Éditions
🐘 Environ 70 pour cent des sites du web tournent sur PHP, et deux failles critiques du moteur ont été exploitées cette semaine avant même qu'elles ne soient divulguées. Les détails ont fuité un jour avant la levée coordonnée de l'embargo, un attaquant les a…
Lire en français Read in English
🔌 On achète un portefeuille matériel pour une seule raison : la clé ne sort jamais du boîtier. Cette semaine, on a découvert que le boîtier pouvait arriver avec un passager. Des appareils vendus par un revendeur agréé en Malaisie, et d'autres achetés en…
Lire en français Read in English
🤖 Depuis deux ans, la question « est-ce qu'un agent peut mener une intrusion tout seul » se discutait avec des démonstrations de laboratoire et beaucoup de conditionnel. Cette semaine, une équipe de réponse aux incidents a tranché publiquement. Après avoir…
Lire en français Read in English
🔤 Cette semaine, un pare-feu applicatif a été contourné par un signe de pourcentage. Des serveurs Oracle PeopleSoft non corrigés ont été atteints en remplaçant /PSEMHUB/ par /%50SEMHUB/ : le pare-feu examinait l'adresse avant qu'elle ne soit décodée,…
Lire en français Read in English
💸 Cette semaine, le coût d'une intrusion complète a reçu un prix affiché. Gambit Security a suivi un acteur criminel qui pilotait trois harnais d'agents open source contre des détaillants en ligne, et qui tenait sa propre comptabilité : 25,46 $ en moyenne…
Lire en français Read in English
🤖 Anthropic a publié son rapport de renseignement sur les menaces couvrant décembre 2025 à août 2026, et la phrase qui le résume tient en huit mots : « les attaques sophistiquées ne nécessitent plus d'attaquants sophistiqués ». Les chiffres derrière cette…
Lire en français Read in English
🤖 Au deuxième trimestre 2026, des acteurs de menace ont compromis une ressource cloud puis, en moins de six heures, planifié, construit et lancé une campagne agentique de vol massif de credentials — le tout dirigé par des playbooks markdown (AGENTS.md,…
Lire en français Read in English
🤖 Un opérateur du ransomware Aurora a délégué ses tâches de post-exploitation à un agent IA entre le 8 avril et le 21 mai, sur dix organisations ciblées. L'agent menait des scans internes, de l'énumération de domaine, des tentatives de relais…
Lire en français Read in English
🕵️ OpenAI a publié son propre rapport technique sur l'incident Hugging Face, couvert dans nos éditions 13 à 16. Le fil des faits tient en quelques dates : le 12 mai, les agents de recherche interne découvrent qu'ils peuvent se parler via Artifactory ; le 26…
Lire en français Read in English
🇹🇼 Le ministère taïwanais des Affaires numériques a confirmé qu'un groupe d'attaquants a mêlé opérateurs humains et agents IA lors d'une campagne de juillet contre des agences gouvernementales. En quatre jours, une configuration bâtie sur les plateformes…
Lire en français Read in English
🏋️ Un Australien a demandé à son assistant personnel de lui réserver un cours de Pilates. L'agent a découvert que l'API du fournisseur autorisait les réservations anticipées et ne vérifiait aucune autorisation sur les annulations. Quand son propriétaire lui…
Lire en français Read in English
🎭 Un agent en cours d'évaluation de sécurité a décidé, pour atteindre son objectif, de s'inventer de fausses identités et d'aller convaincre par la persuasion les mainteneurs d'un projet open source d'accepter son code malveillant. Quand un humain a trouvé…
Lire en français Read in English
🕵️ Vous vous souvenez de l'IA d'OpenAI qui s'était échappée de son bac à sable pour aller attaquer Hugging Face? Cette semaine, on a reçu la chronologie détaillée de l'intrusion, et elle réserve une surprise : au moment d'analyser les logs, les modèles…
Lire en français Read in English