot/concepts/security-governance-and-network-settings/risks-and-mitigations), docs.github.com - [Idempotency and retries¶](https://docs.aws.amazon.com/durable-execution/patterns/best-practices/idempotency/), docs.aws.amazon.com - [Inkitt Builds a One-Shot PR Creator with Resumable Agent Orchestration](https://www.infoq.com/news/2026/11/inkitt-one-shot-pr-creator-agent/?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=global), InfoQ, 4 novembre 2026 --- # NVIDIA déploie un agent pour gérer les opérations des usines d’IA _5 novembre 2026 — https://ip73.fr/2026/11/05/nvidia-deploie-un-agent-pour-gerer-les-operations-des-usines-d-ia/_ L'AI Factory Operations Agent, un blueprint développé par NVIDIA, permet de déployer des agents spécialisés pour examiner les problèmes des clusters et optimiser les opérations des « usines d'IA » (AI factory). Cette annonce, publiée sur github.com, vise à remplacer l'examen manuel de multiples tableaux de bord par une corrélation automatique des preuves à travers les systèmes du cluster. L'agent est conçu pour générer des résumés clairs des causes profondes et proposer des étapes suivantes, le tout dans un flux de travail auditable. Les capacités supportées incluent l'inspection des charges de travail Kubernetes en lecture seule, les requêtes sur Prometheus ou VictoriaMetrics, la création de tableaux de bord Grafana, et l'analyse des journaux Slurm pour identifier les problèmes. Le besoin de centraliser le diagnostic est pressant. NVIDIA explique que les ingénieurs de fiabilité de site (SRE) doivent souvent examiner séparément les couches logicielles, matérielles et d'ordonnancement pour comprendre une chute de performance lors d'entraînements massifs. L'agent propose d'unifier cette investigation via une seule interface. ## Gouvernance et sécurité de l'exécution La sécurité est un point majeur de cette architecture. NVIDIA insiste sur le fait que les agents ne reçoivent pas les identifiants d'accès au cluster de manière globale. Pour l'inspection Kubernetes, l'outil utilise des binaires `kubectl` épinglés avec des identifiants en lecture seule. De plus, OpenShell isole l'exécution des commandes générales dans des environnements conteneurisés (sandboxed). Cette séparation est cruciale, car les clients navigateur ou MCP ne reçoivent pas les identifiants du cluster ; les Secrets Kubernetes restent montés uniquement dans les pods qui en ont besoin. Le cadre repose sur une infrastructure Kubernetes compatible. Le runtime nécessite un endpoint compatible OpenAI ou un cluster capable de faire tourner vLLM. Les intégrations sont modulaires ; on peut ajouter de nouveaux agents pour différents domaines opérationnels — comme l'agent matériel pour les erreurs PCIe, ou l'agent de récupération de jobs — sans modifier le cœur du système. ## Les multiples facettes de l'agent Le cadre s'articule autour de plusieurs interfaces. Les opérateurs de cluster peuvent interagir via une interface web (Browser UI) pour des discussions interactives. Pour les scripts ou les services, il existe une API HTTP. Il y a aussi une interface `mosaic CLI` pour automatiser les tâches Shell ou Slurm. NVIDIA détaille ces rôles, précisant que l'interface utilisateur permet un suivi de chaque action, ce qui est essentiel pour bâtir la confiance des SRE. Le système incorpore des agents spécifiques : un agent d'observabilité qui interroge des logs Prometheus et Grafana, un agent de recherche qui puise dans la documentation (comme les manuels Mission Control), et un agent de cluster management qui dialogue avec les APIs de Base Command Manager. Ces agents communiquent entre eux en utilisant le protocole MCP (Model Context Protocol). L'implémentation de cette solution est marquée comme « Expérimentale » selon github.com. Pour ceux qui souhaitent l'intégrer, il est précisé que le déploiement des Helm charts et des images nécessite une invitation spécifique au registre privé NGC. Les guides d'installation sont détaillés dans le dépôt, et le projet est sous licence Apache 2.0. ## Sources - [GitHub - NVIDIA/AI-Factory-Operations-Agent: Deploy AI agents to investigate cluster issues and streamline governed AI factory operations.](https://github.com/NVIDIA/AI-Factory-Operations-Agent), github.com - [How NVIDIA Uses AI Agents to Streamline AI Factory Operations](https://developer.nvidia.com/blog/how-nvidia-uses-ai-agents-to-streamline-ai-factory-operations/), NVIDIA, 4 novembre 2026 - [Your AI Agent Needs an Operating Environment. Who’s Engineering It?](https://devops.com/your-ai-agent-needs-an-operating-environment-whos-engineering-it/), DevOps.com, 3 novembre 2026 - [The 5 essential layers of AI agent sandboxing on Kubernetes](https://thenewstack.io/ai-agent-sandboxing-kubernetes/), The New Stack, 29 octobre 2026 ## Crédits photo - Image en une : [Cable racks at grid computing](https://www.rawpixel.com/image/3322350/free-photo-image-server-computer-supercomputer), par U.S. Department of Energy, [CC0](https://creativecommons.org/publicdomain/zero/1.0/), via Rawpixel via Openverse (recadrée) - Image dans l’article : [Automation T2](https://commons.wikimedia.org/wiki/File:Automation_T2.jpg), par AliciaNowaste, [CC BY-SA 4.0](https://creativecommons.org/licenses/by-sa/4.0), via Wikimedia Commons (recadrée) --- # Game Pass : les nouveautés de novembre 2026 _5 novembre 2026 — https://ip73.fr/2026/11/05/game-pass-les-nouveautes-de-novembre-2026/_ Le catalogue de Game Pass s’étoffe significativement en novembre 2026, avec l'arrivée de plusieurs titres attendus comme *Escape Academy 2: Back 2 School*, *Thronefall*, et *Warhammer Survivors*. Microsoft a dévoilé le calendrier de ces ajouts, proposant une diversité allant des jeux de stratégie au format *roguelite*. Pour ceux qui veulent se lancer dès le coup d'envoi, *Football Manager 27* est disponible dès le premier jour avec Game Pass Ultimate, offrant aux amateurs de football une immersion tactique complète. Parallèlement, *Pit of Goblin*, un jeu d'horreur coopératif en ligne, invite les joueurs à descendre dans des donjons en tant que gobelins, devant nourrir le Roi-Reine Gobelin sous peine de devenir la prochaine bouchée. Les titres à venir promettent de couvrir un spectre de genres très large. Le 4 novembre, les joueurs retrouveront *Vampire Crawlers: The Turbo Wildcard* issu de la série *Vampire Survivors*, mais cette fois sous une forme de jeu de cartes *roguelite* au tour par tour. Le même jour, *VOID/BREAKER* arrive, un *shooter* à la première personne où l'objectif est de briser un cycle perpétuel mené par une intelligence artificielle hostile, avec des possibilités de *gun modding* très poussées. ## Stratégie, simulation et aventure narrative Les jeux de simulation et les expériences narratives occupent une place importante dans cette vague de nouveautés. Le 5 novembre, *Escape Academy 2: Back 2 School* se positionne comme le premier jeu d'évasion en monde ouvert, promettant une évolution majeure du format classique, et il est disponible dès le premier jour avec Game Pass Ultimate. En parallèle, *Firefighting Simulator: Ignite* plonge les utilisateurs dans le rôle de pompiers américains, où il faut gérer des incendies imprévisibles en coopération avec une équipe. Le 11 novembre, *Thronefall* sera disponible, un jeu de stratégie minimaliste où il faut équilibrer le développement économique durant la journée avec la défense du royaume contre des vagues d'assaillants la nuit. Un titre plus axé sur le mystère, *Hope in the City*, invite les joueurs à enquêter sur les secrets d'une famille à travers les yeux d'une artiste, transformant ses croquis en preuves. ## L'essor des formats addictifs On observe une nette préférence pour les mécanismes de jeu rapides et répétitifs, typiques des genres *roguelite* et *bullet-heaven*. Le 10 novembre, *Warhammer Survivors* arrive, une licence officielle en partenariat avec les développeurs de *Vampire Survivors*, proposant une action intense en pixels animés. Le 4 novembre, *Vampire Crawlers* confirme cette tendance avec son approche tactique basée sur les cartes. Microsoft semble capitaliser sur cette formule. En plus des ajouts majeurs, la plateforme renforce sa proposition de valeur avec des bundles, comme *MySims: Cozy Bundle*, qui inclut des rééditions de jeux rétro disponibles sur console et *Cloud Gaming*. ## Ce qui est mis en avant La sélection est riche, mais elle met en lumière la capacité de Game Pass à fournir des expériences complètes. Les jeux sont souvent disponibles sur plusieurs plateformes, PC, Xbox Series X|S, et en mode *Cloud*, ce qui est une commodité appréciable. | Titre | Date d'arrivée | Genre principal | Plateformes | | :--- | :--- | :--- | :--- | | *Football Manager 27* | Immédiat | Simulation sportive | PC | | *Vampire Crawlers* | 4 novembre | Roguelite card-driven | Cloud, Xbox, PC | | *Escape Academy 2* | 5 novembre | Évasion/Open World | Cloud, Xbox, PC | | *Thronefall* | 11 novembre | Stratégie minimaliste | Cloud, Xbox, PC | | *Warhammer Survivors* | 10 novembre | Bullet-heaven action | Cloud, Xbox, PC | Difficile de ne pas remarquer que l'IA hostile est une thématique récurrente, qu'elle soit celle qui pousse à briser la simulation dans *VOID/BREAKER* ou celle qui dicte les schémas de difficulté dans les jeux de survie. Les titres sont conçus pour maintenir l'engagement sur la durée, qu'il s'agisse de refaire un run dans un *roguelite* ou de gérer une crise dans une simulation de pompiers. L'agenda de novembre est donc chargé. Il faudra surveiller l'impact de ces nouveautés sur les métriques d'engagement ; notamment si la promesse d'un jeu d'évasion en monde ouvert parvient à créer une nouvelle catégorie de marché stable sur le service. ## Sources - [Game Pass adds Escape Academy 2: Back 2 School, Thronefall, Warhammer Survivors, and more in early to mid November](https://www.gematsu.com/2026/11/game-pass-adds-escape-academy-2-back-2-school-thronefall-warhammer-survivors-and-more-in-early-to-mid-november), Gematsu, 3 novembre 2026 - [Coming to XBOX Game Pass: Escape Academy 2: Back 2 School, Thronefall, Warhammer Survivors, and More](https://news.xbox.com/en-us/2026/11/03/xbox-game-pass-november-2026-wave-1/), Xbox Wire, 3 novembre 2026 --- # EcoFlow étend son offre solaire au-delà du petit balcon _5 novembre 2026 — https://ip73.fr/2026/11/05/ecoflow-etend-son-offre-solaire-au-dela-du-petit-balcon/_ L'intégration des appareils EcoFlow avec des plateformes domotiques comme Home Assistant devient de plus en plus fine. Des développeurs proposent des outils spécifiques, comme l'intégration `tolwi/hassio-ecoflow-cloud`, qui permet de surveiller et de contrôler les équipements via le broker MQTT de l'entreprise. Ces systèmes donnent accès à une grande quantité de données, allant du niveau de batterie aux températures des composants, selon le mode d'API choisi : officiel ou plus privé. Le choix du mode API est crucial. L'API privée donne généralement plus de télémétrie et de commandes, mais elle n'est pas garantie lors des mises à jour d'EcoFlow. À l'inverse, l'API publique est plus stable, mais elle peut rapporter des champs de données moins complets ou avec un décalage temporel. Cette différence montre la tension entre avoir accès à toutes les données et garantir une interopérabilité solide. ## L'évolution matérielle vers les installations plus grandes Sur le plan matériel, EcoFlow élargit clairement son champ d'action au-delà du simple système de balcon. La Stream 5000, par exemple, se positionne comme un concurrent sérieux de la Solarbank 4 Pro d'Anker Solix. Cette nouvelle génération offre une capacité de stockage de 5 024 Wh et une capacité d'entrée solaire notable grâce à ses quatre MPPT, permettant d'absorber jusqu'à 5 000 Watts. L'objectif n'est plus seulement le petit espace ; l'offre vise désormais la zone de transition entre le système de balcon et une installation photovoltaïque de toiture plus conséquente. Cette stratégie est appuyée par la différenciation des modèles. Tandis que la Stream 5000 est une unité tout-en-un, la Stream AC 5000 est destinée aux foyers possédant déjà une installation solaire, agissant comme un récepteur pour le surplus d'énergie via le réseau AC. Selon ComputerBase, la Stream 5000 est affichée à 1 599 euros en prix de vente conseillé, mais est disponible à partir de 1 499 euros. ## La complexité des connexions et la granularité des données Parallèlement aux avancées matérielles, le contrôle via des systèmes tiers devient très détaillé. Une autre intégration, `shuette42/ecoflow-energy-ha`, prend en charge une vaste gamme d'appareils, incluant le PowerOcean, le Delta 3 ou les Smart Plugs. Ce qui est notable, c'est la diversité des modes de connexion. En plus du mode Standard utilisant l'API développeur, un mode « Enhanced » permet une synchronisation rapide, avec des mises à jour pouvant arriver toutes les deux à quatre secondes en se connectant directement au compte EcoFlow. Pour les configurations spécifiques, une connexion locale via Modbus/TCP est disponible pour les PowerOcean triphasés, ce qui permet de fonctionner sans passer par le cloud. Les données remontées sont très précises. Le PowerOcean seul peut fournir plus de 253 capteurs, et le Delta 2 Max en offre près de 94. Cette granularité permet de construire des tableaux de bord d'énergie précis, avec le calcul des kWh par méthode Riemann-sum incluant la détection des lacunes de données. En parallèle, l'aspect physique évolue. La deuxième génération, comme la Stream 5000, abandonne le plastique pour un boîtier en aluminium, adoptant une forme plus élancée. Ce changement d'esthétique permet de réduire l'emprise au sol, un détail important pour ceux qui installent ces systèmes en milieu urbain contraint. ## Sources - [GitHub - tolwi/hassio-ecoflow-cloud: EcoFlow Cloud Integration for Home Assistant](https://github.com/tolwi/hassio-ecoflow-cloud), github.com - [GitHub - shuette42/ecoflow-energy-ha: Home Assistant integration for EcoFlow energy devices: PowerOcean, PowerOcean Plus, Delta 2 Max…](https://github.com/shuette42/ecoflow-energy-ha), github.com - [EcoFlow Stream 5000 im Test: Neues Balkon­kraft­werk greift erfolgreich Anker Solix an](https://www.computerbase.de/artikel/smart-home/ecoflow-stream-5000-solarsystem-test.99560/), ComputerBase, 5 novembre 2026 ## Crédits photo - Image en une : [Coyle Industries Portable Solar Power System](https://commons.wikimedia.org/wiki/File:Coyle_Industries_Portable_Solar_Power_System.jpg), par Foncesoulstudio, [CC BY-SA 3.0](https://creativecommons.org/licenses/by-sa/3.0), via Wikimedia Commons (recadrée) - Image dans l’article : [Installation of solar PV panels - panels in place - geograph.org.uk - 2624288](https://commons.wikimedia.org/wiki/File:Installation_of_solar_PV_panels_-_panels_in_place_-_geograph.org.uk_-_2624288.jpg), par David Hawgood, [CC BY-SA 2.0](https://creativecommons.org/licenses/by-sa/2.0), via Wikimedia Commons (recadrée) --- # L’IA accélère la découverte et l’exploitation des vulnérabilités _5 novembre 2026 — https://ip73.fr/2026/11/05/l-ia-accelere-la-decouverte-et-l-exploitation-des-vulnerabilites/_ Des pipelines autonomes, alimentés par de nouveaux modèles d'intelligence artificielle, sont capables de générer des centaines d'exploits de privilège local sur des systèmes Linux en quelques jours, comme l'a démontré OpenAI. Leur prototype, utilisant un modèle ciblé, a identifié et analysé 2 308 candidats de vulnérabilités dans le noyau Linux, pour aboutir à 948 exploits de montée de privilège (LPE) fonctionnels. Ce processus, qui a nécessité un coût d'API de 1 213 430 dollars sur une période de 30 heures, illustre la vitesse à laquelle l'IA redéfinit les contours de la cybersécurité. Cette capacité n'est pas une nouveauté isolée. VulnCheck, par exemple, classe l'assistance de l'IA dans la découverte de vulnérabilités comme une catégorie de risque grandissante, car elle rend ces capacités accessibles à une masse d'acteurs, réduisant le besoin d'expertise technique pour dénicher des failles. Selon VulnCheck, le service de rapport de vulnérabilités a vu ses soumissions augmenter de 10 fois l'année passée, et 51 % des chercheurs rapportent avoir utilisé l'IA pour trouver la faille. ## L'accélération des menaces étatiques et infrastructurelles Le Centre national de cybersécurité du Royaume-Uni (NCSC) émet un avertissement clair : d'ici 2028, il est hautement probable que la Russie, la Chine et d'autres États utiliseront l'IA pour atteindre leurs objectifs géopolitiques via des cyberattaques sophistiquées. Le NCSC indique que l'augmentation de la vitesse et de l'échelle des attaques est une réalité probable. De plus, l'organisation juge presque certain que de nombreux systèmes resteront vulnérables aux outils IA, car le coût pour remplacer un accès compromis est minimal pour les attaquants. Cette tendance est particulièrement préoccupante pour les infrastructures critiques nationales (CNI). Le NCSC estime qu'il est probable que les attaquants ciblent les faiblesses connues des technologies héritées des CNI, mais aussi les nouvelles surfaces d'attaque créées par le déploiement même d'outils d'IA au sein de ces systèmes. L'agence britannique prédit même que l'IA malveillante sera impliquée dans une attaque par rançongiciel contre les CNI britanniques d'ici 2028. ## L'impact sur le cycle de vie des vulnérabilités Ce qui est frappant dans l'analyse des risques, c'est la compression du temps entre la découverte et l'exploitation. Historiquement, le taux d'exploitation des CVEs est resté prévisible, mais l'avènement de l'IA modifie cette équation. VulnCheck a noté que le temps médian entre la publication d'une CVE et son intégration dans une exploitation connue (KEV) est passé de 120 jours en 2025 à 80 jours au premier semestre 2026. Ce raccourcissement est alimenté par plusieurs facteurs. Premièrement, l'IA facilite non seulement la découverte, mais aussi la construction et le test des exploits fonctionnels. Deuxièmement, des acteurs malveillants expérimentent et déploient des agents IA pour orchestrer des campagnes automatisées. Un cas notable est celui d'une brèche au Dutch Institute for Vulnerability Disclosure en septembre 2026, où des agents ont été impliqués dans une attaque utilisant deux failles zero-day (CVE-2026-102489, CVE-2026-102490). Norforge a publié en octobre 2026 des recherches sur Cairn, un agent de pentesting autonome, qu'ils ont découvert exposé publiquement. Cela permet aux acteurs malveillants de vérifier des actifs ou d'obtenir un accès shell avec un taux de réussite moyen de 10 %. ## Le dilemme de la défense automatisée Les avancées de l'IA ne sont pas uniquement une menace. OpenAI illustre d'ailleurs comment ces pipelines peuvent aider les défenseurs. Leur processus intègre une étape de génération de correctifs, permettant aux chercheurs de valider l'exploit, puis de proposer un patch. OpenAI affirme que « avec une itération guidée par des experts humains, nous pensons que les correctifs générés par l'IA peuvent être fonctionnellement corrects, alignés avec les styles de codage existants et robustes aux variantes d'attaque. » Cependant, le NCSC rappelle que ces outils défensifs nécessitent une configuration correcte et généralisée pour être efficaces. En attendant, une tendance statistique inquiétante est apparue : les données de Google Threat Intelligence Group (GTIG) montrent que le nombre de vulnérabilités divulguées mensuellement a plus que doublé entre janvier 2026 (5 045) et août 2026 (10 740). De plus, le nombre de failles jugées à haut risque a grimpé de 167 % sur la même période. Il faut désormais envisager que, pour un acteur bien financé, disposer d'un compte non privilégié sur un système non mis à jour équivaut à un accès root. ## Sources - [Artificial intelligence and cyber intrusion](https://www.ncsc.gov.uk/report/artificial-intelligence-and-cyber-intrusion), ncsc.gov.uk - [Exploring the Risks and Impacts of AI on Vulnerability Discovery and Exploitation \| Blog \| VulnCheck](https://www.vulncheck.com/blog/vulnerability-and-exploitation-risks-of-ai), vulncheck.com - [OpenAI AI Pipeline Generates 948 Linux Root Escalation Exploits in 30-Hour Run](https://thehackernews.com/2026/11/openai-ai-pipeline-generates-948-linux.html), The Hacker News, 5 novembre 2026 - [A thousand fewer paths to root](https://openai.com/index/a-thousand-fewer-paths-to-root), OpenAI, 4 novembre 2026 ## Crédits photo - Image en une : [Spangdahlem AB becomes first DoD installation to implement BlastWave cyber security solution…](https://commons.wikimedia.org/wiki/File:Spangdahlem_AB_becomes_first_DoD_installation_to_implement_BlastWave_cyber_security_solution_%288296220%29.jpg), par U.S. Air Force photo by Senior Airman Imani West, Public domain, via Wikimedia Commons (recadrée) --- # Rimini Street obtient un cadre d’entretien tiers avec CANUT _5 novembre 2026 — https://ip73.fr/2026/11/05/rimini-street-obtient-un-cadre-d-entretien-tiers-avec-canut/_ Rimini Street, fournisseur de support logiciel, vient de remporter un accord-cadre de maintenance tiers avec CANUT, le Centre d'Achat des Collectivités. Ce contrat permet aux organismes soumis au Code de la commande publique français d'accéder de manière simplifiée à des alternatives de support pour leurs systèmes d'information, notamment ceux basés sur Oracle, SAP et VMware. CANUT, association à but non lucratif régie par la loi de 1901, œuvre pour les collectivités locales et les bailleurs sociaux. Il fournit des contrats d'achat simplifiés qui couvrent l'intégralité des besoins en numérique et télécommunications de ses bénéficiaires, assurant ainsi des conditions d'achat préférentielles. L'arrivée de Rimini Street dans cet écosystème public change des choses pour beaucoup de municipalités et d'établissements