Édition ·
Google a dévoilé Gemini 4 Argon, son nouveau modèle frontier. OpenAI a annoncé avoir stoppé une campagne de distillation liée à Moonshot AI. Côté marché et infra, la FCA ouvre sa porte d’autorisation crypto au Royaume-Uni, tandis que Flow Engineering, Jeeves et Metaview annoncent de nouvelles levées.
17 actus
Gemini 4 Argon vise le raisonnement long horizon, le code et la cybersécurité défensive, avec une fenêtre de sortie portée à 1 million de tokens. Google revendique 77,9 % sur DeepSWE v1.1 devant Claude Opus 5.5 et GPT-6 Astra. Déploiement prochain pour AI Ultra et l’API payante.
OpenAI dit avoir stoppé une campagne d’extraction du raisonnement protégé de ses modèles, avec un pic de 16 000 requêtes en deux jours et un cluster de plus de 15 000 utilisateurs. Un noyau d’activité est attribué à des personnes liées à Moonshot AI. Aucune brèche des bases ou conversations stockées n’est signalée.
Trump et des dirigeants d’OpenAI, Anthropic, Google, Meta, Nvidia et SpaceX/xAI ont signé un accord volontaire prévoyant contrôles internes, audits externes et comités de conseil. Le président le décrit comme moralement contraignant, sans nouvelle obligation légale immédiate.
AG-UI 1.0 fige le protocole Agent-User Interaction : événements définis par JSON Schema, SDKs TypeScript, Python et .NET générés depuis le schéma. La version ajoute sous-agents, métadonnées, résultats multimodaux, interrupts humain-dans-la-boucle et reporting d’usage tokens.
Microsoft sort WSL Containers de preview : CLI wslc.exe, API native, contrôles Intune et Defender. Compose pour multi-conteneurs reste la priorité annoncée pour les prochaines itérations.
Volcano regroupe compute durable, PostgreSQL branchable, authentification, stockage et services temps réel pour déployer agents et applications. Intégrations Claude Code, Codex et Cursor ; compte Hobby gratuit et CLI distribuée via npm.
À compter du 30 septembre 2026, les entreprises crypto peuvent demander une autorisation FCA. Celles qui veulent opérer sous le nouveau régime (25 octobre 2027) sont invitées à déposer avant le 28 février 2027 ; l’autorisation n’est pas automatique.
Selon Matt Hougan (Bitwise), l’échec du CLARITY Act au Sénat a laissé plus de flexibilité sur les récompenses stablecoin et ouvert la voie à des actions US tokenisées via AMM permissionnés. Il cite des hausses d’environ 8 % pour le bitcoin et 7 % pour ethereum depuis le vote.
La startup d’agents IA pour la conception hardware clôture une série B de 50 millions de dollars à 750 millions de valorisation, co-menée par Valor et Atreides avec Sequoia. Clients cités : Anduril, Rivian, Joby Aviation et Stoke Space.
Jeeves lève 110 millions de dollars menés par CoinFund, avec a16z, Coinbase Ventures, GIC et Y Combinator, pour scaler paiements et wallet dans 190 pays. Volume annualisé plateforme supérieur à 5 milliards de dollars.
Metaview clôture une série C de 60 millions de dollars menée par Insight Partners (total levé environ 110 millions). Ses agents ont mené plus de 6 millions d’entretiens ; l’agent autonome fillmore est disponible dans Slack.
La faille CVE-2026-76504, publiée le 30 septembre, touche Cisco Catalyst SD-WAN Manager quelle que soit la configuration. Une mauvaise gestion de l'encodage URI permet à un attaquant non authentifié d'accéder à l'API avec les privilèges administrateur. Cisco signale une exploitation active dès septembre 2026 ; la CISA l'a ajoutée au catalogue KEV le même jour. Score CVSS v3.1 : 9,8. Aucune solution de contournement ; correctifs dès 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 et 26.2.1.
VulnCheck a divulgué le 30 septembre la faille CVE-2026-76570 dans le composant JCTables de JoomCode. L'API CRUD frontale n'effectue aucun contrôle d'authentification ni de jeton CSRF ; noms de tables, colonnes et valeurs sont concaténés dans des requêtes SQL, permettant lecture et écriture arbitraires, jusqu'à une exécution de code via le compte administrateur. Versions Free jusqu'à 1.10.31.2 ; corrigée dans 1.21.1 (5 août 2026). Score CVSS v4.0 : 10,0.
La faille CVE-2026-86131, publiée le 29 septembre, concerne Fireware OS. Une injection de code dans le traitement de la configuration client BOVPN Over TLS permet à un attaquant contrôlant le serveur VPN distant d'exécuter des commandes arbitraires en root sur le Firebox connecté. Versions affectées notamment 2026.3 avant 2026.3.2, 2025.0 avant 2026.2.3 et 12.0 avant 12.12.3 (T15/T35 avant 12.5.21). Score CVSS v4.0 : 9,2. WatchGuard n'indique pas d'exploitation connue.
La faille CVE-2026-97274, publiée le 30 septembre via Patchstack, touche le greffon miniOrange OAuth Single Sign On – SSO (OAuth Client) jusqu'à la version 7.1.2. Un contournement non authentifié permet de contourner les contrôles de sécurité d'authentification. Le score CVSS v3.1 est de 9,8. La version 7.1.3 corrige le défaut.
TanStack a publié le 30 septembre un correctif pour CVE-2026-102989, une XSS réfléchie critique dans la gestion des réponses des server functions de TanStack Start. Un attaquant non authentifié peut fabriquer une URL renvoyant du HTML sous son contrôle depuis l'origine de l'application ; l'ouverture du lien exécute son JavaScript avec les droits de la victime. Score CVSS : 9,3. Correctifs : @tanstack/react-start 1.168.60, solid-start 1.168.57, vue-start 1.168.56, start-server-core 1.169.39.
La faille CVE-2026-97196, publiée le 30 septembre, touche le greffon WordPress GiveWP (dons) jusqu'à la version 4.16.9. Une validation incorrecte d'équivalence non sûre dans les entrées permet un contournement d'authentification. Le score CVSS v3.1 est de 9,1. La version 4.17.0 corrige le défaut.