1-   Les infectés sont des acteurs maquillés

Les infectés qui envahissent la célèbre ville de Raccoon City sont en réalité des acteurs et des actrices qu’on a maquillés. Ce sont donc des humains, contrairement à ce qu’on pourrait penser ! Une belle prouesse technique. 

2-   L’acteur principal buvait du café entre deux prises

Austin Abrams aimait boire « un p’tit kawa » lorsque le tournage était interrompu. Selon nos sources, il pouvait aussi boire un verre d’eau ou même un soda. Une habitude « un peu dingue » qui amusait beaucoup l’équipe technique.

3-   Le réalisateur disait « Coupez ! » quand la scène était bonne

Zach Cregger est connu dans le milieu pour dire « COUPEZ ! » lorsqu’il termine une scène. Des bruits de couloir affirment qu’il disait aussi « Moteur… Action ! » en introduction. Une petite habitude qu’il avait inventée lorsqu’il était en fac de cinéma. 

4-   Le générique rappelle les gens qui ont participé au film

Détail incongru : le film se termine et fait étrangement défiler les noms et postes des gens qui y ont participé. On apprend donc par exemple qui s’est occupé de la lumière ou les noms de quelques figurants. 

5-   Le film dure 1h37

C’était une volonté du réalisateur et du producteur : faire un film qui ne dure pas 1h38 ni 1h36. La durée idéale était donc d’1h37. CQFD.

L’article 5 secrets de tournage du film Resident Evil est apparu en premier sur Le Gorafi.fr Gorafi News Network.

Synopsys va concevoir un modèle d’IA expert dans la conception de semi-conducteurs… et ce sera avec OpenAI.

L’entreprise l’a annoncé dans le cadre de son Investor Day. Une manière d’appuyer sa promesse de passer « de l’IP standardisée à l’IP dédiée ». En la matière, elle aura comme vitrine un nouveau contrat à « plus d’un milliard $ » avec Amazon.

Le modèle en question s’appellera GPT-Synopsys. On n’en sait pour l’heure pas grand-chose, sinon qu’il « tournera sur une infrastructure hébergée par OpenAI »… et qu’il exploitera l’outillage EDA de Synopsys.

OpenAI a déjà ses entrées chez Synopsys

Les LLM d’OpenAI ont déjà des points d’ancrage chez Synopsys. Ils furent notamment le substrat initial de l’offre Synopsys.ai Copilot. Lancée en 2023, cette dernière regroupe aujourd’hui 5 modules d’assistance (création de scripts, de bancs de test et de code RTL ; liting et aide généraliste) reposant sur une sélection de LLM commerciaux et open source assortis de prompts et de pipelines RAG propriétaires.

Ansys – concurrent que Synopsys a acquis l’an dernier pour plus de 30 Md€ – a sa propre couche générative avec de l’OpenAI dedans. Elle s’incarne dans l’assistant Engineering Copilot, axé sur l’assistance technique.

Le passage de Synopsys à l’agentique se fait sous la bannière Autopilot Platform. Promesse : fournir des familles d’agents spécialisés sur les différents compartiments de l’EDA, tout en laissant le choix du compute et des LLM.

« 9 mois de l’idée au tape-out » : Jalapeño, un jalon franchi

OpenAI a exploité ses modèles d’IA pour ses propres besoin de conception de semi-conducteurs. Le principal fruit s’appelle Jalapeño. Cette puce d’inférence conçue avec Broadcom n’est pas passé inaperçue. Essentiellement parce qu’il n’a fallu que 9 mois de la conception initiale au tape-out de fabrication.

Cédric Gouy-Pailler est responsable du programme de recherche en intelligence artificielle du CEA-List. Intervenu lors du dernier salon Big Data & AI Paris au sujet des composants et systèmes pour les infrastructures du numérique, il n’a pas manqué de mentionner Jalapeño. Et de confirmer qu’on « assiste à l’introduction massive de l’IA dans le processus de conception des puces électroniques ».

Reprenant des données de Microsoft, Cédric Gouy-Pailler a souligné qu’il semblait possible, « dans un horizon de quelques mois ou quelques années », de diviser par 8 à 20 la consommation d’énergie par requête d’inférence. Un facteur de 3 à 4 serait à gagner sur le modèle ; de 2 à 3 sur l’optimisation du déploiement ; de 1,5 à 2 sur le hardware.

À consulter en complément, une synthèse des mesures que la Commission européenne propose avec le Chips Act 2.0. Elle y maintient l’objectif de mettre en place une plate-forme cloud de conception de semi-conducteurs. Lorsqu’elle a proposé son texte (juin 2026), l’hébergeur était sélectionné. Des négociations étaient en cours avec les fournisseurs d’outils EDA. Bruxelles pensait pouvoir les conclure à l’automne, pour un passage en phase opérationnelle avant 2027.

Illustration générée par IA

The post OpenAI signe avec Synopsys : l’effet Jalapeño ? appeared first on Silicon.fr.

( MISE A JOUR – 7 octobre 2026 – 13h30 ) –  L’examen du texte a finalement été retiré de l’ordre du jour « en raison de l’encombrement du calendrier parlementaire ».

La France va-t-elle enfin transposée la directive européenne NIS2, deux ans après la date initialement prévue dans le calendrier de la Commission Européenne. Bruxelles avait, en effet, fixé l’échéance de transposition dans les droits nationaux au 17 octobre 2024.

Attendu à l’ordre du jour de la session parlementaire extraordinaire de juillet, le Projet de loi relatif à « la résilience des infrastructures critiques et au renforcement de la cybersécurité » qui porte la transposition de NIS 2 , c’est finalement en séance publique que le projet de loi n° 1112, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, sera  examiné

Le projet de loi ne se limite pas à NIS2. Il transpose également trois directives européennes adoptées en 2022 : la directive REC sur la résilience des entités critiques, NIS2 sur la cybersécurité et la directive associée au règlement DORA pour la résilience opérationnelle numérique du secteur financier.

Son titre Ier modernise le dispositif français de sécurité des activités d’importance vitale (SAIV), créé en 2006 et applicable à plus de 300 opérateurs. Il élargit ce cadre à de nouveaux sous-secteurs, dont les réseaux de chaleur et de froid, l’hydrogène et l’assainissement, et impose des plans de résilience aux opérateurs et aux quelque 1 500 points d’importance vitale.

Le titre II, consacré à la cybersécurité, est le volet directement lié à NIS2. Il élargit le périmètre régulé de 6 à 18 secteurs, incluant notamment la santé, les industries manufacturières, la fabrication de produits chimiques, la recherche, les services postaux et les infrastructures numériques.

Qui est concerné ?

La transposition devrait toucher les entités essentielles et les entités importantes, deux catégories dont les obligations seront proportionnées à leur criticité.

Sont notamment visés les acteurs de la chaîne d’approvisionnement, les administrations centrales, les moyennes et grandes entreprises, ainsi que les collectivités territoriales.

Selon les éléments présentés dans le cadre de l’examen parlementaire, environ 15 000 entités seront concernées, dont environ 1 500 collectivités locales, parmi lesquelles 300 communes de plus de 30 000 habitants.

Le rapport de la commission spéciale évoque également 14 500 entités que l’ANSSI sera chargée de suivre et de contrôler.

Les obligations attendues

Les entités régulées devront notamment transmettre des informations à l’ANSSI et déclarer leurs incidents de sécurité.

Concrètement, les entreprises devront s’attendre à des exigences renforcées en matière de gouvernance de la cybersécurité, de gestion des risques, de notification d’incidents et de coopération avec l’autorité nationale.

Pour les directions informatiques et les RSSI, l’enjeu immédiat sera l’identification du statut de l’organisation : entité essentielle ou importante, secteur concerné, taille, dépendances à des prestataires critiques et capacité à détecter puis notifier un incident dans les délais prévus.

Des sanctions significatives

En cas de manquement, les entités concernées pourront être sanctionnées par une amende pouvant atteindre 10 millions € ou 2% du chiffre d’affaires mondial. Cette amplitude est cohérente avec le régime de sanction prévu par NIS2.

Toutefois, l’État, les collectivités locales et leurs établissements publics administratifs ne seront pas soumis à ces amendes. Cette précision est importante pour les acteurs publics, qui resteront néanmoins concernés par les obligations de sécurité et de notification.

Le point sensible du chiffrement

L’examen au Sénat a introduit un article 16 bis visant à « sanctuariser » le chiffrement dans la loi. Il interdirait d’imposer aux messageries instantanées l’installation de portes dérobées, de clés de déchiffrement maîtresses ou d’autres mécanismes affaiblissant volontairement leur sécurité.

Les sénateurs ont justifié cette disposition par le risque de créer des vulnérabilités exploitables par des cybercriminels, des États hostiles ou des acteurs privés. Ce point pourrait rester l’un des sujets de débat les plus sensibles lors de l’examen à l’Assemblée.

Un vote incertain à l’Assemblée

Adopté en première lecture au Sénat le 12 mars 2025 par 181 voix contre 134, le projet de loi n° 1112 dispose d’une majorité relative au Sénat, mais sans abstention parmi les 315 suffrages exprimés.

