Actu - 11 octobre 2026 - Parce que... c'est l'épisode 0x352!

Parce que… c’est l’épisode 0x352! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Annonces et événements à venir L’épisode de Polysécure couvre l’actualité de la semaine se terminant le 11 octobre 2026, enregistrée le 18 octobre. L’animateur souligne le Defcon à Montréal les 13 et 14 novembre, la conférence de la CNIL à Paris portant sur l’éthique du numérique à l’épreuve des urnes, puis les European Cyber Week, SÉCURE et INCYBER à des dates ultérieures. Il recommande aussi le podcast IA Café et salue le Shield Azure de Beau Security, un scanner de vulnérabilités pour les postes de développeurs. L’IA au service de la défense Anthropic offrira des scans gratuits pour l’open source et unifie ses programmes d’entreprise, dont Glasswing, en un programme à trois niveaux d’accès contrôlant l’usage des modèles les plus puissants. Un article met en perspective la place de l’IA dans les SOC face à un volume d’alertes en hausse. Cloudflare explique comment employer des réseaux neuronaux pour accélérer le traitement de l’information, tandis que Microsoft déploie une détection des deepfakes. Des employeurs ramènent les entrevues en personne, car des candidats trichent en faisant répondre l’IA, pénalisant ceux qui ne trichent pas. Les menaces liées à l’IA L’IA risque de devenir la prochaine menace interne, puisque les agents disposent d’une autonomie et d’accès peu contrôlés propices aux fuites d’information, notamment via Copilot. L’animateur y voit un signal d’alarme sur les pratiques de partage. Il note aussi que l’IA pourrait devancer le quantique pour casser la cryptographie en découvrant des failles d’implémentation plutôt que par puissance brute de calcul, d’où l’importance de tester les futurs algorithmes post-quantiques. La section consacrée à la guerre reste d’ailleurs vide cette semaine. La sécurité des agents IA Le protocole MCP, conçu trop rapidement, comporte des risques majeurs de fuites et de comportements inattendus, comme l’illustre l’incident chez Hugging Face. Le président de Microsoft propose de considérer les modèles IA comme compromis d’office, un parallèle au principe « assume breach », puisqu’elles n’ont ni conscience ni limites intériorisées. Les règles statiques ne suffiront pas face aux surfaces d’attaque agentiques, mais l’hygiène de base demeure indispensable. Les instructions cachées dans les pages web peuvent manipuler des agents et divulguer des données, un danger réel. Les exécutifs du secteur préparent même des scénarios face à une possible révolte politique, un climat rappelant War Games. Un papier de recherche juge enfin qu’un système hybride semi-public serait préférable pour les détecteurs de filigranes. Souveraineté numérique L’adoption des alternatives à M365 et Teams en Europe ne fait pas l’unanimité, les critiques relevant une qualité inférieure, explicable par les investissements massifs de Microsoft. L’animateur espère que les organisations prépareront l’adoption utilisateur pour éviter l’échec. Il revient ensuite sur le rapprochement du Canada avec l’Europe, rappelant que la souveraineté ne s’obtient pas en changeant de dépendance, mais en développant une capacité autonome. Vie privée et surveillance La Norvège bannit temporairement les lunettes connectées afin d’analyser leurs conséquences sociales, surtout pour les groupes vulnérables. Cory Doctorow rappelle pour sa part la nécessité d’espaces à l’abri du tournage constant. Une approche propose aussi une définition mondiale commune des protections, bien que les négociations entre 27 pays demeurent complexes. En messagerie, iMessage reste bien chiffré, mais les sauvegardes et les SMS offrent des voies de contournement. La vérification d’âge sur Internet agace toujours l’animateur, les moyens ne correspondant pas aux objectifs de protection des enfants. Enfin, un youtubeur a été visité par la police après avoir déployé ses propres caméras de type Flock pour suivre les policiers, soulevant la question de qui surveille qui. Lois Canal+ perd face à Cloudflare dans une affaire de censure du résolveur DNS 1.1.1.1, une occasion de s’interroger sur la protection des droits de diffusion. Le Sénat américain a rénové la loi HIPAA, qui devient plus prescriptive, sans garantie d’acceptation au Congrès. Identifiants sous attaque La manipulation d’agents permet de contourner les contrôles dans AWS ou de réinitialiser des mots de passe. Un pirate a détourné des domaines de premier niveau afin de générer des certificats frauduleux, rappelant la fragilité du DNS et l’importance de vérifier les certificats révoqués. Un faux site de marketing IA utilise un navigateur dans le navigateur pour tromper les victimes, tandis qu’un ver a réussi à pénétrer des infrastructures d’IA. Vulnérabilités et pratiques défensives Anton livre une réflexion sur l’approche moderne de la gestion des vulnérabilités, pendant qu’un chercheur a démontré comment traverser le module KVM de Linux, une démonstration épeurante. Blackhill Infosec publie sur le threat hunting, SANS nuance l’usage du protocole TLP et un article rappelle que le Zero Trust dépasse l’authentification. Sécuriser les agents IA Les