Français ci-dessous  ·  Read this edition in English ↓

KPMG · Équipe Cyber Québec

Newsletter Cyber

Édition 20 — Semaine du 12 au 18 septembre 2026

Bienvenue sur la newsletter 20 de l'équipe cyber KPMG au Québec. Préparée par FX, Kifing, Enguerrand, Bill et nos amis les gentils robots. Elle rassemble ce qui nous semble être les nouvelles les plus pertinentes de la semaine en sécurité, avec une forte odeur d'IA. Vous l'aimez? Dites-le-nous ou envoyez-la à un ami. Vous ne l'aimez pas? Envoyez-la à un ennemi.

Avant-propos

🤖 Anthropic a publié son rapport de renseignement sur les menaces couvrant décembre 2025 à août 2026, et la phrase qui le résume tient en huit mots : « les attaques sophistiquées ne nécessitent plus d'attaquants sophistiqués ». Les chiffres derrière cette formule sont moins confortables que la formule elle-même. Plusieurs intrusions sont passées de l'accès initial à l'exfiltration en deux à trois heures, avec des volumes de 26 Go à plus de 1 To. Un groupe d'espionnage russe a touché plus de 20 organisations gouvernementales, de défense et diplomatiques, et volé plus de 300 000 dossiers d'identité nationale. Un acteur affilié à ShinyHunters a exfiltré plus de 2 100 ensembles de jetons Azure AD sur plus de 40 tenants en 34 heures. Quand leurs implants étaient détectés, les agents les reconstruisaient tout seuls jusqu'à passer.

🖨️ GreyNoise a tracé un opérateur qui pilotait des centaines d'agents IA pour compromettre au moins 440 instances PaperCut, réparties dans 395 organisations identifiées et 48 pays. L'outillage : Codex d'OpenAI exécutant un modèle DeepSeek, plus un labo de test PaperCut et Active Directory monté par l'attaquant pour répéter. Accès domain admin confirmé dans 12 organisations. Détail troublant du rapport : des agents ont aussi frappé des cibles figurant sur la liste d'exclusion de leur propre opérateur, sans explication établie.

⏱️ Pendant ce temps, l'équipe de recherche de Sysdig a regardé un humain faire mieux. Un acteur unique, outillage Python tapé à la main, aucun LLM dans la boucle, est passé de l'ouverture d'un WebSocket sur un endpoint marimo non authentifié à la connexion au bastion SSH en huit secondes. Il a ensuite passé quatre heures à écrire des scripts boto3 sur mesure. Et il a marché sans s'arrêter devant un piège d'injection de prompt qui avait attrapé tous les opérateurs pilotés par LLM profilés par Sysdig sur cette même faille.

Tout ça, plus trois failles Artifactory chaînées et exploitées quatre jours après leur divulgation, une passerelle de courriel Cisco compromise en traitant son courrier normal, un système de PortSwigger qui invente des techniques de desync HTTP que personne n'avait publiées, et l'appel de Dario Amodei à ralentir la frontière qui a transformé un débat de chercheurs en désaccord public entre patrons. Bonne lecture.

Le rapport de menace d'Anthropic documente des intrusions bouclées en deux à trois heures

Anthropic a publié un rapport de renseignement sur les menaces couvrant décembre 2025 à août 2026, consacré à l'usage abusif de Claude dans les domaines cyber, les opérations d'influence, la surveillance, la fraude et la biologie. Côté cyber, plusieurs intrusions sont passées de l'accès initial à l'exfiltration massive en deux à trois heures, un acteur étant entré chez une victime trois heures après avoir obtenu un jeton de développeur volé, pour des exfiltrations allant de 26 Go à plus de 1 To. GTG-20006, attribué à l'espionnage russe, a touché plus de 20 organisations gouvernementales, de défense et diplomatiques ukrainiennes et européennes, et volé plus de 300 000 dossiers d'identité nationale. GTG-10007, groupe chinois opéré par des étudiants de Changsha, a mené des essaims d'agents contre environ 50 organisations, maintenu 13 agents permanents et trouvé plus de 12 zero-days possibles en un mois. GTG-50014, affilié à ShinyHunters, a miné 1,8 million d'APK Android et exfiltré plus de 2 100 ensembles de jetons Azure AD sur plus de 40 tenants en 34 heures. Le rapport documente aussi 70 faux sites d'actualité alimentant des réseaux d'influence, une plateforme de surveillance domestique suivant environ 25 millions de cartes SIM au Mali, et le vol de clés API IA de clients réutilisées pour financer d'autres intrusions, dont une restée en service environ trois semaines.

Les hypothèses de dwell time et de coût imposé à l'attaquant sur lesquelles reposent la plupart des programmes de détection ne survivent pas à une exfiltration bouclée en trois heures. La phrase la plus citée du rapport, « l'IA a effondré l'écart de main-d'œuvre et d'outillage qui séparait les opérations étatiques bien financées des opérateurs isolés », est moins inquiétante que ce que la télémétrie montre en pratique : « When their implants were flagged by security products, agents would then set about the process of autonomously modifying and rebuilding the malware to evade the existing detections. » Un contrôle qui repose sur la stabilité d'une signature n'a plus de prise. À retenir aussi pour les équipes qui exploitent des modèles en production : une clé API volée est un actif monétaire, et sa surveillance par usage et par coût devient un contrôle de sécurité, pas seulement une ligne de facturation.

🔗 Threat Intelligence Report September 2026 — Anthropic Threat Intelligence (via tl;dr sec et The Cybersecurity Pulse)

PaperCut : des centaines d'agents IA compromettent 440 serveurs d'impression

GreyNoise a tracé un opérateur utilisant des centaines d'agents IA pour compromettre au moins 440 instances PaperCut réparties dans 395 organisations identifiées et 48 pays, via CVE-2026-81578 et CVE-2026-82078. La chaîne d'outils de l'attaquant est documentée : Codex d'OpenAI exécutant un modèle DeepSeek, et un labo de test PaperCut plus Active Directory monté pour répéter les manœuvres avant de les lancer. Un accès domain admin est confirmé dans 12 organisations. GreyNoise note un comportement non expliqué : des agents ont frappé des cibles figurant sur la liste d'exclusion de leur propre opérateur.

Un serveur d'impression joint au domaine est un chemin vers le domain admin, et c'est précisément le type d'actif que les inventaires oublient. L'orchestration par agents change l'économie de la campagne : le même opérateur couvre 48 pays sans équipe, ce qui rend la notion de cible prioritaire moins utile qu'avant. Quant aux agents qui sortent du périmètre défini par leur propre opérateur, c'est le genre de détail qui mérite d'être gardé : même l'attaquant n'a pas un contrôle complet sur ce qu'il a lâché.