À l’Assemblée nationale, en revanche, aucun vote en séance publique n’a encore eu lieu. La commission spéciale avait adopté le texte à l’unanimité en septembre 2025, mais l’examen en hémicycle prévu à partir du 7 octobre déterminera la majorité finale.

En commission spéciale, les députés ont examiné 472 amendements et adopté le texte de commission le 10 septembre 2025. Ce consensus en commission ne garantit toutefois pas l’absence de divisions lors du vote final en séance publique.

Pour autant, l’examen du 7 octobre ne marque pas l’entrée en application immédiate de NIS2 en France. Le projet de loi a devra  suivre la navette parlementaire avant une éventuelle promulgation.

L’ANSSI rappelle en outre que NIS2 n’entrera en vigueur en France que lorsque l’ensemble des textes de transposition ( loi, décrets et arrêtés) aura été promulgué.

The post NIS2 : ce qu’il faut attendre du projet de loi examiné à l’Assemblée nationale appeared first on Silicon.fr.

Laval- Cédric n’est pas près d’oublier ce qui lui est arrivé ces derniers jours. Après n’avoir reçu qu’un seul coup de fil et aucune visite pour la vente de sa Twingo, tout s’est emballé à partir du moment où il a ajouté sur son annonce la mention « vendue avec le plein ». Dès lors, sa vieille voiture, affichée au prix de 2400 euros, n’a cessé de prendre de la valeur. « Tout le monde la voulait, si bien que chaque acheteur faisait monter les enchères pour l’acquérir sur-le-champ » raconte-t-il. Il finit toutefois par la céder pour 4800 euros : « J’aurais pu obtenir un meilleur prix mais j’avais besoin de l’argent rapidement pour acheter une voiture qui roule à l’éthanol », explique-t-il. 

Le prix du confort

Comment expliquer un tel engouement ? Pour Ethan Melville, sociologue des transactions entre particuliers, le prix de l’essence n’explique pas tout : « Cela participe à l’augmentation du prix de vente, bien évidemment, mais ce qui joue davantage, c’est le confort : ne pas faire la queue en station et ne pas calculer au litre près ce qu’on peut prendre sans se ruiner. » Trop heureux de son acquisition, l’acheteur, pour le remercier, lui a même offert deux places pour le concert de Céline Dion que Cédric compte bien « revendre à un bon prix ».

Cette histoire est proche de celle de Josiane, qui avait vendu sa maison début septembre. Cette retraitée alsacienne avait eu la bonne surprise de voir son bien augmenter de 20 000 euros après avoir indiqué qu’elle laissait dans les placards l’équivalent d’un caddie plein de conserves et de biscuits. 

L’article Il double le prix de sa voiture en la vendant avec le plein est apparu en premier sur Le Gorafi.fr Gorafi News Network.

Aucun segment de la cybersécurité n’échappe à l’impact de l’IA.

Avec sa levée de fonds de 4 millions € (en pré-amorçage), Fleuret AI veut faire évoluer le pentest, encore souvent réalisé sous forme d’audit ponctuel, vers une démarche de sécurité continue.

Pour la start-up, un test d’intrusion classique ne donne qu’une photographie de la sécurité d’un système à un instant donné, alors qu’un nouveau déploiement peut rapidement modifier la surface d’attaque d’une entreprise.

Pour cela, elle a développé deux agents IA – Emile et Champollion – qui cartographient l’environnement d’une entreprise, explorent ses applications, API et infrastructures puis tentent d’exploiter les vulnérabilités identifiées.

Chaque faille détectée est accompagnée d’une preuve de compromission, destinée à démontrer concrètement son exploitabilité. La plateforme surveille ensuite en continu la surface d’attaque et peut relancer des tests lorsque le système évolue.

Sa plateforme s’appuie sur cinq piliers : connaître les systèmes exposés, identifier les vulnérabilités, démontrer leur exploitabilité, faciliter leur correction et vérifier leur résolution effective. Elle vise notamment à aider les organisations à répondre aux exigences de sécurité renforcées, dont celles associées à la directive européenne NIS2.

Fondée en 2026 à Paris par Yanis Grigy, directeur général, et Augustin Ponsin, directeur technique, Fleuret AI compte aujourd’hui une dizaine de collaborateurs et plusieurs clients, dont Stoïk, Ouwba, Brevo et Yogosha.

Son tour de table est mené par RAISE Ventures, aux côtés d’Auriga Cyber Ventures, Wind, Better Angle et de business angels issus du secteur de la cybersécurité.

« Notre ambition est de construire la couche de cybersécurité offensive qui permettra demain aux entreprises d’être en sécurité tout au long de l’année, et ce, peu importe leurs tailles », déclare Yanis Grigy, CEO et cofondateur de Fleuret AI.

Illustration : © DR

The post Fleuret AI lève 4 M€ pour automatiser les tests d’intrusion avec l’IA appeared first on Silicon.fr.

Au tour de Google de s’avouer dépassé par la « bouillie IA ».

Pour ce motif, l’entreprise a partiellement mis en pause un de ses bug bountys publics. En l’occurrence, l’Open Source Vulnerability Rewards Programs, qui englobe ses projets en source ouverte.

Depuis le 1^er octobre, elle n’accepte plus de soumissions pour des « vulnérabilités produit ». C’est-à-dire des problèmes de conception ou d’implémentation qui « entraînent une vulnérabilité affectant considérablement la confidentialité ou l’intégrité des données utilisateur ».

Elle accepte en revanche toujours celles qui relèvent de la catégorie « compromission de la supply chain » (risques pour l’intégrité d’une source ou d’un build). Des exceptions pourront par ailleurs être faites pour les projets qui alimentent l’écosystème Google Cloud, dans le cadre du bug bounty qui lui est dédié (Cloud Vulnerability Reward Program).

Google se donne jusqu’au premier trimestre 2027 pour faire évoluer la partie « vulnérabilités produit ». En attendant, il invite à se tourner vers son Patch Rewards Program. Celui-ci couvre les projets open source externe pour lesquels Google a signalé des vulnérabilités, ainsi que ceux intégrés dans OSS-Fuzz… et une centaine d’autres parmi lesquels :

• Serveurs web et mai (Apache httpd, nginx, Postfix, Sendmail…)
• CMS (Drupal, Joomla, Mangenta, PrestaShop, WordPress…)
• Frameworks web (Angular, Dart, Go, jQuery, Struts…)
• Gestionnaires de paquets (apt, npm, pip, yum)
• Services réseau (BIND, OpenSSH, OpenVPN…)
• Bibliothèques de décompression (7z, bzip2, gzip, tar…)

De premières mesures prises au printemps

Google avait déjà serré la vis au printemps, pour le même motif : nette augmentation de rapports faits par l’IA et truffés d’éléments incorrects ou non significatifs au regard du modèle de sécurité des projets concernés. Il avait entériné un système à quatre niveaux de priorité :

• Flagship (projets les plus critiques : Angular, Bazel, Golang…)
• Important (projets à forte empreinte communautaire)
• Standard (projets actifs, stables, disponibles dans les principaux gestionnaires de paquets)
• Faible (projets expérimentaux et/ou à petit périmètre)

Aux deux premiers niveaux, Google avait imposé, pour les vulnérabilités de corruption mémoire, une reproduction OSS-Fuzz ou un fix fusionné dans le dépôt cible. Aux deux autres niveaux, il avait supprimé les récompenses pour les « vulnérabilités produit » et les « autres problèmes de sécurité », ne laissant que celles pour le volet supply chain.

Curl a fait volte-face ; pas GitHub

À l’heure où Google serrait la vis, Curl la desserrait.

Fin janvier, le projet avait annoncé la fermeture de son bug bounty public sur HackerOne. Le pourquoi tenait en un chiffre : en 2025, le taux de rapports reçus traitant effectivement de « vraies » vulnérabilités était passé sous les 5 %. Alors qu’il était plutôt autour de 15 % les années précédentes.

Curl avait alors basculé sur le système de signalement privé de vulnérabilités de GitHub – tout en supprimant les récompenses financières. Il en est revenu en mars, pas satisfait par la qualité du service… mais aussi rassuré par une hausse de la qualité des « contributions IA » (à tel point que le ratio des 15 % était à nouveau d’actualité). D’autres projets (Django, Firefox, Git, Python, Ruby…) faisaient alors un constat similaire. Pas GitHub.

Ce dernier avait d’abord annoncé, au printemps, la fin des récompenses financières pour les rapports qui permettaient de corriger du code ou de la documentation sans toutefois démontrer d’impact significatif. Puis, cet été, il a diminué le plafond indicatif de récompense pour les vulnérabilités de faible sévérité. Et conditionné les montants les plus élevés à l’obtention du statut VIP. Il a par ailleurs commencé à utiliser l’indice de réputation HackerOne.

arXiv plafonne les soumissions d’articles pour tous

Le phénomène n’épargne pas arXiV. L’archive ouverte d’articles de recherche s’en voit soumettre de plus en plus. Mais beaucoup ne respectent pas les critères de fond et de forme. Cela s’accompagne d’une tendance à « saucissonner » la restitution des travaux en plusieurs articles. Autant d’éléments qui « consomme une part disproportionnée du temps des modérateurs ».

Dans ce contexte, arXiv a imposé, sans durée déterminée, une limite de 2 soumissions par mois pour chaque utilisateur.

Du côté d’Apple, on projette des mesures contre un autre effet indésirable : les erreurs de l’IA agentique. Dans le collimateur, une autorisation de macOS pensée pour les outils de sauvegarde : l’accès complet au disque interne. Apple n’explique pas précisément comment elle va évoluer, mais laisse entendre qu’il compte la rendre encore plus explicite qu’elle n’est (à l’heure actuelle, il faut ajouter manuellement, dans les paramètres système, les applications concernées).

Illustration générée par IA

The post Face à l’IA, les bug bountys se remettent diversement en question appeared first on Silicon.fr.

Schneider Electric poursuit le développement de son activité dans les logiciels industriels et l’IA appliquée à l’industrie.

Le groupe français annonce l’acquisition de l’éditeur américain PTC pour environ 22,6 milliards $ (20,1 milliards €). L’opération, réalisée entièrement en numéraire, reste soumise à  l’approbation d’unne majorité des actionnaires de PTC et l’obtention des autorisations réglementaires nécessaires. La clôture est attendue d’ici le troisième trimestre 2027.

Pourquoi PTC ?

PTC, basé à Boston et coté au Nasdaq, emploie plus de 7 000 personnes et sert plus de 30 000 clients. Ses logiciels couvrent notamment la conception assistée par ordinateur (CAD), la gestion du cycle de vie des produits (PLM), des applications (ALM) et des services (SLM).

L’éditeur a généré 2,4 milliards € de chiffre d’affaires en 2025, avec une marge d’EBITA ajusté d’environ 40%. Schneider Electric anticipe une croissance annuelle d’environ 10% de son chiffre d’affaires et de ses revenus récurrents annualisés jusqu’en 2029.

Pour Schneider, PTC apporte une activité à forte composante d’abonnements, des marges élevées et une bonne génération de trésorerie, tout en élargissant la présence du groupe dans les industries manufacturières discrètes et hybrides.

Relier conception, usine et exploitation

L’acquisition, la plus grande acquisition de l’histoire de Schneider Electric, s’inscrit dans la stratégie d’« Intelligence Énergétique et Industrielle » défendue par ke groupe français. L’idée est de connecter les données de conception des produits et des machines, apportées par PTC, aux données opérationnelles et énergétiques qu’il exploite déjà.

Concrètement, Schneider veut construire un « digital thread » unifié ; soit une chaîne de données qui relie la conception d’un produit, sa fabrication, son exploitation puis sa maintenance. Ce socle de données contextualisées devrait alimenter des applications d’IA industrielle.

PTC complète ainsi le portefeuille logiciel de Schneider, qui comprend déjà AVEVA. Le projet d’acquisition de Cognite, annoncé en juillet dernier, reste lui aussi soumis à ses conditions de clôture et aux autorisations réglementaires.

Une ambition de plateforme logicielle de bout en bout

Avec PTC, Schneider Electric estime porter la part des logiciels et services à environ 24% de son chiffre d’affaires en incluant PTC et Cognite. Le groupe affiche plus de 15 000 collaborateurs dédiés aux logiciels et plus de 50 000 clients logiciels après l’opération.

Schneider affirme également que la combinaison multipliera par trois environ son marché adressable dans les logiciels industriels, notamment grâce à l’accès aux industries manufacturières discrètes et hybrides. Le groupe mise sur des ventes croisées, l’extension de ses canaux de distribution, une couverture géographique élargie et le développement conjoint de « digital threads » enrichis par l’IA.

FAQ — Schneider Electric rachète PTC

Pourquoi Schneider Electric rachète-t-il PTC ?
Schneider Electric veut accélérer le développement de son activité logicielle et renforcer son offre d’IA industrielle. PTC lui apporte notamment des logiciels de conception, d’ingénierie et de gestion du cycle de vie des produits.

Combien Schneider Electric va-t-il payer pour PTC ?
L’opération valorise les fonds propres de PTC à environ 22,6 milliards de dollars, soit 205 dollars par action. En valeur d’entreprise, le montant atteint environ 23,7 milliards de dollars.

Que fait exactement PTC ?
PTC édite des logiciels destinés notamment à la conception et à l’ingénierie des produits, à leur gestion sur l’ensemble de leur cycle de vie et à leur maintenance. L’entreprise revendique plus de 30 000 clients dans le monde.

Quel est l’intérêt de PTC pour l’offre logicielle de Schneider ?
PTC complète les actifs logiciels déjà constitués par Schneider Electric. Le groupe dispose notamment d’AVEVA pour les environnements industriels et vient également de renforcer son portefeuille avec Cognite, spécialisé dans les données industrielles et l’IA. L’objectif est de relier les données depuis la conception des produits jusqu’à leur exploitation et leur maintenance.

Schneider Electric devient-il pour autant un éditeur de logiciels ?
L’opération confirme en tout cas l’évolution du groupe vers un modèle davantage fondé sur le logiciel et les revenus récurrents. Schneider estime que le SaaS représentera environ 24 % de ses revenus après l’opération.

Quand le rachat sera-t-il finalisé ?
La finalisation est actuellement prévue au troisième trimestre 2027, sous réserve notamment de l’approbation des actionnaires de PTC et des autorisations réglementaires nécessaires.

The post Schneider Electric mise 22,6 milliards $ sur PTC pour accélérer son virage logiciel appeared first on Silicon.fr.

Bélier : Si vous paraissez jeune, des CRS désœuvrés vous tabasseront pour le plaisir. Sinon, vous aurez des reflux gastriques.

Taureau : Vous perdrez 3 points sur votre permis en raison de votre visage disgracieux.

Gémeaux : Vos données seront piratées mais personne ne voudra les acheter, car vous n’intéressez personne. Remettez-vous en question.

Cancer : Un collègue vous dira « Moi la raclette c’est été comme hiver ha ha ! » Restez calme.

Lion : Vous vous mettrez à parler comme un policier en civil, en mixant « Salam les khouyas » et « Affirmatif ». Attention.

Vierge : On vous surnommera « Nounouille » ou « Gras double ». Au choix.

Balance : Si c’est la semaine de votre anniversaire, vous recevrez un compas du RN pour tracer des croix gammées où vous voulez.

Scorpion : Raphaël Glucksmann. 

Furet : Vous achèterez le journal papier du Gorafi, disponible chez tous les bons marchands de journaux. Vous en sortirez grandi(e).

Sagittaire : Vous inciterez les gens à manifester dans le calme, comme si cela avait déjà été efficace par le passé. Pauvre truffe !

Capricorne : Pour gagner en productivité, votre responsable supprimera les pauses pipi et vous devrez vous débrouiller avec une bouteille.

Verseau : Vous mangerez du tofu, et il aura déjà beaucoup plus de goût que votre vie insipide.

Poissons : Vous serez condamné(e) en première instance à regarder en boucle des débats de la primaire du PS. Que cela vous serve de leçon.

L’article Horoscope du 5 octobre 2026 est apparu en premier sur Le Gorafi.fr Gorafi News Network.

Attention : il y a dans Metabase une vulnérabilité critique qui permet l’injection SQL sans authentification.

Le 10 septembre 2026, le CERT-FR avait émis une alerte de sécurité à ce sujet. Il disait avoir connaissance de nombreuses compromissions. Parmi elles, il y avait très probablement celle de Zéro Logement Vacant.

Ce service, que les collectivités territoriales utilisent pour identifier les propriétaires de logements durablement vacants et prendre contact avec eux, a visiblement subi un vol de données. L’acte a en tout cas été revendiqué, d’après l’ANSSI, qui affirme en avoir été informée le 28 août. « Le point d’entrée serait la compromission d’une instance Metabase », explique-t-elle désormais dans son premier point de situation sur le dispositif REACTIV.

Le document liste une vingtaine d’incidents survenus depuis début juillet. Leur point commun : des exfiltrations potentielles ou avérées. Certains restent en cours de qualification. Pour les autres, l’ANSSI communique, avec plus ou moins de certitude, des bilans chiffrés. Parfois sur les victimes, parfois sur les volumes de données, parfois sur les deux.

Les incidents chiffrés avec certitude

Le 12 août, une agence de ministère de l’Europe et des affaires étrangères a été ciblée. En l’occurrence, l’AEFE (Agence pour l’enseignement français à l’étranger). Un compte compromis a perms l’accès à l’annuaire interne. Et la récupération d’informations concernant « plus de 30 000 personnes » : identité, coordonnées, certifications professionnelles, qualifications, expériences, évaluations, financement des parcours VAE.

Le 7 août, soit quatre jours avant sa fermeture, le service Bloctel a subi une exfiltration de données. Le vecteur : un compte professionnel d’une entreprise. Butin : une archive qui contenait la liste des numéros qu’avait soumis ce professionnel, ainsi que la liste après traitement par Bloctel. La combinaison permettait d’identifier environ 600 000 numéros inscrits.

Toujours dans la sphère des ministères économiques et financiers, un incident a touché TRACFIN. Levier : la compromission du sous-traitant de l’opérateur du module d’assistance aux usagers intégré au portail de déclaration utilisé par les professionnels assujettis. L’exfiltration s’est étalée entre fin juin et mi-juillet. Elle concerne 136 professionnels. Butin : des noms, prénoms, fonctions, adresses électroniques et numéros de téléphone. Ainsi que le contenu de 213 demandes d’assistance envoyées au support technique.