recherches portent sur la protection des systèmes RAG, l’imprévisibilité des agents de code exigeant des harnais de surveillance et l’usage des LLM en fin de triage. Un papier démontre qu’on peut faire dévier les agents en manipulant les réseaux neuronaux. L’animateur rappelle que les pare-feux sont poreux et qu’on recrée d’anciens problèmes en multipliant les ouvertures. Flock, Muse ou les agents enfuis d’Irregular illustrent des défauts de conception, un phénomène qualifié d’architecture IA bâclée. Une plaignante juge enfin le Cyber Month insuffisant, l’animateur estimant que la cybersécurité exige un changement culturel constant. Divers et mot de la fin Les grandes plateformes vidéo américaines comme YouTube, Meta et Twitch n’ont pas affiché de refus clair face à une exécution en ligne, contrairement à TikTok et Kick, révélant leur dépendance au pouvoir américain. L’animateur conclut en annonçant cinq épisodes par semaine durant le Cyber Month pour enrichir la sensibilisation en cybersécurité. Notes Ghost in the shell (IA) IA défensive et SOC AI In SOC Anthropic Launches Free AI Security Scans for Open-Source Projects Anthropic launches free AI security scans for open-source projects Anthropic reconfigures its cool kids security program Building an evidence-grounded agentic security operations harness on Cloudflare Microsoft Teams Is Getting a New Way to Spot Deepfake Impostors Nouvelles menaces liées à l’IA AI Could Become the Next Insider Threat as Adversaries Target What Models Trust AI could crack crypto’s defenses before quantum computers do, Buterin warns Another Historic Cipher Falls to AI Sécurité des agents IA MCP for agent-to-agent comms may be the riskiest protocol you’ve never heard of New Agentic AI Red Team Checklist Adds 222 Tests Across 20 Attack Categories OpenAI Sandbox Escape Flaw Allowed Free Access to Paid AI Models Without an API Key Satya Nadella says we should assume all AI models are ‘compromised’ Static Security Policies Can’t Keep Up With Agentic AI Zombie instructions on carefully constructed web pages could trick GitHub Copilot CLI into sharing secrets AI Execs Game Out ‘Political Revolt’ after a Catastrophic AI Event Could LLM Watermark Detection be Public? La guerre, la guerre, c’est pas une raison pour se faire mal! Rien Vive le numérique libre! (Souveraineté numérique) Three EU Officials Not Sold on Europe’s Homegrown Alternative to Microsoft Teams What If the U.S. Demanded This? The Cloud Provider Conditions Behind Canada’s EU Digital Pivot Cachez ces informations que je ne saurais voir (Privacy) Lunettes connectées : surveillance généralisée AI glasses face their first major government crackdown Norway Plans Temporary Ban on Smart Glasses Pluralistic: Scrutinized (05 Oct 2026) We can’t just change the definition of ‘recording’ Data Has No Passport: Why Global Privacy Governance Must Catch Up With AI Is your secure iMessage conversation actually secure? Texas city demands $2M for public records on Flock usage When No ID Means No Internet: Age Verification and the Right to Access Information YouTuber Says Cops Paid Him a Visit After He Built Flock-Style Camera to Track Cops I am the law Canal+ perd face à Cloudflare - 1.1.1.1 reste sans filtre Senate Votes to End HIPAA’s Risk-Based Cybersecurity Era Hack the planet! (Red) AWS AgentCore security undone by prompt requesting credentials Attackers hijacked top-level domains, minted fake security certs for Google and other orgs Fake AI Marketing Sites Put a Browser Inside Your Browser to Steal Logins Shai-Hulud worm makes jump to AI infrastructure with Tensorlake compromise How about a nice game of chess? (Blue) Failles et gestion des vulnérabilités Rethinking Vulnerability Management: “If It’s Not in the Scanner, It Didn’t Happen” Needs to Go Security researcher claims they found KVM guest-host escape flaw Pratiques défensives et gouvernance The Battlefield Mindset: The Psychology Behind Threat Hunting Why TLP should not replace your internal information classification, (Sat, Oct 10th) Zero Trust Doesn’t End at Login: Why Security Teams Must Control What Happens Next Sécuriser les agents IA A Security Meta-Model for Retrieval-Augmented Generation Systems AI Coding Assistants Are Unpredictable. GitGuardian AI Hooks Give You Control Efficient Auditing of Adversarial AI Agent Behavior from Agent Traces From Investigation Failures to Reliable SOC Agents: Understanding and Improving LLM-Based Alert Triage From Reactive Containment to Proactive Assurance: Lessons from OpenAI, Anthropic, and Google Agent Security Incidents Securing Computer-Use Agents Against Branch Steering Attacks All practical general use firewalls are porous now for inbound traffic Fighting GenAI with GenAI: The New Email Security Landscape Flock cameras have an architecture problem, not just bad users Trump Mobile hack and apparent lack of FCC authorization raise security alarms We Have Entered a Cybersecurity Hellscape, Japan Warns Why I Don’t Like Cybersecurity Awareness Month Chaos strike back! (Divers) YouTube, Meta, and Twitch won’t say if they’ll allow the US government to livestream an execution Contributeurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc