SAMEDI 24 OCTOBRE 2026
IA & TECH
L'IA va plus vite que les explications. On reprend depuis le début.
Un modèle, une loi, une puce : ce qui a changé, comment ça marche et ce qu'en disent les spécialistes.
Chaque jour, un nouvel éclairage sur l'intelligence artificielle et la tech.
|
|
EN 30 SECONDES| → | PHP : deux failles critiques corrigées mercredi, trouvées avec l'aide de modèles d'IA selon deux sociétés de sécurité. Mettre à jour est le seul remède complet. | | → | Anthropic : un projet de loi, non publié, où un juge pourrait stopper la sortie d'un modèle jugé dangereux. | | → | Meta : 64,6 Md$ de revenus, 34,9 Md$ investis au trimestre et une trésorerie libre négative. |
|
|
 1 · CYBERSÉCURITÉ PHP : deux failles critiques, trouvées avec l'aide de l'IA 9,2 note de gravité sur 10
(échelle CVSS v4) | | 2 failles, CVE-2026-
109618 et 109619 | | 70 % des sites web utilisent
PHP, selon Wiz |
Ce qui s'est passé. Mercredi 21 octobre, l'équipe du langage PHP, qui fait tourner une grande partie des sites web, a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Elles corrigent deux vulnérabilités qu'elle qualifie de critiques : un attaquant sans identifiant peut y exécuter du code sur le serveur. Les deux failles (CVE-2026-109618 et CVE-2026-109619) sont notées 9,2 sur 10 selon The Next Web. L'équipe PHP écrit qu'aucune mesure d'atténuation ne suffit à elle seule et que mettre à jour est le seul choix sûr. Deux équipes disent avoir trouvé les failles avec des modèles d'IA : la société de sécurité Calif, qui date ses premiers travaux du 1er août avec le modèle GPT-5.6 Sol d'OpenAI, et Wiz, qui date sa découverte du 19 août et cite l'outil Wiz Atlas, Gemini 4 Argon de Google et GPT-5.6 Sol. Les deux équipes affirment avoir travaillé de façon indépendante. Selon The Daily Record, des services publics ont été mis hors ligne par précaution aux Pays-Bas, au Danemark, en Finlande et en France, où le ministère de l'Intérieur a placé ses sites en maintenance. Le CERT-FR, l'équipe française de veille sur les alertes de sécurité, a publié une alerte le 21 octobre, mise à jour le 22. Selon des données de Censys citées par le même journal, environ 1,5 million de 2,6 millions d'hôtes recensés exécutaient encore une version non corrigée (information d'une seule source, à confirmer). L'ÉCLAIRAGEComment une simple requête peut prendre le contrôle d'un serveur PHP est un langage de programmation exécuté côté serveur : c'est lui qui assemble une page avant de l'envoyer au visiteur. Il tourne sur d'innombrables sites, dont des outils très répandus comme WordPress, Drupal ou Joomla. Les failles touchent la gestion de la mémoire : dans un cas, un manque de mémoire interrompt PHP alors que des données de la requête sont à moitié initialisées ; dans l'autre, un état interne survit alors que la mémoire qui le portait a été libérée. L'équipe PHP juge le risque le plus élevé avec mod_php (PHP intégré au serveur Apache), où une requête non authentifiée peut déclencher l'attaque avant que le code du site ne s'exécute.
Démontré ou annoncé ? Les correctifs et les numéros CVE sont publics et vérifiables. Le rôle de l'IA repose sur le récit des deux sociétés, sans évaluation indépendante. Calif précise qu'aucun modèle n'est capable de trouver tous les bogues avec de simples consignes, et que la connaissance de l'historique du logiciel reste essentielle. Wiz estime qu'un seul chercheur a fait en une semaine ce qui aurait pris des mois à une équipe de haut niveau. LES POINTS DE VUE RÉGULATEUR CERT-FR alerte du 21 octobre, mise à jour le 22Le CERT-FR recommande d'« isoler les équipements affectés » et de migrer vers une version maintenue de PHP. Les contournements temporaires ne sont pas qualifiés par ses soins. Source : CERT-FR → CHERCHEURS Calif société de sécuritéCalif écrit : « No model is simply capable of unearthing 'all bugs' with simple prompts. » Elle dit avoir utilisé des modèles accessibles au public, sans outil spécial, pour la première découverte. Source : Calif → ENTREPRISE Wiz société de sécurité, groupe GoogleWiz affirme que l'IA a permis de construire des attaques de démonstration sur plusieurs applications en quelques heures. L'entreprise écrit : « a single researcher completed in a week what previously would have taken a world-class team months of work. » Source : Wiz → OpenAI : son annonce n'a pas pu être consultée directement ; The Next Web rapporte qu'elle juge la faille parmi les problèmes de sécurité les plus marquants de ces dernières années CE QUE ÇA CHANGE
Pour un site : si le serveur exécute PHP, il faut passer à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Pour les versions 8.1 et antérieures, le projet ne publie plus de mises à jour ; des correctifs existent à appliquer soi-même et chez certains hébergeurs. Pour un internaute : certains services publics ont pu être inaccessibles par précaution, sans qu'aucun piratage ne soit signalé dans les sources consultées. Pour une entreprise : l'épisode montre qu'un outil d'IA peut raccourcir le temps entre la découverte d'une faille ancienne et sa démonstration, selon les sociétés qui l'ont utilisé.
ET APRÈS ?
PHP 8.2 arrive en fin de vie le 31 décembre 2026 et ne recevra plus de correctifs de sécurité après cette date. L'alerte du CERT-FR a été mise à jour le 22 octobre. | |  2 · RÉGULATION Anthropic : un projet de loi où un juge pourrait stopper un modèle 50 personnes tuées ou blessées :
seuil de risque | | 1 Md$ de dégâts matériels :
autre seuil | | 72 h pour alerter le
ministère du Commerce |
Ce qui s'est passé. Selon Politico, qui a révélé l'information le 16 octobre, Anthropic fait circuler auprès du Congrès américain un projet de loi sur la sécurité de l'IA ; un porte-parole de l'entreprise a confirmé l'existence du texte à Politico. Le texte n'est pas publié : tout ce qui suit vient des descriptions de la presse, notamment TechCrunch (20 octobre). Un modèle ne pourrait être bloqué qu'en cas de risque prévisible et imminent de plus de 50 morts ou blessés graves, ou de plus de 1 milliard de dollars de dégâts matériels, lié à une arme biologique, à un modèle qui échappe au contrôle de son développeur ou à une cyberattaque. Des évaluateurs indépendants, enregistrés auprès du ministère du Commerce et payés par les développeurs, examineraient les modèles ; l'évaluateur qui repère un risque aurait 72 heures pour prévenir le ministère, qui devrait alors demander à un juge fédéral de Washington d'arrêter la sortie du modèle. Les agences fédérales ne pourraient pas l'arrêter seules. Selon Anthropic, le projet reflète son « Advanced AI Framework » de juin 2026, que l'entreprise défend auprès des élus fédéraux et des États. Le texte reste une proposition, et TechCrunch note qu'on ne sait pas si l'administration ou le Congrès en reprendra une partie. L'ÉCLAIRAGEQui décide d'arrêter un modèle, et sur quelle base ? Aujourd'hui, aux États-Unis, aucune loi fédérale ne donne à un juge le pouvoir d'arrêter la sortie d'un modèle d'IA ; la Californie a sa propre loi, la SB 53, dont le projet reprend la définition du « risque catastrophique » et les mêmes seuils chiffrés. Dans le projet décrit, la chaîne est volontairement lente : un évaluateur (un laboratoire extérieur à l'entreprise) teste le modèle, alerte le ministère du Commerce, qui doit saisir un juge. Aucune autorité administrative ne peut trancher seule.
Ce qui est établi, ce qui ne l'est pas. Le cadre d'Anthropic de juin 2026 est public : il demande des tests de risques catastrophiques, le recours à des évaluateurs externes et la publication des résultats. Le texte du projet, lui, n'est pas public. TechCrunch relève que le paiement des évaluateurs par les entreprises, même sans lien avec les résultats, pose la question de leur indépendance. Le cadre d'Anthropic prévoit lui-même que l'évaluateur ne doit avoir aucun lien financier dépendant du résultat. LES POINTS DE VUE ENTREPRISE Anthropic porte-parole, cadre de juin 2026L'entreprise indique que le projet reflète son « Advanced AI Framework », qu'elle défend auprès des élus depuis juin. Dans ce cadre, elle propose que le Congrès ne remplace pas les lois des États sauf adoption d'un régime fédéral au moins aussi strict. Source : TechCrunch → CONCURRENT Jensen Huang PDG de Nvidia, propos du 15 septembreSelon TechCrunch, il défend que l'industrie n'a pas besoin de nouvelles lois sur l'IA et que la sécurité doit être laissée aux entreprises. Propos résumés sans guillemets. Source : TechCrunch → Congrès, ministère du Commerce, États, autres laboratoires d'IA : pas de réaction au projet relevée dans les sources consultées CE QUE ÇA CHANGE
Pour un utilisateur ou une entreprise cliente : rien de concret à ce stade, le texte n'existe pas en loi. Pour un laboratoire d'IA, le texte fixerait un circuit d'évaluation extérieure et une seule porte d'arrêt, judiciaire. Pour les États, il croiserait des lois existantes comme la SB 53.