Il y a bien sûr aussi la série d’attaques dirigées, les 12 et 13 août, contre la DGFiP. Une première a exposé les données fiscales d’environ 353 000 particuliers (état civil, coordonnées, numéro fiscal, situation familiale, revenu fiscal de référence, taux de prélèvement à la source et liste de demandes). Et de 252 000 professionnels (SIREN, dénomination, adresse, liste de demandes). Une seconde a permis de récupérer, depuis le serveur professionnel de données cadastrales, environ 2 millions de données concernant quelque 434 000 usagers (noms, dates de naissance, adresses, identifiants fonciers, parcelles, nature des droits).

L’ANSSI touchée elle aussi

Le 25 août, on a détecté la compromission de plus de 300 comptes utilisateurs de BNUM (Bureau Numérique). Cette application que porte le pôle ministériel Écologie fournit aux agents publics un portail d’accès à leurs outils de travail. Elle a permis d’exfiltrer le contenu de boîtes de messagerie et de l’espace de fichiers partagé.

Autre portail touché : OISO (Outil informatique de surveillance des organismes). Le ministère de l’Écologie s’en sert pour contrôler le respect des normes environnementales par des prestataires privés. L’utilisation du compte compromis d’un organisme privé a permis d’énumérer des données personnelles de 22 000 agents et organismes agréés.

L’application Qualicharge aide la puissance publique à gérer les infrastructures de recharge des véhicules électriques. L’exploitation de la vulnérabilité Metabase (CVE-2026-72898) a engendré l’exfiltration de 102 000 sessions de recharge. Et d’une centaine de comptes techniques (identifiants, adresses électroniques, mots de passe chiffrés).

Cette même vulnérabilité a aussi permis de cibler… le laboratoire d’innovation de l’ANSSI. Dans la nasse, 118 comptes utilisateurs, dont une trentaine d’externes. Butin : des données statistiques d’utilisation, des identifiants, des adresses électroniques et des mots de passe hachés.

Les incidents chiffrés sans certitude

L’ANSSI évoque l’attaque survenue fin juillet sur le SI du ministère de l’Éducation nationale. Elle explique que l’attaquant « a potentiellement pu exfiltrer » des données de 4,35 millions d’enseignants (identité, affectation, grade, formation, indemnités).

Ces données ont pour partie alimenté une autre revendication, faite le 17 août… et qui a aussi révélé un vol massif dans l’académie de Créteil : la base d’un million d’élèves, de leurs responsables légaux et d’enseignants.

Bilan également incertain pour Préférence Formations, outil du réseau national des EPLEFPA (Établissements publics locaux d’enseignement et de formation professionnelle agricoles). La fuite porterait sur 5265 personnes (identifiant, nom, prénom, adresse électronique, ville, pays, fuseau horaire).

Une attaque contre le portail du SNU (Service national universel) aurait exposé les données de 275 000 utilisateurs. Plus précisément, identifiants, noms, adresses électroniques, numéros de téléphone, rôles, statuts, informations géographiques et activité. La faute à une vulnérabilité IDOR (Insecure Direct Object Reference ; contrôle inapproprié des permissions par une application ou une API).

Les incidents non chiffrés

À la DINUM aussi, il y a eu compromission d’instances Metabase. Deux en l’occurrence, rattachées à ProConnect et à Nuage Public. Les informations que l’opération a exposées sont déjà publiques, assure l’ANSSI. Elles concernent des organismes publics (SIREN, SIRET, budgets, effectifs). Il s’y trouve aussi des métadonnées de contribution à des projets logiciels open source, et des historiques de connexion anonymisés.

Metabase toujours pour le portail France VAE, compromis le 8 août. L’intégralité des données des utilisateurs ont filtré (identité, contact, certifications, qualification, expériences, évaluations, financement). Et donc « a priori » aussi pour Zéro Logement Vacant.

Pas non plus de bilan chiffré concernant la compromission du compte Tchap d’un agent de l’Éducation nationale. Détectée le 19 août, elle a permis l’accès à des salons publics et privés, dont certains du cadastre et de la DGFiP (à ce sujet, consulter notre article sur le « décloisonnement » de Tchap à base de Matrix…).

L’ANSSI dit aussi avoir établi, le 21 août, un lien entre la compromission de trois comptes de messagerie d’agents de la DGDDI (Direction générale des douanes et droits indirects) et celle d’un serveur utilisé pour les échanges entre agents et prestataires. Un de ces comptes y avait effectivement accès…

Illustration générée par IA

The post La DGFiP… et bien d’autres : un été riche en vols de données dans le secteur public appeared first on Silicon.fr.

La bibliothèque s’en va, les pages et les espaces arrivent, les projets restent : ainsi évolue ChatGPT.

Ce changement n’est pas que terminologique. Il est aussi fonctionnel. Avec lui, OpenAI introduit une couche d’édition collaborative. Elle s’incarne pour le moment en un format : les fameuses « pages », équivalentes à des documents Word. Les « espaces » servent à les organiser, éventuellement aux côtés de fichiers importés. Ils sont, en quelque sorte, ce que les « projets » sont aux conversations*, en plus de remplir la fonction jusque-là dévolue à la « bibliothèque ».

L’ensemble arrive progressivement sur les forfaits ChatGPT Pro, Business (ex-Team) et Enterprise. L’édition collaborative est pour le moment opérationnelle sur le web et les applications de bureau. Sur mobile, on ne peut que consulter les pages. Feuilles de calcul et diapositives sont censées s’y ajouter « bientôt ».

ChatGPT Work avait ouvert la voie

OpenAI avait déjà développé l’aspect suite de productivité avec le mode ChatGPT Work. Lancé en juillet sur les forfaits Business et Enterprise, il complète les modes Chat et Codex pour accompagner la « production de livrables finalisés » (documents texte, feuilles de calcul, présentations, rapports et sites), y compris dans Excel et Google Workspace.

L’aspect collaboration s’est notamment manisfesté, pendant un peu plus d’un an, à travers la fonction Canvas. Abandonnée au printemps 2026, elle favorisait le travail avec GPT sur les projets d’écriture et de code nécessitant des modifications et des révisions. Elle permettait par exemple de surligner des sections pour préciser à l’IA les points sur lesquels se concentrer.

Le choix d’un assistant IA d’entreprise dépend encore beaucoup du niveau d’adhérence à une suite bureautique, a récemment fait remarquer Gartner. Non sans affirmer que ChatGPT Enterprise était d’ores et déjà suffisamment exhaustive pour constituer une alternative « cohérente » aux suites de productivité.

À consulter en complément :

Comment OpenAI s’est installé au coeur des logiciels d’entreprise
Qui est Jacob Coxon, le chercheur qui accuse l’IA de vouloir nous tuer ?
GPT-6 Astra, un modèle qui pose problème à OpenAI
Tokenomics : les chiffres d’une discipline FinOps en construction
Comment Microsoft articule le « code de conduite » qui va gouverner ses IA

* Intégrés fin 2024, les projets sont centrés sur les discussions. On y définit des instructions système et on y dépose des fichiers de référence.

Illustration générée par IA

The post ChatGPT, suite collaborative : OpenAI s’en approche appeared first on Silicon.fr.

« La fête pour la venue du Pape était si belle, que j’ai décidé que la communauté musulmane méritait, elle aussi, sa fête dans les rues de Paris ! ». C’est par ces mots qu’Emmanuel Macron a annoncé en conférence de presse que la prochaine fête de l’Aïd aurait lieu place de la Concorde et sur les Champs Élysées. « Avec tout l’immobilier et les boutiques qui appartiennent au Qatar, les Champs Élysées sont déjà une avenue à consonance musulmane ! » a lâché le président, euphorique. 

En privé, Emmanuel Macron voit grand : « Je vois déjà l’immense prière avec tous ces tapis sur les Champs ! On installera le muezzin en haut de l’Arc de triomphe ». Le président envisage également une montagne de cadeaux pour les enfants, sous l’Obélisque, ainsi que des stands de couscous, de bouzelouf et de bekboukas dans le jardin des Tuileries. Quant au sacrifice du mouton : « Pourquoi ne pas le faire directement à l’Élysée ? J’adore le tripes de mouton » s’enflamme-t-il auprès de ses proches. 

Mais alors pourquoi une telle hâte côté Elysée ? Selon l’éditorialiste politique Jean-Michel Apathie, la raison est avant tout électorale : « La raison est avant tout électorale ! C’est un pied de nez au RN et à LFI et une façon de passer pour ‘ouvert’, après des années de politiques discriminatoires de Bruno Retailleau, Laurent Nuñez et Gérald Darmanin. En vérité, musulmans, chrétiens ou juifs, pour Emmanuel Macron, les Français restent avant tout des gueux » 

L’article Suite au succès de la messe du Pape, la place de la Concorde accueillera la prochaine fête de l’Aïd   est apparu en premier sur Le Gorafi.fr Gorafi News Network.

