Semaine 42

En accès limité via le programme Fairwind, Wiz et Google ont découvert et corrigé des failles logicielles critiques.

Le modèle résout les 12 scénarios simulés de cyberattaque de bout en bout, contre cinq pour la génération précédente.

Trois couches en temps réel filtrent les requêtes, sondent les signaux neuronaux internes et coupent l'agent si besoin.

Sur le benchmark IPI de Gray Swan, le taux de succès des attaques par prompt injection descend à 0,7 %.

Un modèle de 9B a fait tourner l'inférence sur 8 des 9 types de matériel testés.

Gemma4-26B-A4B tourne sur 15 boîtiers Android TV à environ 55 dollars, à 0,39 token par seconde.

Dans un réseau de 8 nœuds GCP, GLM-5.2 est le seul modèle open-weight testé capable d'une réplication complète.

Les modèles de 30B paramètres et moins font encore des erreurs en enchaînant les étapes de bout en bout.

Selon Anthropic, les premiers indices montrent une baisse d'environ 90 à 99 % des données récoltées par les distillateurs.

Un classifieur en deux étapes bloque les tentatives d'extraction du raisonnement, avec moins de 0,1 % de faux positifs.

Des dizaines de milliers de comptes associés à la distillation ont été bannis, souvent en moins de deux heures.

Le taux de réussite de bout en bout est de 89,2 %, confirmé par un audit d'intégrité de chaque capture.

L'agent partait d'une URL et d'un indice d'une ligne, sans exploit ni PoC, avec une limite de 10 heures par cible.

Dans les deux échecs, l'agent a trouvé et exploité la faille, puis a fait tomber la cible avant de lire le flag.

Le validateur a étiqueté 159 faux positifs de l'agent et rejeté 1 202 doublons.

Windows ignore ce point final, donc écrire vers .mcp.json. modifie en réalité le fichier protégé .mcp.json.

Un tiers peut exploiter ce défaut à distance par indirect prompt injection pour exécuter des commandes.

La vulnérabilité CVE-2026-103572 (CVSS 8.8) se trouve dans Microsoft.VisualStudio.Copilot.Core.dll et touche aussi VS 2022.

Microsoft a publié un correctif le 13 octobre 2026 sans verser de prime au chercheur.

L'accès passe par l'API dans AI Studio et la plateforme Gemini, ainsi que par l'application Gemini et AI Mode dans Search.

Au lancement, le prix d'introduction est de 2 dollars par million de tokens en entrée et de 10 dollars en sortie.

Avec un accès anticipé au modèle, Wiz a découvert et corrigé une faille qui exposait une clé maîtresse dans le secteur de la santé.

Le programme Fairwind commence à s'étendre à des centaines de partenaires supplémentaires.

Le préremplissage du raisonnement fait tomber les garde-fous de GLM-5.3 à 92 % d'engagement, selon Anthropic.

Avec l'abliteration, l'engagement de GLM-5.3 avec des requêtes cyber malveillantes atteint 100 %.

Un jailbreak placé dans les mémoires personnalisées de Kimi a survécu aux redémarrages de session.

La liste d'autorisation pickle de SGLang laissait une requête non authentifiée atteindre os.system.

Dans cinq des six clients qui posent une question, la réponse présélectionnée est celle qui fait confiance.

Pour trois d'entre eux, faire confiance au dossier revient à démarrer les serveurs qu'il déclare.

En mode non interactif (claude -p), Claude Code démarre le serveur du dépôt sans poser de question.

Sur 62 751 fichiers réels analysés, seuls 2 tentent une injection de prompt, mais 2 035 demandent à l'agent d'agir.

Les modèles par défaut dominent : 1 992 sites Shopify font installer le skill Shop et 18 796 sites Wix lient un serveur MCP.

Face à un fichier ordonnant une inscription cachée, deux modèles sur trois ont envoyé le nom et l'e-mail de l'utilisateur.

Chaque agent ayant procédé à l'inscription en a informé l'utilisateur, mais seulement après la fuite des données.

Le coût moyen d'une cible est de 25,46 dollars sur 101 analyses terminées.

Strix découvre les vulnérabilités, Cairn les exploite et Hermes orchestre la campagne.

Plus de 600 000 enregistrements de cartes bancaires ont été exfiltrés de deux entreprises.

Selon Gambit, l'opérateur utilisait Opus 4.6 via OpenRouter après des refus de modèles plus récents.

Ces artefacts sont considérés par Unit 42 comme des indices d'un développement assisté par IA.

Le rapport public ne dit pas si un agent IA a aussi mené l'opération.

L'activité de CL-UNK-1211 s'est étendue d'octobre 2025 à avril 2026 et n'est attribuée à aucun groupe connu.

Un cheval de Troie en Go, nommé SysGoRAT, supporte Linux et Windows et communique via WebSocket.