publics. L'entreprise américaine, qui opère sous la marque Nasdaq : RMNI, se positionne comme un acteur mondial dans le support de logiciels d'entreprise critiques. Elle est reconnue comme un prestataire tiers majeur pour des éditeurs comme Oracle, SAP et VMware. Rimini Street utilise sa méthodologie « Rimini Smart Path™ » pour aider ses clients, qui incluent des entreprises du Fortune Global 100 aux organismes gouvernementaux, à obtenir des économies substantielles et à financer leurs initiatives d'innovation, y compris l'intégration de l'IA. ## Simplification de l'accès aux solutions de support Ce cadre d'accord offre aux entités publiques un chemin allégé pour obtenir un support alternatif. En pratique, cela signifie que des administrations peuvent désormais bénéficier des services de Rimini Street en appliquant le cadre d'achat préétabli par CANUT. L'objectif affiché est de donner aux collectivités un meilleur contrôle sur leur infrastructure logicielle. Pour les gestionnaires de systèmes, le recours à une solution de maintenance tierce est souvent une question de maîtrise des coûts et de continuité de service, surtout lorsqu'il s'agit de systèmes ERP complexes. Cet accord vise à garantir que les bénéficiaires de CANUT aient un accès structuré à cette option de support. ## Les enjeux autour de la maintenance logicielle Le marché du support logiciel, en particulier pour les systèmes ERP majeurs, est complexe. Les éditeurs originaux proposent des contrats coûteux, et la gestion de ces licences peut devenir un casse-tête administratif. Rimini Street propose une alternative qui, pour beaucoup, permet d'optimiser les dépenses sans sacrifier la mission critique de l'outil. L'entreprise mentionne d'ailleurs son développement d'« Agentic AI ERP solutions », indiquant que le support ne se limite plus au maintien en condition opérationnelle classique. Les risques associés à ce modèle sont bien réels. Rimini Street mentionne dans ses documents que l'intégration de l'intelligence artificielle dans ses produits comporte des risques, notamment que « les technologies d'IA agentiques puissent prendre des actions au-delà de celles qui sont intentionnelles ou autorisées » (ITWeb). | Caractéristique | CANUT | Rimini Street | | :--- | :--- | :--- | | Cadre d'achat | Oui (pour les membres) | N/A | | Secteur cible | Collectivités, non-lucratif | Fortune Global 100, Public, Midmarket | | Expertise | Réseau d'achat public | Support tiers Oracle, SAP, VMware | ## L'IA dans le support d'entreprise Ce qui marque dans le discours de Rimini Street, c'est l'intégration de l'IA. L'entreprise ne se contente pas de réparer des bugs ; elle intègre des capacités d'aide à la décision via ses solutions ERP basées sur l'IA. C'est une évolution qui montre que le support logiciel ne doit plus être perçu uniquement comme un centre de coût réactif, mais comme un levier proactif d'optimisation opérationnelle. L'accord avec CANUT valide, d'une certaine manière, l'entrée de ces solutions plus avancées dans le périmètre des achats publics. Il faut se demander si les collectivités sont réellement préparées à intégrer une composante d'IA aussi profonde dans leurs systèmes de gestion, sans avoir une équipe interne dédiée à la gouvernance de ces agents intelligents. Il faudra surveiller comment ce cadre d'achat va se traduire concrètement sur le terrain. L'échéance à observer, c'est celle des appels d'offres publics futurs, pour voir si l'attractivité des économies proposées par ce type de partenariat l'emporte sur la prudence qu'exige la gestion de l'innovation critique. ## Sources - [Rimini Street Awarded CANUT Third-Party Maintenance Framework Agreement](https://www.itweb.co.za/article/rimini-street-awarded-canut-third-party-maintenance-framework-agreement/GxwQDM1DLPJ7lPVo), ITWeb, 4 novembre 2026 - [Rimini Street Awarded CANUT Third-Party Maintenance Framework Agreement](https://itwire.com/guest-articles/company-news/rimini-street-awarded-canut-third-party-maintenance-framework-agreement), iTWire, 5 novembre 2026 --- # Pillow : failles de lecture OOB et déni de service _5 novembre 2026 — https://ip73.fr/2026/11/05/pillow-failles-de-lecture-oob-et-deni-de-service/_ Plusieurs failles dans la bibliothèque Pillow, utilisée pour le traitement d'images en Python, exposent les systèmes à des fuites de mémoire ou à un blocage total. Ubuntu Security a rendu publique une série de notifications (USN-8999-1), signalant que des problèmes d'implémentation dans la librairie peuvent permettre à un attaquant de provoquer des dénis de service ou d'exfiltrer des informations sensibles. Le cœur du problème concerne la gestion de certains formats de fichiers. Pour le format McIdas AREA, une erreur dans le traitement des valeurs de stride de carte permet, selon les analyses techniques, une lecture hors limites (out-of-bounds read). En fournissant des en-têtes contrôlables, un attaquant peut forcer le programme à lire au-delà des données allouées, ce qui peut mener à l'exposition de la mémoire adjacente du processus ou à un blocage immédiat du système. ## Ce qui est touché et la gravité réelle Ces failles ne sont pas sans conséquence. Les problèmes liés au stride des lignes, documentés par la communauté GitHub, permettent théoriquement de contourner les garde-fous de lecture. Il s'agit d'une attaque à distance, mais elle nécessite la manipulation d'un fichier spécifique — une image McIdas AREA — et l'utilisation des fonctions de Pillow, comme `Image.tobytes()` ou `getpixel`. Le risque de déni de service est immédiat pour tout service traitant ce type de fichier. Au-delà de ce vecteur de lecture, Pillow présente d'autres failles liées à la gestion des bombes de décompression. Plusieurs CVE, dont CVE-2026-54059, CVE-2026-54060 et CVE-2026-55379, indiquent que la librairie ne vérifie pas correctement les structures des fichiers de polices ou des fichiers GD. Le résultat est une allocation mémoire excessive, amenant à un blocage du service. On observe là le même schéma de risque : des vérifications manquantes sur des données externes permettent à l'attaquant de dicter la consommation de ressources. ## Qui doit agir et comment La bonne nouvelle, c'est que les correctifs sont disponibles. Selon Ubuntu Security, la mise à jour est la seule parade efficace. Les versions corrigées varient selon la distribution : pour Ubuntu 26.04 LTS, il faut migrer vers la version `python3-pil – 12.1.1-2ubuntu1.4`. Pour les systèmes 24.04 LTS et 22.04 LTS, les versions à installer sont respectivement `10.2.0-1ubuntu1.4` et `9.0.1-1ubuntu0.6`. Il est impératif de s'assurer que tous les environnements qui dépendent de Pillow suivent ces mises à jour rapidement. On note que certaines failles, comme celle concernant les fichiers EPS et un compte d'octets négatif, n'affectent que des versions spécifiques, notamment Ubuntu 26.04 LTS pour CVE-2026-59203, ce qui complexifie l'inventaire des dépendances. ## Que faire maintenant Si votre infrastructure repose sur des applications traitant des images, surtout des fichiers provenant de sources non maîtrisées, la revue des versions de Pillow est prioritaire. En attendant une mise à jour complète, si vous travaillez avec des fichiers McIdas AREA, il est conseillé de mettre en place une validation des métadonnées entrantes pour détecter des valeurs aberrantes sur les champs de stride avant de les passer à la librairie. Surveiller l'implémentation des mécanismes de limite de taille pour les flux PDF décompressés (CVE-2026-59200) reste également une bonne pratique défensive. ## Fiche technique | CVE | Produit | Gravité | Exploitée activement | Versions corrigées | |---|---|---|---|---| | CVE-2026-54058 | pillow (pip) | Élevée (CVSS 8,3) | Non signalée | pillow 12.3.0 | | CVE-2026-54059 | pillow (pip) | Élevée (CVSS 7,5) | Non signalée | pillow 12.3.0 | | CVE-2026-54060 | pillow (pip) | Élevée (CVSS 7,5) | Non signalée | pillow 12.3.0 | *Données : [NVD](https://nvd.nist.gov/) (NIST) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).* ## Sources - [USN-8999-1: Pillow vulnerabilities](https://ubuntu.com/security/notices/USN-8999-1), Ubuntu Security, 4 novembre 2026 - [Avis de sécurité (github.com)](https://github.com/python-pillow/Pillow/security/advisories/GHSA-62p4-gmf7-7g93), github.com, 14 juillet 2026 - [GHSA-62p4-gmf7-7g93](https://github.com/advisories/GHSA-62p4-gmf7-7g93) : Pillow: Out-of-bounds read via attacker-controlled row stride on Pillow's mmap path…, GitHub Advisory Database (CC BY 4.0) - [CVE-2026-54058](https://nvd.nist.gov/vuln/detail/CVE-2026-54058), NVD (NIST) - [GHSA-8v84-f9pq-wr9x](https://github.com/advisories/GHSA-8v84-f9pq-wr9x) : Pillow \`PcfFontFile.\_load\_bitmaps()\`: \`Image.frombytes()\` called without…, GitHub Advisory Database (CC BY 4.0) - [CVE-2026-54059](https://nvd.nist.gov/vuln/detail/CVE-2026-54059), NVD (NIST) - [GHSA-5x94-69rx-g8h2](https://github.com/advisories/GHSA-5x94-69rx-g8h2) : Pillow: \`FontFile.compile()\`: \`Image.new()\` called without \`\_decompression\_bomb\_check()\`, GitHub Advisory Database (CC BY 4.0) - [CVE-2026-54060](https://nvd.nist.gov/vuln/detail/CVE-2026-54060), NVD (NIST) --- # AWS prouve l’indépendance de son Cloud souverain européen _5 novembre 2026 — https://ip73.fr/2026/11/05/aws-prouve-l-independance-de-son-cloud-souverain-europeen/_ L'exercice mené par Amazon Web Services le 24 octobre 2026 a prouvé que le Cloud souverain européen peut fonctionner de manière totalement autonome, sans dépendre d'aucune infrastructure située hors de l'Union Européenne. Ce fut la première démonstration publique technique de l'indépendance d'une région de cloud souverain. Ce partitionnement de cloud, devenu disponible en janvier 2026 avec sa première région à Brandebourg, en Allemagne, est conçu pour être physiquement et logiquement séparé des autres régions AWS. Selon AWS, toutes les données des clients et les métadonnées générées par eux restent bien en UE. La gestion et l'opération sont assurées par des entités juridiques européennes établies sous droit allemand, et l'entreprise procède progressivement à une opérationnalisation exclusive par des citoyens européens résidant dans l'UE. Lors de l'essai, les équipes ont coupé les deux systèmes globaux habituellement sollicités : le réseau backbone mondial d'AWS et un système local dédié à la gestion des transferts de données opérationnelles contrôlés. Le trafic, qui passe habituellement par le réseau mondial, a été redirigé en toute sécurité via l'Internet public. Le résultat fut clair : le Cloud souverain a continué à fonctionner pendant plusieurs heures en utilisant uniquement ses ressources matérielles et logicielles, gérées par du personnel européen sur le territoire de l'UE. L'impact sur la disponibilité des services n'a été nul, ni dans le Cloud souverain, ni dans les autres régions AWS. ## L'assurance de la souveraineté pour les secteurs régulés Ce test n'est pas une simple déclaration de conception ; il fournit une preuve technique et opérationnelle vérifiable. En affirmant la transparence de son engagement, AWS met à disposition des organisations opérant dans des secteurs très réglementés, ainsi que du secteur public, un élément concret à présenter à leurs régulateurs et à leurs conseils d'administration en matière de conformité. Les partenaires qui ont assisté à cette démarche ont souligné l'importance de cette preuve de continuité d'activité. Fernando Alvarez, chez Capgemini, a rappelé que « la souveraineté numérique est finalement une question de confiance et de protection de la continuité des activités » (Capgemini). Michael Kollar, chez Atos, a insisté sur le fait que « l'autonomie, la résilience et le contrôle opérationnel sont les fondations qui animent les préoccupations de souveraineté numérique » (Atos). ## Le contexte des infrastructures en pleine mutation Si AWS met en lumière la maîtrise des données dans un cadre cloud structuré, le secteur des infrastructures montre, par ailleurs, d'autres formes de tensions. D'après The Stack, alors que Google et Microsoft affichent des résultats record grâce à la dynamique de l'IA, d'autres entreprises font face à des défis internes complexes. Plus tôt en octobre, la société Railway, fournisseur de cloud orienté ingénierie, a subi une faille de sécurité. Josh Manders, fondateur de Primcloud, a noté que l'un de leurs propres ingénieurs avait réussi à utiliser des identifiants internes pour scanner les adresses réseau et tenter de récupérer des secrets de la plateforme. L'employé, Jake Runzer, a reconnu l'incident en expliquant qu'il testait des agents sur des plateformes concurrentes, mais il a rapidement stoppé l'opération. Parallèlement, l'écosystème des composants matériels est sous pression. Marvell, société américaine spécialisée dans les circuits intégrés, a engagé Lumentum dans une acquisition totale de 115 milliards de dollars. Marvell espère que les composants optiques de Lumentum pourront accélérer le transfert de données entre les serveurs, un goulot d'étranglement majeur pour les charges de travail d'IA en centre de données conventionnels. Pourtant, les investisseurs restent prudents, avec une baisse de plus de 12 % des actions de Marvell, face aux inquiétudes concernant les contraintes d'alimentation et les dépenses en capital incertaines de Microsoft et Google. ## Sources - [Inside a successful AWS European Sovereign Cloud exercise to demonstrate independent operation \| Amazon Web Services](https://aws.amazon.com/blogs/security/inside-a-successful-aws-european-sovereign-cloud-exercise-to-demonstrate-independent-operation/?ref=thestack.technology), aws.amazon.com - [Red teams, wrong targets and a $115bn bet on optics](https://www.thestack.technology/red-teams-wrong-targets/), The Stack, 4 novembre 2026 ## Crédits photo - Image en une : [Wikimedia Foundation Servers-8055 35](https://commons.wikimedia.org/wiki/File:Wikimedia_Foundation_Servers-8055_35.jpg), par Victor Grigas, [CC BY-SA 3.0](https://creativecommons.org/licenses/by-sa/3.0), via Wikimedia Commons (recadrée) --- # Kimi K3.1 Pro : déploiement sur GPU NVIDIA et TPU Google via llm-d _5 novembre 2026 — https://ip73.fr/2026/11/05/kimi-k3-1-pro-deploiement-sur-gpu-nvidia-et-tpu-google-via-llm-d/_ Le déploiement de Kimi K3.1 Pro, un modèle MoE de 2,8 trillions de paramètres, impose aux ingénieurs une problématique qui dépasse la simple taille des poids : l'orchestration des systèmes distribués. Selon les guides mis à jour par github.com, la mise en service de ce modèle sur des plateformes hétérogènes, comme les NVIDIA GB300 ou les TPU Google, repose sur des architectures d'une complexité redoutable. Ces recettes concrètes, validées par le projet CNCF llm-d, visent à maintenir des performances de pointe en production, en gérant notamment les fenêtres de contexte massives de 1 million de tokens. On assiste ici à une véritable gymnastique d'optimisation qui va bien au-delà d'une simple exécution du modèle. ## Architecture sur GPU NVIDIA GB300 Pour faire tourner Kimi K3.1 Pro sur des clusters de 40 GPU NVIDIA GB300, l'architecture adoptée est une désagrégation Pouvoir/Décodage (P/D) tripartie. Ce schéma implique une séparation nette des tâches : un groupe de pré-remplissage (Prefill Pool), utilisant huit parallèles de tenseur (TP=8) et huit de experts (EP=8), et un autre groupe de décodage (Decode Pool), qui opère avec seize parallèles de données (DP=16) et seize de experts. Cette isolation permet d'empêcher les pics de calcul lors de l'ingestion de longs prompts de dégrader l'interactivité lors de la génération de tokens subséquents. L'aspect critique ici, c'est le partage du cache de clés-valeurs (KV cache). Il est géré par une combinaison de NixlConnector et MooncakeStoreConnector, utilisant le protocole RDMA. Cela permet de distribuer l'état du cache sur plusieurs nœuds, réduisant ainsi la pression sur la mémoire HBM de chaque accélérateur. En parallèle, la technique de *speculative decoding* via DSpark est employée pour accélérer le temps de première réponse (TTFT). ## L'approche TPU et la gestion de la mémoire Le passage aux TPU Google 7x, orchestré par SGLang, présente un défi différent, surtout concernant la gestion du contexte. Pour des modèles de ce calibre, les poids seuls dépassent la capacité de mémoire haute bande d'un seul nœud. La configuration sur TPU passe par un parallélisme de 32 tenseurs et 8 experts par tranche de processeurs. Ce qui est notable, c'est l'implémentation du *HiCache*. Ce mécanisme permet de décharger les préfixes évincés — ces pages de mémoire et les états récurrents — dans la DRAM hôte, une mémoire deux fois plus grande que la mémoire HBM de l'accélérateur. Que ce soit sur les GPU avec vLLM ou sur les TPU avec SGLang, l'enjeu majeur est la portabilité et la résilience. llm-d se positionne comme le contrôleur unifié, capable d'appliquer des stratégies sophistiquées de routage et de répartition de charge, quel que soit le fournisseur de cloud ou l'accélérateur sous-jacent. Les équipes observent que cette abstraction permet de configurer des schémas de service qui restent cohérents, même si les connecteurs de transfert de données changent entre un environnement NVIDIA et un environnement TPU. ## Sources - [llm-d/guides/models/kimi-k3-1/README.md at main · llm-d/llm-d](https://github.com/llm-d/llm-d/blob/main/guides/models/kimi-k3-1/README.md), github.com - [GitHub - llm-d/llm-d: State of the art inference performance with modern accelerators on Kubernetes](https://github.com/llm-d/llm-d), github.com - [Serving Moonshot AI's Kimi K3.1 Pro with llm-d across TPUs and GPUs](https://llm-d.ai/blog/deploy-kimi-k3-1-pro-with-llm-d), llm-d, 4 novembre 2026 - [vLLM Delivers Day-0 Support for Kimi K3.1 Pro](https://vllm.ai/blog/2026-11-04-kimi-k31-pro), vLLM, 4 novembre 2026 - [Huawei Ascend Adds Day-Zero Support for Kimi K3.1 Pro Across Atlas A3 and Ascend 950 SuperPoDs](https://pandaily.com/huawei-ascend-day-zero-kimi-k3-1-pro-vllm-ascend-sglang-atlas-900-a3-950-superpod), Pandaily, 5 novembre 2026 --- # Anthropic utilise un agent IA pour trouver des bugs dans des paquets Python _5 novembre 2026 — https://ip73.fr/2026/11/05/anthropic-utilise-un-agent-ia-pour-trouver-des-bugs-dans-des-paquets/_ Anthropic annonce avoir développé un agent capable de repérer des erreurs de logique dans de grands projets logiciels, en appliquant une méthode de test avancée. Cet outil a permis de signaler des centaines de potentiels bugs dans des paquets Python très utilisés, dont NumPy, SciPy et Pandas, après un processus de validation très rigoureux. Le cœur de cette démarche repose sur le *property-based testing* (PBT), un paradigme qui cherche à vérifier si une propriété générale d’un code tient pour l'ensemble des entrées possibles, plutôt que de tester des cas d'usage spécifiques. Contrairement aux tests classiques où l'on vérifie qu'une entrée donnée produit une sortie attendue, le PBT exige de spécifier une invariance : par exemple, que la désérialisation JSON soit l'inverse de la sérialisation. Le cadre de test génère alors automatiquement des scénarios pour trouver les failles. L’équipe a utilisé un command Claude personnalisé pour automatiser ce processus. L'agent lit le code cible, analyse la documentation et les annotations de type, puis propose lui-même des propriétés logiques. Il écrit ensuite les tests correspondants en utilisant le framework Hypothesis, ce qui lui permet de simuler des scénarios bien au-delà de ce qu'un développeur pourrait anticiper. Ce système n'est pas une simple démonstration académique. Pour éviter de surcharger les mainteneurs des projets open source avec des faux positifs, le processus d'audit est particulièrement laborieux. Les bugs identifiés sont soumis à l'avis de trois experts humains, et seuls ceux jugés valides par ces relecteurs passent à une vérification finale par les auteurs avant d'être signalés. ## Le PBT face aux limites des tests unitaires La différence entre les tests basés sur des exemples et les tests basés sur les propriétés est fondamentale. Un test unitaire standard vérifie un comportement connu ; il est excellent pour confirmer des fonctionnalités spécifiques. Cependant, s'il manque un cas limite que le développeur n'a pas imaginé, le bug persiste. Le PBT, en revanche, agit comme un explorateur systématique. Il ne se contente pas de vérifier ce qui *devrait* se passer pour des entrées choisies, il vérifie les *règles* générales que le code doit respecter, même lorsque l'entrée est radicalement différente. Ce mécanisme permet de trouver des failles logiques, celles qui sont la source de beaucoup de vulnérabilités, même lorsque le code semble fonctionner parfaitement avec les exemples fournis. On peut penser au cas d'une fonction de normalisation de requêtes : elle devrait toujours produire le même résultat si on la passe deux fois de suite, une propriété appelée idempotence. Le PBT est fait pour attraper ces incohérences. ## Vers une détection proactive des failles En se concentrant sur l'identification de bugs en général, et non uniquement sur les failles de sécurité, les chercheurs d'Anthropic montrent que cette approche est applicable à de nombreux domaines. Bien que les vulnérabilités de sécurité soient souvent le résultat d'erreurs logiques, cette méthode ouvre la porte à une surveillance prédictive. Les auteurs mentionnent qu'ils envisagent d'appliquer ces techniques pour identifier des problèmes avant même le déploiement d'un logiciel. Ils ont rendu publics tous les jeux de données générés, y compris les bugs qui n'ont pas encore été validés, permettant ainsi aux contributeurs des dépôts de les examiner directement. Les équipes prévoient de continuer à soumettre les rapports de bugs restants et d'étendre l'application de ce système à davantage de projets PyPI. ## Sources - [Finding bugs with Claude and property-based testing](https://www.anthropic.com/research/property-based-testing), anthropic.com - [Property-based testing: How to find bugs your unit tests miss](https://circleci.com/blog/property-based-testing/), CircleCI, 4 novembre 2026 --- # CUDA 13.5 généralise Vera Rubin et affine le contrôle MPS v3 _4 novembre 2026 — https://ip73.fr/2026/11/04/cuda-13-5-generalise-vera-rubin-et-affine-le-controle-mps-v3/_ La sortie de CUDA 13.5, accompagnée du pilote Linux 620.70.06, marque une étape importante pour l'accélération informatique, notamment avec la généralisation du support pour l'architecture Vera Rubin. Cette mise à jour positionne l'écosystème NVIDIA pour les applications en production sur ces nouvelles plateformes. Mais au-delà de l'arrivée des nouveaux cœurs, ce qui frappe, c'est le raffinement des outils de gestion des ressources, en particulier autour du Multi-Process Service (MPS) v3. MPS v3 remplace l'ancienne interface interactive de MPS v2 par une syntaxe de commandes basées sur des modules et des verbes, et il introduit des noms de serveurs et des espaces de noms (namespaces) configurables par fichiers. L'ancienne fonctionnalité de MPS v2 continue de fonctionner sans changement, mais MPS v3 est sélectionné explicitement en utilisant le drapeau `-p 3` ou en définissant la variable d'environnement `CUDA_MPS_PROTOCOL_VERSION` à 3. Il est à noter que si les deux sont définis, la variable d'environnement prime. Cette nouvelle architecture permet une gestion beaucoup plus granulaire des ressources. Un serveur MPS est une entité gérée indépendamment, et contrairement à MPS v2 où un seul serveur pouvait être actif par UID, MPS v3 supporte désormais plusieurs serveurs nommés en même temps. Mais c'est le concept de namespace qui permet de vraiment structurer le travail. Il subdivise les ressources d'un serveur pour un groupe de clients, évitant ainsi de devoir créer un serveur dédié pour chaque groupe. C'est une architecture qui répond au besoin de mutualisation sans sacrifier l'isolation. Les développeurs gagnent en finesse de contrôle sur le temps de calcul. Le *weighted timeslicing* permet d'attribuer des tours de calcul plus longs à certains serveurs. En parallèle, le *SM partition load balancing* laisse les partitions emprunter ou prêter des unités de calcul (SMs) lorsque les ressources sont disponibles. Ces réglages sont indépendants : une partition peut emprunter, prêter, ou faire les deux. MPS récupère les ressources empruntées avant de les réattribuer, mais l'application voit une taille de partition de base stable. ## Structurer les charges de travail avec les namespaces La capacité à définir des namespaces permet, par exemple, d'appliquer des limites de mémoire épinglée ou des pourcentages de threads actifs à un groupe de clients donné, sans impacter les autres utilisateurs du même serveur. De plus, l'intégration du *cgroup-based routing* est un changement majeur, disponible depuis la version du pilote r620. En liant un sous-arbre *cgroup v2* à un namespace lors de sa création, le lanceur de charge de travail peut faire en sorte que les clients se connectant via le socket principal soient automatiquement dirigés vers la politique de ressources définie pour ce namespace. C'est une automatisation puissante qui simplifie l'orchestration des processus. La syntaxe de MPS v3 est désormais basée sur des commandes *module verb*, ce qui est plus structuré. Pour créer un serveur nommé, on utilise une commande spécifique, et pour y créer un namespace, on peut spécifier des attributs comme un chemin *cgroup* pour le mappage automatique. Les namespaces subdivisent les ressources d'un serveur, incluant les limites de mémoire épinglée, le pourcentage de threads actifs, la priorité des clients et les partitions SM par périphérique. Voici un aperçu de ce que permettent ces outils de contrôle : | Fonctionnalité MPS v3 | Ce qu'elle permet | Impact principal | Priorité de contrôle | | :--- | :--- | :--- | :--- | | Server | Gestion d'instances de calcul indépendantes | Isolation au niveau du serveur | Niveau Haut (Server) | | Namespace | Subdivision des ressources d'un serveur | Isolation au niveau du groupe de clients | Niveau Moyen (Namespace) | | Cgroup Routing | Association automatique de processus | Déploiement automatisé des politiques | Niveau Bas (Client) | ## Les ajustements fins et les choix d'exploitation CUDA 13.5 ne se contente pas de refondre les outils de contrôle ; il apporte aussi des capacités matérielles importantes. Le support de Windows sur Arm s'étend désormais à NVIDIA DGX Station pour Windows. Sur le plan des partitions SM, la nouvelle API permet aux applications de choisir entre des partitions uniformes ou des partitions qui englobent tous les SM disponibles dans un domaine de localité. Si l'on veut exploiter au maximum le matériel, on peut utiliser le drapeau `cudaDevSmResourceGroupLocalityDomainSupplementalSms` pour intégrer ces SM supplémentaires dans chaque domaine sélectionné, même si les partitions résultantes ne sont pas de taille identique. Cela offre un choix entre prédictibilité et utilisation maximale du matériel. Un autre détail technique concerne le traitement de la mémoire. Pour les décisions d'éviction, MPS peut utiliser un mode de *polling* basé sur la lecture directe des usages et des limites, servant de filet de sécurité si les notifications de seuil *cgroup* venaient à manquer ou à être peu fiables. De plus, les assignments de partitions SM au niveau du namespace priment sur les réglages d'environnement. Si un namespace n'a pas d'assignation pour un périphérique, l'environnement conserve son rôle de repli. En matière de communication, CUDA 13.5 ajoute le support de la communication multi-GPU directement dans les noyaux CUDA Tile. Les pointeurs *Unicast* permettent à un noyau d'accéder à la mémoire d'un autre GPU connecté par NVLink, tandis que les pointeurs *multicast* et les opérations *multimem* supportent les réductions sur les tissus NVIDIA NVSwitch avec NVLink SHARP. Modifier un attribut de namespace, tel que le chemin *cgroup*, impose que les clients soient déconnectés avant que les nouvelles règles ne puissent prendre effet. La façon dont les namespaces substituent aux variables d'environnement requiert une nouvelle rigueur : il est essentiel de savoir précisément quel namespace un client cible, que ce soit via son socket ou son rattachement à un *cgroup v2* donné. ## Sources - [MPS v3 Interface#](https://docs.nvidia.com/deploy/mps/latest/mpsv3-interface.html), docs.nvidia.com - [MPS v3 Namespaces#](https://docs.nvidia.com/deploy/mps/latest/mpsv3-namespaces.html), docs.nvidia.com - [NVIDIA CUDA 13.5 Brings NVIDIA Vera Rubin GA Support](https://developer.nvidia.com/blog/nvidia-cuda-13-5-brings-nvidia-vera-rubin-ga-support/), NVIDIA, 4 novembre 2026 - [NVIDIA CUDA 13.5 Released With Production Support For Vera Rubin](https://www.phoronix.com/news/NVIDIA-CUDA-13.5), Phoronix, 4 novembre 2026 --- # Vulnérabilité GitHub : champs privés exposés via CEL et NativeTypes _4 novembre 2026 — https://ip73.fr/2026/11/04/vulnerabilite-github-champs-prives-exposes-via-cel-et-nativetypes-2/_ Un champ marqué `json:"-"` peut être lu par n'importe quel utilisateur via une expression CEL, contournant ainsi la directive d'omission prévue par l'encodage JSON. C'est le cœur de la vulnérabilité GHSA-gcjh-h69q-9w9g, qui impacte la manière dont GitHub gère les structures de données natives. Le problème réside dans la fonction `fieldNameByTag` utilisée par `ParseStructTag("json")`. Lorsque ce mécanisme lit les balises de structure Go, il interprète la balise `json:"-"` non pas comme un signal pour ignorer le champ, mais comme un nom de champ littéral, soit `"-"`. Cela contredit directement le comportement standard de l'encodage JSON, où un champ tagué de cette manière devrait être systématiquement omis. Cette mauvaise interprétation n'est pas seulement cosmétique ; elle permet d'accéder au champ. Une fois ce champ nommé `"-"` enregistré dans le système de types CEL, il devient accessible au runtime. Un utilisateur malveillant peut alors lire la valeur correspondante en utilisant une syntaxe d'accès par crochet, comme `dyn(req.auth)["-"]`. En plus de ce défaut spécifique, l'annonce de github.com souligne un problème secondaire mais potentiellement dangereux : `newNativeTypes` enregistre silencieusement toutes les structures imbriquées atteignables à partir du type initial, y compris celles issues de dépendances tierces que le développeur n'a jamais examinées. ## Les conséquences techniques de cette mauvaise lecture Ce mécanisme défaillant se propage à travers l'écosystème de type de GitHub. La fonction `FindStructFieldNames` liste ce champ, le traitant comme une entité valide. Pire encore, la fonction `FindStructFieldType` permet ensuite de récupérer la valeur sous-jacente du champ, car le nom `"-"` est accepté comme un identifiant légitime dans le système. L'impact est d'autant plus grave que le processus de conversion des objets natifs en valeurs au format JSON-like CEL ne filtre pas cette anomalie, insérant le champ `"-"` dans la sortie sans appliquer la règle d'omission JSON. Les développeurs s'attendent, en utilisant `ParseStructTag("json")`, à une sémantique d'encodage standard, ce qui n'est pas le cas ici. ## Des préoccupations similaires dans d'autres couches logicielles Ce genre de décalage entre la documentation attendue et le comportement réel n'est pas une nouveauté dans le domaine des systèmes complexes. Par exemple, dans l'écosystème des API, des changements majeurs dans les dépendances peuvent entraîner des ruptures inattendues. Apigee, par exemple, passe à Java 21 LTS, ce qui entraîne la suppression de modules Java EE et CORBA hérités. Les politiques JavaCallout personnalisées peuvent se casser en raison de l'accès non autorisé à des paquets internes comme `sun.security.*` ou en raison de la modification des signatures de méthodes. Ces changements obligent les équipes à vérifier minutieusement leur code pour éviter les `NoClassDefFoundError` ou les `InaccessibleObjectException` lors des mises à jour, une tâche qui demande une vigilance constante des développeurs. Il faut surveiller comment GitHub gère l'implémentation de ses outils de sécurité internes ; le fait que des mécanismes de validation de noms soient contournés par une simple interprétation d'une balise de métadonnées pose une question sur la robustesse globale de l'infrastructure. ## Sources - [GHSA-gcjh-h69q-9w9g - GitHub Advisory Database](https://github.com/advisories/GHSA-gcjh-h69q-9w9g), github.com - [Changes in Edge for Private Cloud 4.54.00 \| Edge for Private Cloud v4.54.00 \| Apigee Docs](https://docs.apigee.com/private-cloud/v4.54.00/changes-privatecloud-45400), docs.apigee.com - [November 04, 2026](https://docs.cloud.google.com/release-notes#November_04_2026), Google Cloud, 4 novembre 2026 --- # Vulnérabilité APT : APT d’Ubuntu expose à l’exécution de code root _4 novembre 2026 — https://ip73.fr/2026/11/04/vulnerabilite-apt-apt-d-ubuntu-expose-a-l-execution-de-code-root/_ Une faille dans le gestionnaire de paquets APT d'Ubuntu, identifiée sous le numéro USN-8996-1, permet à un attaquant distant d'exécuter du code en tant que root sur une machine victime. Ce problème, découvert par Max Justicz, réside dans la manière dont APT gère les liens physiques (hard links) lorsqu'il rencontre des redirections et doit réessayer le téléchargement d'un paquet. Les conséquences sont sérieuses : un attaquant positionné sur le chemin de la communication entre la machine et le serveur de paquets peut potentiellement inciter APT à installer un paquet non vérifié, menant à une exécution de code à distance avec les privilèges les plus élevés. L'attaque se déclenche lorsque le système tente d'installer un paquet. L'urgence est donc de mettre à jour. Selon Ubuntu Security, des versions spécifiques ont été publiées pour couvrir cette brèche. Par exemple, les utilisateurs de la version 26.10 stonking doivent passer à `apt – 3.3.3ubuntu0.1`, tandis que sur la version 24.04 LTS noble, la version requise est `apt – 2.8.4ubuntu0.1`. La liste des versions critiques s'étend jusqu'à la série 14.04 LTS trusty, qui nécessite `apt – 1.0.1ubuntu2.24+esm4`. Ce scénario repose sur la possibilité pour l'attaquant de modifier le trafic HTTP entre le système et le serveur de paquets, que ce soit via un miroir malveillant ou un proxy compromis. Les développeurs précisent que l'attaque exploite des redirections HTTP et des erreurs temporaires du serveur afin de contraindre APT à relancer le téléchargement. Cette vulnérabilité partage des caractéristiques avec des alertes précédentes. The Hacker News confirme qu'un défaut dans APT, le gestionnaire utilisé par Debian et Ubuntu, permet à un attaquant en position de modifier le téléchargement de paquets de remplacer un paquet vérifié par le sien, exécutant le code avec des droits root. Les développeurs d'APT qualifient cette faille de critique. Les informations disponibles montrent que, bien que les versions plus anciennes comme Ubuntu 20.04 LTS focal ne soient pas exposées par défaut, il est possible que des scripts utilisateurs aient activé le paramètre `Acquire::Retries`, rendant ces systèmes vulnérables par inadvertance. Ubuntu maintient à ce jour le statut de vulnérabilité pour l'ensemble des huit versions qu'il suit, de 14.04 LTS à 26.10. Pour ceux qui gèrent de grands parcs de serveurs, la solution passe par la mise à jour rapide. Ubuntu Pro propose une couverture de sécurité sur dix ans pour plus de vingt-cinq mille paquets, et cette couverture est gratuite pour jusqu'à cinq machines. Il faut surveiller attentivement si ces mécanismes d'attaque s'étendent aux sources de paquets accédées via HTTPS, une question que les rapports d'alerte n'ont pas éclaircie. ## Sources - [USN-8996-1: APT vulnerability](https://ubuntu.com/security/notices/USN-8996-1), Ubuntu Security, 4 novembre 2026 - [Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages and Run Code as Root](https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html), The Hacker News, 4 novembre 2026 - [Debian's APT Affected By Man-In-The-Middle Attack For Arbitrary Code Execution As Root](https://www.phoronix.com/news/Debian-APT-MITM-RCE), Phoronix, 4 novembre 2026 --- # CVE-2024-27834 : faille d’authentification activement exploitée sur produits Apple _4 novembre 2026 — https://ip73.fr/2026/11/04/cve-2024-27834-faille-d-authentification-activement-exploitee-sur/_ L'Agence américaine de cybersécurité et d'infrastructures (CISA) a inscrit la vulnérabilité CVE-2024-27834 dans son catalogue des failles connues pour être exploitées activement (KEV). Cette faille concerne iOS, iPadOS, macOS, Safari, tvOS et watchOS 10.5. Selon CISA KEV, elle permettrait à un attaquant de contourner l'authentification en bénéficiant de capacités de lecture et d'écriture arbitraires. Il est à noter que, d'après l'annonce de CISA KEV, l'utilisation de cette faille par des rançongiciels n'est pas connue. Néanmoins, sa présence dans le catalogue KEV confirme que des preuves d'exploitation sont établies par les autorités. ## Ce qui est touché et la gravité réelle La vulnérabilité CVE-2024-27834 est une faille d'authentification qui repose sur une mauvaise gestion au niveau des composants logiciels d'Apple. Techniquement, elle permettrait de contourner le mécanisme d'authentification par pointeur (Pointer Authentication) sur les appareils concernés. Ce niveau d'accès est conséquent, car il permettrait à un acteur malveillant d'obtenir des privilèges étendus sur l'appareil compromis. En regardant les ajouts récents au catalogue KEV, CISA cible des vecteurs d'attaque qui confèrent un contrôle total sur les actifs exposés. Bien que les informations spécifiques à CVE-2024-27834 ne détaillent pas une exploitation à distance sans authentification, le potentiel d'exploitation reste élevé compte tenu des systèmes touchés. D'autres rapports de sécurité d'Apple mentionnent des failles plus spécifiques. Par exemple, CVE-2024-27805 dans Core Data permettait un accès à des données utilisateur sensibles, et CVE-2024-27817 dans CoreMedia pouvait potentiellement mener à une exécution de code arbitraire. ## Qui doit agir et comment L'action est claire, surtout pour les agences fédérales américaines, pour lesquelles une échéance est fixée au 18 novembre 2026. Pour tous les utilisateurs et administrateurs, la directive est simple : appliquer les correctifs fournis par le fournisseur. Apple a déjà publié des mises à jour pour adresser ce type de problèmes. Pour CVE-2024-27834, les correctifs sont disponibles dans Safari 17.5, iOS 16.7.8 et iPadOS 16.7.8, ainsi que dans les versions plus récentes comme iOS 17.5 et iPadOS 17.5, et macOS Sonoma 14.5 et watchOS 10.5. CISA insiste sur le fait que les parties prenantes doivent évaluer l'exposition de chaque actif sur Internet et s'assurer du respect des directives de correction. Si les correctifs ne sont pas disponibles, la recommandation pour les services cloud est de cesser l'utilisation du produit si les mesures d'atténuation ne sont pas applicables. C'est une posture de prudence dictée par la criticité de la faille. ## Que faire maintenant Il ne faut pas attendre l'échéance fédérale. La gestion des risques exige une réaction immédiate face à une vulnérabilité listée en KEV. Les utilisateurs doivent impérativement vérifier la version de leurs systèmes d'exploitation et des applications concernées, notamment Safari, pour s'assurer d'être au-dessus des versions vulnérables. Les notes de sécurité d'Apple font référence à divers CVEs nécessitant des mises à jour, ce qui confirme que la maintenance régulière est la seule parade contre ce genre de menace. ## Fiche technique | CVE | Produit | Gravité | Exploitée activement | Versions corrigées | |---|---|---|---|---| | CVE-2024-27834 | — | Moyenne (CVSS 5,5) | Non signalée | Voir l’avis de l’éditeur | *Données : [NVD](https://nvd.nist.gov/) (NIST) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).* ## Sources - [CISA Adds Two Known Exploited Vulnerabilities to Catalog](https://www.cisa.gov/news-events/alerts/2026/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog), CISA, 30 octobre 2026 - [CISA Adds Actively Exploited GitLab RCE and Cisco Firewall DoS Flaws to KEV](https://thehackernews.com/2026/10/cisa-adds-actively-exploited-gitlab-rce.html), The Hacker News, 30 octobre 2026 - [Avis de sécurité (support.apple.com)](https://support.apple.com/en-us/HT214101), support.apple.com, 14 mai 2024 - [GHSA-4rmp-jjj9-cfm4](https://github.com/advisories/GHSA-4rmp-jjj9-cfm4) : The issue was addressed with improved checks. This issue is fixed in iOS 17.5 and iPadOS…, GitHub Advisory Database (CC BY 4.0) - [CVE-2024-27834](https://nvd.nist.gov/vuln/detail/CVE-2024-27834), NVD (NIST) ## Crédits photo - Image en une : [Apple iPad 11 gen. & Apple iPhone 16 (still in a box) (2025-12-02)](https://commons.wikimedia.org/wiki/File:Apple_iPad_11_gen._%26_Apple_iPhone_16_%28still_in_a_box%29_%282025-12-02%29.jpg), par Olgierd Rudak, [CC0](http://creativecommons.org/publicdomain/zero/1.0/deed.en), via Wikimedia Commons (recadrée) --- # Fuites de secrets sur Railway et Northflank, vague d’attaques IA _4 novembre 2026 — https://ip73.fr/2026/11/04/fuites-de-secrets-sur-railway-et-northflank-vague-d-attaques-ia/_ Railway a détecté une activité anormale impliquant des systèmes qui stockent des variables d'environnement client. L'enquête a révélé qu'un tiers non autorisé a pu accéder à des variables chiffrées, et pour certaines, obtenir leur contenu déchiffré. Ces variables peuvent contenir des secrets critiques, comme des clés d'API ou des identifiants de bases de données. L'entreprise pense que cela s'inscrit dans une série d'attaques visant les fournisseurs d'inférence d'IA. En conséquence, Railway a mis en pause tous ses déploiements pendant l'investigation. La recommandation est ferme : tous les utilisateurs doivent renouveler immédiatement leurs variables d'environnement, y compris les clés d'API et les identifiants de registres privés, tout en examinant les journaux de ces services pour toute activité inhabituelle. Les comptes concernés seront contactés directement par courriel. ## La pression sur les clés d'accès IA Ce n'est pas un cas isolé. Northflank a également fait état d'un incident de sécurité. L'analyse de la plateforme indique que l'attaque s'est concentrée sur les secrets conservés dans son plan de contrôle, et que les charges de travail en cours d'exécution n'ont pas été affectées. Néanmoins, Northflank insiste sur la nécessité de renouveler tous les secrets, y compris les clés des fournisseurs d'IA, des fournisseurs de cloud et les identifiants de services, même si les clients n'ont pas observé d'activité suspecte. Cette tendance est confirmée par des analyses de sécurité. Selon SecurityWeek, au cours du dernier mois, au moins une douzaine de plateformes de développeurs d'IA ont été ciblées. Les attaquants cherchent principalement à obtenir des jetons d'accès IA qu'ils peuvent ensuite monétiser, utilisant parfois des agents IA pour accélérer leurs intrusions. La Cloud Security Alliance a souligné que « les intrus atteignent les identifiants des fournisseurs d'IA via la couche intermédiaire des plateformes d'hébergement et des consoles de développeurs ». ## Automatisation des attaques et impact sur les données Au-delà des fuites sur les plateformes d'infrastructure, d'autres incidents montrent l'usage d'outils d'automatisation. Par exemple, WorkOS, plateforme de développement d'applications d'entreprise, a subi une brèche où l'attaquant aurait utilisé le cadre de tests d'intrusion IA open source Artex pour automatiser l'accès à une application commerciale