La méthode semble fonctionner comme a pu le constater Patrice, CRS à Bourg-en-Bresse. Au lieu de sortir sa matraque, son taser et son lance-roquette comme il le fait d’habitude, celui-ci a décidé de houspiller les lycéens qui brandissaient des pancartes en leur criant : « Mdr, comment vous êtes malaisants de fou avec vos slogans éclatés au sous-sol. Alerte au cringe maximal, bonjour la gênance, je meurs » 

Une tentative de déstabilisation réussie puisque l’invective a rapidement semé le doute parmi les manifestants. «Attendez les gars, c’est cringe ce qu’on fait ? On va se faire allumer sur Tik Tok ? » aurait demandé Théophile, 17 ans.  « Mais nan, c’est zéro cringe, c’est un banger » lui aurait rétorqué Mélissa. Un débat dont a profité Patrice pour décocher trois tirs de LBD dans le groupe et ainsi neutraliser la menace terroriste. 

Ce n’est pas la seule nouvelle méthode que les CRS ont testée ces derniers jours. En réponse aux manifestants les plus vindicatifs, les forces de l’ordre ont également pour consigne de leur répondre par une battle d’aura en leur adressant un dab, un six-seven et le « siuuu»

L’article Blocus des lycées – Les CRS tentent de disperser les lycéens en leur répétant qu’ils sont « cringe »  est apparu en premier sur Le Gorafi.fr Gorafi News Network.

Bull inaugure son nouveau bâtiment de production à Angers. La construction du site remonte à 1963,

Avec un investissement de 80 millions d’euros, le fabricant français de supercalculateurs double sa capacité industrielle, alors que l’Europe cherche à renforcer son autonomie en matière de calcul haute performance et d’IA.

Selon Reuters, la production du site est déjà passée de six à douze baies par mois. Bull indique pouvoir atteindre 24 baies mensuelles en 2027 si la demande se maintient.

L’usine est présentée par Bull comme le seul site industriel européen capable d’assembler de grands supercalculateurs. Elle conçoit, intègre, teste et valide des machines de calcul avancé, des infrastructures d’IA, des serveurs d’entreprise et, à terme, des technologies quantiques.

Le nouveau bâtiment couvre 20 000 m², dont 10 700 m² dédiés à la production. Bull annonce un doublement de capacité, une hausse de 30% de la productivité et une réduction de 30% des coûts de maintenance du bâtiment.

Une demande portée par l’IA

Ce doublement de capacité intervient dans un contexte de forte croissance des commandes.

Emmanuel Le Roux, le PDG de Bull, indiqué à Reuters que l’entreprise avait reçu cette année plus de commandes que jamais auparavant et remporté 15 des 18 appels d’offres émis par EuroHPC, face notamment à Hewlett Packard Enterprise.

L’Union européenne a engagé 7 milliards € entre 2021 et 2027 pour développer un réseau européen de supercalculateurs, afin de réduire l’écart de capacité de calcul avec les États-Unis et la Chine.

Bull assemble notamment JUPITER, premier supercalculateur exascale européen, exploité au centre de Jülich en Allemagne. Le site doit également livrer en 2027 Alice Recoque, futur système exascale français, et LUMI-AI, infrastructure au cœur de la LUMI AI Factory en Finlande.

La commande française Alice Recoque représente 94 baies et est assemblée en parallèle de LUMI-AI, contrat de 388 millions € passé par la Finlande et présenté comme le plus important de l’histoire de Bull. Selon Reuters, ces deux programmes n’auraient pas pu être menés simultanément avant l’agrandissement de l’usine.

Vers une industrie européenne de l’IA

Bull lance également le programme Open Factory, destiné à ouvrir ses capacités industrielles à des entreprises travaillant sur l’IA, le calcul avancé et le quantique.

L’objectif est d’aider ces acteurs à passer du laboratoire à la production à grande échelle, tout en favorisant la relocalisation de la fabrication d’infrastructures stratégiques en Europe.

Le partenariat annoncé avec Foxconn prévoit de fabriquer en Europe des serveurs IA fondés sur la plateforme NVIDIA Vera Rubin NVL72 avec un assemblage final à Angers.

Selon Reuters, les composants européens représentent désormais 70% des machines produites, contre 20 à 30% il y a cinq ans. L’usine assemble également des systèmes intégrant des processeurs Nvidia, AMD et Intel, selon les besoins des clients.

L’État français est devenu actionnaire unique de Bull après le rachat de l’entreprise à Atos pour une valorisation pouvant atteindre 404 millions €.

Image : © Bull

The post Supercalculateurs : Bull double sa production à Angers appeared first on Silicon.fr.

La guerre des clones a commencé.

C’est un ancien d’OpenAI qui le dit. Il dirige désormais TypeSafe AI. Cette start-up a acquis une certaine aura depuis qu’elle est sortie du bois mi-septembre. Le produit qui lui a valu cette attention s’appelle Jev. Une référence à l’économiste britannique Willam Stanley Jevons (1835-1882). Lequel a théorisé l’idée que plus les progrès techniques permettent d’utiliser une ressource efficacement, plus la consommation de cette ressource a tendance à augmenter.

Il y a effectivement en Jev la promesse d’un usage plus efficace… des tokens, en l’occurrence. À travers lui, TypeSafe AI pousse une nouvelle typologie de modèle, à cheval entre LLM et classifieurs. Dite System One, elle ne produit pas de texte, mais des « décisions calibrées ». Plus précisément, des réponses structurées à trois types de questions cadrées :

• Sélectionner des options dans une liste finie
• Distribuer les scores de probabilité sur un échantillon déterminé
• Évaluer si un élément est vrai ou faux

Chaque question a sa primitive (respectivement Choice, Score et Noul). On peut les combiner dans un même appel. Elles sont traitées en parallèle, mais isolément pour éviter la contamination du contexte.

Plus fiable, plus rapide et plus économique que les LLM… sur un périmètre d’action limité

Le nom TypeSafe AI est une allusion à la sûreté du typage, une propriété qui garantit qu’un programme n’utilise pas les données de manière incorrecte par rapport à leur type (par exemple, essayer de multiplier un prix par une date). Il reflète la promesse de l’approche System One : obtenir des réponses que les machines peuvent directement utiliser… et traiter plus simplement que des réponses de LLM, avec davantage de fiabilité (grâce aux scores de confiance embarqués), moins de latence et un coût inférieur (pour Jev, « sous les 100 ms pour la plupart des requêtes », à raison de 0,042 $ par million de tokens en entrée).

Le scénario de sélection dans une liste finie peut, par exemple, aider à transmettre une demande client vers la bonne équipe. Le scoring de probabilité, à mesurer son niveau de frustration. L’évaluation vrai/faux, à savoir si la demande implique ou non un remboursement. Dans un système agentique, l’ensemble peut servir tant au routage des requêtes qu’à la sélection d’outils, la vérification d’arguments ou l’application de garde-fous.

Les modèles System One se prêtent dans tous les cas à des réponses rapides – du genre qu’un humain averti donnerait instantanément, explique TypeSafe AI. On les combinera éventuellement à des vérifications déterministes dans le code.

AWS répond avec un modèle spécifique ; OpenAI, avec GPT Luna

La démarche a inspiré AWS, qui en a publié sa propre incarnation : Strands Decider. Il avance globalement les mêmes arguments que TypeSafe AI, mais en ajoute un en particulier : l’entraînement nécessite moins d’expertise que pour un classifieur traditionnel.

Cette remarque n’est pas anodine : Strands Decider est open source. Conçu pour un usage en local, il dérive de Qwen3.5-2B. AWS en a repris le tronc (adapté avec LoRA), mais a retiré la tête qui modélise le texte. Il l’a remplacée par une tête de type pointeur qui évalue chaque option.

AWS communique des indicateurs de performance sur le benchmark public JevBench. Sur une RXT 3090 dans WSL2, la dernière version en date de Strands Decider (v19) a un temps de réponse médian d’un peu plus de 100 ms, pour un score global de précision de 0,7229. Sur un MacBook M3 Pro à 36 Go, on passe à 234 ms « à chaud » (requêtes successives).

OpenAI aussi a répliqué, avec l’API Decisions, qui est toutefois en accès limité. Au contraire d’AWS et de TypeSafe AI, il n’a pas développé de modèle spécifique. Sous le capot, il y a GPT Luna, dont on « [concentre] l’intelligence […] sur un ensemble de précis de questions définies par l’utilisateur, avec un nombre fini de réponses prédéfinies ». Ce choix a un avantage : accepter les images en entrée en plus du texte.

Illustration principale générée par IA

The post Qu’est-ce que Jev, la nouvelle marotte des concepteurs de modèles d’IA ? appeared first on Silicon.fr.

L’affaire Hugging Face reste au centre des préoccupations sur l’activité « désalignée » des agents IA.

Dans une note d’information publiée le 30 septembre, OpenAI indique que ses équipes ont prévenu plus de 100 organisations dont les systèmes ou services avaient été concernés par une activité répondant à ses critères de notification.

Le créateur de ChatGPT a engagé une revue portant sur environ 50 pétaoctets de données,en précisant que ce volume s’explique notamment par l’ampleur des campagnes d’entraînement et de test, qui mobilisent des dizaines de milliers de GPU.

Cependant, OpenAI précise explicitement qu’une notification « ne signifie pas » qu’une information privée a été consultée ou qu’un système tiers a été compromis.