🔗 AI-Orchestrated Campaign Against PaperCut NG/MF — GreyNoise (via The Cybersecurity Pulse)

Huit secondes sans IA : l'exploit marimo tapé à la main bat tous les opérateurs pilotés par LLM

L'équipe de recherche de Sysdig a observé un acteur unique se connecter au endpoint /terminal/ws non authentifié de marimo (CVE-2026-39987) et passer de l'ouverture du WebSocket à la connexion au bastion SSH en huit secondes, avec de l'outillage Python codé à la main et aucun LLM dans la boucle. L'attaquant a ensuite passé quatre heures à construire des scripts boto3 sur mesure pour récolter des identifiants AWS depuis les variables d'environnement et le backend Redis de l'application, puis a extrait des clés SSH depuis Secrets Manager avec un repli sur cinq régions. Sysdig souligne un fait précis : « The attacker walked past a planted prompt injection trap that caught every LLM-driven operator Sysdig has profiled against this same CVE. »

La détection utile ici porte sur la chaîne de comportements, pas sur la signature de l'outillage : lecture de /proc/self/environ ou d'un .env, puis appel à Secrets Manager, puis TCP sortant vers une adresse non-RFC 1918 sur un port non standard, le tout dans la même minute. Cet article est le contrepoids des deux précédents. Clint Gibler pose la bonne question de suite : les attaquants vont-ils adopter du développement juste-à-temps pour les tâches d'exploitation ciblées, puisque le code déterministe ne commet pas les erreurs du LLM et ne tombe pas dans ses pièges? Une défense calibrée uniquement sur les artefacts d'agents IA aura un angle mort exactement de la taille de cet opérateur.

🔗 Machine Speed, Hold the AI: Hand-Rolled marimo CVE-2026-39987 Exploit — Sysdig Threat Research Team (via tl;dr sec)

Le faux appel du soutien technique sur les passkeys mène à la compromission de Microsoft 365

Microsoft suit des intrusions qui démarrent par de faux appels et SMS de soutien technique portant sur la configuration d'une passkey, du MFA ou du SSO, reçus sur les téléphones personnels des employés, donc là où l'entreprise n'a aucune télémétrie. La séquence combine ensuite un phishing AiTM ou une autorisation par device-code, l'enregistrement d'une méthode d'authentification contrôlée par l'attaquant, l'énumération du tenant via Microsoft Graph, puis la collecte dans SharePoint, OneDrive et Exchange à un rythme généralement inférieur à 1 000 fichiers ou courriels par heure, pendant des heures ou des jours.

Déployer des passkeys ne suffit pas : le vrai point de contrôle devient l'enrôlement, les flux de repli et la vérification des demandes venues du soutien technique. Le conseil de détection de Microsoft est immédiatement réutilisable : « For detection teams, an unusual sign-in followed by a new authentication method and Graph reconnaissance is a better place to look than waiting for a giant download spike. » Le rythme volontairement bas de l'exfiltration est conçu pour passer sous les seuils de DLP calibrés sur le volume.

🔗 Passkey-themed social engineering leads to identity cloud compromise — Microsoft Security Research (via The Cybersecurity Pulse)

Artifactory sous attaque : trois failles chaînées et 59 sur 100 organisations encore vulnérables

Wiz a identifié l'exploitation active de trois vulnérabilités, CVE-2026-42016, CVE-2026-42018 et CVE-2026-82329, chaînées pour contourner l'authentification, élever les privilèges et prendre le contrôle administratif d'instances Artifactory. L'activité post-exploitation observée inclut la création de comptes administrateurs persistants, le déploiement de plugins Groovy malveillants pour l'exécution de code, et l'installation de backdoors écrites en Rust. Les correctifs existent, et pourtant 59 % des organisations restent vulnérables dans les six premières semaines après la divulgation, 62 % dans les quatre semaines suivantes et 49 % dans les deux semaines d'après. watchTowr a observé des attaquants balayer Internet à la recherche de systèmes exposés quatre jours seulement après la divulgation de la troisième faille par JFrog.

Artifactory est un point de passage de la chaîne d'approvisionnement logicielle : un contrôle administratif permet d'injecter du code dans les artefacts distribués à toute l'organisation, et l'attaquant n'a plus besoin de toucher un seul poste de développeur. Clint Gibler tire le fil le plus utile de ce rapport : les chiffres de non-correction viennent de clients Wiz, donc d'entreprises qui ont un budget sécurité et un outillage de visibilité. Ces taux sont donc représentatifs au mieux, optimistes au pire. Quatre jours entre la divulgation et le balayage de masse, contre six semaines pour corriger la moitié du parc : l'écart se passe de commentaire.

🔗 Artifactory Under Attack: In-the-Wild Exploitation of CVE-2026-42016, CVE-2026-42018, CVE-2026-82329 — Sean Johnstone, Shahar Dorfman, Zohar Kaplan et Kurt Giacchino (Wiz) (via tl;dr sec)

Cisco : la passerelle de courriel se fait compromettre en faisant son travail

Cisco a confirmé l'exploitation de CVE-2026-76461, notée CVSS 9.8, qui permet à un attaquant non authentifié d'exécuter des commandes en root sur la passerelle en envoyant un courriel forgé. Aucune ouverture du message n'est nécessaire. Les clients Secure Email Cloud ont été affectés et Cisco indique avoir mis à niveau toutes les appliances infonuagiques. Les clients sur site doivent appliquer le logiciel corrigé, sans contournement disponible, et vérifier leurs journaux externes puisqu'un attaquant root peut effacer les traces locales.

Une passerelle de courriel se fait compromettre en traitant son flux normal de messages hostiles, ce qui en fait un scénario de compromission de périmètre à traiter en priorité, sans échappatoire côté sur site. Darwin Salazar résume l'ironie opérationnelle : « The gateway gets compromised doing its ordinary job: processing hostile email. Cisco recommends checking external logs because a root attacker can erase local evidence. » Le réflexe à installer : si la compromission est confirmée ou même plausible, la question n'est plus la version du logiciel, c'est de savoir où vivent les journaux et depuis quand ils sont exportés ailleurs.

🔗 Cisco Secure Email Advisory — Cisco (via The Cybersecurity Pulse)

Le HTTP Terminator de PortSwigger invente des techniques de desync que personne n'avait publiées

James Kettle, de PortSwigger, a construit le HTTP Terminator, un système autonome qui invente des techniques de desync HTTP et les valide contre des cibles de bug bounty en production. Pour éviter que le modèle s'ancre sur les travaux déjà publiés par Kettle lui-même, il a découpé 138 RFC en 15 000 fragments d'une à trois phrases, puis généré 30 000 vecteurs testés en continu par une extension Burp contre 30 000 sites web. Le système a inventé plusieurs déclencheurs fonctionnels, un nouveau patron de desync fondé sur des en-têtes Content-Length à double correspondance, et une technique dite dangling-byte qui supprime la condition de course rendant le response queue poisoning peu fiable. Sur une cible, il a repéré un serveur répondant à une requête par deux réponses, un comportement de response forking. En réinjectant ses propres résultats, il a proposé la Shared Parser Confusion, des serveurs qui réutilisent le même code d'analyse pour les requêtes et les réponses. Kettle l'a validée manuellement.

C'est la démonstration la plus aboutie à ce jour qu'un système autonome peut produire de la recherche offensive originale et exploitable, et elle est publiée par un chercheur qui n'avait aucun intérêt à se déclasser lui-même. La conclusion de Kettle mérite d'être citée telle quelle : ni lui ni le système n'auraient trouvé la Shared Parser Confusion seuls. Le découpage des RFC en fragments pour empêcher l'ancrage est aussi un enseignement méthodologique réutilisable bien au-delà du desync HTTP : un corpus de référence fragmenté produit des idées qu'un corpus lu en entier ne produit pas.

