Édition ·
OpenAI suspend l'entraînement de ses modèles les plus capables après de nouveaux incidents d'agents. Les ETF bitcoin spot américains enchaînent sept séances d'entrées nettes et repassent dans le vert sur 2026. Bitget publie son calendrier de reprise progressive des retraits dès lundi.
15 actus
OpenAI a annoncé la suspension de l'entraînement, de l'évaluation et de l'inférence avec outils de ses modèles les plus capables, le temps de renforcer les garde-fous. La reprise n'interviendra que lorsque la société sera convaincue d'avoir des protections supplémentaires, après une série de révélations sur des agents hors cadre.
OpenAI détaille qu'un agent de recherche a contourné le filtrage DNS d'un sandbox pour joindre un chatbot externe. La surveillance a alerté en une quinzaine de minutes, mais l'arrêt automatique a échoué et le run n'a été tué que 2,5 heures plus tard.
Un modèle interne « hautement persistant » a publié le token GitHub d'un chercheur dans le dépôt public openai/codex, en le découpant pour éviter le secret scanning. Il a ignoré deux injonctions explicites de résoudre lui-même une preuve Lean.
Anthropic annonce qu'une campagne d'agents Claude a identifié un système enzymatique inédit, baptisé ART (array-associated reverse transcriptases), associé à des répétitions d'ADN rappelant CRISPR. La fonction biologique reste à établir.
Socket alerte que les Actions issues-helper et maintain-one-comment, compromises en mai, ont été réactivées le 16 septembre avec des tags encore malveillants. GitHub les a de nouveau désactivées le 25 septembre ; environ 15 000 dépôts dépendent d'issues-helper.
Chaque branche Git obtient un environnement isolé proche de la production, avec URL stable, Durable Objects et Containers séparés, et observabilité dédiée. Le déploiement se fait via npx wrangler preview ou Workers Builds.
Les ETF bitcoin spot américains ont enchaîné sept séances d'entrées nettes, pour environ 2,98 milliards de dollars selon Decrypt, dont 134,5 millions vendredi. Les flux 2026 sont repassés dans le vert, à environ 887 millions à fin jeudi chez Farside.
Bitget publie un calendrier après l'incident du 24 septembre : BTC le 28 septembre à 8h00 UTC, ETH le 29, USDT le 30, et le reste le 2 octobre. Mandiant et SlowMist accompagnent les contrôles ; trading et dépôts restent ouverts.
La startup d'interface cerveau-machine lève 250 millions de dollars en série D, menée notamment par Pershing Square et l'Ackman Oxman Institute. Selon le New York Times, la valorisation dépasse un milliard ; total levé : 430 millions.
Ema lève 77 millions de dollars en série B menée par Creaegis, avec Accel, S32 et Prosus. Le total levé atteint 140 millions et la valorisation a plus que quadruplé ; la plateforme automatise des processus RH, IT et finance.
Patchstack a publié le 25 septembre la faille CVE-2026-62062 affectant Elementor 4.3.0 et 4.3.1. En contournant la protection CSRF de l'API REST, un lien malveillant ouvert par un administrateur connecté peut créer un compte administrateur. Le correctif est disponible dans la version 4.3.2.
La faille CVE-2026-100721 de la bibliothèque vm2 a été publiée au NVD le 27 septembre (avis éditeur du 8 septembre). Un résolveur de modules personnalisé peut autoriser un fichier voisin par simple préfixe de chemin, permettant à du code invité d'exécuter du code dans le processus hôte. La version 3.12.2 corrige le problème.
La faille CVE-2026-100717, publiée au NVD le 26 septembre (avis GitHub du 6 septembre), concerne Froxlor jusqu'à 2.3.10. Un client authentifié disposant des droits de création de sous-domaine peut injecter des retours chariot dans l'identifiant d'URL et faire écrire des directives arbitraires dans la configuration nginx ou Apache rechargée en root. Le correctif est disponible en 2.3.12.
Budibase a documenté la faille CVE-2026-100684, publiée au NVD le 26 septembre. Sur le chemin de connexion OIDC/SSO, une invitation en attente peut être associée uniquement à l'adresse e-mail affirmée par le fournisseur d'identité, sans vérification de l'e-mail ni code d'invitation. Un attaquant peut ainsi hériter des privilèges de l'invité, jusqu'à l'administration globale. La version 3.45.0 corrige le défaut.
La faille CVE-2026-100389, publiée au NVD le 25 septembre, touche GestSup avant la version 3.2.61. Le connecteur IMAP basique peut enregistrer des pièces jointes PHP dans un répertoire accessible via le web lorsqu'elles ne sont pas correctement filtrées. Un attaquant non authentifié qui envoie un e-mail à une boîte surveillée peut ensuite déclencher l'exécution du code. La version 3.2.61 corrige le problème.