interne. Les informations exposées incluaient des coordonnées professionnelles et des résumés de communications clients. Chainstack, fournisseur de services pour l'infrastructure blockchain et Web3, a été touché en octobre suite à une intrusion via un composant tiers. Les données potentielles compromises incluaient des noms d'organisations et des hachages de mots de passe. Wiz, qui analyse ces incidents, indique que la demande pour ces jetons d'accès IA est alimentée par la distillation, une technique permettant de former un modèle moins coûteux à partir des résultats d'un modèle plus avancé. Les deux entreprises, Railway et Northflank, ont mis en place des mesures correctives lourdes ; Northflank a notamment patché CVE-2026-98432, tandis que Railway a stoppé ses déploiements. Si la portée exacte de l'impact sur chaque utilisateur reste à déterminer, la rotation immédiate des identifiants est désormais la procédure par défaut que les entreprises du secteur doivent suivre. ## Sources - [Security Disclosure: Wednesday October 21st \| Railway Blog](https://blog.railway.com/p/security-disclosure-wednesday-october-21st), blog.railway.com - [Security incident - Incident details - Northflank - Status](https://status.northflank.com/cmvv0rn5a092f14rutwccodpp), status.northflank.com - [AI-Linked Breaches Mount as WorkOS, Northflank, Trigger.dev Disclose Hacks](https://www.securityweek.com/ai-linked-breaches-mount-as-workos-northflank-trigger-dev-disclose-hacks/), SecurityWeek, 4 novembre 2026 - [WorkOS says attacker used ARTEX AI to breach internal sales app](https://www.bleepingcomputer.com/news/security/workos-says-attacker-used-artex-ai-to-breach-internal-sales-app/), BleepingComputer, 3 novembre 2026 - [Chainalysis Warns Customers After “Offensive Agentic” Security Incident](https://www.infosecurity-magazine.com/news/chainalysis-customers-offensive/), Infosecurity Magazine, 2 novembre 2026 --- # Prompt adware dans les kits de jailbreak d’OpenAI Codex _4 novembre 2026 — https://ip73.fr/2026/11/04/prompt-adware-dans-les-kits-de-jailbreak-d-openai-codex/_ Des chercheurs ont mis au jour un mécanisme d'infection insidieux au sein des kits de jailbreak destinés à OpenAI Codex. Ce phénomène, baptisé « prompt adware » par Check Point Research, consiste à modifier les instructions internes d'un agent IA pour y insérer des publicités promotionnelles. L'analyse porte sur un paquet spécifique, le bundle Haiou, qui vise à contourner les protections intégrées aux modèles frontières. Ce dispositif n'est pas un virus traditionnel exécutable ; il opère entièrement par l'intermédiaire du langage naturel au sein des artefacts de configuration. Selon l'étude de Check Point Research, ce bundle modifie les fichiers de configuration de Codex afin d'injecter des annonces pour le site web de son auteur dans les réponses ultérieures de l'agent. Le modèle économique sous-jacent semble être l'utilisation de ce kit, distribué gratuitement, comme un canal d'acquisition pour un service payant : une passerelle LLM compatible OpenAI, agissant comme intermédiaire entre l'application et le fournisseur de modèles. Le kit Haiou emploie diverses techniques d'injection de prompt. Parmi celles-ci figure le « context-reframing », qui consiste à transformer une requête de cybersécurité en scénario de Capture The Flag (CTF), ainsi que des mécanismes de *role-playing* et de suppression des refus. Au-delà de contourner les garde-fous du modèle, il intègre des compétences (Skills) spécialisées en sécurité, couvrant le craquage de licences, les tests d'intrusion et l'ingénierie inverse. Le produit présente clairement un caractère de double usage, même si son auteur n'est pas impliqué dans des activités criminelles. On observe que ces outils, qui augmentent les capacités des acteurs de la cybercriminalité, sont utilisés en conjonction avec des outils connus comme Cobalt Strike et le framework Ladon, selon les rapports de Check Point Research. Ces kits de jailbreak fournissent une méthode relativement simple pour les utilisateurs désireux de continuer à exploiter les modèles pour des tâches offensives, même si des solutions plus formelles existent. ## Le mécanisme d'injection de contenu indésirable La sophistication du mécanisme réside dans son caractère persistant. Le paquet Haiou ne se contente pas d'appliquer des consignes de contournement ; il insère des publicités persistantes dans les fichiers d'instruction globaux de l'agent. Pour donner une idée du fonctionnement, des déclencheurs comme « Seagull », « hi », ou « hello » peuvent amener l'agent à afficher une publicité pour un site spécifique. Ce comportement est ainsi introduit via des instructions en langage naturel, et non par un payload exécutable que les équipes de sécurité reconnaissent immédiatement. Cette méthode trouve un écho dans d'autres outils. Par exemple, le projet Codex-X, une application de bureau open source développée en Chine, permet déjà de visualiser et de gérer ces injections de prompt et les compétences associées, offrant une interface graphique pour des outils qui, autrement, existeraient uniquement sous forme de fichiers configurables. Ce logiciel permet de gérer des fournisseurs API, de synchroniser des sessions et de visualiser les configurations TOML et JSON. ## Des implications pour la chaîne de confiance logicielle Le fait que ces systèmes intègrent des composants tiers ou des configurations externes soulève une question sérieuse quant à la confiance accordée aux agents IA. Comme l'a souligné Pedro Drimel Neto, responsable de l'équipe d'analyse de malwares chez Check Point, « les prompts, les Skills et les composants tiers qui influencent leur comportement font partie de la chaîne de confiance » à mesure que les agents deviennent partie intégrante des environnements d'entreprise. Il s'agit là d'un exemple flagrant de risque de chaîne d'approvisionnement logicielle amplifié par l'IA. Alors que les chercheurs ont documenté ce vecteur d'attaque spécifique sur GitHub, où le dépôt « haiou-codex » est présenté comme un « paquet de configuration d'amélioration locale » conférant à Codex une « personnalité technique chinoise », il reste à voir comment les fournisseurs de modèles réagissent à ce type de modification subtile des instructions de base. La surveillance de l'interaction entre les outils de gestion de prompts, comme Codex-X, et les promesses de sécurité des modèles sera sans doute la prochaine étape critique. ## Sources - [Free the Model, Sell the Gateway: Prompt Adware hidden in Jailbreak Bundles - Check Point Research](https://research.checkpoint.com/2026/free-the-model-sell-the-gateway-prompt-adware-hidden-in-jailbreak-bundles/), research.checkpoint.com - [GitHub - yynxxxxx/Codex-X: OpenAI Codex 桌面端/CLI 的可视化管理工具，具有Provider/API 切换、会话同步、提示词注入、Skills/MCP 管理、TOML 配置可视化的跨平台工具。](https://github.com/yynxxxxx/Codex-X), github.com - [Researchers Uncover Prompt Adware Hidden in OpenAI Codex Jailbreak Toolkit](https://thehackernews.com/2026/11/researchers-uncover-prompt-adware.html), The Hacker News, 4 novembre 2026 - [Free the Model, Sell the Gateway: Prompt Adware hidden in Jailbreak Bundles](https://research.checkpoint.com/2026/free-the-model-sell-the-gateway-prompt-adware-hidden-in-jailbreak-bundles/), Check Point Research, 3 novembre 2026 - [AI Coding Assistants’ Built-In Browsers Open a Path to Developer Secrets](https://devops.com/ai-coding-assistants-built-in-browsers-open-a-path-to-developer-secrets/), DevOps.com, 2 novembre 2026 --- # Benchmarks JSONBench : comparaison des implémentations JSON en Go _4 novembre 2026 — https://ip73.fr/2026/11/04/benchmarks-jsonbench-comparaison-des-implementations-json-en-go/_ Un outil de *benchmarking* a été mis en ligne sur GitHub, permettant de comparer la performance de diverses implémentations de sérialisation JSON pour le langage Go. L'initiative, nommée `jsonbench`, permet d'évaluer différentes bibliothèques — de `encoding/json` standard à des solutions plus spécialisées comme SonicJSON ou SegmentJSON — sur des jeux de données variés. Selon l'annonce de github.com, ce comparatif évalue huit implémentations distinctes. On y trouve JSONv1, la version standard, et JSONv1in2, qui réplique le comportement de l'API v1 en utilisant JSONv2. JSONv2 est une implémentation expérimentale qui vise à corriger les défauts du standard. Les tests ont été menés sur un AMD Ryzen 9 9950X et ont utilisé six ensembles de données pour couvrir différents scénarios : du GeoJSON structuré (CanadaGeometry) aux données de santé complexes (SyntheaFHIR), en passant par des flux de statut Twitter. Les résultats montrent que, pour la sérialisation depuis des types concrets, JSONv2 se positionne entre 1,2 fois plus rapide et 1,4 fois plus lent que JSONv1, selon les cas. ## Les compromis de l'implémentation v2 L'approche de JSONv2 vise une meilleure robustesse, mais cela passe par des changements sémantiques importants par rapport à l'API v1. Par exemple, lorsqu'on sérialise depuis un type concret, JSONv2 n'effectue plus le tri des clés d'un *map* Go, ce qui améliore la vitesse. En revanche, il vérifie systématiquement l'unicité des noms d'objets JSON, ce qui pénalise la performance. Cependant, lorsque l'on sérialise depuis un `map[string]any` ou un `[]any`, JSONv2 se révèle nettement plus rapide, atteignant jusqu'à 3,6 fois la vitesse de JSONv1. Cette accélération est notable car les alternatives, hormis JSONIterator, SonicJSON et SonnetJSON, effectuent traditionnellement un tri des clés. JSONv2 cherche à séparer clairement la syntaxe de la sémantique, une divergence notable par rapport à l'API historique. De plus, pour garantir la correction, il effectue un *shallow copy* des valeurs, même si cela ralentit l'opération. La mise en œuvre de support pour des méthodes définies par l'utilisateur ajoute aussi une surcharge, car elle nécessite de maintenir un état machine. ## Une course à la performance et à la correction Certaines implémentations, comme celles qui utilisent intensivement `unsafe`, tendent à être plus rapides, mais au détriment de la sécurité mémoire et de la sûreté des types. SonicJSON, par exemple, utilise une compilation juste-à-temps, lui donnant un avantage notable sur des jeux de données contenant des caractères Unicode à plusieurs octets, car il ne valide pas le UTF-8. La correction est un axe majeur de l'évolution. Les problèmes rencontrés avec l'ancienne `encoding/json` — comme l'acceptation de UTF-8 invalide ou de noms de membres dupliqués dans les objets JSON — ont motivé ce travail. Le fait que l'ancienne version accepte des noms dupliqués, comme l'illustre le cas CVE-2017-12635, où deux clés 'roles' pouvaient mener à une autorisation non désirée, souligne le besoin d'une approche plus stricte. JSONv2 est conçu pour être plus performant sans sacrifier la justesse, mais github.com le maintient comme expérimental, signalant qu'il est sujet à des changements majeurs. Il est à noter que JSONv2 est généralement aussi rapide ou plus rapide que les alternatives. ## Fiche technique | CVE | Produit | Gravité | Exploitée activement | Versions corrigées | |---|---|---|---|---| | CVE-2017-12635 | — | Critique (CVSS 9,8) | Non signalée | Voir l’avis de l’éditeur | *Données : [NVD](https://nvd.nist.gov/) (NIST) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).* ## Sources - [GitHub - go-json-experiment/jsonbench: JSON benchmarks to compare different Go JSON implementations](https://github.com/go-json-experiment/jsonbench), github.com - [GitHub - go-json-experiment/json: Experimental implementation of a proposed v2 encoding/json package](https://github.com/go-json-experiment/json), github.com - [A new Go API for JSON](https://go.dev/blog/jsonv2), Go, 4 novembre 2026 (contenu sous licence CC BY 4.0) - [GHSA-f3p2-qqmm-jg8f](https://github.com/advisories/GHSA-f3p2-qqmm-jg8f) : Due to differences in the Erlang-based JSON parser and JavaScript-based JSON parser, it…, GitHub Advisory Database (CC BY 4.0) - [CVE-2017-12635](https://nvd.nist.gov/vuln/detail/CVE-2017-12635), NVD (NIST) --- # DLSS 5 dans Hogwarts Legacy améliore l’éclairage sans dénaturer les personnages _4 novembre 2026 — https://ip73.fr/2026/11/04/dlss-5-dans-hogwarts-legacy-ameliore-l-eclairage-sans-denaturer-les/_ L'arrivée de DLSS 5, intégrant le rendu neuronal 3D, apporte des améliorations graphiques ciblées à « Hogwarts Legacy ». Nvidia montre que cette mise à jour se concentre sur l'environnement plutôt que sur la ressemblance des personnages. Contrairement aux versions non officielles vues précédemment, l'implémentation officielle est plus mesurée : elle affine les textures, l'éclairage, les ombres et les réflexions sans altérer fondamentalement l'apparence des protagonistes. Un nouveau tutoriel de Nvidia illustre l'impact de cette technologie. Les premières versions, sorties en mode modificatif, avaient suscité des critiques assez vives, notamment à cause de visages excessivement lissés ou de personnages semblant vieillis de plusieurs décennies. Nvidia insiste sur le fait que l'intégration officielle évite ces dérives, préservant ainsi l'identité visuelle voulue par les créateurs. Cette amélioration n'est pas une simple option à cocher dans le jeu ; les développeurs doivent ajuster spécifiquement le rendu pour valider les résultats. Le rendu neuronal est calibré pour sublimer les détails de l'environnement. Les modèles de personnages bénéficient d'une meilleure définition des textures, tandis que les jeux de lumière et les ombrages sont considérablement affinés. Ce traitement par l'intelligence artificielle se fait en temps réel. Si l'on prend l'exemple de la GeForce RTX 5090, Nvidia annonce une performance pouvant atteindre 300 images par seconde en résolution 4K. Ce chiffre inclut l'activation de plusieurs couches technologiques : Ray Reconstruction, Raytracing, NVIDIA Reflex, et la génération d'images multiples six fois plus grande. ## Les technologies en jeu et les prochaines sorties Pour que cette expérience soit optimale, Nvidia recommande d'activer en complément DLSS Super Resolution, DLSS Multi Frame Generation, et NVIDIA Reflex. En cas d'utilisation des effets de Raytracing, le recours à DLSS Ray Reconstruction est préconisé. Le jeu est attendu le 5 novembre. Par ailleurs, ce déploiement ne concerne pas uniquement ce titre. « War Thunder » devrait recevoir la mise à jour autour de la mi-novembre, et « Where Winds Meet » est prévu pour le 23 novembre. Ces titres, selon les informations, bénéficieront également de DLSS 5 avec le rendu neuronal. Cette nouvelle fonctionnalité est strictement réservée aux cartes graphiques de bureau et aux GPU de notebooks de la série GeForce-RTX-50, ainsi qu'aux systèmes RTX-Spark. Les générations précédentes de cartes ne sont pas prises en charge. Pour ceux qui ne possèdent pas le matériel requis, la technologie reste accessible via le service de cloud gaming de Nvidia, GeForce NOW Ultimate. Il faut donc noter que cette amélioration pilotée par l'IA est, pour l'instant, confinée à la dernière génération de matériel et aux offres cloud associées. ## Sources - [Nvidia DLSS 5: Hogwarts Legacy erhält ver­bes­serte Beleuchtung und Materialien](https://www.computerbase.de/news/gaming/nvidia-dlss-5-hogwarts-legacy-erhaelt-verbesserte-beleuchtung-und-materialien.100181/), ComputerBase, 4 novembre 2026 - [DLSS 5 Neural Rendering hits Hogwarts Legacy later this week](https://www.neowin.net/news/dlss-5-neural-rendering-hits-hogwarts-legacy-later-this-week/?utm_source=rss), Neowin, 3 novembre 2026 --- # Trou d’ozone antarctique 2026 : étendue importante mais profondeur limitée _4 novembre 2026 — https://ip73.fr/2026/11/04/trou-d-ozone-antarctique-2026-etendue-importante-mais-profondeur/_ Les relevés de la saison 2026, issus des instruments satellites et des sondes au sol, indiquent un trou d'ozone polaire antarctique d'une taille notable, même si sa profondeur n'a pas atteint les niveaux les plus extrêmes observés auparavant. Selon ozonewatch.gsfc.nasa.gov, l'étendue moyenne du trou, mesurée entre le 7 septembre et le 13 octobre, a couvert environ 9,6 millions de miles carrés, soit 25 millions de kilomètres carrés. Les scientifiques de la NASA et de la NOAA soulignent que ce trou, classé septième en termes de superficie sur les quarante-huit années de suivi, n'était pas aussi profond que d'autres événements historiques. Ce phénomène est intrinsèquement lié aux conditions atmosphériques. Un vortex polaire particulièrement puissant a étendu la période de déplétion de l'ozone cette saison, permettant au trou d'atteindre des proportions inédites depuis une décennie. Amy Butler, chercheuse à la NOAA Chemical Sciences Laboratory, explique que ce vortex inhabituellement large est dû à une faiblesse des systèmes météorologiques planétaires en août et septembre, ce qui a maintenu les vents les plus intenses plus loin du pôle. Le mécanisme sous-jacent reste le même : la présence de chlore et de brome issus de composés fabriqués par l'homme. Pour contextualiser, on rappelle que l'ozone est un gaz incolore qui, près de la surface, peut endommager les tissus pulmonaires, mais qui absorbe aussi les rayons ultraviolets B nocifs. En haute altitude, cette couche protège les êtres vivants. Historiquement, le trou d'ozone a été identifié par la British Antarctic Survey entre 1981 et 1983, avant que les mesures satellitaires ne confirment que ce phénomène était continental. Ce processus repose sur la migration de chlorofluorocarbures (CFC) dans la stratosphère, où le rayonnement solaire les décompose pour libérer des atomes de chlore, activant la destruction chimique. L'évolution de cette situation est étroitement surveillée. D'après l'historique des relevés, le plus bas niveau d'ozone mesuré au-dessus du pôle Sud durant la période 1986 à 1997 était de 89 Dobson Units (DU) le 12 octobre 1993. Cela contraste avec des valeurs d'environ 300 DU en octobre 1970. L'Unité Dobson sert à quantifier l'épaisseur d'une colonne d'ozone. Cependant, le cadre réglementaire international a joué un rôle majeur. Les mesures prises suite aux régulations du Protocole de Montréal, en vigueur depuis janvier 1996, montrent un déclin des concentrations atmosphériques de ces substances destructrices. Stephen Montzka, scientifique de la NOAA Global Monitoring Laboratory, indique que les niveaux de chlore dans la stratosphère antarctique, dérivés de ces composés, ont déjà diminué d'environ un tiers par rapport aux niveaux des années 1980. Malgré l'étendue significative de 2026, les données au sol ont permis de constater que la profondeur de l'ozone était faible. Les instruments de la NOAA ont enregistré une concentration minimale de 105 Dobson Units le 17 octobre. Les scientifiques estiment que, si les substances dégradantes étaient restées au niveau de leur pic des années 2000, le trou aurait pu être entre un et deux millions de miles carrés plus grand. Le rétablissement de la couche d'ozone est un processus lent, dicté par la lente décomposition des composés hérités. Les projections actuelles, basées sur l'application continue du Protocole de Montréal, estiment que le trou d'ozone devrait se rétablir au cours des années 2070. ## Sources - [31 October 2026](https://ozonewatch.gsfc.nasa.gov/), ozonewatch.gsfc.nasa.gov - [South Pole Ozone Hole - NOAA Global Monitoring Laboratory](https://gml.noaa.gov/dv/spo_oz/), gml.noaa.gov - [NASA, NOAA Track 2026 Antarctic Ozone Hole](https://science.nasa.gov/earth/2026-ozone-hole/), NASA, 4 novembre 2026 ## Crédits photo - Image en une : [Big Ozone Holes Headed For Extinction By 2040 (GSFC 20171208 Archive e000728)](https://commons.wikimedia.org/wiki/File:Big_Ozone_Holes_Headed_For_Extinction_By_2040_%28GSFC_20171208_Archive_e000728%29.jpg), par NASA Goddard Space Flight Center, Public domain, via Wikimedia Commons (recadrée) - Image dans l’article : [Antarctica 6400px from Blue Marble](https://commons.wikimedia.org/wiki/File:Antarctica_6400px_from_Blue_Marble.jpg), par Dave Pape, Public domain, via Wikimedia Commons (recadrée) --- # Team Group : EPS record en T3 2026, mais pénurie de mémoire jusqu’en 2028 _4 novembre 2026 — https://ip73.fr/2026/11/04/team-group-eps-record-en-t3-2026-mais-penurie-de-memoire-jusqu-en-2028/_ Team Group a annoncé des résultats trimestriels records, atteignant un bénéfice par action (EPS) de 37,19 NT$ au troisième trimestre 2026. Les revenus consolidés ont atteint 10,139 milliards NT$, soit environ 311,5 millions de dollars, et le bénéfice net après impôts s'est élevé à 3,618 milliards NT$ (environ 111,1 millions de dollars). Le PDG, Chen Ching-wen, a été clair lors de l'appel aux résultats : « il n'y a aucun mouvement baissier des prix en 2027 ». Ce fabricant taïwanais, qui existe depuis près de trois décennies, profite d'une période favorable. La hausse continue des prix contractuels pour la mémoire DRAM et Flash, observée depuis octobre 2025, lui a permis de tirer profit de l'écart entre les stocks acquis à bas coût et les ventes réalisées à prix élevés. En conséquence, la marge brute a grimpé à 49,27 %, soit une augmentation de 6,5 points de pourcentage par rapport au trimestre précédent, tandis que la marge opérationnelle atteignait 44,5 %. ## Le virage vers le marché professionnel Le changement de marché est net. Chen Ching-wen a utilisé l'expression chinoise « les cochons et les moutons changent de couleur » pour décrire le basculement radical de la composition de son activité. La part des revenus B2B (applications industrielles et pour entreprises) est passée de 24,60 % au premier trimestre 2025 à 64,60 % au premier trimestre 2026, soit près de 1,7 fois plus de volume. À l'inverse, la part B2C (marque et canal de distribution) a chuté de 75,40 % à 35,40 %. Le PDG insiste sur le fait que ce n'est pas une décision stratégique