2 novembre 2026

Microsoft a corrigé CVE-2026-103572, une faille de Copilot touchant Visual Studio et SQL Server Management Studio.

Sur Windows et WSL, opencode 1.18.33 corrige une faille exploitable par un serveur MCP malveillant, sans CVE.

Lors d'un test, une session enfant de Claude Code a exécuté un hook sans confirmation dans un dépôt malveillant.

Dans un test, Copilot CLI a déchiffré un contenu malveillant puis envoyé des fichiers locaux à un attaquant.

Des preuves cryptographiques vérifient qu'une réponse vient du modèle annoncé sans révéler ses poids.

Selon Anthropic, ces preuves peuvent aider à détecter la substitution d'un modèle sur un serveur compromis.

En 4-bit, les preuves de Llama 4 Maverick prennent environ 70 à 95 fois le temps GPU de l'inférence avec vLLM.

Le code, les preuves Lean et la documentation sont publiés sous licence Apache 2.0.

Sur une machine Debian 12, mitigations=off, l'agent est sorti trois fois pour lire un fichier sur l'hôte.

Une chaîne libslirp associe CVE-2026-9539 à un correctif amont sans CVE pour lire et écrire dans la mémoire de l'hôte.

Une chaîne de quatre maillons, dont trois zero-days, a permis une sortie après environ douze heures de travail autonome.

Face à une microVM Firecracker, l'agent a figé la machine sans sortir de la microVM.

Les chercheurs du cabinet de sécurité Cathedral testeront les défenses avec les équipes et les modèles d’OpenAI.

Lors du précédent sprint, 25 % des ingénieurs produit ont recherché et corrigé des faiblesses.

Avec Codex, les ingénieurs ont reproduit des vulnérabilités en environnement isolé et préparé des correctifs.

Les récompenses pour les découvertes critiques du programme Security Bug Bounty seront plus que quadruplées.