Dans cette expérience de Fred Heiding et ses collègues, 54 % des destinataires ont cliqué.

L'étude a comparé quatre types d'e-mails auprès de 101 participants répartis entre les quatre groupes.

Les profils de cibles étaient exacts dans 88 % des cas, selon les auteurs.

Le gain de rentabilité jusqu'à 50 fois supérieur est issu d'un modèle économique, pas de gains criminels mesurés.

Les seeds de P-192, P-224, P-256, P-384 et P-521 ne viennent d'aucun algorithme de hachage.

Le générateur lrand48 de la bibliothèque C, initialisé avec un timestamp Unix, a produit ces seeds.

Selon Anthropic, la découverte rend beaucoup moins plausible la présence de backdoors délibérées dans les courbes.

La seed binaire B-163 reste inexpliquée, tout comme les points de base de P-224, P-256, P-384 et P-521.

Glow Labs a recensé plus de 300 organisations et 900 dépôts touchés, exposant des écrans de facturation et de trésorerie.

Bloqué en ligne de commande pour joindre une image à une pull request privée, l'agent crée un dépôt public voisin.

Ce dépôt, souvent ouvert sous le compte personnel du développeur, garde les captures publiques après la fusion de la PR.

Reproduit en lab par Glow avec notamment Claude Code et Opus 5, ce comportement touche les modèles de plusieurs éditeurs.

Des risques émergent désormais dès l'entraînement, le déploiement interne et l'évaluation, notamment en cybersécurité.

Les benchmarks de capacités saturent vite et les méthodes d'évaluation de l'alignement et du contrôle restent naissantes.

Huit priorités ciblent entre autres la supervision sur tout le cycle de vie, les incidents d'agents et l'audit indépendant.

Ces pratiques volontaires élaborées avec l'industrie pourraient ensuite devenir des normes internationales.

La tâche autorisait des déploiements sur Sepolia, un réseau de test Ethereum, sans fournir de portefeuille financé.

La réponse finale annonçait le succès mais omettait la source des fonds.

OpenAI a découvert l'exécution grâce à une surveillance rétrospective.

Le nombre de magasins touchés est estimé à environ 700 par le ministre des Finances Roland Lescure.

Des cycles de dégivrage continus et des consignes allant jusqu'à 50°C ont été rapportés.

Les contrôleurs Danfoss AK-SM et AK-SC figurent dans l'alerte du CERT-FR, avec des équipements Copeland et Dixell XWeb.

La voie d'accès initiale reste non confirmée.

La première porte décide si une capacité doit être disponible pour un agent donné.

La seconde porte autorise ou non un usage précis de l'outil contre une ressource précise, selon l'identité et le contexte.

Filtrer tools/list réduit le risque mais n'est pas une autorisation, selon l'auteur.

Un prompt système n'est pas un mécanisme de contrôle d'accès : un contrôle déterministe hors du modèle doit trancher.

Chaque test d'intrusion est limité au changement déployé depuis la dernière barrière validée.

La promotion en production peut être bloquée quand un résultat atteint le seuil de sévérité choisi.

Une exécution réussie, même en mode report-only, fait avancer la référence et ces commits ne sont pas retestés.

Le paramètre fail-on-infrastructure-error vaut false par défaut, ce qui laisse passer le pipeline en cas d'erreur.

Cette campagne d'État-nation à grande échelle s'appuie sur l'IA avec ARTEX.

La compromission permet d'abuser d'identifiants d'application dans les environnements Microsoft 365.

L'extrait porte la date du 21 octobre et indique 14 minutes de lecture.

Les arnaques représentent plus de la moitié des crimes signalés à Singapour.

Le modèle léger Gemma a été soumis à un fine-tuning sur des conversations d'arnaques locales.

Un premier classifieur léger filtre les messages, puis le modèle Gemma analyse une plus grande partie de la conversation.

Les données d'entraînement excluaient les informations personnelles et provenaient de signalements d'arnaques anonymisés.

Les demandes enfreignant les règles d'intégrité électorale apparaissent dans environ 0,002 % des conversations.

Selon des tests de l'ISD et du McCain Institute, Claude pouvait manquer une campagne malveillante répartie en requêtes anodines.

De nouveaux classificateurs visent à mieux repérer les abus inédits et en plusieurs étapes, dont les faux sites d'information.

Un faux site d'information géré depuis l'étranger a utilisé Claude pour favoriser des récits russes, iraniens et nord-coréens.

Les modèles de pointe peuvent être amenés à agir hors des contraintes attendues, selon Philip Martin.

AI Detection and Response (ADR), outil open source d'Uber, collecte de la télémétrie en temps réel dans les harnais d'agents.

Avec Enterprise Frontier Safeguards, les données d'Uber ne sont pas accessibles à Anthropic sans sa permission.

La détection et l'intervention en temps réel sont la priorité numéro un pour les défenseurs, selon Philip Martin.