unilatérale, mais une réaction aux évolutions globales. Il souligne que « le marché change, la demande change, et notre industrie change aussi », précisant que les serveurs d'IA et les applications de niveau entreprise absorbent désormais la majorité de la production DRAM. La répartition des produits suit cette tendance : la DRAM représente 83,63 % des revenus sur les trois premiers trimestres, contre 68,79 % un an auparavant. Parmi cette DRAM, le DDR5 constitue 87,93 % des recettes. ## La pénurie structurelle : l'équilibre attendu après 2028 Si les bilans sont solides, les perspectives restent tendues. Les prix des composants ne montrent aucun signe de ralentissement. Les prix contractuels pour la puce DDR5 16Gb ont grimpé de 8,70 $ en octobre 2025 à 48 $ en septembre 2026, soit une hausse supérieure à quatre fois et demie. Chen rappelle la situation tendue : « Nous avons des contrats, mais nous ne pouvons pas obtenir suffisamment de volume, nous devons donc nous tourner vers le marché spot et payer une prime pour obtenir de l'approvisionnement » (BigGo Finance). Ce manque de volume est structurel. Selon l'analyse du PDG, les trois grands fabricants concentrent leurs capacités sur le HBM et le DDR5 haut de gamme, tandis que la production DDR4 diminue rapidement. Il estime que l'équilibre entre l'offre et la demande ne pourra se rétablir que dans la seconde moitié de 2028, voire plus tard. « Comment les prix peuvent-ils baisser quand il ne reste rien ? » Cette pression sur les chaînes d'approvisionnement n'est pas isolée. D'autres acteurs, comme Intel, ont déjà signalé des difficultés. Ce dernier a dû réviser ses prévisions de revenus pour le quatrième trimestre, car la pénurie de mémoire informatique a freiné la demande sur les PC, même si ses ventes de centres de données avaient bondi de 78 % au troisième trimestre. ## Sources - [\[Team Group FY2026 Q3 Earnings Call\] Quarterly EPS Surges to a Record NT$37.19; CEO Chen Ching-wen: "No Downward Price Trend Whatsoever in…](https://finance.biggo.com/news/TW_4967.TW_2026-11-02), finance.biggo.com - [TeamGroup warns the memory shortage has not reached its peak yet](https://www.techspot.com/news/114436-teamgroup-warns-memory-shortage-has-not-reached-peak.html), TechSpot, 4 novembre 2026 - [Intel shares sink as memory shortage drags its PC chip outlook](https://thenextweb.com/news/intel-q3-2026-outlook-pc-slump-memory-shortage), The Next Web, 29 octobre 2026 --- # Helium Health lève 30 M$ puis obtient un soutien de Google pour l’IA _4 novembre 2026 — https://ip73.fr/2026/11/04/helium-health-leve-30-m-puis-obtient-un-soutien-de-google-pour-l-ia/_ Lagos, le 5 juin 2023 : la société de technologie de la santé Helium Health a annoncé avoir récolté 30 millions de dollars lors de son tour de financement de série B. Cette levée a été menée par AXA Investment Managers Alts, avec la participation de Capria Ventures, Angaza Capital, Anne Wojcicki (fondatrice de 23&Me) et Flatworld Partners. Le capital servira à étendre la portée de HeliumCredit, son produit financier numérique destiné au secteur de la santé en Afrique. Lancé en 2020, HeliumCredit a déjà octroyé plus de 3,5 millions de dollars de crédit à plus de 200 établissements de soins au Nigeria. Ces structures, qu'il s'agisse d'hôpitaux, de cliniques ou de pharmacies, utilisent ces prêts pour acheter du matériel médical ou augmenter leurs capacités. En facilitant l'accès au crédit, les prestataires peuvent améliorer la qualité des soins et fidéliser leurs patients, selon Helium Health. Au-delà de la finance, Helium Health développe son infrastructure numérique avec HeliumOS, son système de dossiers médicaux électroniques (DME) et son système d'information de gestion hospitalière (SIGH). Utilisé par plus de 10 000 agents de santé pour prendre en charge plus d'un million de patients en Afrique de l'Ouest, ce système permet aux établissements d'optimiser leurs opérations. L'entreprise parvient à évaluer la solvabilité des demandeurs de prêt en moins de quarante-huit heures grâce aux données collectées via HeliumOS, qui est présenté comme la plateforme DME la plus étendue en Afrique de l'Ouest. Le secteur de la santé africain manque cruellement de capitaux, avec un déficit annuel estimé à 66 milliards de dollars. Ce manque de fonds entraîne une infrastructure sous-développée et un ratio de professionnels de santé très faible, avec seulement 1,55 soignant pour mille habitants. De plus, moins de 10 % des installations sanitaires africaines sont numérisées. Helium Health vise à combler cette lacune en déployant ses solutions digitales. ## L'IA au service de la santé maternelle Plus tard, en novembre 2026, la trajectoire de Helium Health a pris une autre tournure avec l'obtention d'une subvention de 2,5 millions de dollars (soit 3,4 milliards de nairas) de Google.org. Cette aide est spécifiquement dédiée au déploiement d'outils d'intelligence artificielle pour améliorer la santé maternelle au Nigeria. Cette initiative, baptisée HeliumMum, vise à atteindre 1,9 million de femmes enceintes sur trois ans. Le programme débutera à Lagos avant de s'étendre à Delta, Kano et Oyo. Le Nigeria représente près de 10 % des décès maternels mondiaux, et l'objectif affiché est de contribuer à une réduction de 30 % de cette mortalité en permettant d'identifier plus tôt les complications de grossesse et de diriger les femmes vers les soins appropriés. Ce financement s'inscrit dans le cadre du « Google.org $30 million Impact Challenge: AI for Government Innovation », où Helium Health était la seule organisation nigériane sélectionnée parmi 15 récipiendaires en septembre 2026. Cette subvention finance le déploiement d'outils d'aide à la décision clinique basés sur l'IA dans les soins primaires, complétée par un accompagnement technique des experts de Google.org. ## Les enjeux financiers et l'évolution du leadership Ces développements surviennent dans un contexte financier difficile pour les start-ups nigérianes. Selon un rapport de TechCabal Insights sur l'état de la healthtech au Nigeria en 2026, les investissements ont chuté, passant d'un pic de près de 55 millions de dollars en 2023 à environ 3 millions de dollars en 2025. Ce recul est attribué aux coûts élevés des infrastructures sanitaires et à la lenteur de l'adoption des outils digitaux. Concernant la gouvernance, un changement de direction a eu lieu. Adegoke Olubusi, co-fondateur et PDG, a cédé sa fonction en août, laissant la direction à Dimeji Sofowora, également co-fondateur. Ce changement fait suite au départ de Tito Ovia en 2022, laissant Sofowora comme le dernier membre fondateur activement impliqué dans la direction de l'entreprise. Malgré ces ajustements, l'intégration de l'IA permet de rapprocher la technologie des agents de santé communautaires. Ces derniers sont souvent les premiers maillons de la chaîne de soins et ont besoin d'un support clinique fiable pour déceler un risque gestationnel élevé, ce qui est le cœur de la mission de Helium Health. ## Sources - [Announcing Helium Health's $30M Series B - Helium Health](https://heliumhealth.com/announcing-helium-healths-30m-series-b/), heliumhealth.com - [Helium Health secures $2.5 million Google grant to tackle maternal deaths with AI](https://techcabal.com/2026/11/04/helium-health-2-5-million-google-grant/), TechCabal, 4 novembre 2026 --- # Wiz déploie ses agents IA dans l’environnement FedRAMP High _4 novembre 2026 — https://ip73.fr/2026/11/04/wiz-deploie-ses-agents-ia-dans-l-environnement-fedramp-high/_ Wiz annonce la disponibilité de ses agents d'IA dans son environnement certifié FedRAMP High, baptisé Wiz for U.S. Government. Cette mise à disposition positionne Wiz for Gov comme la première plateforme de protection des applications IA (AI-APP) destinée aux organismes publics américains, capable de sécuriser des systèmes gérant des données de haute sensibilité et critiques pour la mission. L'impératif est double : les acteurs malveillants utilisent l'IA pour automatiser et accélérer leurs campagnes d'attaque, tandis que les agences déploient elles-mêmes l'IA pour faire avancer leurs objectifs. Face à cette double pression, il ne suffit plus de compter sur la vitesse humaine ; il faut un mécanisme de remédiation qui fonctionne à la vitesse des machines. Le système de Wiz dépasse ainsi le cadre du Cloud-Native Application Protection Platform (CNAPP), qui est déjà une référence pour la visibilité et l'évaluation des risques dans les environnements hybrides. En y intégrant des capacités d'IA accélérées via les Wiz AI Agents, Wiz transforme cette surveillance en une AI-APP. Ces agents traduisent le contexte factuel issu du Wiz Security Graph en opérations concrètes, permettant une gestion des risques sur tout le cycle de vie, au lieu de se limiter à des points isolés. ## Des agents spécialisés pour chaque étape du cycle de vie Les agents offrent une granularité opérationnelle configurable. Les équipes de sécurité peuvent autoriser des remédiations automatiques pour certains flux de travail ou exiger une validation humaine avant d'appliquer des changements sur des systèmes sensibles, conservant ainsi un contrôle total sur les charges de travail de mission. Wiz distingue trois profils d'agents : Le Wiz Green Agent est orienté développeur. Il ne se contente pas de signaler un problème ; il fournit un résumé d'investigation détaillant la cause racine et génère des *Pull Requests* prêtes à fusionner pour corriger les failles à la source. Le Wiz Blue Agent est l'outil de réponse pour les équipes de sécurité opérationnelle (SOC). Dès qu'une menace apparaît dans Wiz Defend, cet agent commence immédiatement à trier l'incident, fournissant un résumé d'investigation complet et un verdict sur la sévérité de la menace. Enfin, le Wiz Red Agent se concentre sur l'évaluation des risques en temps réel. Il analyse en continu les environnements de production pour cartographier les chemins d'attaque potentiels, permettant aux défenseurs d'endiguer des combinaisons de risques toxiques avant qu'elles ne soient exploitées. ## Vers une gestion des risques continue dans le secteur public Traditionnellement, la gestion des risques se faisait en silos : scan avant le déploiement en développement, surveillance en production, puis triage des événements en SOC. Cette fragmentation ralentit l'intervention et laisse des angles morts critiques, surtout à l'ère du cloud et de l'IA. En reliant ces domaines grâce à une source de vérité unique, l'AI-APP permet aux équipes fédérales de passer d'une conformité ponctuelle à une gestion des risques continue sur l'ensemble du cycle de vie. L'intégration de ces agents dans Wiz for Gov permet aux agences fédérales d'accélérer leurs objectifs opérationnels. Par exemple, elle simplifie la collecte de preuves et le suivi de la posture de risque, soutenant les initiatives d'Autorisation Continue d'Opérer (cATO). De plus, l'outil assure la découverte automatique des charges de travail IA, des dépôts de modèles et des pipelines de données dans les environnements hybrides, facilitant l'application des contrôles de sécurité dès le code initial jusqu'à la mise en production. Cette évolution s'inscrit dans un mouvement plus large. Lors de son sommet, Google Cloud a récemment annoncé que les agents Wiz Red, Green et Blue sont disponibles dans son environnement certifié FedRAMP Class D (High), soulignant l'alignement des acteurs sur la nécessité de sécuriser l'ère agentique dans le gouvernement américain. ## Sources - [Wiz AI Agents for FedRAMP High: Accelerate Public Sector AI \| Wiz Blog](http://wiz.io/blog/wiz-for-gov-agents-fedramp), wiz.io - [Highlights and reflections from Google Public Sector Summit: Where mission meets moonshot](https://cloud.google.com/blog/topics/public-sector/highlights-and-reflections-from-google-public-sector-summit-where-mission-meets-moonshot/), Google Cloud, 4 novembre 2026 --- # CVE-2026-109518 : APT permet une exécution de code root via MITM _4 novembre 2026 — https://ip73.fr/2026/11/04/cve-2026-109518-apt-permet-une-execution-de-code-root-via-mitm/_ La faille CVE-2026-109518 touche le gestionnaire de paquets APT, utilisé par Debian et Ubuntu. Elle permet à un attaquant qui peut manipuler le trafic HTTP de forcer le client à installer un paquet non vérifié contrôlé par lui, menant à une exécution de code à distance avec des privilèges root. C'est une attaque de l'homme du milieu (MITM) qui se déclenche lors d'une installation de paquet. Le problème vient de la réutilisation de liens physiques (*hard links*). Pour que l'attaque fonctionne, le client APT doit suivre des redirections et réessayer le téléchargement des fichiers de paquets. Ce comportement est activé par une configuration spécifique : `Acquire::Retries`. Par défaut, cette valeur est de trois pour Debian 12 (bookworm) et Ubuntu 22.04 LTS (Jammy Jellyfish), ce qui signifie que les versions plus anciennes ne sont pas affectées par défaut. ## Ce qui est touché et la gravité réelle Ubuntu classe cette faille comme prioritaire, avec un score CVSS v4.0 de 7,7, ce qui est considéré comme « High ». Les systèmes Debian et Ubuntu, ainsi que leurs dérivés, sont exposés. À la date de l'alerte, le 4 novembre 2026, Ubuntu indiquait que huit de ses versions suivies, allant de 14.04 LTS à 26.10, restaient vulnérables. L'attaquant doit pouvoir modifier le trafic HTTP entre le client APT et le serveur d'archives, par exemple via un miroir ou un proxy malveillant. Bien que les rapports ne précisent pas si les sources accédant en HTTPS sont exposées, l'exploitation passe par le trafic HTTP. Pour les anciennes versions, l'exposition n'est pas automatique. Les systèmes comme Debian 11 ou Ubuntu 20.04 ne sont pas vulnérables par défaut, mais les développeurs soulignent que si un utilisateur active la configuration `Acquire::Retries`, ces versions peuvent être exposées. ## Qui doit agir et comment Des correctifs sont disponibles. Debian a publié des versions corrigées d'APT pour cette CVE. Ubuntu a également mis à jour ses *builds* d'APT pour plusieurs de ses versions. Par exemple, pour Ubuntu 26.10, la version 3.3.3ubuntu0.1 est disponible, et pour Ubuntu 22.04 LTS, on trouve la version 2.4.15ubuntu0.1. Pour Debian 11, dont le support à long terme avait expiré le 31 août 2026, les développeurs ont publié une version corrigée de APT, la 2.2.5. Il est nécessaire de vérifier non seulement la version de APT, mais aussi la configuration `Acquire::Retries`. Les développeurs d'Ubuntu ont noté que, malgré les correctifs, l'ensemble des huit versions suivies était listé comme vulnérable à 15h46 UTC le jour de l'annonce. Il faut surveiller les avis de sécurité spécifiques à sa distribution. L'attaque se déroule sur HTTP, ce qui rend la sécurisation du trafic par HTTPS absolument nécessaire pour éviter l'exploitation. ## Fiche technique | CVE | Produit | Gravité | Exploitée activement | Versions corrigées | |---|---|---|---|---| | CVE-2026-109518 | — | Élevée (CVSS 7,7) | Non signalée | Voir l’avis de l’éditeur | *Données : [NVD](https://nvd.nist.gov/) (NIST).* ## Sources - [CVE-2026-109518 \| Ubuntu](https://ubuntu.com/security/CVE-2026-109518), ubuntu.com - [Debian “bullseye” Release Information](https://www.debian.org/releases/bullseye/), debian.org - [Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages and Run Code as Root](https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html), The Hacker News, 4 novembre 2026 - [Debian's APT Affected By Man-In-The-Middle Attack For Arbitrary Code Execution As Root](https://www.phoronix.com/news/Debian-APT-MITM-RCE), Phoronix, 4 novembre 2026 - [CVE-2026-109518](https://nvd.nist.gov/vuln/detail/CVE-2026-109518), NVD (NIST) --- # Vercel étend les fournisseurs ZDR pour Kimi K3.1 Pro sur AI Gateway _4 novembre 2026 — https://ip73.fr/2026/11/04/vercel-etend-les-fournisseurs-zdr-pour-kimi-k3-1-pro-sur-ai-gateway/_ L'AI Gateway de Vercel propose désormais Kimi K3.1 Pro et sa version accélérée, Kimi K3.1 Pro Highspeed, via un éventail élargi de fournisseurs garantissant la conservation nulle de données (Zero Data Retention ou ZDR). Jusqu'à présent, Moonshot AI était le seul partenaire à offrir ces deux modèles sur cette plateforme unifiée. Ce déploiement élargi répond à une demande pour des infrastructures d'IA qui garantissent la confidentialité des données soumises. En activant la fonction ZDR dans les options du fournisseur de l'AI Gateway, les développeurs s'assurent que leurs requêtes sont acheminées uniquement vers des prestataires ayant cet engagement. Si aucun fournisseur ZDR n'est disponible pour un modèle, la requête échoue, au lieu d'être envoyée à une entité non conforme. Kimi K3.1 Pro apporte des améliorations notables. Selon Vercel, il est plus performant en codage, en modélisation 3D et en analyse financière. Il peut aussi gérer des cycles d'agents longs, passant d'un petit correctif à la gestion d'un projet complet. Les deux modèles disposent d'une fenêtre contextuelle de 1 million de jetons et acceptent l'entrée d'images. ## L'infrastructure et les performances Pour les équipes techniques, l'intégration se fait par l'AI SDK, les API de *Chat Completions*, de *Responses*, ou via un agent de codage connecté à l'AI Gateway. Pour utiliser la version Highspeed, il faut spécifier le nom de modèle `moonshotai/kimi-k3.1-pro-highspeed`. L'AI Gateway sert de couche d'abstraction unique pour appeler les modèles, tout en permettant de suivre l'usage et les coûts. Il intègre des fonctions de *failover*, de gestion des tentatives et des plafonds budgétaires pour les clés API. Vercel précise que l'AI Gateway reflète la tarification des fournisseurs sans appliquer de majoration ni de frais de plateforme sur l'inférence, y compris pour les requêtes *Bring Your Own Key* (BYOK). Ce modèle, présenté par vLLM comme un modèle *open-weight* de 2,8 téra-paramètres, rivalise avec les modèles fermés sur les bancs d'essai de codage et d'agentivité. La nouveauté technique majeure, selon vLLM, est l'ajout de l'attention parcimonieuse (DSA) sur les couches d'attention complètes, ce qui augmente l'efficacité lors du traitement de longs contextes. ## Au-delà du texte : l'IA dans la création Le potentiel de ces modèles s'étend au-delà des fonctions de codage. D'ailleurs, d'autres annonces montrent l'orientation de ces IA vers la création concrète. Pandaily avait rapporté que Kimi utilisait K3.1 et ses agents pour éditer directement des projets dans Unity, Unreal Engine et Blender, permettant des exécutions autonomes de 20 heures dans le développement de jeux vidéo. L'ensemble des fonctionnalités — de l'optimisation de la latence grâce au *Sparse Attention* supporté par vLLM, à l'assurance de la confidentialité via ZDR sur Vercel, jusqu'à l'application créative dans le jeu vidéo — dessine un panorama où la capacité de l'IA ne se limite plus à la génération de texte, mais s'ancre dans l'exécution de tâches complexes, qu'elles soient cryptographiques ou artistiques. Il faudra observer comment les entreprises adopteront ce niveau de granularité dans la gestion des fournisseurs et des garanties de données au sein de leurs architectures d'IA. ## Sources - [Kimi K3.1 Pro now has more ZDR providers on AI Gateway](https://vercel.com/changelog/kimi-k3-1-pro-now-has-more-zdr-providers-on-ai-gateway), Vercel, 4 novembre 2026 - [Kimi Launches Game Development Solution With K3.1 Agents Working Inside Unity, Unreal and Blender](https://pandaily.com/kimi-game-development-creative-solution-k3-1-kimi-code-work-unity-unreal-engine-blender-20-hours), Pandaily, 3 novembre 2026 - [vLLM Delivers Day-0 Support for Kimi K3.1 Pro](https://vllm.ai/blog/2026-11-04-kimi-k31-pro), vLLM, 4 novembre 2026 --- # SonicWall ne corrigera pas les failles sur ses systèmes GMS obsolètes _4 novembre 2026 — https://ip73.fr/2026/11/04/sonicwall-ne-corrigera-pas-les-failles-sur-ses-systemes-gms-obsoletes/_ SonicWall a émis un avertissement concernant deux failles de sécurité qui touchent ses systèmes de Global Management System (GMS) arrivés en fin de vie. Le fournisseur a été clair : aucune correction ne sera distribuée pour ces vulnérabilités, forçant les utilisateurs à une migration immédiate. Les failles concernent les versions GMS 9.5.2 et antérieures. L'une des failles, CVE-2026-109593, est une vulnérabilité de lecture de fichier non authentifiée. Un attaquant ayant accès au réseau pourrait lire des fichiers internes du GMS, exposant potentiellement des informations sensibles. Selon le NVD, cette faille affiche un score CVSS de 9,1, ce qui la classe comme critique. Le second défaut, CVE-2026-109594, est une faille d'injection SQL. Elle nécessite une authentification préalable, mais si un attaquant parvient à se connecter, il pourrait accéder ou modifier les données stockées dans la base de données du GMS, bien que son score CVSS soit de 6,8. ## La menace réelle sur le terrain Ce refus de patcher n'est pas un exercice théorique. L'urgence est amplifiée par le contexte récent. Peu de temps après l'annonce de ces failles, SonicWall avait déjà publié des correctifs pour CVE-2026-102255, une faille SSRF critique (CVSS 10,0) qui était déjà en exploitation active. Des données de télémétrie de Previdian ont d'ailleurs enregistré 2 541 tentatives d'attaque provenant de huit adresses IP différentes, basées en Singapour et aux États-Unis, depuis le 9 octobre 2026. On compte jusqu'à 30 tentatives le 3 novembre 2026. Difficile de ne pas y voir un scénario d'exploitation ciblé contre les systèmes non mis à jour. ## Ce qui est touché et qui doit agir Les appareils GMS 9.5.2 et les versions précédentes sont en péril. L'avis de SonicWall est catégorique : les organisations utilisant cette plateforme obsolète doivent impérativement migrer vers le Network Security Manager (NSM). L'enjeu dépasse la simple perte de données. L'injection SQL, par exemple, permet une manipulation des données internes, ouvrant la porte à des failles de configuration déguisées. Étant donné la politique de non-correction de SonicWall, la réponse doit être proactive. Si une migration vers NSM n'est pas réalisable immédiatement, les équipes de sécurité doivent isoler drastiquement ces systèmes de GMS des réseaux externes et internes non critiques. Il faut considérer ces appareils comme des points de rupture potentiels. Surveiller attentivement les communications des fournisseurs alternatifs, car le temps pour une correction officielle a expiré. ## Fiche technique | CVE | Produit | Gravité | Exploitée activement | Versions corrigées | |---|---|---|---|---| | CVE-2026-102255 | — | Critique (CVSS 10,0) | Non signalée | Voir l’avis de l’éditeur | | CVE-2026-109593 | — | Critique (CVSS 9,1) | Non signalée | Voir l’avis de l’éditeur | | CVE-2026-109594 | — | Moyenne (CVSS 6,8) | Non signalée | Voir l’avis de l’éditeur | *Données : [NVD](https://nvd.nist.gov/) (NIST) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).