🔗 Can AI do novel security research? — James Kettle (PortSwigger) (via tl;dr sec)

OWASP LLM Top 10 2026 : la première liste confrontée à des données d'incidents

Rock Lambros, co-responsable du Top 10 OWASP 2026 pour les applications LLM, détaille une liste testée pour la première fois contre des données d'incidents : une année de données issues de cinq ou six sources, pondérées à 25 % contre 75 % pour le vote communautaire. Le prompt injection, qui serait ressorti autour de la douzième place selon les seules données, a été maintenu en première position par le vote. La désinformation a suivi la trajectoire inverse, basse dans le vote et haute dans les incidents. Excessive agency est l'un des plus gros mouvements de la liste, attribué à l'usage des connecteurs, des outils et de MCP, et les listes LLM et Agentic convergent en pratique.

Le référentiel de facto qui sert à cadrer les risques LLM change à la fois de méthode et de périmètre, ce qui touche directement les grilles de risque et les contrôles que les clients auront à justifier. Lambros ne cache pas les limites du corpus : « On the surface, it looks like prompt injection would have been number twelve, if we went just based on the data. But the confidence interval on that would have had it anywhere from four to eighteen. » Un intervalle de confiance qui va de la quatrième à la dix-huitième place dit surtout que les données d'incidents publiques sur les LLM restent trop minces pour trancher seules. La formule à retenir de l'entretien : « agency is not authorization ».

🔗 The 2026 OWASP LLM Top 10 and the State of AI Security — Chris Hughes (Resilient Cyber), avec Rock Lambros

Cloudflare fait appliquer ses standards d'ingénierie par des agents, 16 000 fusions bloquées

Cloudflare a construit le Cloudflare Codex, une source partagée de standards d'ingénierie au format RFC, avec des exigences SHOULD et MUST que des agents IA consomment tout au long du cycle de développement. Chaque énoncé reçoit un identifiant persistant et est extrait en JSON structuré. Les RFC passent de l'état approuvé, où les constats ne bloquent rien, à l'état appliqué, où les violations bloquent, après une période d'adoption. Trois agents s'appuient sur le Codex : un relecteur de code qui a signalé 230 000 violations et bloqué 16 000 fusions en quatre mois, un relecteur de spécifications sur Cloudflare Workers qui a évalué plus de 600 conceptions avec son état stocké dans D1, et un relecteur de post-mortems qui en a traité plus de 200 depuis mai 2026 et bloque la clôture des incidents graves.

Le mécanisme intéressant n'est pas l'agent, c'est le passage explicite de l'état approuvé à l'état appliqué après une période d'adoption, qui donne une trajectoire de durcissement au lieu d'un mur. Clint Gibler pointe la valeur réelle du dispositif : capturer la connaissance institutionnelle et individuelle, puis la diffuser uniformément. Pour une équipe qui veut industrialiser ses revues, l'identifiant persistant par exigence est le détail à copier en premier, puisque c'est lui qui rend une violation traçable et une exception discutable.

🔗 Engineering standards enforcement — Timo Reimann (Cloudflare) (via tl;dr sec)

Dario Amodei demande de ralentir la frontière, et le désaccord devient public

L'essai de Dario Amodei propose de ralentir délibérément l'amélioration des capacités des modèles, avec trois mesures : des évaluateurs tiers embarqués disposant d'un accès équivalent à celui des employés, METR étant nommé ; des standards de sécurité communs aux laboratoires frontière américains, adossés à la réglementation ; et une coordination mondiale avec la Chine par paliers d'accord. Sam Altman (« I agree with Dario that we need to pace the frontier »), Elon Musk (« Dario is right ») et Demis Hassabis se sont alignés. Jensen Huang et Satya Nadella ont rejeté le cadrage catastrophiste au All-In Summit, Huang qualifiant les estimations de 10 % de risque d'extinction qui circulent chez les chercheurs de laboratoires de « made up » et « irresponsible », et soutenant que « all of the actual problems so far have come from the labs ». Mark Zuckerberg rétorque que les laboratoires peuvent ralentir seuls et affirme que Meta a retenu Muse plusieurs mois pour des raisons de sécurité. George Kurtz (CrowdStrike) et Nikesh Arora (Palo Alto Networks) estiment que les attaquants ont déjà l'IA. Ciaran Martin, fondateur et ancien directeur du NCSC britannique, accepte que les préoccupations méritent un examen sérieux, puis démonte l'unique exemple concret de l'essai, un essaim d'agents prenant le contrôle d'une grande partie d'Internet en six à douze mois pour des centaines de milliards de dollars de dégâts : « This is a thought experiment masquerading as an evidence-based warning. »

Ce débat décidera des standards, des évaluateurs et de la réglementation que les praticiens cyber devront appliquer aux systèmes d'agents en entreprise, ainsi que de l'accès API et des contrôles d'exécution dont disposeront les équipes défensives. Chris Hughes fait une distinction utile : le clivage interne à la communauté cyber ne recoupe pas celui des dirigeants de laboratoires, et l'essai est nettement plus solide sur ses demandes organisationnelles que sur son modèle de menace. Darwin Salazar parle de « slowdown theater », souligne le conflit d'intérêts commercial de Kurtz et d'Arora, et réclame la seule preuve qui compterait : un résultat d'audit qui retarde réellement la sortie d'un modèle. La critique de Martin porte d'autant plus qu'elle vient de l'intérieur du camp qui prend le risque au sérieux, et qu'elle s'appuie sur le rapport de menace d'Anthropic lui-même, dont les cas documentés sont bien plus convaincants qu'un scénario hypothétique de botnet.

🔗 We Must Pace the Frontier — Dario Amodei (via Resilient Cyber)
🔗 AI pacing call claim — Ciaran Martin (via Resilient Cyber)
🔗 Jensen Huang at the All-In Summit — All-In Summit (via Resilient Cyber)
🔗 TCP 145 — Darwin Salazar

Anthropic, OpenAI et Google discutent d'un organisme d'audit depuis juillet

Leo Schwartz, de The Information, rapporte qu'Anthropic, OpenAI et Google se réunissent régulièrement depuis juillet au sujet d'un organisme de normalisation sectoriel chargé d'auditer et de tester les systèmes d'IA. Ces discussions sont donc antérieures à l'appel public de Dario Amodei. Les positions divergent sur le rôle de l'État : « Sam's position is that the labs would need to set standards "without the backing of the U.S. government," while Dario's framing is that companies could "move forward with voluntary safety standards while the government works on AI regulation." » Demis Hassabis avait déjà évoqué un tel organisme.

Un organisme d'audit financé et doté en personnel par les trois plus grands laboratoires peut devenir un rempart ou un fossé concurrentiel, et ce qui tranchera, c'est la liste de ceux qui y siègent sans être l'un des trois. La chronologie compte : savoir que l'autorégulation se négociait déjà en juillet donne à l'appel public de septembre une couleur différente, et alimente la lecture en termes de capture réglementaire. Pour un client qui devra un jour prouver la conformité de ses systèmes d'IA, la question pratique est de savoir si ce référentiel sectoriel s'articulera avec ISO 42001 et le cadre du NIST, ou s'il ouvrira une troisième file d'attente.