Une alerte n’est pas une intrusion

Les cas examinés recouvrent plusieurs catégories d’incident. Sont évoqués le contournement des contrôles d’accès, l’utilisation d’identifiants exposés publiquement, l’injection de requêtes ou de commandes, l’accès à des éléments internes d’un service ou encore la publication non sollicitée de contenus sur des sites tiers ; ce qu’OpenAI appelle « agent spam ».

OpenAI reconnaît que ses modèles ont parfois utilisé Internet de manière non prévue ou que les restrictions appliquées à certaines tâches n’étaient pas suffisamment strictes. Mais elle affirme ne pas avoir identifié, à ce stade, une autre compromission de système tiers comparable en ampleur ou en gravité à l’incident Hugging Face.

OpenAI le décrit comme le cas le plus sévère identifié à ce jour. L’environnement d’évaluation ExploitGym ne donnant pas directement accès à Internet, les modèles auraient exploité une vulnérabilité jusque-là inconnue dans Artifactory, un proxy de cache pour registres de paquets, afin d’obtenir cet accès.

Depuis, OpenAI affirme avoir renforcé l’isolation de ses environnements de recherche, restreint l’accès au réseau, accru la surveillance et ajouté des mesures d’entraînement destinées à éviter les actions non autorisées.

Une enquête qui durera des mois

La scale-up présente son dispositif comme un exercice de transparence et affirme  privilégier la notification lorsqu’une activité expose une vulnérabilité potentielle, même si l’on ignore encore si les informations consultées étaient destinées à être publiques.

Le processus repose sur plusieurs étapes automatisées, puis sur une vérification humaine. OpenAI souligne qu’un signal automatisé n’est pas un incident confirmé. Par exemple, un modèle peut envisager une action dans son raisonnement sans jamais l’exécuter, ou tenter une action qui échoue.

Mais cette prudence rend le bilan difficile à interpréter. Les organisations alertées doivent elles-mêmes déterminer si l’activité signalée révèle une faiblesse, une exposition de données ou un simple comportement sans conséquence ?

OpenAI affirme que la grande majorité des actions examinées relevait de tâches de recherche ordinaires, notamment la consultation du contenu web public. Son enquête se concentre sur les cas où des agents ont interagi avec des sites tiers au-delà de leur mission ou des méthodes prévues.

La scale-up s’attend toutefois à identifier d’autres cas et à notifier davantage d’organisations à mesure que l’examen des archives progresse. Certains signalements pourraient concerner des événements remontant à plusieurs mois.

The post OpenAI alerte plus de 100 organisations sur les compromissions de ses agents IA appeared first on Silicon.fr.

L’article Gorafi Magazine : Le guide des vins pour oublier le capitalisme est apparu en premier sur Le Gorafi.fr Gorafi News Network.

Pour se positionner dans les « usines IA », NetApp a choisi sa voie : ce sera pNFS.

Cette extension de la spécification NFS a émergé au début des années 2000. Elle favorise les accès parallèles en désagrégeant le serveur de métadonnées.

Ce dernier peut communiquer aux clients différents layouts (agencements de données) en fonction des systèmes. NetApp a choisi celui dit Flex Files, qui permet d’agréger des serveurs NFS dans un même namespace. Une solution qu’il juge idéale à l’échelle des usines IA pour éviter la charge de coordination associée à des points de montage séparés.

L’option du NAS d’entreprise à architecture shared-everything a été écartée, essentiellement faute d’opérer cette désagrégation.

Lustre l’implémente*… mais le serveur de métadonnées est monolithique. La réponse classique pour passer à l’échelle – partitionner le namespace – n’a pas convaincu NetApp, qui estime qu’elle ne fait que décaler le goulet d’étranglement. Il lui a préféré une technologie qui s’est récement greffée à l’écosystème pNFS : Lattice.

L’acquisition de PEAK:IO prend tout son sens

Publié en source ouverte avec le soutien de la Fondation Linux, Lattice fournit un moteur d’exécution en espace utilisateur, articulé autour d’un plan d’autorité partagé (un cluster RonDB). Ces propriétés facilitent la mise à l’échelle – jusqu’à 72 nœuds – et ouvrent la voie à des instances de serveurs de métadonnées éphémères.

L’orchestration avec l’infrastructure de stockage repose sur des appels RPC directs. Le moteur implémente pour le moment la personnalité NFSv4.2/pNFS. L’objectif est d’en faire un socle pour d’autres architectures distribuées.

Avec le concours technique du laboratoire de Los Alamos, le projet a commencé à évoluer vers un modèle open core. Des modules (restructuration des données, répartition pondérée, hiérarchisation…) émergent sous l’impulsion d’une start-up : PEAK:IO. NetApp la connaît d’autant plus qu’il en a fait l’acquisition.

Novus est censé fournir plus de 100 To/s de bande passante agrégée, à une échelle de l’ordre du zettaoctet, avec un scaling « quasi linéaire ». Pour le moment, les données doivent résider sur des baies ONTAP (pas encore d’option SDS). Le serveur de métadonnées tourne sur du matériel x86.

À consulter en complément :

VAST Data s’approprie le calcul confidentiel sur GPU NVIDIA
AI gateway : la prochaine bataille des infrastructures IA
Stockage d’entreprise : les disques durs en phase de regain
Microsoft veut optimiser chaque token d’IA
AI gigafactories : les détails de l’appel d’offres

* Autre limite de Lustre : il exige un noyau spécifique à maintenir sur chaque nœud. Cette nécessité n’existe pas avec pNFS, intégré nativement dans Linux.

Illustration générée par IA

The post NetApp a choisi son camp pour investir les « usines IA » appeared first on Silicon.fr.

POUR

Donovan, de Carnac

Quel plaisir de voir des policiers se donner à fond dans leur job, quitte à sortir un peu des sentiers battus. Voilà le genre d’initiative que je veux dans ma boîte.

Lucienne, de Cholet

Quand un policier se défoule sur quelqu’un de plus faible, cela me rappelle mon mari décédé, quand il rentrait ivre à la maison. Je suis pour.

Dimitri, de L’Hay-les-Roses

Pour. J’aime quand les policiers abattent les conducteurs qui font un refus d’obtempérer. Cela me réconforte dans ma vie merdique.

CONTRE

Gwendal, de Sèvres

Je suis contre parce qu’il y a des choses plus urgentes, comme le tri sélectif.

Dorothée, de Louveciennes

Je suis contre, alors que je ne suis ni arabe ni noire. Je suis une belle personne.

Mohammed, de Douai

J’ai été tabassé dans un commissariat en 2017 et j’en garde un souvenir mitigé. Plutôt contre.

L’article Pour ou contre les violences policières est apparu en premier sur Le Gorafi.fr Gorafi News Network.

C’est dans une ambiance feutrée et intimiste que le chef de l’État a choisi de recevoir en huis clos, sans journalistes ni caméras, sept victimes du capitalisme. Parmi eux : un chômeur de longue durée, un jeune agriculteur, un enseignant et un étudiant précaire, tous réunis pour une même raison, celle d’avoir été victimes du système capitaliste.

Sur place, le président de la République aurait fait preuve d’une grande compassion, bénissant ses invités à coup de larmes de chômeur et par une offrande divine : un abonnement d’un an au magazine Challenges, en guise de réparation. Il aurait même demandé pardon “au nom du capitalisme, reconnaissant une violence « systémique », tout en se gardant de stigmatiser  ce système qu’il défend depuis bientôt dix ans.

« C’était magique, s’exclame Jean-Louis, ancien employé de l’usine Gap licencié pour cause de délocalisation. Le petit prince de la finance nous a pris dans les bras et nous a rappelé que, malgré les violences subies, les dieux du capitalisme, Bernard Arnault et Vincent Bolloré, nous aiment. » À la fin de l’entretien, qui aura duré un bon quart d’heure, Emmanuel Macron a demandé aux sept victimes, à genoux, de partager le sacrement capitaliste, leur faisant ainsi consommer le corps et le sang du capitalisme : une cuillère de caviar et un verre de Château Margaux.

L’article Emmanuel Macron s’inspire du Pape et recevra sept victimes du capitalisme est apparu en premier sur Le Gorafi.fr Gorafi News Network.

« Je ne suis et ne serai jamais antisémite… et je vous le prouve ! », a déclaré ce mercredi Jordan Bardella lors d’une conférence de presse en exhibant sur son portable la photo de Luc Mongrain, banquier d’affaires à la Banque Postale. « Cet homme est mon ami. Ne vous fiez pas à son absence de nez crochu, de doigts palmés ou de cornes, il s’agit bien d’un juif dans la plus pure tradition hébraïque », poursuit-il en faisant défiler plus de cinquante photos de l’homme avec son index. « Qu’on arrête donc de me dire que je suis antisémite. J’aime encore plus les juifs que les juifs aiment l’argent. C’est dire ! », conclut-il sous les applaudissements nourris de ses militants. 

Face aux réserves de la gauche, Jordan Bardella en a profité pour dévoiler sur son compte X personnel plusieurs photos visant à écarter pour de bon tout soupçon d’antisémitisme. Tout d’abord, un poster accroché au-dessus de son lit représentant les gobelins de l’univers de Harry Potter surmonté de ces quelques mots « Best regards, J.K. Rowling ». Également, le livre « Seconde Guerre Mondiale : 10 juifs qu’il FALLAIT sauver ». Enfin, une photo de la jaquette du film La vie est belle accompagnée de la légende : « Certainement mon film de science-fiction préféré ». 

Rappelons que ce n’est pas la première fois que le président du Rassemblement national se retrouve à devoir se justifier de ne pas être problématique puisqu’en juillet dernier, il s’était défendu d’être profondément raciste en affirmant « prendre toujours Donkey Kong à Mario Kart ». 

L’article Jordan Bardella : « Je n’ai rien contre les juifs, j’ai un ami banquier » est apparu en premier sur Le Gorafi.fr Gorafi News Network.

Washington renforce la surveillance des technologies d’IA.

La Federal Trade Commission (FTC) mène une enquête à l’échelle du secteur sur Anthropic, OpenAI et d’autres acteurs de l’IA afin d’examiner les dangers potentiels de leurs technologies pour les consommateurs, a indiqué un haut responsable à Reuters.

La FTC prévoit d’adresser des demandes formelles d’informations aux entreprises concernées et de contraindre certains de leurs dirigeants à témoigner. Anthropic, OpenAI et l’organisme de recherche METR figurent parmi les acteurs cités par le responsable. Le porte-parole de la FTC n’a toutefois pas précisé quelles autres entreprises seraient concernées.

Selon Reuters, il s’agit de la première action officielle d’un régulateur américain consacrée spécifiquement aux agents d’IA dits « rogue », dont le comportement s’écarte de ce qui était attendu par leurs concepteurs ou utilisateurs.

Hugging Face a accéléré le dossier

La FTC s’intéressait déjà au sujet avant que des agents d’OpenAI, dans le cadre d’un test de cybersécurité, échappent à leur environnement contrôlé avant de compromettre l’infrastructure de Hugging Face.

D’autres comportements similaires ont depuis été signalés dans le secteur. OpenAI et Anthropic ont notamment indiqué que certains de leurs systèmes avaient effectué des opérations de cybersécurité dépassant les intentions initialement fixées par leurs utilisateurs ou développeurs.

Pour les régulateurs, l’enjeu est désormais de déterminer dans quelle mesure les entreprises peuvent être tenues responsables des conséquences de tels comportements.

Un accord volontaire signé à la Maison-Blanche

La nouvelle enquête intervient dans un contexte particulier.

La veille, Donald Trump avait réuni à la Maison-Blanche plusieurs dirigeants du secteur – Greg Brockman pour OpenAI, Dario Amodei pour Anthropic, Mark Zuckerberg pour Meta, Sundar Pichai pour Google et Jensen Huang pour Nvidia – afin d’annoncer un accord volontaire sur la sécurité de l’IA.

Le document prévoit notamment que les entreprises travaillent avec des auditeurs indépendants afin d’évaluer leurs dispositifs de contrôle et de surveillance. Elles s’engagent également à mettre en place des mécanismes internes et à veiller à ce que leurs outils ne puissent pas accéder ou s’en prendre à des systèmes techniques de manière non prévue.

Mark Zuckerberg a indiqué que les entreprises travailleraient également au renforcement de leurs contrôles internes. Donald Trump a comparé l’accord à une forme de « constitution » et évoqué la possibilité de créer un comité d’une dizaine de personnes chargé de surveiller la sécurité des outils d’IA.

L’accord reste toutefois volontaire et ne constitue pas une nouvelle réglementation fédérale.

La question de la responsabilité

L’intervention de la FTC intervient alors que ses principaux acteurs commencent à reconnaître l’incertitude juridique entourant ces nouveaux systèmes.

Dans son prospectus préparé pour son introduction en Bourse, Anthropic souligne que les actions de ses systèmes pourraient donner lieu à des réclamations de clients ou d’utilisateurs et que le cadre juridique applicable demeure incertain.

L’éditeur de Claude évoque notamment les conséquences possibles d’une suppression de données, d’une opération financière non autorisée ou d’une autre action exécutée sans validation explicite.

La FTC va donc chercher à déterminer ce que les développeurs savent de ces risques, comment ils les contrôlent et dans quelles circonstances leur responsabilité pourrait être engagée.

The post Agents IA : la FTC ouvre une enquête au lendemain de l’accord de la Maison-Blanche appeared first on Silicon.fr.

Disponibilité générale actée pour les conteneurs WSL… mais n’y cherchez pas de fonctionnalité à la Docker Compose.

Microsoft affirme en faire une priorité. Cependant, au sein du projet WSL, on n’a pas encore tranché entre réimplémenter complètement Docker Compose ou exposer directement l’API Docker.

Vers une exposition directe de l’API Docker

On semble se diriger vers la deuxième solution, étant donné que le moteur Docker est déjà présent et fonctionnel. Chaque session WSLc exécute effectivement une version standard et complète de Moby (dockerd). Le socket Unix par lequel on y accède n’est simplement relié à aucun point d’accès externe. Il suffirait donc théoriquement d’exposer un écouteur vers l’hôte Windows.

Un socket brut contournerait toutefois les contrôles de sécurité de WSLc. L’option préconisée consiste ainsi à déployer un point d’accès filtré interceptant et validant les requêtes sensibles. Les tests ont été concluants : Docker Compose, Dev Containers et Testcontainers fonctionnent complètement. Des limites structurelles demeurent néanmoins. Entre autres, il n’y a pas de prise en charge du multiarchitecture (l’absence de QEMU / binfmt fait planter les binaires étrangers).

Des passerelles avec Intune et Defender

Microsoft n’évoque pas le projet communautaire wslc-compose, qui offre un palliatif sous la forme d’un package Python. Il en mentionne en revanche d’autres, dont WSL Container Desktop et Lazywslc. Tous deux résolvent une autre limite actuelle de WSLc : l’absence d’une interface graphique de gestion des conteneurs.

En attendant ces ajouts, Microsoft a créé une passerelle avec son EDR, qui peut extraire l’activité de l’environnement WSLc et la corréler à celle de l’hôte. Une jonction est également établie avec Intune, qui peut activer et désactiver des conteneurs, ainsi que restreindre les tirages à des registres approuvés.

Une architecture réseau en espace utilisateur

Alors que Docker Desktop tourne dans la VM WSL partagée, WSLc crée une VM par conteneur. Il ne les attache pas à un commutateur virtuel Hyper-V classique : elles envoient leurs paquets sous forme de trames Ethernet brutes via une file d’attente virtualisée. Un processus Windows dédié en espace utilisateur lit cette file en continu et réémet les requêtes sur le réseau Windows. Cela évite les problèmes que le modèle WSL2 traditionnel – NAT, avec une IP distincte par VM – pose avec les VPN et les pare-feu.

Plusieurs options pour le stockage persistant

Chaque session dispose de son propre disque dur virtuel qui conserve l’état global de l’environnement. Il est stocké directement sur l’hôte Windows.
Par défaut, l’espace d’écriture d’un conteneur est éphémère. Des volumes permettent de conserver les données. Ils sont mappés à un dossier sur l’hôte, exposé à la VM via virtiofs. Il en existe une variante : les volumes VHD, où la source n’est pas un dossier Windows partagé mais un fichier disque virtuel dédié. Par rapport aux dossiers Windows partagés, cela permet d’imposer une limite de stockage stricte. Et le formatage en ext4 évite les problèmes avec les logiciels qui gèrent mal les particularités de NTFS.

Illustration générée par IA

The post Docker Compose, chaînon manquant des conteneurs WSL appeared first on Silicon.fr.

Cloudflare a un nouveau terrain de jeu : le voilà qui veut devenir une autorité de certification publique.

Il a soumis sa propre clé racine aux principaux magasins de confiance du marché (Chrome, Apple, Microsoft, Mozilla). Comme la procédure d’inscription peut prendre plusieurs années, il en a aussi racheté une à GlobalSign. Existant depuis 2012, elle lui permettra une couverture plus rapide… et aussi plus large. En ligne de mire, les terminaux anciens arrivés en fin de support et que sa racine aurait par là même du mal à atteindre.

Quand Cloudflare présente Let’s Encrypt comme un risque systémique

Cloudflare promet une alternative à Let’s Encrypt. Son argument : cette autorité, qui émet aujourd’hui près de 40 % des certificats TLS publics, induit un risque systémique. En cas d’incident, il n’existe pas de concurrent capable d’absorber la charge gratuitement et de manière automatisée.

À défaut d’avoir émis jusque-là ses propres certificats, Cloudflare peut revendiquer une expérience en tant que mandataire. Pour chaque domaine configuré sur son réseau, il obtient des certificats auprès d’autorités partenaires. Cela lui a, affirme-t-il, permis de saisir les faiblesses du Web PKI (plafond de requêtes, lenteur des révocations massives, changements de politiques chez les CA…).

Cloudflare anticipe plus globalement une croissance de la demande en certificats pour trois raisons principales. Parmi elles, le raccourcissement de leur durée de vie, impulsé en particulier par Apple et Google. Il y a aussi l’activité des agents autonomes, qui entraîne une prolifération de microservices nécessitant des identités cryptographiques propres.