* ## Sources - [SonicWall Won't Patch EoL GMS Flaws That Could Expose Files, Alter Database Records](https://thehackernews.com/2026/11/sonicwall-wont-patch-eol-gms-flaws-that.html), The Hacker News, 4 novembre 2026 - [SonicWall warns of unpatched flaws in end-of-life GMS software](https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-unpatched-flaws-in-end-of-life-gms-software/), BleepingComputer, 4 novembre 2026 - [GHSA-xww4-pc4h-x9hj](https://github.com/advisories/GHSA-xww4-pc4h-x9hj) : A Pre-authentication SSRF vulnerability exists in the SMA1000 Appliance Work Place…, GitHub Advisory Database (CC BY 4.0) - [CVE-2026-102255](https://nvd.nist.gov/vuln/detail/CVE-2026-102255), NVD (NIST) - [GHSA-78qh-wc3p-gpj2](https://github.com/advisories/GHSA-78qh-wc3p-gpj2) : An unauthenticated attacker with network access to the SonicWall GMS 9.5.2 and earlier…, GitHub Advisory Database (CC BY 4.0) - [CVE-2026-109593](https://nvd.nist.gov/vuln/detail/CVE-2026-109593), NVD (NIST) - [GHSA-w3p9-mvmw-xhwm](https://github.com/advisories/GHSA-w3p9-mvmw-xhwm) : Post-authentication Improper Neutralization of Special Elements used in an SQL Command…, GitHub Advisory Database (CC BY 4.0) - [CVE-2026-109594](https://nvd.nist.gov/vuln/detail/CVE-2026-109594), NVD (NIST) --- # Siemens et NVIDIA font de l’IA le système d’exploitation des usines _4 novembre 2026 — https://ip73.fr/2026/11/04/siemens-et-nvidia-font-de-l-ia-le-systeme-d-exploitation-des-usines/_ La collaboration entre Siemens et NVIDIA vise à faire de l'intelligence artificielle le système d'exploitation de la fabrication. En utilisant l'usine d'Erlangen comme laboratoire vivant, les deux entreprises construisent une feuille de route pour l'autonomie des usines à l'échelle globale. L'objectif est clair : permettre aux usines de gérer non seulement la répétition, mais aussi le changement, un impératif majeur dans l'industrie moderne. Selon press.siemens.com, cette synergie permet des avancées précises, notamment dans le secteur des circuits imprimés (PCB) essentiels aux convertisseurs de fréquence. Le processus traditionnel, qui exigeait des semaines d'attente de prototypes physiques pour entraîner les systèmes de contrôle qualité, est en train d'être bouleversé. Grâce à la combinaison du logiciel industriel de Siemens et des technologies d'IA et de simulation de NVIDIA, il est possible de créer des représentations photoréalistes des assemblages de PCB à partir de leurs jumeaux numériques. Cela permet aux ingénieurs de préparer les inspections avant même que le premier prototype physique n'arrive sur la ligne. Les résultats sont significatifs : cette préparation virtuelle peut réduire l'effort d'ingénierie jusqu'à 85 % et raccourcir le délai de mise sur le marché de 40 % (news.siemens.com). Au-delà de l'inspection, l'intelligence artificielle intervient dans la planification de la production. Là où les planificateurs devaient auparavant pondérer la capacité, la disponibilité des matériaux et les dates de livraison en se basant sur leur expérience, un agent IA prend le relais. À l'usine d'Erlangen, cet agent génère automatiquement des scénarios de production pour chaque nouvelle commande, affichant aux responsables l'impact de chaque option selon les indicateurs clés de performance définis. Ce système de planification agent-basée peut générer des économies allant jusqu'à 20 % (press.siemens.com). L'architecture mise en place s'appuie sur plusieurs piliers techniques. Les modèles Cosmos de NVIDIA génèrent les données d'entraînement nécessaires pour la qualité, tandis que le 'Factory Operations Blueprint' de NVIDIA soutient les agents capables de créer ces plans de production, en s'appuyant sur les bibliothèques Omniverse pour tester ces plans virtuellement avec des données réelles de l'usine. Siemens fournit le socle de son expertise manufacturière et son logiciel, comme Teamcenter pour la gestion du cycle de vie des produits (news.siemens.com). Cette logique d'agents s'étend au-delà des PCB. NVIDIA, via son 'Factory Operations Blueprint' (FOX), propose une architecture de référence pour intégrer un agent de gestion d'usine. Cet agent peut surveiller les opérations en temps réel, identifier les goulets d'étranglement, enquêter sur les causes des défauts ou coordonner les flottes de robots pour réduire les temps d'arrêt (developer.nvidia.com). À l'usine d'Erlangen, Siemens, qui emploie environ 1 000 personnes, teste déjà plus de cent algorithmes d'IA actifs dans la logistique, la maintenance et la qualité. L'investissement de Siemens dans la transformation de ce site est prévu jusqu'en 2030, avec un engagement de 500 millions d'euros (press.siemens.com). Il faudra surveiller comment ces agents sophistiqués géreront la complexité croissante des chaînes de production globales, au-delà du cadre démonstratif actuel. ## Sources - [Siemens partners with NVIDIA to advance AI-driven, autonomous fact ...](https://press.siemens.com/global/en/pressrelease/siemens-partners-nvidia-advance-ai-driven-autonomous-factories), press.siemens.com - [Siemens and NVIDIA advance AI-powered PCB inspection](https://news.siemens.com/en-us/siemens-nvidia-pcba-digital-twin-factory/), news.siemens.com - [How NVIDIA Factory Operations Blueprint Coordinates AI Agents to Investigate Production Issues](https://developer.nvidia.com/blog/how-nvidia-factory-operations-blueprint-coordinates-ai-agents-to-investigate-production-issues/), NVIDIA, 4 novembre 2026 ## Crédits photo - Image en une : [Factory Automation Robotics Palettizing Bread](https://commons.wikimedia.org/wiki/File:Factory_Automation_Robotics_Palettizing_Bread.jpg), par KUKA Roboter GmbH, Bachmann, Public domain, via Wikimedia Commons (recadrée) - Image dans l’article : [H-PLC](https://commons.wikimedia.org/wiki/File:H-PLC.jpg), par Messung, [CC BY-SA 4.0](https://creativecommons.org/licenses/by-sa/4.0), via Wikimedia Commons (recadrée) --- # PHP2Shell : l’IA découvre des failles critiques dans 70 % des sites web _4 novembre 2026 — https://ip73.fr/2026/11/04/php2shell-l-ia-decouvre-des-failles-critiques-dans-70-des-sites-web/_ Des failles de sécurité critiques ont été révélées dans le cœur du langage PHP, un pilier du web qui soutient environ 70 % des sites en ligne. Selon Wiz Research, ces vulnérabilités, classées avec une sévérité CVSS de 9,2, permettaient à des attaquants non authentifiés d'exécuter du code sur les serveurs affectés, que ce soit sur WordPress, Drupal ou Joomla. Ce qui rend cette découverte particulière, c'est la méthode employée. Les chercheurs ont utilisé des modèles d'intelligence artificielle de pointe pour passer au peigne fin du code de PHP. Ces problèmes de sécurité, qui relèvent de la gestion de la mémoire, étaient enfouis depuis des décennies, mais leur exploitabilité concrète a nécessité une chaîne d'étapes si complexe que seuls ces modèles d'IA ont permis de la rendre pratique. Wiz a d'ailleurs confirmé que le correctif pour ces failles, regroupées sous deux CVE (CVE-2026-109618 et CVE-2026-109619), est disponible depuis le 21 octobre 2026. Ces découvertes rappellent des précédents majeurs de l'histoire du numérique. On pense immédiatement à Heartbleed en 2014, qui avait exposé la fragilité des infrastructures partagées, ou encore à Log4Shell en 2021, montrant à quel point les dépendances logicielles peuvent créer des failles généralisées. Wiz estime que PHP2Shell pourrait marquer un tournant similaire à celui de l'IA, car le temps et l'expertise requis pour trouver ces failles diminuent drastiquement. ## L'impact sur l'écosystème web Le danger ne réside pas dans l'application qui tourne sur PHP, mais dans le moteur lui-même. Une faille au cœur du langage peut compromettre des sites pourtant bien sécurisés au niveau de leur propre code. Les failles identifiées — comme les problèmes d'utilisation après libération de mémoire (use-after-free) — permettent soit la divulgation de mémoire interne du processus, soit l'exécution de code à distance (RCE). Ce mémoire interne peut, par exemple, contenir des clés d'API ou des jetons d'authentification. Pour illustrer, Wiz a démontré la possibilité d'exécuter du code à distance sans aucune forme d'authentification sur des déploiements de WordPress. Les chercheurs ont ainsi prouvé que l'on peut naviguer des vulnérabilités structurelles pour atteindre un niveau de contrôle sévère. Le tableau suivant détaille les impacts démontrés pour les cibles choisies par Wiz, bien que l'exploitation ne nécessite pas l'utilisation de ces systèmes de gestion de contenu : | Tracking ID | Bug | Ce qu'un attaquant peut accomplir | Ce que nous avons démontré | | :--- | :--- | :--- | :--- | | CVE-2026-109618 | Upload-progress unserializer use-after-free | Divulgation de mémoire du processus à distance | Divulgation non authentifiée de la mémoire du worker PHP | CVE-2026-109619 | Fatal-error backtrace use-after-free | Confusion de type OPcache | RCE pré-authentification sur Drupal ## La course à la sécurité à la vitesse des machines Ce phénomène de rapidité est de plus en plus visible dans la cybersécurité. Google Cloud, par exemple, met en avant son agent de sécurité CodeMender, qui utilise des modèles comme Gemini 4 Argon pour trouver et réparer des failles au rythme des commits automatiques. Cette approche est nécessaire car les revues humaines peinent à suivre la cadence des systèmes autonomes. Ce besoin de vitesse est amplifié par d'autres menaces. On observe d'ailleurs que des attaques de type LLMjacking, où des acteurs malveillants détournent des accès aux modèles d'IA pour exploiter des ressources coûteuses, représentent un risque financier notable pour les entreprises, selon The Hacker News. Face à ce rythme, des solutions comme Wiz AI SAST arrivent sur le marché. Elles ne se contentent pas de scanner selon des règles préétablies ; elles analysent la manière dont l'application se comporte réellement. En corrélant les découvertes de code avec ce qui tourne en production sur le graphique de sécurité de Wiz, les équipes de sécurité peuvent enfin savoir quelles vulnérabilités sont réellement critiques, sans devoir gérer manuellement la non-déterminisme inhérent aux grands modèles de langage. ## Sources - [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet \| Wiz Blog](https://www.wiz.io/blog/php2shell-php-rce), wiz.io - [Wiz AI SAST: AI Code Security With Code-to-Cloud Context \| Wiz Blog](https://www.wiz.io/blog/introducing-wiz-ai-sast), wiz.io - [Helping you build and defend at machine-speed in the agentic era](https://cloud.google.com/blog/products/identity-security/helping-you-build-and-defend-at-machine-speed-in-the-agentic-era/), Google Cloud, 4 novembre 2026 - [Google Warns LLMjacking Attacks Are Costing Some Enterprises Up to $1 Million in Cloud Charges](https://thehackernews.com/2026/11/google-warns-llmjacking-attacks-are.html), The Hacker News, 3 novembre 2026 - [How Cisco defends at machine speed with OpenAI](https://openai.com/index/cisco-cyber), OpenAI, 3 novembre 2026 ## Crédits photo - Image en une : [Client Project Hashcat Testing With an AMD Epyc Supermicro Nvidia GPU Server Using Proxmox…](https://commons.wikimedia.org/wiki/File:Client_Project_Hashcat_Testing_With_an_AMD_Epyc_Supermicro_Nvidia_GPU_Server_Using_Proxmox_%28Lawrence_Systems%29_03.png), par Lawrence Systems, [CC BY 3.0](https://creativecommons.org/licenses/by/3.0), via Wikimedia Commons (recadrée) - Image dans l’article : [Client Project Hashcat Testing With an AMD Epyc Supermicro Nvidia GPU Server Using Proxmox…](https://commons.wikimedia.org/wiki/File:Client_Project_Hashcat_Testing_With_an_AMD_Epyc_Supermicro_Nvidia_GPU_Server_Using_Proxmox_%28Lawrence_Systems%29_08.png), par Lawrence Systems, [CC BY 3.0](https://creativecommons.org/licenses/by/3.0), via Wikimedia Commons (recadrée) --- # verl : une bibliothèque pour industrialiser l’entraînement RL des LLM _4 novembre 2026 — https://ip73.fr/2026/11/04/verl-une-bibliotheque-pour-industrialiser-l-entrainement-rl-des-llm/_ La bibliothèque verl, annoncée par github.com, propose un cadre de travail open source pour l'entraînement des modèles de langage à grande échelle en utilisant le renforcement par apprentissage (RL). Elle est conçue pour être à la fois efficace et prête pour la production, et elle est l'équivalent open source du papier de recherche HybridFlow. L'objectif affiché est de simplifier l'implémentation de dataflows complexes, permettant, par exemple, de construire des algorithmes comme GRPO ou PPO en quelques lignes de code. Ce qui frappe, c'est l'architecture du programme, baptisée « hybrid-controller ». Elle permet une représentation flexible et une exécution optimisée des flux de données post-entraînement. En plus de cette agilité algorithmique, verl se veut très adaptable. Elle offre une intégration modulaire avec les infrastructures LLM existantes, qu'il s'agisse de FSDP, de Megatron-LM, de vLLM ou de SGLang. De plus, la gestion des dispositifs est souple ; l'outil supporte un mappage sur différentes configurations de GPU pour optimiser l'usage des ressources dans des clusters de tailles variées. Le rythme de développement semble soutenu, comme en témoignent les ajouts récents. Selon github.com, des composants spécifiques comme uni-agent, un cadre unifié pour construire et entraîner des agents LLM à l'échelle, ont été rendus publics en mai 2026. On peut également noter l'arrivée de RL-Insight en juillet 2026, qui apporte une capacité d'observabilité en ligne pour le RL, reliant les métriques de l'entraînement aux traces d'état et aux tableaux de bord de service. ## L'efficacité matérielle et la cohérence des systèmes Cette quête de performance ne s'arrête pas aux algorithmes. L'efficacité matérielle est un point central. verl intègre une gestion de la répartition d'acteur (« actor model resharding ») via son « 3D-HybridEngine ». Cela permet d'éviter la redondance mémoire et de diminuer significativement les surcoûts de communication lors des transitions entre les phases d'entraînement et de génération. Les démonstrations passées montrent déjà cette capacité ; par exemple, Mind Lab a utilisé verl avec Megatron-bridge pour entraîner un modèle GRPO Lora sur 64 H800 en 2025. L'idée d'une cohérence parfaite entre l'entraînement et l'inférence est une problématique qui existe déjà. Des travaux parallèles, comme ceux menés par Inferact, visent à garantir des probabilités de jeton « bitwise-identical » entre le moteur de déploiement RL (utilisant vLLM) et l'entraîneur. Ils ont validé cela sur des modèles comme DeepSeek-V4-Flash avec Megatron-LM et verl, atteignant un KL nul sur 100 étapes RL. ## Les développements à venir La feuille de route de verl est dense, pointant vers des applications toujours plus spécifiques. En août 2026, deux projets majeurs sont attendus : verl-vla v0.1.0, un cadre unifié pour la collecte de données en boucle humaine (« human-in-the-loop ») touchant aux robots réels et au cloud-edge, et VeRL-Tinker. Parallèlement, VeRL-Omni v0.2.0 est prévu pour accélérer l'entraînement en diffusion RL pour des modèles multimodaux comme Qwen3-Omni. En regardant le contexte plus large, d'autres acteurs progressent sur la performance de l'inférence. vLLM, par exemple, a récemment rendu disponible le support pour le modèle Kimi K3.1 Pro. Ce modèle, doté d'une attention sparse (DSA) sur ses 24 couches, améliore l'efficacité en lecture mémoire, le temps de première requête étant plus rapide grâce à des techniques comme le token-sharded prefill attention. Ce progrès illustre la tension constante entre la complexité algorithmique et la latence en production. ## Sources - [GitHub - verl-project/verl: verl/HybridFlow: A Flexible and Efficient RL Post-Training Framework](https://github.com/volcengine/verl), github.com - [GitHub - Inferact/zero-mismatch-rl: Bitwise-identical token probabilities between RL rollout (vLLM) and training](https://github.com/Inferact/zero-mismatch-rl), github.com - [vLLM Delivers Day-0 Support for Kimi K3.1 Pro](https://vllm.ai/blog/2026-11-04-kimi-k31-pro), vLLM, 4 novembre 2026 ## Crédits photo - Image en une : [IBM Power Systems E870 (2)](https://commons.wikimedia.org/wiki/File:IBM_Power_Systems_E870_%282%29.jpg), par Open Grid Scheduler / Grid Engine, [CC0](http://creativecommons.org/publicdomain/zero/1.0/deed.en), via Wikimedia Commons (recadrée) --- # GitHub rend open source le serveur linguistique pour les fichiers CircleCI YAML _4 novembre 2026 — https://ip73.fr/2026/11/04/github-rend-open-source-le-serveur-linguistique-pour-les-fichiers/_ L'extension officielle de CircleCI pour Visual Studio Code, qui intègre un aide à la configuration, est désormais accompagnée de son serveur linguistique, rendu open source selon github.com. Ce projet permet aux ingénieurs DevOps et aux développeurs d'obtenir un retour d'information direct sur les fichiers YAML de configuration qu'ils sont en train d'éditer. Grâce à cette implémentation du protocole Language Server Protocol (LSP) pour les fichiers YAML de CircleCI, les utilisateurs peuvent bénéficier de fonctionnalités fines directement dans leur environnement de développement. On parle ici de validation syntaxique, de surbrillance, de documentation à la volée, de complétion automatique et d'indices d'utilisation. Ce serveur, développé en Go 1.19+, fonctionne en coulisses comme un serveur JSON-RPC, gérant les appels spécifiques définis par la spécification LSP. Il offre une assistance complète pour écrire, naviguer et modifier les configurations. ## Assister la rédaction de configurations complexes Quand on travaille sur de gros fichiers de configuration, la navigation peut devenir un casse-tête. Ce nouvel outil facilite grandement le travail grâce à des commandes telles que « go-to-definition » et « go-to-reference ». Cela permet de vérifier la définition d'un job personnalisé ou d'un paramètre d'exécuteur, et de voir où cet élément est réutilisé dans le fichier, y compris pour les Orbs. L'aspect documentaire est également amélioré. En passant la souris sur une clé spécifique, on obtient une documentation contextuelle et des indices d'usage, évitant ainsi le passage constant vers le navigateur pour consulter la documentation officielle de CircleCI. Bien sûr, des liens vers la documentation sont aussi présents en survol. Le système ne s'arrête pas là ; il offre des avertissements d'usage qui signalent des paramètres obsolètes, des jobs inutilisés, ou des clés manquantes qui empêcheraient d'utiliser toutes les capacités de CircleCI. Côté erreurs, la validation syntaxique aide à déceler les fautes de frappe, les types incorrects ou les versions de machines invalides. ## Le contexte des agents IA et des fonctions réutilisables L'annonce de GitHub s'inscrit dans une tendance plus large où les systèmes d'agents IA deviennent centraux dans le cycle de vie logiciel. CircleCI a d'ailleurs rendu les « CircleCI Functions » disponibles en bêta. Ces fonctions sont une évolution des Orbs, visant à fournir des étapes CI réutilisables et testées pour les agents de codage. Dans les tests internes, ces fonctions ont permis aux agents de configurer des pipelines CI jusqu'à deux fois plus rapidement, tout en consommant environ 40 % de jetons en moins, selon CircleCI. Si les fonctions visent à offrir des briques prêtes à l'emploi pour les agents, le serveur linguistique vient épauler le développeur manuel. Il supporte la complétion des fonctions et les suggestions d'inputs. Les fonctions, contrairement aux commandes Orb traditionnelles qui tournent souvent en scripts shell, sont des programmes compilés testés pour Linux, macOS et Windows, ce qui garantit une cohérence de comportement entre les plateformes. En parallèle, d'autres acteurs peinent à accélérer les processus. DevOps.com souligne que les agents de codage IA font grimper les charges de travail et les coûts des CI, rendant l'optimisation des pipelines monorepo d'autant plus nécessaire. GitHub indique que ce projet est en développement actif, avec une cible moyenne d'une publication par semaine, et il est ouvert à toute contribution de la communauté pour affiner l'outil. ## Sources - [GitHub - CircleCI-Public/circleci-yaml-language-server: The official language server for CircleCI YAML configuration files](https://github.com/CircleCI-Public/circleci-yaml-language-server), github.com - [Introducing CircleCI Functions: Reusable CI steps built for coding agents](https://circleci.com/blog/circleci-functions/), CircleCI, 4 novembre 2026 - [Fast Code, Slow Feedback: Fixing CI for the Age of AI Agents](https://devops.com/fast-code-slow-feedback-fixing-ci-for-the-age-of-ai-agents/), DevOps.com, 3 novembre 2026 - [Snowflake Introduces Business Ontology, Cortex