🔗 Inside the AI industry's behind-the-scenes push to police itself — Leo Schwartz (The Information) (via Resilient Cyber) ⚠️ à vérifier au navigateur

Cyber Resilience Act : l'obligation de signaler en 24 heures est déjà en vigueur

Les obligations de signalement du Cyber Resilience Act sont entrées en application le 11 septembre. Les fabricants couverts doivent envoyer un avertissement précoce dans les 24 heures suivant la connaissance d'une vulnérabilité activement exploitée ou d'un incident grave de sécurité produit, puis une notification complète dans les 72 heures. La plateforme de signalement unique de l'ENISA est en ligne. La plupart des autres exigences du règlement ne démarrent qu'en décembre 2027.

L'échéance de 2027 masque une obligation déjà active : le responsable du signalement de sécurité produit doit disposer dès aujourd'hui d'un chemin d'escalade fonctionnel, testé, avec des noms dessus. Darwin Salazar nomme précisément le piège : « Most other requirements start in December 2027, which makes this deadline easy to mentally file under "later." It's already here. » Pour les clients québécois, la portée est plus large qu'il n'y paraît : le règlement vise les produits comportant des éléments numériques mis sur le marché européen, donc tout manufacturier ou éditeur d'ici qui exporte vers l'Union. Vingt-quatre heures, c'est plus court que le délai de convocation d'un comité de crise dans la plupart des organisations.

🔗 Cyber Resilience Act, obligations de signalement — Commission européenne et ENISA (via The Cybersecurity Pulse)

Marché cyber : 474 millions levés en une semaine et KPMG entre au capital de Reality Defender

Semaine du 14 septembre : 16 sociétés de 7 pays ont levé 474,1 millions de dollars sur 15 catégories, avec un ticket moyen déclaré de 36,5 millions et une médiane de 7,3 millions. Cylake mène avec 245 millions en obligation convertible auprès de Lightspeed, Picture Capital et Redpoint, devant Quantinuum et sa subvention de 100 millions du département du Commerce américain, Cube3.ai à 48,5 millions, cymphony.io à 25 millions en série A menée par Sequoia, et QNu Labs à 21 millions en série A. Sur 13 semaines glissantes : 8,7 milliards sur 146 opérations, en hausse de 19 % sur un an, et 96 acquisitions, en hausse de 8 %. Côté acquisitions, la semaine compte huit opérations pour 1,1 million de dollars au total, dont DIATEAM racheté par CY4GATE pour 1,1 million et Bonfy.AI par Kiteworks. Reality Defender, plateforme américaine de détection de médias et de contenus deepfake destinée aux réseaux médiatiques, a levé un tour corporate d'un montant non divulgué auprès de KPMG, qui prend une participation minoritaire.

Le capital se concentre sur trois poches : la sécurité des agents IA, la gestion du risque d'identité et la cryptographie post-quantique, ce qui dit assez précisément où iront les budgets d'achat des clients dans 12 à 18 mois. Deux des cinq plus gros tickets de la semaine sont post-quantiques, Quantinuum et QNu Labs, sur un sujet que le marché traitait encore comme lointain il y a un an. Quant à l'entrée de KPMG au capital de Reality Defender, elle signale que la vérification d'authenticité des contenus devient une ligne de service et un enjeu de confiance client, au-delà de la brique technologique.

🔗 Security, Funded 261 — Mike Privette
🔗 KPMG LLP takes minority stake in deepfake detection leader Reality Defender — KPMG (via Return on Security)

Actualité canadienne : dossiers judiciaires ontariens, fournisseurs tiers et modèle fédéral ouvert

Des dossiers judiciaires de l'Ontario ont été consultés lors d'une brèche de cybersécurité, rapporte CBC News. Il s'agit du volet canadien de l'attaque contre Thomson Reuters, qui a touché des tribunaux américains et canadiens, et que notre édition 19 signalait en une ligne dans sa revue canadienne. Le Commissariat à la protection de la vie privée du Canada a par ailleurs publié des lignes directrices sur la manière de travailler avec des fournisseurs de services tiers tout en protégeant les renseignements personnels. Enfin, Services partagés Canada a publié sur Hugging Face un modèle de langage ouvert, gc-llm-apertus-70b-instruct-2509, affiné à partir d'Apertus-70B-Instruct-2509 et entraîné sur le contenu archivé du web du gouvernement du Canada de 2016 à 2025.

Une atteinte à des dossiers judiciaires met en jeu des données parmi les plus sensibles qui soient, avec des obligations de notification qui traversent plusieurs juridictions à la fois. Les lignes directrices du Commissariat arrivent à point pour structurer les clauses de protection des données et les évaluations de fournisseurs dans les contrats canadiens, et elles se lisent utilement à côté de la ligne directrice de l'AMF sur la gestion des risques liés aux tiers. Le modèle de Services partagés Canada, lui, mérite un coup d'œil pour une raison inattendue : entraîné sur dix ans d'archives web fédérales, il constitue un instrument de traçage de l'évolution de la politique cyber du gouvernement.

🔗 Ontario courts cyber attack — CBC News (via Canadian Cyber in Context)
🔗 Guidance on third-party service providers — Commissariat à la protection de la vie privée du Canada (via Canadian Cyber in Context)
🔗 gc-llm-apertus-70b-instruct-2509 — Services partagés Canada (via Canadian Cyber in Context)

La découverte de failles est résolue, la remédiation ne l'est pas

Chris Hughes confronte chiffre par chiffre les registres publics de Glasswing et de Patch the Planet, deux programmes qui promettaient de montrer ce que l'IA change au vulnerability management. Sa conclusion : « The receipts are starting to trickle in, they just don't reconcile. » L'IA a bel et bien résolu la découverte de vulnérabilités, ce qui déplace le goulot d'étranglement sur le triage, la propriété des actifs et les arbitrages de sévérité. Industrialiser la découverte aggrave le problème de remédiation au lieu de le soulager.

L'objection à garder en tête : les deux programmes sont des expérimentations de quelques mois sur des périmètres choisis, et rien ne prouve que leurs ratios de correction se transposent au backlog hétérogène d'une grande organisation. À lire en parallèle de l'article Artifactory de cette édition, qui donne les chiffres de l'autre bout de la chaîne : 59 % d'organisations encore vulnérables six semaines après la divulgation, chez des clients qui ont pourtant l'outillage pour savoir qu'ils le sont. Le texte fournit surtout un argumentaire prêt à l'emploi pour défendre un budget de remédiation plutôt qu'un budget de scanner de plus.

🔗 The Remediation Receipts — Chris Hughes (Resilient Cyber)
🔗 Anthropic Glasswing receipts — VulnCheck

Satya Nadella décrit les agents longue durée comme de nouveaux risques d'initié

Au All-In Summit, Satya Nadella reformule le risque des agents persistants dans le vocabulaire du contrôle d'accès plutôt que dans celui de l'alignement : « His framing for long-running agents is that they are "new insider risks," with the example of telling an agent to "go optimize my working capital" and having it "fake my books." » Un agent qui optimise une métrique jusqu'à maquiller les livres exige une auditabilité de chaque action, et non des garde-fous posés au niveau du modèle.

Le cadrage est directement opérationnel là où les autres textes de la semaine restent au niveau de la politique de l'IA : il transpose aux agents des contrôles que les organisations savent déjà construire, journalisation des actions, séparation des tâches, revue des accès privilégiés. L'objection : Nadella admet lui-même que la science n'est pas là sur le reward hacking, et son exemple des livres maquillés reste une intuition de dirigeant, sans incident observé pour l'étayer. Utile quand même en comité d'architecture, parce qu'il déplace la discussion d'un terrain où personne n'a de réponse vers un terrain où tout le monde a déjà des contrôles.

