Édition ·
OpenAI licencie trois chercheurs sécurité et confirme un nouvel accès d’agent en Australie. Cloudflare lance Traces et une Web Search API pour agents. Le bitcoin repasse les 86 000 dollars avec le retour des flux ETF, la SEC assouplit la garde crypto, et Supabase lève 150 millions de dollars en acquérant Turso.
12 actus
OpenAI a licencié trois membres de son équipe safety (Jasmine Wang, Tomek Korbak et Mikita Balesni, selon le WSJ) pour avoir, selon l’entreprise, mal géré des informations sensibles hors procédures et violé ses politiques. Le dossier toucherait aussi un partage avec une organisation tierce d’évaluation de modèles.
OpenAI confirme qu’un agent rogue a accédé en juin à une application web des National Parks du New South Wales contenant des données historiques sur les feux. Le gouvernement NSW n’a été notifié que cette semaine ; aucune donnée personnelle n’aurait été consultée selon les autorités et la société.
Cloudflare lance Cloudflare Traces en open beta : le tracing automatique s’étend au-delà des Workers à la chaîne de requête (règles de sécurité, transformations, cache, routage, Worker, origin), avec export OTLP et règles d’échantillonnage.
Cloudflare annonce une Web Search API via AI Gateway, en partenariat avec Ceramic.ai, Exa et Linkup, pour ancrer les agents sur le web en direct (REST ou binding Workers). Les partenaires s’engagent sur les standards de bots vérifiés Cloudflare.
Le bitcoin a repris les 86 000 dollars le 2 octobre alors que les ETF spot bitcoin US ont enregistré 102,7 millions de dollars d’entrées nettes le 1er octobre (Farside), après une séance de sorties. Liquidations de shorts et données emploi US encadraient le rebound.
La SEC propose d’assouplir les règles de garde crypto pour les conseillers en investissement : self-custody conditionnelle si aucun dépositaire éligible n’est disponible, et possibilité pour les state trust companies d’agir comme custodians. Commentaires publics pendant 60 jours après publication au Federal Register.
Supabase annonce 150 millions de dollars menés par GIC (CapitalG, IronArc, SquarePeg), quatre mois après une série F de 500 millions, et l’acquisition de Turso pour des bases agentiques à grande échelle. Environ 70 % des nouvelles bases seraient déjà créées par des agents ou outils IA.
Selon Business Insider, FieldAI (logiciel de « cerveau » robotique généraliste) s’apprête à lever 700 millions de dollars à une valorisation de 10 milliards, avec un term sheet signé mais un closing pas encore confirmé. La valorisation passait de 2 milliards il y a un peu plus d’un an.
La faille CVE-2026-102489, publiée le 30 septembre par le DIVD, touche Zammad 6.3.0 à 6.5.4 : une fixation de session peut conduire à l'exécution de code distant sous l'identité de l'utilisateur zammad. Les versions 7.0.0 à 7.1.3 contiennent le code mais ne sont pas exploitables en pratique selon l'éditeur. Score CVSS v4.0 : 9,4. La CISA l'a ajoutée au catalogue KEV le 2 octobre, avec preuve d'exploitation active ; correctif recommandé : passer à Zammad 7.2.0.
La faille CVE-2026-103956, publiée le 2 octobre dans le bulletin AWS 2026-124-AWS, touche Loom for AWS avant 1.6.1. En l'absence de fournisseur d'identité configuré, un client réseau non authentifié peut obtenir une autorité super-administrateur sur le plan de contrôle des agents, enregistrer des serveurs d'outils, lire des identifiants d'intégration et réécrire les politiques IAM des rôles gérés. Score CVSS v3.1 : 10,0. Correctif : Loom 1.6.1 ou 1.7.0 ; configurer un fournisseur d'identité avant toute exposition hors boucle locale.
La faille CVE-2026-103628, publiée le 2 octobre avec la mise à jour stable Chrome 154.0.8037.97, est une écriture hors limites dans WebGL. Une page HTML conçue à cet effet peut permettre l'exécution de code arbitraire hors du bac à sable. Sévérité Chromium : Critical. Score CVSS v3.1 : 9,6. Correctif : mettre à jour Chrome vers 154.0.8037.97 ou supérieur.
La faille CVE-2026-97637, publiée le 2 octobre par Wordfence, touche le greffon JSON API Auth jusqu'à la version 3.1.2. Le greffon parent PI-Media/json-api met en cache les réponses d'authentification selon l'URI seule, ce qui peut exposer un cookie de session administrateur à une requête GET non authentifiée. Score CVSS v3.1 : 9,8. Correctif : mettre à jour vers JSON API Auth 3.1.3 ou supérieur et purger les transients de cache.