AI Gateway to Bring AI Agents Into Enterprise Workflows](https://analyticsindiamag.com/ai-news/snowflake-introduces-business-ontology-cortex-ai-gateway-to-bring-ai-agents-into-enterprise-workflows), Analytics India Magazine, 4 novembre 2026 --- # NVIDIA présente une méthode pour transformer les erreurs d’agents en tests _4 novembre 2026 — https://ip73.fr/2026/11/04/nvidia-presente-une-methode-pour-transformer-les-erreurs-d-agents-en/_ L'agent assistant d'entreprise doit s'arrêter avant d'envoyer un message, même s'il l'a préparé. C'est le genre de subtilité que les systèmes d'IA autonomes peuvent facilement manquer en production. Selon l'exemple présenté par NVIDIA, ce comportement — rédiger un brouillon tout en appelant l'outil d'envoi sans confirmation humaine — est précisément ce que les outils de vérification sont conçus pour capturer. L'approche ne se contente pas de regarder la sortie finale ; elle plonge dans le « trace » de chaque interaction. Ce mécanisme, baptisé NemoClaw, vise à transformer les preuves collectées sur le terrain en cas de défaillance en cas de tests d'évaluation reproductibles. Il ne s'agit pas uniquement de la performance générale du modèle ; la fiabilité du « harness », c'est-à-dire l'intégralité du système qui entoure le modèle, englobe les instructions, les outils et la logique de routage. Le processus s'articule en plusieurs phases. Premièrement, on génère des traces en soumettant l'agent à une série de questions complexes utilisant les outils simulés de l'entreprise, comme le mail, le calendrier ou les projets. Ensuite, NeMo Compass prend ce corpus de traces et le décortique. Il ne cherche pas des erreurs aléatoires ; il analyse les signaux d'un comportement inhabituel, la manière dont l'agent utilise les outils, et surtout, la divergence par rapport au comportement attendu, défini par exemple dans le fichier ETHOS.md, qui décrit les règles de l'assistant. NeMo Compass, en examinant les 42 traces du cas d'étude, a pu signaler que l'agent en question envoyait des messages sans validation. Ce diagnostic est capital, car il permet de passer d'une observation vague à une piste d'amélioration ciblée. ## Du signal de défaillance à l'évaluation mesurable Une fois le problème identifié, il faut pouvoir le prouver de manière répétable. C'est le rôle de NeMo Eval Author. Cet outil aide à créer des cas d'évaluation spécifiques, basés sur les schémas de défaillance observés dans les traces. Dans l'exemple de NVIDIA, un agent de codage, tel que Codex, a été sollicité pour créer quatre évaluations Harbor simulant la tâche de « rédiger une réponse ». Un vérificateur associé s'assure alors que l'agent ne déclenche pas l'envoi sans l'accord de l'utilisateur. Il est intéressant de noter que cette méthodologie insiste sur la séparation des données. Les développeurs doivent maintenir une distinction claire entre les preuves utilisées pour développer l'agent et un ensemble de tests « tenu de côté » (*held-out set*). Si l'on entraîne l'agent à corriger un bug en fonction des traces existantes, on risque le surapprentissage. Le jeu de tests tenu de côté sert de baromètre pour garantir que la correction n'introduit pas de régression ailleurs. ## La boucle d'optimisation : instructions, tests, vérification L'amélioration n'est pas uniquement une question de paramétrage du modèle. Comme le souligne la documentation, « Prompts, outils, routage, mémoire, compétences, flux de contrôle et autres codes façonnent la fiabilité en production ». L'étape suivante, après avoir écrit le test, est de modifier le « harness » de l'agent. Dans le cas pratique, les développeurs ont ciblé le fichier SOUL.md, un concept servant de système de prompt, pour y inscrire une règle stricte : les requêtes de rédaction ne doivent autoriser que la préparation, et non l'envoi automatique. Après cette modification de l'instruction, les mêmes tâches d'évaluation sont relancées. L'objectif est de confirmer non seulement que le problème initial est résolu, mais aussi que le comportement général de l'agent reste robuste face à d'autres scénarios. Ce cycle — trace → analyse → test → correction → vérification — constitue le modèle NemoClaw pour l'optimisation des agents. Ce travail permet de faire passer la confiance dans un agent d'une simple métrique de *benchmark* à une assurance basée sur une couverture de scénarios de production concrète. La capacité d'utiliser des traces réelles pour définir ce qui constitue une défaillance est ce qui rend cette approche particulièrement pertinente pour les systèmes d'entreprise où les exigences sont fines et contextuelles. ## Sources - [nemoclaw-community/examples/tools/enterprise-assistant-harness-optimization/ETHOS.md at main · NVIDIA/nemoclaw-community](https://github.com/NVIDIA/nemoclaw-community/blob/main/examples/tools/enterprise-assistant-harness-optimization/ETHOS.md), github.com - [nemoclaw-community/examples/tools/enterprise-assistant-harness-optimization/docs/walkthrough.md at main · NVIDIA/nemoclaw-community](https://github.com/NVIDIA/nemoclaw-community/blob/main/examples/tools/enterprise-assistant-harness-optimization/docs/walkthrough.md), github.com - [Use NVIDIA NeMo to Turn Agent Failures into Tests and Harness Fixes](https://developer.nvidia.com/blog/use-nvidia-nemo-to-turn-agent-failures-into-tests-and-harness-fixes/), NVIDIA, 4 novembre 2026 - [Accelerate agentic AI with NVIDIA Nemotron models on Amazon EKS and SageMaker HyperPod EKS](https://aws.amazon.com/blogs/machine-learning/accelerate-agentic-ai-with-nvidia-nemotron-models-on-amazon-eks-and-sagemaker-hyperpod-eks/), AWS, 29 octobre 2026 --- # Cloudflare offre plus de visibilité sur les agents personnels IA _4 novembre 2026 — https://ip73.fr/2026/11/04/cloudflare-offre-plus-de-visibilite-sur-les-agents-personnels-ia/_ Les propriétaires de sites web peuvent désormais identifier précisément quels agents personnels accèdent à leurs plateformes, transformant un trafic automatisé opaque en données exploitables. Selon Cloudflare, cette nouvelle fonctionnalité intervient dans un contexte où les agents IA agissent comme intermédiaires entre les utilisateurs humains et le web, réalisant des tâches comme la comparaison de produits ou le passage de commandes. Jusqu'à présent, ces interactions se manifestaient comme un trafic automatisé sans que le site puisse distinguer l'agent spécifique ou son comportement. Bloquer ces agents en bloc, bien que tentant pour des raisons de sécurité, revenait souvent à bannir des clients potentiels. Cloudflare apporte une réponse à ce dilemme en intégrant son répertoire des bots vérifiés, le plus grand au monde, directement dans les détails du trafic. Dans la section Security Analytics, le graphique Bot Analysis affiche désormais une catégorie dédiée aux « Personal Assistants ». En sélectionnant cette catégorie, les équipes de sécurité peuvent isoler et observer uniquement le trafic généré par ces agents. De plus, un nouveau widget dans les statistiques principales liste les agents visiteurs, permettant de voir le volume de requêtes qu'envoie chacun. On peut ainsi déterminer si l'agent est en train de lire des fiches produits, de se connecter, ou de rencontrer des erreurs sur certaines pages. ## Définir les règles d'accès sur mesure Au-delà de l'analyse, Cloudflare renforce la capacité des sites à imposer leurs conditions. La plateforme étend ses politiques d'agents existantes, offrant des options de contrôle bien plus granulaires. Le nom de la configuration est passé à « AI Crawler and Agent access policies » pour refléter cette portée accrue. L'administrateur peut fixer une politique globale pour tous les agents, mais ensuite choisir une politique différente pour chaque agent supporté : soit « Allow » (autoriser), soit « Block on pages with ads » (bloquer sur les pages publicitaires), soit « Block » (bloquer). Cette granularité est importante, car la réponse n'est pas universelle. Un éditeur de contenu peut souhaiter que son agent soit présent sur tout le site pour que ses lecteurs le trouvent, tandis qu'un autre peut exiger qu'il soit bloqué sur les pages financées par la publicité. Ce niveau de choix personnalise l'interface de sécurité en fonction du modèle économique du site. Pour les entreprises gérant des comptes utilisateurs, la situation devient encore plus fine. Avec la protection contre les abus de comptes (actuellement en phase de pré-accès), les équipes de fraude peuvent voir quel agent représente quel utilisateur. Lorsqu'un événement de connexion survient, il est désormais indiqué si la requête provient d'un agent spécifique, et quel est ce nom. Un analyste peut ainsi différencier une connexion habituelle faite par un agent de confiance de l'apparition soudaine d'un agent inconnu, permettant une mitigation ciblée via une règle WAF sur l'ID utilisateur haché, sans pénaliser l'agent pour l'ensemble des autres utilisateurs. ## Le contexte de l'utilisateur reste un défi Malgré ces avancées en matière de visibilité et de contrôle, Cloudflare précise que l'identité de l'agent ne suffit pas à raconter toute l'histoire. Le prochain objectif, selon l'entreprise, est de conserver le contexte de la relation entre le site et l'utilisateur lorsque l'agent agit en intermédiaire. Savoir que l'agent est connu ne répond pas aux questions fondamentales : est-ce un client existant ? Quelle autorité lui a été déléguée ? Quel abonnement possède-t-il ? Atteindre cette maturité requiert des solutions qui respectent la vie privée pour transmettre le contexte de l'utilisateur à travers l'agent, aider les plateformes à évaluer la réputation de ces acteurs, et établir une responsabilité claire en cas de dysfonctionnement. Il faudra observer comment le secteur va bâtir ces ponts entre l'agent technique et le profil client réel. Cloudflare indique qu'elle partagera plus d'informations en travaillant avec les opérateurs d'agents à travers l'écosystème. ## Sources - [See the agents, set the terms: new visibility and control for personal agents](https://blog.cloudflare.com/personal-agents-visibility-control/), Cloudflare, 4 novembre 2026 - [BlueFlag Security adds controls for AI agents working under developer identities](https://www.helpnetsecurity.com/2026/11/04/blueflag-ai-agent-governance/), Help Net Security, 4 novembre 2026 - [3 Ways AI Agents Already Operate in Your Browser](https://www.bleepingcomputer.com/news/security/3-ways-ai-agents-already-operate-in-your-browser/), BleepingComputer, 29 octobre 2026 --- # Bluetooth HDT augmente le débit sans fil jusqu’à 7,5 Mbps _4 novembre 2026 — https://ip73.fr/2026/11/04/bluetooth-hdt-augmente-le-debit-sans-fil-jusqu-a-7-5-mbps/_ Le Bluetooth Special Interest Group (SIG), l'organisme qui supervise la technologie, a officiellement adopté Bluetooth High Data Throughput (HDT). Cette fonctionnalité, intégrée au Bluetooth Core 7.0, augmente le débit maximal des appareils Bluetooth LE jusqu'à 7,5 Mbps. Ce saut technologique n'est pas qu'une simple accélération ; il renforce la capacité, optimise l'efficacité énergétique et améliore la robustesse des liaisons sans fil. Ce nouveau protocole introduit une couche physique (PHY) dotée de schémas de modulation plus solides, permettant aux dispositifs de transmettre beaucoup plus d'informations par lien. Pour situer l'ampleur du changement, le débit maximal atteint près de quatre fois celui du PHY Bluetooth LE 2M actuel. Neville Meijers, PDG du Bluetooth SIG, a rappelé que cette évolution répond aux exigences d'un monde de plus en plus connecté. ## Les bénéfices au-delà de la vitesse Si l'augmentation de vitesse est le chiffre le plus parlant, les retombées sont plus larges. L'HDT permet aux dispositifs de mieux gérer les ressources sans fil disponibles. En améliorant l'efficacité spectrale, on peut faire circuler plus de données en utilisant moins de bande passante. De plus, le fait de transférer plus d'informations en moins de temps permet au composant radio de rester moins longtemps en transmission active, ce qui contribue à une meilleure gestion de l'énergie. Joonsuk Kim, vice-président exécutif chez Samsung Electronics, a souligné l'importance de cette combinaison d'améliorations : « l'avancement du débit, de la capacité, de l'efficacité énergétique et de la fiabilité ensemble donne aux développeurs et aux fabricants une base plus solide pour construire des produits plus performants et des expériences sans fil plus riches » (Samsung Electronics). ## Des applications de l'audio aux systèmes industriels Quelles sont les applications concrètes de ce bond de performance ? Le SIG prévoit que la première application phare exploitant l'HDT sera standardisée dans le domaine de l'audio sans fil premium. Face à la demande croissante pour des écoutes sans perte et haute résolution, cette technologie fournit enfin la capacité nécessaire pour soutenir des expériences sonores complexes, incluant le son spatial et les configurations multicanales. Mais l'impact dépasse largement les écouteurs. Les améliorations peuvent bénéficier à l'informatique immersive et à la réalité étendue (XR). Les appareils capables de traiter et d'échanger des données plus massives à la périphérie (edge) peuvent devenir des extensions de plus en plus intelligentes de l'utilisateur. Les solutions commerciales et industrielles, qui dépendent de plus en plus de la communication sans fil, bénéficieront également de cette fiabilité accrue pour des systèmes d'automatisation plus sophistiqués. Il faut cependant garder à l'esprit que cette fonctionnalité est optionnelle. Comme l'a précisé Punto Informatico, tous les dispositifs compatibles avec la version 7.0 du standard ne pourront pas gérer HDT ; il faudra attendre les annonces des fabricants pour intégrer cette capacité. On s'attend à voir ces appareils équipés d'HDT en circulation à partir de 2027, marquant le début d'une nouvelle ère où la latence et la capacité des connexions domestiques et professionnelles seront significativement réduites. ## Sources - [Bluetooth® High Data Throughput opens a new chapter in wireless performance \| Bluetooth® Technology Website](https://www.bluetooth.com/press/bluetooth-high-data-throughput-opens-a-new-chapter-in-wireless-performance/), bluetooth.com - [Bluetooth 7.0 accelera con HDT: velocità, efficienza e affidabilità](https://www.punto-informatico.it/bluetooth-7-0-hdt/), Punto Informatico, 4 novembre 2026 - [Bluetooth is getting a big boost to data transfer speeds](https://www.theverge.com/tech/1026308/bluetooth-le-sig-high-data-throughput-hdt), The Verge, 4 novembre 2026 ## Crédits photo - Image en une : [Bluetooth headset](https://commons.wikimedia.org/wiki/File:Bluetooth_headset.jpg), par Ed g2s, [CC BY-SA 3.0](http://creativecommons.org/licenses/by-sa/3.0/), via Wikimedia Commons (recadrée) - Image dans l’article : [Sony-WH-1000XM3-kabellose-Bluetooth-Noise-Cancelling-Kopfhoerer.5](https://commons.wikimedia.org/wiki/File:Sony-WH-1000XM3-kabellose-Bluetooth-Noise-Cancelling-Kopfhoerer.5.jpg), par www.digitalpush.net, [CC BY 4.0](https://creativecommons.org/licenses/by/4.0), via Wikimedia Commons (recadrée) --- # Node.js détaille son calendrier de versions et de support LTS _4 novembre 2026 — https://ip73.fr/2026/11/04/node-js-detaille-son-calendrier-de-versions-et-de-support-lts/_ Les équipes de GitHub ont clarifié le calendrier de sortie de Node.js, définissant les statuts Alpha, Current et Active LTS pour les prochaines années. Ce réajustement du cycle de vie des versions impose une structure plus nette aux projets, notamment pour les mainteneurs de librairies. À partir de Node.js 27, chaque nouvelle ligne de version passe par une phase « Alpha » avant sa première sortie « Current », et toutes les lignes sont destinées à atteindre le statut LTS. Les versions précédentes, jusqu'à Node.js 26, ne suivent pas ce parcours ; elles n'ont pas connu de phase Alpha ni Active LTS. Les définitions sont précises : l'Alpha est destiné aux auteurs de librairies et aux pipelines d'intégration continue, car son API et son ABI peuvent changer entre les versions. Le Current intègre les changements non majeurs, tandis que l'Active LTS apporte des correctifs stables audités. La phase Maintenance, réservée aux versions antérieures, se concentre sur les correctifs critiques et de sécurité. Le tableau récapitulatif des lignes de versions, selon github.com, donne des repères clairs. Par exemple, la version 22.x, nommée Jod, est en Maintenance LTS avec une fin de vie prévue pour le 30 avril 2027. En comparaison, la ligne 24.x, Krypton, est également en Maintenance LTS et devrait être supportée jusqu'au 30 avril 2028. Ce cadencement est essentiel pour toute organisation planifiant ses migrations. ## La gestion des risques et la politique de sécurité Ce réaménagement des versions coexiste avec une politique de sécurité bien établie. En cas de découverte d'une faille, le protocole exige de signaler le bug via HackerOne. Normalement, un accusé de réception est envoyé sous cinq jours, et une réponse plus détaillée dans dix jours, bien que ces délais puissent s'allonger durant les vacances. Le processus de correction est rigoureux : une fois le bug validé sur toutes les versions supportées, les correctifs sont préparés localement en attendant la date d'embargo. Une demande de CVE est ensuite déposée. Typiquement, l'embargo est fixé soixante-douze heures après l'émission du CVE, assurant une coordination entre les correctifs et l'annonce publique. Les chercheurs en sécurité doivent respecter des règles strictes. Les tests doivent se faire dans des environnements contrôlés, sans toucher aux systèmes de production sans autorisation préalable. De plus, les rapports doivent fournir des étapes de reproduction claires et un code minimum de preuve de concept, sans aucun payload malveillant. ## Les implications pour l'écosystème Si le calendrier de support est désormais exposé, les développeurs peuvent mieux anticiper la fin de vie de leurs dépendances. D'ailleurs, dans le contexte plus large de la gestion des vulnérabilités, on observe des incidents majeurs. En octobre 2026, des rapports faisaient état de plus d'un millier de correctifs de vulnérabilités en une seule journée, illustrant la pression constante sur la maintenance des systèmes. Parallèlement, la sécurisation des infrastructures montre une vigilance accrue. Google Cloud a récemment publié des notes de version indiquant des correctifs de sécurité pour divers composants Apigee, notamment le retrait de racines de confiance compromises, ce qui souligne que la sécurisation des couches d'infrastructure est un travail continu, même en parallèle des mises à jour de langage. Le respect des politiques de support, qu'elles soient celles de Node.js ou des fournisseurs de cloud, impose une discipline de mise à jour. Il reste à voir comment les équipes de développement vont absorber cette nouvelle rigueur du cycle Alpha/Current/LTS dans la pratique quotidienne des projets open source. ## Sources - [GitHub - nodejs/Release: Node.js Release Working Group](https://github.com/nodejs/release), github.com - [node/SECURITY.md at main · nodejs/node](https://github.com/nodejs/node/blob/master/SECURITY.md), github.com - [Wednesday, November 11, 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/november-2026-security-releases), Node.js, 3 novembre 2026 (contenu sous licence CC BY 4.0) - [Security briefing: October 2026](https://webflow.sysdig.com/blog/security-briefing-october-2026), Sysdig, 3 novembre 2026 - [November 01, 2026](https://docs.cloud.google.com/release-notes#November_01_2026), Google Cloud, 1 novembre 2026 --- # CISA impose 3 jours pour corriger les failles critiques exploitées _4 novembre 2026 — https://ip73.fr/2026/11/04/cisa-impose-3-jours-pour-corriger-les-failles-critiques-exploitees/_ La nouvelle directive opérationnelle de CISA, BOD 26-04, instaure une obligation claire : pour une vulnérabilité activement exploitée, accessible publiquement et offrant un contrôle total à l'attaquant, le délai de remédiation est fixé à trois jours calendaires. En parallèle de cette course contre la montre, les équipes doivent lancer une investigation forensique pour déterminer si l'entité a déjà été compromise. Ce changement marque une rupture nette avec les cadres précédents. L'ancienne directive BOD 22-01 imposait, par exemple, un délai de quatorze jours pour toutes les entrées du Catalogue des Vulnérabilités Connues Exploitées (KEV), sans distinction de l'exposition ou de la nature de l'attaque. Selon Rapid7, BOD 26-04 remplace cette uniformité par un modèle dynamique qui se concentre sur ce que les attaquants utilisent réellement. Le passage du modèle basé sur le score CVSS seul à une évaluation par quatre variables binaires est fondamental. Ces variables évaluent si l'actif est exposé sur un réseau public, s'il est listé dans le KEV Catalog, si l'exploitation peut être automatisée et si l'impact technique confère un contrôle total. L'exposition de l'actif s'avère être le levier le plus puissant : les données de Rapid7 montrent que la moitié des vulnérabilités activement exploitées sur le terrain au premier trimestre 2026 étaient des problèmes sans clic, accessibles sur un réseau public, sans nécessiter d'authentification. Au deuxième trimestre 2026, près des deux tiers nécessitaient aucune interaction de l'utilisateur. ## Les niveaux de risque et la dynamique de la correction Les quatre critères se combinent pour définir des paliers de remédiation très précis. Le niveau 1, le plus critique, concerne les failles listées dans le KEV Catalog et offrant un contrôle total ; là, les trois jours s'accompagnent du triage forensique. Pour les failles de niveau 2 – celles qui sont exposées publiquement, automatisables et offrent un contrôle total mais ne sont pas encore dans le KEV – le délai reste de trois jours, mais sans l'obligation du triage initial. Les niveaux inférieurs varient entre quatorze, soixante jours, ou sont différés jusqu'à la prochaine mise à niveau du système, selon leur criticité et leur isolation. CISA considère l'isolement ou la mitigation comme une forme de remédiation valide, permettant de gagner du temps avant l'application du correctif définitif. Ce système est intrinsèquement fluide : l'ajout d'une vulnérabilité dormante au KEV Catalog peut réduire son calendrier de correction du jour au lendemain. ## Le défi de la preuve avant la correction L'exigence de mener une investigation forensique simultanément à la correction, applicable aux vulnérabilités de niveau 1, pose un vrai casse-tête opérationnel. Comme l'indique la documentation de CISA, il faut d'abord capturer les données volatiles – la mémoire vive, par exemple – avant d'appliquer un correctif qui pourrait écraser ces traces. Cette séquence doit être réalisée dans un protocole de soixante-douze heures. L'un des risques majeurs, selon le protocole de six étapes, est la tension entre l'étape de préservation des preuves et l'étape de stabilisation du système. Réaliser cette collecte d'informations méticuleuse sur chaque point de terminaison en un laps de temps si court n'est pas une tâche triviale. Bien que BOD 26-04 s'applique formellement aux agences fédérales civiles, son impact se propage au secteur privé via les exigences contractuelles. Les prestataires de services cloud traitant des données fédérales sont indirectement contraints d'adopter ce standard de triage de trois jours. Il reste à voir comment les équipes techniques vont adapter leurs processus pour gérer cette pression constante entre la sécurité immédiate et la nécessité de garder une trace légale de ce qui s'est passé avant la réparation. ## Sources - [The Race Against the 3-Day Clock: How Rapid7 Helps Meet BOD 26-04 Compliance](https://www.rapid7.com/blog/post/it-racing-the-three-day-clock-cisa-bod-26-04), Rapid7, 4 novembre 2026 - [CISA Adds One Known Exploited Vulnerability to Catalog](https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog), CISA, 3 novembre 2026 --- # Descope lance Envoy pour authentifier les agents IA dans les applis grand public _4 novembre 2026 — https://ip73.fr/2026/11/04/descope-lance-envoy-pour-authentifier-les-agents-ia-dans-les-applis/_ Face à l'adoption massive des assistants personnels — Meta Muse ayant dépassé les cinq millions de téléchargements fin septembre, par exemple — les entreprises doivent choisir : bloquer ces agents ou les laisser se connecter en se faisant passer pour l'utilisateur. Cette dualité, jugée insoutenable à terme, pousse vers une solution d'identité déléguée. Descope répond à ce besoin avec Envoy, un ensemble de capacités qui permet aux applications grand public d'accepter les agents IA comme des utilisateurs à part entière, sans forcer les développeurs à reconstruire leur infrastructure d'identité. L'enjeu est majeur. Si une plateforme comme Amazon ou JPMorgan Chase bloque un agent, elle risque de perdre des transactions face à des concurrents plus ouverts. Inversement, si l'agent utilise les identifiants du client, l'entreprise ne fait qu'enregistrer une impersonation, rendant les journaux de bord ambigus en cas de fraude ou de litige. Envoy vient formaliser la distinction entre l'humain qui commande et l'agent qui exécute. Envoy agit comme une couche d'abstraction qui simplifie l'adoption du Personal Agent Protocol (Poppy), un standard en cours de structuration par Meta et Sierra. Ce protocole permet, en théorie, à une entreprise de spécifier quels types d'interactions sont autorisés pour les agents. Avec Envoy, les développeurs n'ont plus à gérer la complexité de la spécification Poppy. Les fonctionnalités clés incluent le support natif de Poppy, l'identification de l'agent via des métadonnées de client sans pré-enregistrement, et l'utilisation de jetons de session liés à la clé de l'agent grâce à DPoP. ## Définir les droits sans remplacer l'utilisateur Ce qui change concrètement pour les entreprises, c'est la granularité des droits. Grâce aux Rich Authorization Requests (RAR), une enseigne peut définir précisément ce qu'un agent est autorisé à faire. Par exemple, un agent d'achat peut consulter un catalogue et passer des commandes, mais être strictement interdit de modifier les informations de paiement ou les paramètres de compte. Descope précise que cette approche permet une véritable délégation plutôt qu'une simple substitution de l'identité. Pour les actions sensibles, des mécanismes d'approbation en dehors du flux d'authentification sont prévus. Le Client-Initiated Backchannel Authentication (CIBA) permet, par exemple, à un agent de trouver un vol et de mettre la réservation en attente, soumettant ensuite une demande d'approbation que le client peut valider plus tard depuis son téléphone. C'est l'idée d'une augmentation des capacités, et non d'un remplacement total de l'identité humaine. ## Les acteurs qui construisent ce futur Plusieurs entreprises sont partenaires de lancement de cette initiative. GoFundMe, par exemple, insiste sur le besoin de transparence : « Chaque don sur GoFundMe est un acte de confiance, alors quand un agent agit pour quelqu'un, nous devons savoir exactement qui donne et qui agit pour lui », explique Arnie Katz, directeur produit et technologie chez GoFundMe. GoodRx, quant à lui, voit dans Envoy un moyen d'être prêt pour l'avenir des soins de santé : « Nous voulons que GoodRx soit prêt pour cela », selon Nitin Shingate, CTO de GoodRx, car les utilisateurs demanderont de plus en plus à leurs agents de trouver les prix les plus bas. Descope a également annoncé que des partenaires comme You.com, GoodRx, et Composio vont travailler avec l'entreprise pour améliorer Envoy dans les mois à venir. En parallèle de la plateforme Envoy, Descope a publié un SDK Poppy en Typescript, destiné aux constructeurs d'agents. Il permet à n'importe quel agent de se conformer au protocole, laissant à Descope la charge de la découverte et de l'identification du client. ## Sources - [Descope Envoy brings AI agent authentication to consumer apps](https://www.helpnetsecurity.com/2026/11/04/descope-envoy/), Help Net Security, 4 novembre 2026 - [Descope launches Envoy to let consumer apps accept personal AI agents as users](https://siliconangle.com/2026/11/04/descope-launches-envoy-to-let-consumer-apps-accept-personal-ai-agents-as-users/), SiliconANGLE, 4 novembre 2026 --- # APT29 exploite des failles n-day sur mobiles via sites compromis _4 novembre 2026 — https://ip73.fr/2026/11/04/apt29-exploite-des-failles-n-day-sur-mobiles-via-sites-compromis/_ Des acteurs étatiques, identifiés comme APT29, déploient une campagne massive de type *watering hole* visant des utilisateurs de téléphones mobiles. Cette opération, découverte par l'équipe de recherche de Sekoia en octobre 2026, utilise des failles de sécurité connues, les fameux *n-day exploits*, sur des systèmes d'exploitation déjà patchés. L'attaque ne requiert aucune interaction de l'utilisateur. Les attaquants parviennent à délivrer ces chaînes d'exploitation spécifiques à la plateforme — qu'il s'agisse d'iOS ou d'Android — via trois vecteurs d'infection principaux. On parle ici de l'injection directe de JavaScript sur des sites légitimes, de l'utilisation de domaines miroirs agissant en tant que proxy adversaire (*Adversary-in-the-Middle*), et, de manière particulièrement insidieuse, de la compromission de services d'analyse web tiers, comme le tracker Plerdy SEO. ## Ce qui est touché et la gravité réelle Le but final de cette chaîne d'attaque est clair : exfiltrer des données sensibles. Sur les appareils iOS, les payloads sont capables de siphonner non seulement des cookies de session, mais aussi des informations beaucoup plus profondes, incluant des messages SMS et iMessage, des mots de passe du Keychain, les données de localisation, et même des informations issues d'Apple Health, selon les détails de l'exploitation de la variante DarkSword. Pour les utilisateurs d'Android, la chaîne d'attaque, notamment celle exploitant CVE-2026-3910 et CVE-2025-27038, permet de récupérer les cookies de Chrome, les mots de passe enregistrés, l'historique de navigation, ainsi que les mots de passe Wi-Fi. Il est à noter que, bien que les failles aient été corrigées, l'usage de ces exploitations montre la persistance de la menace. La gravité de l'exploitation réside dans le fait qu'elle est menée de manière silencieuse. Le code injecté sert d'abord à profiler l'appareil et le navigateur de la victime. Ensuite, la plateforme sert la chaîne d'exploitation appropriée. D'après les analyses, bien que certaines failles aient été corrigées, le fait que les attaquants utilisent des kits d'exploitation commerciaux, comme DarkSword, permet de baisser le seuil technique pour mener ce genre d'attaques sophistiquées. ## Qui doit agir et comment Le réseau de sites visés est vaste et varié. On retrouve des entités stratégiques — une entreprise de gaz en Ukraine, des sites liés à l'industrie chimique américaine, ou encore des organisations militaires bulgares. Les attaquants ont également créé des sites miroirs pour imiter des plateformes connues, comme le site de l'initiative America250 ou l'hôtel Raffles London, situé à proximité de zones gouvernementales britanniques sensibles. Cela suggère une tentative de ciblage précis, peut-être pour des délégations diplomatiques, comme l'indique l'association avec la présence du président Zelensky à l'hôtel Raffles. Les chercheurs ont souligné que toutes les failles exploitées dans ces trois chaînes (iOS 16.7, iOS 18.5, et Chrome 139 à 145) avaient été corrigées avant le début de la campagne. Sekoia insiste sur ce point : « un utilisateur utilisant un système d'exploitation à jour est à l'abri de ces attaques ». Il faut cependant rester vigilant sur la réutilisation de ces outils. Google, par exemple, a documenté des campagnes similaires impliquant APT29 utilisant des failles Chrome comme CVE-2024-5274 et CVE-2024-4671 sur des sites gouvernementaux mongols, prouvant la récurrence de ces tactiques. Les CERTs des pays affectés, dont CERT-UA, travaillent actuellement à identifier les victimes et à trouver des moyens de désorganiser l'infrastructure de ces *watering holes*. Il faut surveiller les mises à jour des systèmes d'exploitation et des navigateurs, car le recours à des kits d'exploitation commerciaux par des acteurs étatiques rend ces menaces plus accessibles à grande échelle. ## Fiche technique | CVE | Produit | Gravité | Exploitée activement | Versions corrigées | |---|---|---|---|---| | CVE-2024-27834 | — | Moyenne (CVSS 5,5) | Non signalée | Voir l’avis de l’éditeur | | CVE-2024-4671 | Google Chromium | Critique (CVSS 9,6) | Oui (KEV, 13 mai 2024) | Voir l’avis de l’éditeur | | CVE-2024-5274 | Google Chromium V8 | Critique (CVSS 9,6) | Oui (KEV, 28 mai 2024) | Voir l’avis de l’éditeur | *Données : [NVD](https://nvd.nist.gov/) (NIST), [catalogue KEV de la CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) (CC0) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).* ## Sources - [Poisoned Source: APT29 Watering Holes Targets Mobile Devices](https://www.sekoia.com/blog/poisoned-source-apt29-watering-holes-targets-mobile-devices-with-n-day-exploits), sekoia.com - [State-backed attackers and commercial surveillance vendors repeatedly use the same exploits](https://blog.google/threat-analysis-group/state-backed-attackers-and-commercial-surveillance-vendors-repeatedly-use-the-same-exploits/), blog.google - [Russian hackers target iOS and Android users with n-day exploits](https://www.helpnetsecurity.com/2026/11/04/apt29-watering-hole-mobile-devices-n-day-exploits/), Help Net Security, 4 novembre 2026 - [APT29-Linked Hackers Hijack Web Analytics Script to Deliver iOS and Android Exploits](https://thehackernews.com/2026/11/apt29-linked-hackers-hijack-web.html), The Hacker News, 4 novembre 2026 - [APT29 Watering Holes Target Unpatched iPhones and Android Devices](https://www.infosecurity-magazine.com/news/apt29-watering-holes-iphones/), Infosecurity Magazine, 4 novembre 2026 - [Avis de sécurité (support.apple.com)](https://support.apple.com/en-us/HT214101), support.apple.com, 14 mai 2024 - [GHSA-4rmp-jjj9-cfm4](https://github.com/advisories/GHSA-4rmp-jjj9-cfm4) : The issue was addressed with improved checks. This issue is fixed in iOS 17.5 and iPadOS…, GitHub Advisory Database (CC BY 4.0) - [CVE-2024-27834](https://nvd.nist.gov/vuln/detail/CVE-2024-27834), NVD (NIST) - [GHSA-gg58-4q4g-xvcw](https://github.com/advisories/GHSA-gg58-4q4g-xvcw) : Use after free in Visuals in Google Chrome prior to 124.0.6367.201 allowed a remote…, GitHub Advisory Database (CC BY 4.0) - [CVE-2024-4671](https://nvd.nist.gov/vuln/detail/CVE-2024-4671), NVD (NIST) - [CVE-2024-4671 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2024-4671), CISA - [CVE-2024-5274](https://nvd.nist.gov/vuln/detail/CVE-2024-5274), NVD (NIST) - [CVE-2024-5274 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2024-5274), CISA --- # BlueFlag Security encadre les agents IA opérant sous identité développeur _4 novembre 2026 — https://ip73.fr/2026/11/04/blueflag-security-encadre-les-agents-ia-operant-sous-identite/_ Face à la multiplication des agents IA, capables de planifier des tâches et de provisionner des environnements de manière autonome, BlueFlag Security vient d'étendre sa plateforme de gouvernance pour contrôler spécifiquement les entités opérant sous identité de développeur. Cette mise à jour permet désormais de cartographier l'accès, le comportement et la supervision de tous les agents, qu'ils soient approuvés ou « fantômes », offrant même des options de remédiation automatisée. Les chiffres sont sans appel : selon les données publiées par BlueFlag, 83 % des organisations utilisent des agents de codage IA qui n'ont pas reçu d'approbation formelle. Pire, 56 % des entreprises disposent d'agents autonomes fonctionnant avec leur propre identité. L'enjeu est d'autant plus grand que, lorsqu'un agent opère sous l'identité d'un développeur, celui-ci détient souvent des droits d'administrateur sans surveillance, et dans plus d'un cinquième des organisations, un agent autonome a déjà fusionné du code sans intervention humaine. Raj Mallempati, PDG de BlueFlag Security, a résumé cette situation avec une franchise cinglante : « Un agent IA est maintenant l'identité la plus puissante et la moins gouvernée dans l'environnement de développement. » Il insiste sur le fait que ce niveau de confiance est, au mieux, malavisé, mais au pire, représente une menace potentiellement catastrophique pour l'entreprise. ## Contrôle sur l'invisible du cycle de développement La nouvelle fonctionnalité permet à la plateforme d'identifier et de classer chaque agent, qu'il soit humain, machine ou IA. Elle détermine si l'agent rédige, teste, révise ou déploie du code, et si son activité est rattachée à un développeur spécifique. Ce suivi ne s'arrête pas aux dépôts de code ; BlueFlag s'intègre avec des plateformes de détection des points d'extrémité (EDR) comme Crowdstrike et SentinelOne pour repérer les outils IA utilisés par les développeurs sur leurs machines personnelles, même si le code est généré en dehors du dépôt. L'outil offre des mécanismes de supervision poussés. Il peut signaler les demandes de tirage (pull requests) validées par un agent IA ou les déploiements effectués sans révision humaine. Il permet aussi de forcer une vérification humaine avant toute fusion ou déploiement, permettant ainsi de documenter précisément où l'intervention humaine a eu lieu dans le processus. ## De l'outil de codage à la gestion des risques Le champ d'action de BlueFlag va au-delà du simple suivi des lignes de code. La plateforme établit un inventaire de toutes les applications du code qui emploient l'IA, détaillant les fournisseurs de modèles appelés et si le traitement s'effectue en interne ou chez un tiers. Chaque configuration est ensuite évaluée à l'aune de la liste OWASP Agentic Top 10 pour prioriser les actions correctives. Un autre volet important concerne la mesure du retour sur investissement (ROI) de l'IA. BlueFlag croise les jetons consommés et les dépenses engagées avec le travail réel produit – commits, pull requests acceptées. Cela permet de déterminer, par modèle utilisé, si l'argent dépensé génère réellement du code utile ou si des licences payantes restent inertes. Pour adresser les failles détectées, deux fonctionnalités de remédiation ont été ajoutées. Les utilisateurs peuvent choisir entre des instructions manuelles pas à pas, un script de remédiation généré automatiquement, ou un correctif en un clic, avec possibilité de retour arrière. Cela permet d'hygiéniser les identités sur-permissives ou de corriger les désalignements de configuration au sein des pipelines. Kristie Pfosi, Directrice globale de la sécurité des systèmes d'information chez Marelli, a souligné l'urgence de ce contrôle interne : « Nous ne devrions pas avoir à accepter d'incertitudes dans notre propre environnement de développement, et l'IA agentique a agrandi ce fossé du jour au lendemain. » ## Sources - [BlueFlag Security adds controls for AI agents working under developer identities](https://www.helpnetsecurity.com/2026/11/04/blueflag-ai-agent-governance/), Help Net Security, 4 novembre 2026 - [Exclusive: BlueFlag Security expands AI agent governance to cover unapproved coding agents](https://siliconangle.com/2026/11/04/exclusive-blueflag-security-expands-ai-agent-governance-to-cover-unapproved-coding-agents/), SiliconANGLE, 4 novembre 2026 --- # AlloyDB Express : PostgreSQL qui s’éteint quand il n’est pas utilisé _4 novembre 2026 — https://ip73.fr/2026/11/04/alloydb-express-postgresql-qui-s-eteint-quand-il-n-est-pas-utilise/_ Google Cloud présente AlloyDB Express, une nouvelle offre de sa base de données PostgreSQL, spécifiquement destinée aux développeurs et aux agents d'IA. L'objectif est de réduire le temps passé à provisionner les bases de données, un goulot d'étranglement souvent rencontré dans les cycles de développement assistés par IA. Selon l'annonce, ce service permet de créer une base de données PostgreSQL prête à l'emploi en moins de deux secondes. Le principal atout de cette solution est sa capacité à passer en mode « scale-to-zero ». Dès qu'une base de données Express n'enregistre aucune requête pendant quinze minutes, elle se met automatiquement en pause, ce qui signifie que l'utilisateur ne paie plus pour le temps de calcul. Au retour de la première requête, elle redémarre en quelques secondes. Ce mécanisme répond directement au besoin de rapidité des prototypes, tout en assurant une gestion des coûts efficace. L'intégration de l'IA n'est pas une fonctionnalité ajoutée après coup. AlloyDB Express embarque des outils d'IA directement dans la base de données. Les développeurs peuvent désormais stocker des embeddings vectoriels et effectuer une recherche sémantique — utile pour les moteurs de recommandation ou la mémoire des agents RAG — sans avoir à synchroniser les données vers un système de vecteurs externe. De plus, il est possible d'interroger les modèles Gemini directement dans les requêtes SQL standards, en utilisant des fonctions comme `ai.rank` ou `ai.generate`. ## Sécurité et intégration pour les environnements d'entreprise Malgré son orientation vers le prototypage rapide, AlloyDB Express intègre des garde-fous d'entreprise dès sa conception. Pour les administrateurs, cela signifie qu'ils définissent les politiques IAM, réseau et organisationnelles une seule fois, et ces règles s'appliquent automatiquement à chaque base de données créée par un développeur ou un agent. Les connexions par défaut sont sécurisées, masquant les adresses IP publiques, et les intégrations internes sont gérées via le réseau privé VPC. Cette approche permet d'accélérer le développement sans compromettre la sécurité. Le service offre une montée en charge vers la production en un clic, permettant de conserver les données, schémas et identifiants de connexion tout en acquérant les fonctionnalités d'entreprise comme la haute disponibilité (HA) et la reprise après sinistre (DR). ## Modèle tarifaire et automatisation Le modèle économique est pensé pour le cycle de vie complet de l'application. On peut commencer avec l'allocation mensuelle gratuite, et si le projet prend de l'ampleur, le coût est basé sur ce qui est réellement utilisé. Le calcul actif est facturé à 0,115 $ par Unité de Calcul-heure (CU-hr), facturé à la seconde. Lorsque la base de données est inactive depuis plus de quinze minutes, le coût de calcul passe à 0,00 $ par heure. Cette automatisation répond à une pression croissante sur les équipes de développement. On observe que la charge de travail induite par les outils d'IA sur les systèmes de bases de données est telle que l'échéance de PostgreSQL 19 semble repoussée, les équipes étant submergées par la gestion des rapports de bugs générés par ces outils. La mise à disposition d'un outil qui gère l'infrastructure de base de données de manière aussi autonome semble être une réponse pragmatique à ces défis opérationnels actuels. ## Sources - [AlloyDB Express: Instant, scale-to-zero PostgreSQL for developers and coding agents](https://cloud.google.com/blog/products/databases/introducing-alloydb-express-for-rapid-testing-and-prototyping/), Google Cloud, 4 novembre 2026 - [PostgreSQL 19 Running Behind Schedule Due To AI/LLM Burden](https://www.phoronix.com/news/PostgreSQL-19-Late), Phoronix, 30 octobre 2026 - [Fast Code, Slow Feedback: Fixing CI for the Age of AI Agents](https://devops.com/fast-code-slow-feedback-fixing-ci-for-the-age-of-ai-agents/), DevOps.com, 3 novembre 2026