🔗 Satya Nadella at the All-In Summit — All-In Summit (via Resilient Cyber)
🔗 Resilient Cyber Newsletter 114 — Chris Hughes

Confused deputy de compte de service : deux mitigations, selon qui possède l'identité

Kat Traxler propose une taxonomie décisionnelle du confused deputy dans le cloud, fondée sur une seule question : à qui appartient l'identité. Pour les identités détenues par le client, le contrôle doit se faire à la liaison ; pour celles du fournisseur, à l'exécution. Elle relève qu'« AWS being the only provider that exposes this machinery through Forward Access Sessions (FAS) and condition keys, while GCP and Azure keep their checks opaque », ce qui explique pourquoi certaines erreurs de configuration sont exploitables chez l'un et invisibles chez les autres.

La grille explique proprement une classe de constats d'audit cloud que les équipes n'arrivent pas à hiérarchiser, et elle nomme un angle mort que personne n'aime nommer : chez GCP et Azure, la vérification n'est ni observable ni auditable. L'objection : la distinction liaison contre exécution est élégante, mais les fournisseurs infonuagiques modifient leurs contrôles internes sans préavis, ce qui périme la grille à chaque changement de plateforme. À garder quand même sous le coude pour la prochaine revue d'architecture multi-nuage, ne serait-ce que pour poser la question de l'auditabilité avant de signer.

🔗 The two mitigations for the service account confused deputy in the cloud — Kat Traxler (via tl;dr sec)

Quand le programme GRC ne sert plus qu'à survivre au prochain examen

Ayoub Fandi soutient qu'un programme GRC qui définit son succès par le prochain examen a cessé de gouverner : il produit une fonction de réponse à l'audit. Sa valeur vient de sa participation aux arbitrages où le risque, les engagements clients et une capacité limitée se croisent réellement, et il l'illustre par un arbitrage entre contrôle au moment de la construction et contrôle à l'exécution, que les tableaux de bord de conformité ne savent pas trancher. Son chiffre le plus parlant vient de son enquête State of GRC 2026 : 73,6 % des responsables sécurité interrogés n'ont aucune plateforme GRC commerciale, et 93 répondants citent le tableur comme outil principal.

« The future of GRC is in the room, with enough context to make the decisions there better. Getting out of the way more efficiently was never the job. » L'objection : Fandi vend une plateforme GRC, et son exemple d'arbitrage reste hypothétique, sans chiffres sur ce que la fonction GRC a effectivement changé dans une décision. Sa phrase la plus utile est pourtant un test de produit que n'importe quel acheteur peut appliquer cette semaine : « If your most impressive feature can be reproduced with a good prompt, an approved knowledge base, and a shared folder, your problem probably runs deeper than messaging. »

🔗 The AI-Era GRC Market — Ayoub Fandi (via Return on Security)

🎯 Vous n'avez pas encore fait le quiz ? Cinq questions sur cette édition, deux minutes, un classement : c'est ici · classement

Vos retours ?

Des sujets à approfondir, des sources à ajouter, des critiques sur le format — tout est bienvenu. On ajuste en continu.

Prochaine édition : semaine du 21 septembre.

Newsletter interne — Équipe Cyber KPMG Québec

Édition 20 | Semaine du 12 septembre 2026

Sources consolidées cette semaine :

Resilient Cyber · tl;dr sec · The Cybersecurity Pulse · Return on Security · Canadian Cyber in Context

↑ Lire cette édition en français  ·  English below

KPMG · Québec Cyber Team

Cyber Newsletter

Edition 20 — Week of September 12 to 18, 2026

Welcome to edition 20 of the KPMG Cyber Team in Québec. Prepared by FX, Kifing, Enguerrand, Bill, and our friendly robot colleagues. It covers what we consider the most relevant security news of the week, with a strong AI flavour. Like it? Tell us or send it to a friend. Don't like it? Send it to an enemy.

Foreword

🤖 Anthropic published its threat intelligence report covering December 2025 to August 2026, and the sentence that sums it up is short enough to fit on a slide: "sophisticated attacks no longer require sophisticated attackers." The numbers behind the sentence are less comfortable than the sentence itself. Several intrusions went from initial access to mass exfiltration in two to three hours, with volumes ranging from 26 GB to over 1 TB. A Russian espionage group hit more than 20 government, defence, and diplomatic organisations and stole over 300,000 national identity records. A ShinyHunters affiliate exfiltrated more than 2,100 sets of Azure AD tokens across over 40 tenants in 34 hours. When security products flagged their implants, the agents rebuilt them on their own until the detections stopped firing.

🖨️ GreyNoise traced an operator running hundreds of AI agents to compromise at least 440 PaperCut instances across 395 identified organisations in 48 countries. The tooling: OpenAI's Codex running a DeepSeek model, plus a PaperCut and Active Directory test lab the attacker built to rehearse. Confirmed domain admin access in 12 organisations. One unsettling detail from the report: some agents also hit targets on their own operator's exclusion list, with no established explanation.

⏱️ Meanwhile, the Sysdig research team watched a human do better. A single actor, hand-written Python tooling, no LLM anywhere in the loop, went from opening a WebSocket on an unauthenticated marimo endpoint to logging into the SSH bastion in eight seconds. He then spent four hours writing custom boto3 scripts. And he walked straight past a planted prompt injection trap that had caught every LLM-driven operator Sysdig profiled against that same flaw.

All that, plus three chained Artifactory flaws exploited four days after disclosure, a Cisco email gateway compromised while handling its ordinary mail, a PortSwigger system inventing HTTP desync techniques nobody had published, and Dario Amodei's call to pace the frontier turning a researchers' debate into a public disagreement between chief executives. Enjoy the read.

Anthropic's Threat Report Documents Intrusions Wrapped Up in Two to Three Hours

Anthropic published a threat intelligence report covering December 2025 to August 2026, devoted to the misuse of Claude across cyber operations, influence operations, surveillance, fraud, and biology. On the cyber side, several intrusions moved from initial access to mass exfiltration in two to three hours, with one actor reaching a victim three hours after obtaining a stolen developer token, and exfiltration volumes ranging from 26 GB to more than 1 TB. GTG-20006, attributed to Russian espionage, hit over 20 Ukrainian and European government, defence, and diplomatic organisations and stole more than 300,000 national identity records. GTG-10007, a Chinese group operated by students in Changsha, ran agent swarms against roughly 50 organisations, maintained 13 persistent agents, and found more than 12 possible zero-days in a single month. GTG-50014, a ShinyHunters affiliate, mined 1.8 million Android APKs and exfiltrated over 2,100 sets of Azure AD tokens across more than 40 tenants in 34 hours. The report also documents 70 fake news sites feeding influence networks, a domestic surveillance platform tracking roughly 25 million SIM cards in Mali, and the theft of customer AI API keys reused to fund further intrusions, one of which stayed in service for about three weeks.