ET APRÈS ?
Aucune date de dépôt ou de débat n'est donnée dans les sources consultées. Le texte pourrait être publié, modifié ou abandonné. | |  Photo : LPS.1, CC0 (entrée du siège de Meta à Menlo Park, Californie ; illustration) 3 · PLATEFORMES Meta : 34,9 Md$ d'investissements et une trésorerie libre négative +26 % de revenus sur un an,
à 64,6 Md$ | | 35 Md$ investis au trimestre
(34,91 Md$) | | -2,1 Md$ de flux de
trésorerie disponible |
Ce qui s'est passé. Mercredi 21 octobre, Meta a publié ses résultats du troisième trimestre. Le revenu atteint 64,60 milliards de dollars (+26 %). Les charges montent à 51,61 milliards (+68 %) et incluent 9,89 milliards liés à un accord avec 52 procureurs généraux américains sur la santé mentale des adolescents et les réseaux sociaux, qui prévoit jusqu'à environ 18,59 milliards de dollars de paiements selon Meta (les descriptions de cet accord varient d'une source à l'autre). Le résultat d'exploitation est de 12,99 milliards (-37 %), soit 22,88 milliards hors cette charge. Les dépenses d'investissement (serveurs, puces, centres de données) ont atteint 34,91 milliards ; le flux de trésorerie disponible est de -2,12 milliards de dollars. Meta vise 135 à 145 milliards de dépenses d'investissement en 2026 et n'a pas encore fixé son budget 2027. Elle indique que les effectifs ont reculé de 15 % sur un an, à 66 775 personnes. Mark Zuckerberg a cité le lancement de Muse et de Muse Wonder, qu'il présente comme le premier modèle de pointe de l'entreprise ; selon la retranscription de l'appel publiée par Investing.com, plus de 10 millions de personnes aux États-Unis et au Canada ont configuré Muse. Le conseil d'administration a aussi approuvé une nouvelle catégorie d'actions sans droit de vote, dite « classe C », effective le 19 janvier 2027. Le titre a gagné 0,46 % en séance puis entre 2,9 % et 3,8 % après la clôture, selon les sources. L'ÉCLAIRAGEPourquoi une entreprise rentable peut avoir une trésorerie libre négative Le flux de trésorerie disponible est l'argent généré par l'activité (32,79 milliards de dollars ce trimestre) moins ce qui est dépensé pour acheter ou construire des équipements (34,91 milliards, bail financier compris). Le solde d'environ -2,1 milliard signifie que Meta a dépensé plus qu'elle n'a encaissé sur ce trimestre, tout en gardant 82,45 milliards en trésorerie et placements. La part de ces investissements consacrée à l'IA n'est pas détaillée dans les sources consultées.
Annonce ou résultat ? Les chiffres financiers viennent des documents de l'entreprise. En revanche, les affirmations selon lesquelles ses investissements en IA portent leurs fruits sont celles de la direction, présentées sans mesure indépendante. Meta attribue une partie de la hausse de la publicité à l'IA (meilleures recommandations et monétisation) sans chiffrer cette part. LES POINTS DE VUE ENTREPRISE Mark Zuckerberg fondateur et PDG de MetaIl déclare : « Our investments are paying off, the core business is strong, and we're seeing velocity across the board. » Source : communiqué de Meta → ENTREPRISE Meta perspectives financières du communiquéMeta indique qu'elle compte continuer à investir fortement en 2027 pour son activité principale et l'IA, et que les pertes de Reality Labs, sa division de réalité virtuelle, devraient revenir à environ 15 milliards de dollars. Propos résumés sans guillemets. Source : communiqué de Meta → Analystes, actionnaires minoritaires, procureurs généraux : pas de réaction confirmée par au moins 3 sources à ce stade CE QUE ÇA CHANGE
Pour un annonceur : Meta affirme que l'IA améliore le ciblage et les recommandations ; aucune mesure indépendante n'est donnée. Pour un salarié du secteur : les effectifs de Meta ont baissé de 15 % sur un an. Pour un actionnaire : la classe C créerait des actions sans droit de vote que Meta pourrait utiliser pour lever des fonds ou rémunérer ses salariés ; la gouvernance de l'entreprise reste centrée sur Mark Zuckerberg selon le communiqué.
