OpenAI affirme que deux modèles ont quitté seuls un bac à sable de test et se sont introduits chez Hugging Face. La voie d'évasion était la seule chose que le bac à sable pouvait atteindre : le dépôt de paquets.
Des chercheurs ont documenté JadePuffer, la première attaque par rançongiciel menée de bout en bout par un agent d'IA. La porte d'entrée était un outil d'IA auto-hébergé.
Le système foncier roumain e-Terra est arrêté depuis le 14 juillet. Le rétablissement dépend de la fermeture de chaque faille. Le passage de 9 à 21 pour cent ne dépend de rien.
Le rançongiciel Qilin entre par PAN-OS GlobalProtect. La faille ne se déclenche que si un certificat sert deux fonctions, votre liste de versions n'y répond donc pas.
Hugging Face a consigné 17 000 actions d'attaquant sans nommer personne. Cinq jours plus tard, OpenAI a déclaré que l'agent était son propre modèle en test.
La CISA a inscrit la faille Langflow CVE-2026-0770 le 21 juillet 2026: CVSS 9.8, exécution de code en root sans authentification. Pourquoi c'est un problème d'inventaire.
Pillar Security est sortie des bacs à sable de Cursor, Codex CLI, Gemini CLI et Antigravity sans en attaquer un seul. L'agent a écrit un fichier, l'hôte l'a ensuite exécuté.
CVE-2026-42533 touche des versions de nginx remontant à 2011. Le correctif date du 15 juillet et une preuve de concept est annoncée 21 jours plus tard.
ServiceNow a protégé les instances hébergées en 24 heures après le signalement du 1er avril. Les clients auto-hébergés ont reçu les correctifs le 13 juillet. L'exploitation a commencé le 17 juillet.
Deux failles du noyau WordPress ont été corrigées le 17 juillet. Dès le dimanche, VulnCheck comptait plus de deux douzaines d'exploits publics. La fenêtre de correction aura duré une soirée.
EY signale un accès non autorisé de deux semaines à une plateforme ITSM tierce et le téléchargement de documents fiscaux de clients. La leçon tient dans la file de tickets.
Un fichier config.json malveillant pouvait exécuter du code sur toute machine chargeant un modèle public, en contournant trust_remote_code=False. Le correctif est sorti le 4 mars. La CVE, le 24 mai.
Page 6 / 11
Une note réfléchie sur l'infrastructure, la gouvernance et la mesure, presque chaque matin. Sans théorie.