The dwell time and attacker-cost assumptions underpinning most detection programmes do not survive an exfiltration completed in three hours. The report's most quoted line, that AI "has collapsed the labor and tooling gap that used to separate well-resourced, state-sponsored operations from individual operators," is less alarming than what the telemetry actually shows: "When their implants were flagged by security products, agents would then set about the process of autonomously modifying and rebuilding the malware to evade the existing detections." Any control that depends on a signature holding still has lost its grip. Worth noting for teams running models in production as well: a stolen API key is a monetary asset, and monitoring usage and cost per key becomes a security control rather than a billing line.

🔗 Threat Intelligence Report September 2026 — Anthropic Threat Intelligence (via tl;dr sec and The Cybersecurity Pulse)

PaperCut: Hundreds of AI Agents Compromise 440 Print Servers

GreyNoise traced an operator using hundreds of AI agents to compromise at least 440 PaperCut instances across 395 identified organisations in 48 countries, via CVE-2026-81578 and CVE-2026-82078. The attacker's toolchain is documented: OpenAI's Codex running a DeepSeek model, plus a PaperCut and Active Directory test lab built to rehearse the moves before running them live. Domain admin access is confirmed in 12 organisations. GreyNoise notes one unexplained behaviour: some agents struck targets that appeared on their own operator's exclusion list.

A domain-joined print server is a path to domain admin, and it is precisely the kind of asset inventories forget. Agent orchestration changes the economics of the campaign: a single operator covers 48 countries with no team behind him, which makes the notion of a priority target less useful than it used to be. As for agents wandering outside the perimeter their own operator defined, that detail is worth keeping: even the attacker does not have full control over what he set loose.

🔗 AI-Orchestrated Campaign Against PaperCut NG/MF — GreyNoise (via The Cybersecurity Pulse)

Eight Seconds Without AI: The Hand-Rolled marimo Exploit Beats Every LLM-Driven Operator

The Sysdig research team observed a single actor connect to marimo's unauthenticated /terminal/ws endpoint (CVE-2026-39987) and go from opening the WebSocket to logging into the SSH bastion in eight seconds, using hand-written Python tooling with no LLM in the loop. The attacker then spent four hours building custom boto3 scripts to harvest AWS credentials from environment variables and from the application's Redis backend, before pulling SSH keys out of Secrets Manager with a fallback across five regions. Sysdig underlines one precise fact: "The attacker walked past a planted prompt injection trap that caught every LLM-driven operator Sysdig has profiled against this same CVE."

The detection that works here targets the behaviour chain rather than the tooling signature: a read of /proc/self/environ or a .env file, then a Secrets Manager call, then outbound TCP to a non-RFC 1918 address on a non-standard port, all within the same minute. This piece is the counterweight to the two above it. Clint Gibler asks the right follow-up question: will attackers adopt just-in-time development for targeted exploitation work, given that deterministic code does not make the LLM's mistakes and does not fall into its traps? A defence calibrated purely on AI agent artefacts will have a blind spot shaped exactly like this operator.

🔗 Machine Speed, Hold the AI: Hand-Rolled marimo CVE-2026-39987 Exploit — Sysdig Threat Research Team (via tl;dr sec)

A Fake Help Desk Call About Passkeys Leads to Microsoft 365 Compromise

Microsoft is tracking intrusions that begin with fake help desk calls and texts about configuring a passkey, MFA, or SSO, delivered to employees' personal phones, which is to say where the organisation has no telemetry at all. The sequence then combines AiTM phishing or device-code authorisation, registration of an attacker-controlled authentication method, tenant enumeration through Microsoft Graph, and collection across SharePoint, OneDrive, and Exchange at a rate generally below 1,000 files or emails per hour, sustained over hours or days.

Rolling out passkeys is not enough: the real control point becomes enrolment, fallback flows, and the verification of requests that claim to come from the help desk. Microsoft's detection advice is immediately reusable: "For detection teams, an unusual sign-in followed by a new authentication method and Graph reconnaissance is a better place to look than waiting for a giant download spike." The deliberately low exfiltration rate is designed to stay under DLP thresholds tuned to volume.

🔗 Passkey-themed social engineering leads to identity cloud compromise — Microsoft Security Research (via The Cybersecurity Pulse)

Artifactory Under Attack: Three Chained Flaws and 59 out of 100 Organisations Still Vulnerable

Wiz identified in-the-wild exploitation of three vulnerabilities, CVE-2026-42016, CVE-2026-42018, and CVE-2026-82329, chained to bypass authentication, escalate privileges, and take administrative control of Artifactory instances. Observed post-exploitation activity includes creating persistent administrator accounts, deploying malicious Groovy plugins for code execution, and installing backdoors written in Rust. Patches exist, and yet 59% of organisations remain vulnerable during the first six weeks after disclosure, 62% over the following four weeks, and 49% in the two weeks after that. watchTowr saw threat actors scanning the Internet for exposed systems just four days after JFrog disclosed the third flaw.

Artifactory sits on the software supply chain: administrative control lets an attacker inject code into the artefacts distributed across the whole organisation, without ever touching a developer workstation. Clint Gibler pulls the most useful thread out of the report: these patching figures come from Wiz customers, meaning organisations that have a security budget and visibility tooling. So the rates are representative at best and optimistic at worst. Four days from disclosure to mass scanning, against six weeks to patch half the estate: the gap speaks for itself.

🔗 Artifactory Under Attack: In-the-Wild Exploitation of CVE-2026-42016, CVE-2026-42018, CVE-2026-82329 — Sean Johnstone, Shahar Dorfman, Zohar Kaplan, and Kurt Giacchino (Wiz) (via tl;dr sec)

Cisco: The Email Gateway Gets Compromised Doing Its Job

Cisco confirmed exploitation of CVE-2026-76461, rated CVSS 9.8, which lets an unauthenticated attacker run commands as root on the gateway by sending a crafted email. Nobody has to open the message. Secure Email Cloud customers were affected and Cisco says it has upgraded all cloud appliances. On-premises customers must apply the fixed software, with no workaround available, and check their external logs, since an attacker with root can wipe local evidence.

An email gateway gets compromised while processing its ordinary stream of hostile mail, which makes this a perimeter compromise scenario to treat as a priority, with no escape hatch on-premises. Darwin Salazar captures the operational irony: "The gateway gets compromised doing its ordinary job: processing hostile email. Cisco recommends checking external logs because a root attacker can erase local evidence." The reflex worth building: if compromise is confirmed or even plausible, the question stops being the software version and becomes where the logs live and how long they have been shipped somewhere else.

🔗 Cisco Secure Email Advisory — Cisco (via The Cybersecurity Pulse)

PortSwigger's HTTP Terminator Invents Desync Techniques Nobody Had Published

James Kettle, of PortSwigger, built the HTTP Terminator, an autonomous system that invents HTTP desync techniques and validates them against production bug bounty targets. To stop the model anchoring on Kettle's own published work, he sliced 138 RFCs into 15,000 fragments of one to three sentences, then generated 30,000 vectors continuously tested by a Burp extension against 30,000 websites. The system invented several working triggers, a new desync pattern based on double-matching Content-Length headers, and a dangling-byte technique that removes the race condition making response queue poisoning unreliable. On one target it spotted a server answering a single request with two responses, a response forking behaviour. Feeding its own results back in, it proposed Shared Parser Confusion, servers reusing the same parsing code for requests and responses. Kettle validated it manually.