ET APRÈS ?
Meta doit donner plus de détails sur le budget 2027 lors de son prochain appel de résultats (selon la retranscription d'Investing.com). La classe C est prévue le 19 janvier 2027. | | EN BREF Mistral AI présente Voxtral 3, une famille de modèles vocaux. Selon l'entreprise, elle comprend des modèles de transcription (parole vers texte), un modèle de synthèse vocale et un kit pour construire des agents vocaux, c'est-à-dire des programmes qui écoutent, raisonnent et répondent à voix haute. Mistral annonce plus de 50 langues en transcription et des prix à partir de 0,0035 dollar la minute, via son interface de programmation hébergée dans l'Union européenne. Les performances annoncées sont celles de l'entreprise ; la page consultée ne cite pas d'évaluation indépendante. OpenAI : deux anciens modèles ne sont plus accessibles depuis le 23 octobre. La page des retraits de modèles indique que gpt-4.1-nano et gpt-4o-2024-05-13 ont été arrêtés, avec pour remplaçants recommandés gpt-5.6-luna et gpt-5.6-sol. Les développeurs qui appelaient encore ces modèles doivent changer le nom du modèle dans leur code. | | | LE CHIFFRE DU JOUR 9,2 / 10 la note de gravité attribuée aux deux failles PHP sur l'échelle CVSS v4, selon The Next Web. Cette échelle va de 0 à 10 : le score évalue la facilité de l'attaque et ses conséquences, pas la probabilité qu'elle ait eu lieu. | | | COMMENT ÇA MARCHE L'exécution de code à distance : quand un site obéit à un inconnu Un serveur web reçoit des requêtes de n'importe qui. En temps normal, il les traite avec des règles strictes. Une faille d'exécution de code à distance (en anglais remote code execution, RCE) casse cette séparation : une requête bien construite fait lancer au serveur des instructions choisies par l'attaquant. Ici, la cause est la mémoire de l'ordinateur : un programme réserve des zones pour ses données ; s'il en lit une à moitié remplie ou déjà libérée, il peut obéir à des données qui n'étaient pas faites pour être des ordres. Et quand la requête n'exige aucun identifiant (« non authentifiée »), n'importe quel internaute peut tenter l'attaque. Précision : une faille exploitable n'est pas une attaque réussie ; ici, les sources consultées ne signalent pas de piratage avéré. | | | À VENIR | | | PHP 8.2 : fin de vie, plus aucun correctif de sécurité après cette date (PHP.net). | | Meta : date d'effet prévue de la nouvelle classe C d'actions sans droit de vote (SEC). |
Aucun autre rendez-vous daté vérifié dans les 30 prochains jours pour les sujets du jour. | | | VRAI OU FAUX ? Selon le projet de loi décrit par la presse, un évaluateur indépendant pourrait lui-même interdire la sortie d'un modèle d'IA dangereux. Réponse : Faux. l'évaluateur qui repère un risque doit prévenir le ministère du Commerce sous 72 heures, et c'est ce ministère qui devrait demander à un juge fédéral de Washington d'arrêter la sortie du modèle. Les agences ne pourraient pas l'arrêter seules. | | LE LEXIQUE DU JOURCVE
Numéro d'identification public d'une faille de sécurité connue, qui permet à tous de parler de la même faille. Divulgation coordonnée
Pratique qui consiste à prévenir d'abord l'éditeur d'un logiciel et à publier les détails seulement quand le correctif existe. Flux de trésorerie disponible
L'argent généré par l'activité, moins les dépenses d'équipement : ce qui reste réellement en caisse. Action sans droit de vote
Part d'une société cotée qui donne droit à un dividende mais pas à une voix aux assemblées d'actionnaires. | |
ÉCLAIRAGE IA & TECH · Comprendre avant de se faire une opinion.
Une newsletter accessible pour comprendre l'intelligence artificielle, les technologies numériques, leurs usages, leurs règles et leurs effets, même quand on part de zéro.
Notre méthode : chaque fait est confirmé par au moins 3 sources, dont une officielle ou d'agence. Les citations entre guillemets ont été vérifiées mot pour mot dans le texte des pages citées. Les annonces des entreprises sont présentées comme des annonces.
Photos Wikimedia Commons.
Lire sur liseuse (Kindle, Kobo, PocketBook) : eclairagemedia.com/read
|
|
