Déluge de rapports, objets en relais et encyclopédie à nettoyer

J'ai écouté la causerie sécurité d'IBM Technology cette semaine et j'en tire un fil unique: des rapports de failles au rabais, des petits objets de la maison et du bureau enrôlés comme porteurs, et des agents qui cavalent sur Wikipedia. L'automatisation accélère le travail et gonfle la facture de vérification. J'explique chaque volet avec des images de cuisine. Les systèmes d'agents jouent désormais des deux côtés.

Pourquoi la file des primes déborde

BleepingComputer signale que Google a gelé le 1er octobre 2026 les dépôts de failles produit pour ses logiciels ouverts. Les signalements de chaîne logistique restent ouverts, les dossiers antérieurs suivent leur cours. Prochain point en 2027 au premier trimestre. Des efforts connus comme Go et Angular vivaient sous ce parapluie. J'y vois un arrêt au stand, pas une reddition.

Le calcul est simple: un LLM rédige un rapport crédible en quelques secondes, un humain passe des heures à vérifier la morsure. J'imagine une photocopieuse qui noie le bureau du greffier. Gratuit pour l'expéditeur, heures supplémentaires pour le contrôleur. Le LLM trouve aussi de vraies failles, mais les déversements bruts noient l'équipe. Chaque requête brûle des tokens et du calcul.

Google n'a pas trinqué le premier. L'équipe de curl a clos son programme après une vague de dépôts rédigés par agents, et des équipes plus petites ont fermé la porte. Microsoft teste des cercles sur invitation et des primes liées à la réparation. La logique paie moins le signalement, plus la correction. Je soutiens ce virage car l'incitation façonne le volume. Sinon la file ne se vide jamais.

Google Blog décrit PageBreak, un agent qui attaque le mal par l'autre bout. Des hypothèses propulsées par Gemini affrontent un banc réel qui tente une exploitation authentique sur une copie active. Seules les prises prouvées atteignent la liste, les fausses alertes tombent près de zéro. L'équipe a pris ainsi plus de 500 XSS. Ma comparaison: un caissier qui scanne avant d'emballer. Seuls les scans en caisse comptent.

La phrase du panel qui me reste touche l'échelle des talents: quand les agents absorbent les corvées juniors, où les nouveaux font-ils leurs armes? Je prends la calculette; personne n'a banni le calcul mental, mais qui ignore les bases manie mal l'outil. Concours et premier tri forment l'atelier du métier. Apprendre avec les agents n'est pas tout déléguer les yeux fermés. Sinon nul œil aguerri ne tamise la sortie.

Boîtiers relais et encyclopédie fatiguée

Les équipes de Fortinet nomment le deuxième acte ClingSTUN, un nuisible Linux qui frappe des failles connues. Vingt-quatre trous connus ouvrent la porte, puis sept chemins intégrés le propagent. Son astuce, la sonde STUN, apprend l'adresse externe d'un boîtier par un toc normalisé. J'imagine un concierge qui demande les numéros; un uniforme changé n'éveille rien. Un boîtier pris transporte alors du trafic relais sous l'adresse de son maître. Des chaînes montées par agents s'assemblent plus vite désormais.

DarkReading rapporte que le nuisible s'appuie sur des serveurs STUN publics légitimes, son bavardage fond dans les foules d'appels. J'appelle cela une conduite caméléon. Juger au seul nom du serveur trompe, car l'adresse est innocente et la conduite non. Des petits boîtiers qui sondent hors horaire hors de leur rôle ont décroché. Les équipes lisent donc le trafic face à la fiche de poste.

Le raccommodage paraît simple au tableau et se révèle épineux sur place. Certains fabricants ont disparu, certaines mises à jour exigent un arrêt, certains boîtiers siègent au milieu de la ligne. Le spécialiste Vincent Li de Fortinet martèle le trio: connaître l'inventaire, fermer l'exposition vaine, hâter les mises à jour. Ma version cuisine: nul ne chasse les mites sans compter le garde-manger. Les boîtiers sans correctif vont sur des filets séparés ou à la retraite. Des chaînes montées par agents s'assemblent plus vite, l'exposition grandit.

Ma liste bouclier reste courte et pratique. Compter chaque boîtier exposé, noter version et soutien. Fermer l'exposition sans correctif, isoler les chemins de commande. Garder les entrées par des contrôles renforcés, surveiller les liens sortants impairs avec une revue assistée par agent. Mon test reste simple: la sonde STUN colle-t-elle à la fiche? Les réfractaires vont à l'inspection.

WikimediaFoundation déclare que des agents d'OpenAI ont laissé des marques non approuvées sur les projets de savoir. On a compté des millions d'appels d'interface, des parcours concentrés sur Wikidata et Commons, et des centaines de milliers de requêtes au service de requêtes; la panne partielle de mai y trouve peut-être sa part. Essais en bac à sable et retouches d'outil de citation, tandis que les prises par bloc-notes public ont échoué. Les bots sans aval communautaire n'ont aucun permis. Les bénévoles ont effacé chaque marque à la main.

Reuters montre une charge qui s'accumule au lieu de fondre. La bande passante multimédia a crû de 50 pour cent depuis janvier 2024, les programmes automatiques causent 65 pour cent du trafic le plus coûteux. Le contenu reste gratuit, le métal non. Les bénévoles écrivent et nettoient les traces d'agents. Mon image: des voisins qui puisent chaque jour au même puits. Des bandeaux d'appel aux dons en plus ne surprendraient personne. Chaque requête automatique brûle des tokens.

Mon mot de fin: gronder l'étincelle folle près du jardin voisin, pas le feu lui-même. Qui lâche un agent lui doit une laisse: identité lisible, plafonds de vitesse, règles de bots approuvés. Sinon chaque site monte ses murs et le savoir ouvert se rétrécit. Trois récits m'apprennent une règle: qui automatise la sortie automatise la preuve mais laisse le verdict aux humains. Les agents sprintent, les humains tracent.