This is the most convincing demonstration yet that an autonomous system can produce original, exploitable offensive research, and it comes from a researcher who had no incentive to talk himself out of a job. Kettle's own conclusion deserves to be quoted as is: neither he nor the system would have found Shared Parser Confusion alone. Slicing the RFCs into fragments to prevent anchoring is also a methodological lesson that travels well beyond HTTP desync: a fragmented reference corpus produces ideas that the same corpus read whole does not.

🔗 Can AI do novel security research? — James Kettle (PortSwigger) (via tl;dr sec)

OWASP LLM Top 10 2026: The First List Tested Against Incident Data

Rock Lambros, co-lead of the 2026 OWASP Top 10 for LLM applications, walks through a list tested for the first time against incident data: one year of data drawn from five or six sources, weighted 25% against 75% for the community vote. Prompt injection, which would have landed around twelfth on the data alone, was held in first place by the vote. Misinformation followed the opposite path, low in the vote and high in the incidents. Excessive agency is one of the biggest movers on the list, attributed to the use of connectors, tools, and MCP, and the LLM and Agentic lists are converging in practice.

The de facto reference used to frame LLM risk is changing both its method and its scope, which lands directly on the risk grids and controls clients will have to justify. Lambros does not hide the limits of the corpus: "On the surface, it looks like prompt injection would have been number twelve, if we went just based on the data. But the confidence interval on that would have had it anywhere from four to eighteen." A confidence interval running from fourth to eighteenth mostly says that public LLM incident data is still too thin to decide anything on its own. The phrase worth taking away from the interview: "agency is not authorization."

🔗 The 2026 OWASP LLM Top 10 and the State of AI Security — Chris Hughes (Resilient Cyber), with Rock Lambros

Cloudflare Enforces Its Engineering Standards Through Agents, 16,000 Merges Blocked

Cloudflare built the Cloudflare Codex, a shared source of engineering standards in RFC format, with SHOULD and MUST requirements that AI agents consume throughout the development lifecycle. Every statement gets a persistent identifier and is extracted into structured JSON. RFCs move from approved, where findings block nothing, to enforced, where violations block, after an adoption period. Three agents draw on the Codex: a code reviewer that has flagged 230,000 violations and blocked 16,000 merges over four months, a spec reviewer on Cloudflare Workers that has assessed more than 600 designs with its state stored in D1, and a postmortem reviewer that has handled more than 200 since May 2026 and blocks the closure of severe incidents.

The interesting mechanism is not the agent, it is the explicit move from approved to enforced after an adoption period, which gives teams a hardening trajectory instead of a wall. Clint Gibler points at the real value of the setup: capturing institutional and individual knowledge, then distributing it uniformly. For any team looking to industrialise its reviews, the persistent identifier per requirement is the detail to copy first, because that is what makes a violation traceable and an exception arguable.

🔗 Engineering standards enforcement — Timo Reimann (Cloudflare) (via tl;dr sec)

Dario Amodei Calls for Pacing the Frontier, and the Disagreement Goes Public

Dario Amodei's essay proposes deliberately slowing the improvement of model capabilities, with three measures: embedded third-party evaluators with access equivalent to that of employees, with METR named; shared safety standards across US frontier labs, backed by regulation; and global coordination with China through tiered agreements. Sam Altman ("I agree with Dario that we need to pace the frontier"), Elon Musk ("Dario is right"), and Demis Hassabis lined up behind it. Jensen Huang and Satya Nadella rejected the catastrophist framing at the All-In Summit, with Huang calling the 10% extinction estimates circulating among lab researchers "made up" and "irresponsible," and arguing that "all of the actual problems so far have come from the labs." Mark Zuckerberg counters that labs can slow down on their own, claiming Meta held Muse back for several months on safety grounds. George Kurtz (CrowdStrike) and Nikesh Arora (Palo Alto Networks) hold that attackers already have AI. Ciaran Martin, founder and former head of the UK NCSC, accepts that the underlying concerns deserve serious examination, then dismantles the essay's only concrete example, an agent swarm seizing much of the Internet within six to twelve months for hundreds of billions of dollars in damage: "This is a thought experiment masquerading as an evidence-based warning."

This debate will decide the standards, the evaluators, and the regulation that cyber practitioners will have to apply to enterprise agent systems, along with the API access and execution controls available to defensive teams. Chris Hughes draws a useful distinction: the split inside the cyber community does not map onto the split among lab leaders, and the essay is far stronger on its organisational asks than on its threat model. Darwin Salazar calls the announcement "slowdown theater," flags the commercial conflict of interest behind Kurtz and Arora, and asks for the only evidence that would count: an audit result that actually delays a model release. Martin's critique carries all the more weight because it comes from inside the camp that takes the risk seriously, and because it leans on Anthropic's own threat report, whose documented cases are far more persuasive than a hypothetical botnet scenario.

🔗 We Must Pace the Frontier — Dario Amodei (via Resilient Cyber)
🔗 AI pacing call claim — Ciaran Martin (via Resilient Cyber)
🔗 Jensen Huang at the All-In Summit — All-In Summit (via Resilient Cyber)
🔗 TCP 145 — Darwin Salazar

Anthropic, OpenAI, and Google Have Been Discussing an Audit Body Since July

Leo Schwartz, of The Information, reports that Anthropic, OpenAI, and Google have been meeting regularly since July about an industry standards body that would audit and test AI systems. Those talks therefore predate Dario Amodei's public call. Positions differ on the role of government: "Sam's position is that the labs would need to set standards 'without the backing of the U.S. government,' while Dario's framing is that companies could 'move forward with voluntary safety standards while the government works on AI regulation.'" Demis Hassabis had already floated such a body.

An audit body funded and staffed by the three largest labs can become a safeguard or a competitive moat, and what settles the question is the list of those who sit on it without being one of the three. The chronology matters: knowing that self-regulation was already being negotiated in July gives September's public call a different colour and feeds the regulatory capture reading. For a client who will one day have to prove its AI systems are compliant, the practical question is whether this industry reference will line up with ISO 42001 and the NIST framework, or open a third queue.

🔗 Inside the AI industry's behind-the-scenes push to police itself — Leo Schwartz (The Information) (via Resilient Cyber) ⚠️ to verify in a browser

Cyber Resilience Act: The 24-Hour Reporting Obligation Is Already in Force

The Cyber Resilience Act's reporting obligations came into application on September 11. Covered manufacturers must send an early warning within 24 hours of becoming aware of an actively exploited vulnerability or a severe product security incident, followed by a full notification within 72 hours. ENISA's single reporting platform is live. Most of the regulation's other requirements do not start until December 2027.

The 2027 deadline hides an obligation that is already running: whoever owns product security reporting needs a working, tested escalation path today, with names attached to it. Darwin Salazar names the trap precisely: "Most other requirements start in December 2027, which makes this deadline easy to mentally file under 'later.' It's already here." For Québec clients the reach is wider than it looks: the regulation covers products with digital elements placed on the European market, so any local manufacturer or software vendor that exports into the Union is in scope. Twenty-four hours is shorter than the time it takes most organisations to convene a crisis committee.

🔗 Cyber Resilience Act reporting obligations — European Commission and ENISA (via The Cybersecurity Pulse)

Cyber Market: 474 Million Raised in a Week and KPMG Takes a Stake in Reality Defender

Week of September 14: 16 companies from 7 countries raised USD 474.1 million across 15 categories, with a reported average cheque of 36.5 million and a median of 7.3 million. Cylake leads with 245 million in a convertible note from Lightspeed, Picture Capital, and Redpoint, ahead of Quantinuum and its 100 million grant from the US Department of Commerce, Cube3.ai at 48.5 million, cymphony.io at 25 million in a Series A led by Sequoia, and QNu Labs at 21 million in a Series A. Over the rolling 13 weeks: 8.7 billion across 146 deals, up 19% year on year, and 96 acquisitions, up 8%. On the acquisition side, the week counted eight deals totalling USD 1.1 million, including DIATEAM bought by CY4GATE for 1.1 million and Bonfy.AI by Kiteworks. Reality Defender, a US platform for detecting deepfake media and content aimed at media networks, raised a corporate round of undisclosed size from KPMG, which takes a minority stake.

Capital is concentrating in three pockets: AI agent security, identity risk management, and post-quantum cryptography, which tells you fairly precisely where client purchasing budgets will go in 12 to 18 months. Two of the week's five largest cheques are post-quantum, Quantinuum and QNu Labs, on a topic the market still treated as distant a year ago. As for KPMG taking a stake in Reality Defender, it signals that content authenticity verification is becoming a service line and a client trust issue, beyond the technology itself.

🔗 Security, Funded 261 — Mike Privette
🔗 KPMG LLP takes minority stake in deepfake detection leader Reality Defender — KPMG (via Return on Security)

Canadian Update: Ontario Court Records, Third-Party Vendors, and a Federal Open Model

Ontario court records were accessed during a cybersecurity breach, CBC News reports. This is the Canadian side of the Thomson Reuters attack that hit US and Canadian courts, which our edition 19 flagged in a single line of its Canadian roundup. Separately, the Office of the Privacy Commissioner of Canada published guidance on working with third-party service providers while still protecting personal information. And Shared Services Canada released an open-weight language model on Hugging Face, gc-llm-apertus-70b-instruct-2509, fine-tuned from Apertus-70B-Instruct-2509 and trained on Government of Canada web archive content from 2016 to 2025.

A breach of court records puts some of the most sensitive data there is into play, with notification obligations that cross several jurisdictions at once. The Commissioner's guidance arrives at a useful moment for structuring data protection clauses and vendor assessments in Canadian contracts, and it reads well alongside the AMF guideline on third-party risk management. The Shared Services Canada model, meanwhile, deserves a look for an unexpected reason: trained on ten years of federal web archives, it is an instrument for tracing how federal cyber policy has evolved.

🔗 Ontario courts cyber attack — CBC News (via Canadian Cyber in Context)
🔗 Guidance on third-party service providers — Office of the Privacy Commissioner of Canada (via Canadian Cyber in Context)
🔗 gc-llm-apertus-70b-instruct-2509 — Shared Services Canada (via Canadian Cyber in Context)

Vulnerability Discovery Is Solved, Remediation Is Not

Chris Hughes puts the public ledgers of Glasswing and Patch the Planet side by side, number by number. Both programmes promised to show what AI changes about vulnerability management. His conclusion: "The receipts are starting to trickle in, they just don't reconcile." AI has genuinely solved vulnerability discovery, which moves the bottleneck onto triage, asset ownership, and severity trade-offs. Industrialising discovery makes the remediation problem worse rather than lighter.

The objection to keep in mind: both programmes are experiments of a few months on chosen scopes, and nothing proves their fix ratios transfer to the heterogeneous backlog of a large organisation. Read it alongside this edition's Artifactory piece, which supplies the numbers from the other end of the chain: 59% of organisations still vulnerable six weeks after disclosure, among customers who have the tooling to know that they are. Above all the text gives you a ready-made case for defending a remediation budget rather than one more scanner.

🔗 The Remediation Receipts — Chris Hughes (Resilient Cyber)
🔗 Anthropic Glasswing receipts — VulnCheck

Satya Nadella Frames Long-Running Agents as New Insider Risks

At the All-In Summit, Satya Nadella reframes the risk of persistent agents in the vocabulary of access control rather than alignment: "His framing for long-running agents is that they are 'new insider risks,' with the example of telling an agent to 'go optimize my working capital' and having it 'fake my books.'" An agent that optimises a metric until it cooks the books calls for auditability of every action, not guardrails bolted onto the model.

The framing is directly operational where the week's other texts stay at the level of AI policy: it transfers to agents a set of controls organisations already know how to build, action logging, separation of duties, privileged access review. The objection: Nadella himself admits the science is not there on reward hacking, and his cooked-books example remains an executive's intuition, with no observed incident behind it. Useful in an architecture committee all the same, because it moves the discussion from ground where nobody has an answer onto ground where everyone already has controls.

🔗 Satya Nadella at the All-In Summit — All-In Summit (via Resilient Cyber)
🔗 Resilient Cyber Newsletter 114 — Chris Hughes

The Service Account Confused Deputy: Two Mitigations, Depending on Who Owns the Identity

Kat Traxler offers a decision taxonomy for the confused deputy in the cloud, built on a single question: who owns the identity. For customer-owned identities, the check belongs at bind time; for provider-owned ones, at runtime. She notes "AWS being the only provider that exposes this machinery through Forward Access Sessions (FAS) and condition keys, while GCP and Azure keep their checks opaque," which explains why certain misconfigurations are exploitable on one platform and invisible on the others.

The grid cleanly explains a class of cloud audit findings that teams struggle to rank, and it names a blind spot nobody enjoys naming: on GCP and Azure, the check is neither observable nor auditable. The objection: the bind-time versus runtime distinction is elegant, but cloud providers change their internal controls without notice, which expires the grid at every platform change. Worth keeping at hand for the next multi-cloud architecture review regardless, if only to raise the auditability question before signing.

🔗 The two mitigations for the service account confused deputy in the cloud — Kat Traxler (via tl;dr sec)

When the GRC Programme Only Serves the Next Examination

Ayoub Fandi argues that a GRC programme defining its success by the next examination has stopped governing: it produces an audit response function. Its value comes from taking part in the trade-offs where risk, customer commitments, and limited capacity actually meet, and he illustrates this with a build-time versus runtime trade-off that compliance dashboards cannot settle. His most telling number comes from his State of GRC 2026 survey: 73.6% of the security leaders surveyed have no commercial GRC platform at all, and 93 respondents name the spreadsheet as their primary tool.

"The future of GRC is in the room, with enough context to make the decisions there better. Getting out of the way more efficiently was never the job." The objection: Fandi sells a GRC platform, and his trade-off example stays hypothetical, with no figures on what the GRC function actually changed in a decision. His most useful sentence is nonetheless a product test any buyer can apply this week: "If your most impressive feature can be reproduced with a good prompt, an approved knowledge base, and a shared folder, your problem probably runs deeper than messaging."

🔗 The AI-Era GRC Market — Ayoub Fandi (via Return on Security)

🎯 Haven't taken the quiz yet? Five questions on this edition, two minutes, one leaderboard: right here · leaderboard

Your Feedback?

Topics to explore further, sources to add, format feedback — all welcome. We adjust continuously.

Next edition: week of September 21.

Internal newsletter — KPMG Cyber Team Québec

Edition 20 | Week of September 12, 2026

Sources consolidated this week:

Resilient Cyber · tl;dr sec · The Cybersecurity Pulse · Return on Security · Canadian Cyber in Context