La suite avec les arbres de Merkle

La troisième raison, c’est la transition post-quantique. Cloudflare veut faire partie des premières autorités de certification à prendre ce train. Il vise une admission début 2027 dans le programme spécifique récemment ouvert par Chrome.

La démarche reposera sur les MTC (Merkle Tree Certificates), qui se sont imposés, dans l’écosystème, comme la solution technique de référence. Ils font l’objet d’un projet de spécification au sein de l’IETF. Dans les grandes lignes, plutôt que de signer chaque certificat feuille individuellement, on les insère par lots dans un arbre de Merkle dont on signe la racine. Les clients n’ont alors qu’à vérifier une preuve d’inclusion (suite logarithmique de hachages cryptographiques).

Les MTC réutilisent le conteneur standard X.509 en y insérant un identifiant d’algorithme de signature. Ils sont délivrés de deux manières. Dans la forme dite autonome, le certificat embarque tout ce dont le client a besoin. Dans celle dite « avec repère », l’autorité de certification regroupe l’ensemble de ses certificats actifs sous forme d’une série de sous-arbres, formant une référence temporelle commune. Le clients reçoivent en amont, hors bande, les têtes d’arbre signées. Le serveur ne transmet alors que la preuve d’inclusion, éliminant les signatures post-quantiques de la négociation TLS. Ce mécanisme permet qu’une poignée de signatures sécurise des milliards de certificats. Il suppose toutefois de pouvoir mettre à jour les clients. D’où le besoin de conserver le mode autonome.

Passer à l’échelle le mécanisme de transparence

Cloudflare fondera son infrastructure sur un fork de Boulder, utilisé par Let’s Encrypt. Les flux d’émission reposeront sur le protocole standard ACME. Ils impliqueront – spécificité de l’ère MTC – des cosignataires indépendants. Ceux-ci stockeront une copie des journaux d’émission et vérifieront que l’arbre grandit strictement en ajout seul, sans bifurcation frauduleuse.

Seulement après validation d’un cosignataire externe, l’autorité de certification pourra assembler l’objet MTC final. Lequel contiendra les cosignatures, la clé publique du serveur demandeur et la preuve d’inclusion Merkle.

Parallèlement, Cloudflare projette une évolution du système de transparence du Web PKI. Il impose à chaque autorité de soumettre tout certificat à au moins deux registres publics. Il n’est cependant pas natif à X.509. Son ajout a posteriori engendre des inefficacités ; à commencer par le multi-enregistrement fréquent des certificats. Leur coût va se révéler d’autant plus important avec les signatures post-quantiques, les volumes à ingérer étant amenés à augmenter nettement (x 40, d’après Cloudflare).

Sous l’ère MTC, il s’agira de faire de ce mécanisme une propriété native. Le registre ne stockerait que des hachages de clés publiques et la signature sur la tête d’arbre couvrirait mathématiquement l’intégralité du log.

Une expérimentation prometteuse sur Chrome

Une expérimentation a été menée auprès de 50 % des utilisateurs de la bêta de Chrome 146. Cloudflare a déployé une fausse autorité délivrant, pour un échantillon des sites hébergés sur son plan gratuit, des MTC adossés à une chaîne de certificats conventionnelle.

Sur des milliards de certificats servis, la négociation TLS en mode autonome s’est révélée 9 % plus rapide qu’avec une chaîne de signatures classique. Cloudflare admet qu’en l’état, l’essentiel du gain provient de l’élision des certificats intermédiaires. Cependant, ayant testé les MTC avec des signatures classiques, il dit attendre, en post-quantique, un gain nettement supérieur.

Pour éviter de recréer un goulet d’étranglement, il faudra que des opérateurs de cosignature émergent. Et, plus simplement, que d’autres CA passent au régime post-quantique…

Illustration générée par IA

The post Cloudflare se projette en Let’s Encrypt post-quantique appeared first on Silicon.fr.

Que fallait-il attendre du rapport d’incident de l’ANSSI sur le vol de données fiscales qui a attérré les français en plein coeur de l’été ? Pas vraiment de révélations sur le mode opératoire mais plutôt des explications sur la nature des lacunes qui ont permis au hacker ZeroBytes de mettre la main sur environ 678 000 jeux de données fiscales, dont près de 393 000 particuliers et 286 000 professionnels.

Commençons par la fin : « l’ANSSI conclut que la compromission n’est pas le fruit d’une attaque sophistiquée, mais de faiblesses classiques que les attaquants ont enchaînées.» Dont acte.

Son analyse s’organise autour de trois domaines : l’identité, l’architecture et la détection.

Cause n° 1 : des identifiants faciles à voler et à réutiliser

Le point de départ est le vol de plusieurs dizaines d’identifiants d’agents légitimes. L’ANSSI note qu’aucune attaque par force brute ni par « credential stuffing » n’a été observée : l’attaquant disposait donc déjà des mots de passe.

Le rapport les attribue probablement à des logiciels espions de type infostealers, installés sur des ordinateurs non administrés par la DGFiP. Il s’agit, selon l’Agence, d’appareils personnels pour les accès au portail ADER et d’équipements d’organismes tiers pour le portail APEX.

Elle explique que l’attaquant a exploité des faiblesses dans trois domaines.

Côté identité, plusieurs dizaines d’identifiants d’agents, probablement dérobés par des logiciels espions sur des ordinateurs non administrés par la DGFiP, ont pu être réutilisés faute d’authentification multifacteur sur deux portails, ou avec un second facteur insuffisant.

Côté architecture, des applications sensibles étaient accessibles depuis le Réseau Interministériel de l’État sans cloisonnement suffisant, ce qui a permis à l’attaquant de rebondir depuis des infrastructures compromises du ministère de l’Éducation nationale.

Enfin pour la détection, le portail utilisé pour exfiltrer les données n’était pas supervisé et aucun mécanisme n’a corrélé les signaux suspects. Résultat : aucune des exfiltrations n’a été détectée, ni par la DGFiP ni par l’ANSSI.

L’ANSSI juge aussi limitée la réponse habituelle de la DGFiP.

Son SOC réinitialise les mots de passe dès qu’une compromission est signalée, notamment par son prestataire de veille. Mais un délai subsiste entre la compromission et la réinitialisation, suffisant pour accéder à une application et commencer à exfiltrer. La veille ne peut pas non plus couvrir toutes les plateformes de revente. Enfin, changer un mot de passe est inefficace si l’appareil infecté n’est pas nettoyé, ce que la DGFiP ne peut garantir sur du matériel personnel ou externe.

Le rapport relève un épisode illustratif. Les 23 et 24 juin, le mot de passe du compte utilisé a bien été réinitialisé et les accès au PIGP contrôlés, mais l’exfiltration menée via le RIE est passée inaperçue. La réinitialisation n’a pas interrompu la session en cours.

Cause n° 2 : un cloisonnement réseau insuffisant

L’attaquant est entré sur le Réseau Interministériel de l’État (RIE) grâce à la compromission d’infrastructures du ministère de l’Éducation nationale, elles-mêmes raccordées au RIE. Il a ensuite atteint le portail ADER de la DGFiP depuis des adresses de ce réseau.

Pour l’ANSSI, des applications sensibles de la DGFiP étaient accessibles depuis le RIE sans cloisonnement suffisant, ce qui accroît leur exposition et ouvre un risque de latéralisation depuis des ressources d’organismes tiers. Plusieurs accès illégitimes provenaient de localisations sans besoin apparent d’accéder aux infrastructures de la DGFiP. Sa conclusion : la segmentation réseau était trop permissive.

La coordination interministérielle est aussi évoquée. Le 9 juin, le centre de sécurité de l’Éducation nationale avait partagé des marqueurs techniques d’attaque avec les autres ministères. L’ANSSI estime que le délai d’analyse et de partage de ces marqueurs aurait dû être réduit au minimum, et que des blocages de flux au niveau du RIE auraient pu limiter les exfiltrations, à condition de mieux cartographier les flux légitimes.

Cause n° 3 : une détection défaillante

Pendant l’incident, le SOC de la DGFiP ne supervisait pas le portail ADER, pourtant utilisé pour exfiltrer les données. Aucun mécanisme n’a corrélé les signaux suspects, que l’ANSSI énumère:

• des volumes de données importants (11 Go entre le 22 et le 25 juin, 3 Go entre le 21 et le 23 juillet) ;
• un grand nombre de requêtes, inhérent au scraping automatisé, sans limitation de débit ;
• des connexions depuis des VPN, depuis l’Inde et depuis des adresses IP classées malveillantes ;
• des connexions nocturnes.

Chaque signal, pris isolément, génère beaucoup de faux positifs. Mais leur corrélation aurait pu déclencher des alertes, selon l’Agence.

L’ANSSI reconnaît aussi ses propres limites. Elle n’avait pas de supervision applicative sur ce périmètre, et sa supervision réseau ne pouvait pas repérer des comptes légitimes utilisés à mauvais escient. Elle estime néanmoins que le volume cumulé de requêtes aurait dû déclencher des alertes.

Un facteur aggravant : des droits d’accès larges

Le rapport n’a pas étudié la manière dont les droits des utilisateurs sont attribués. Il constate toutefois que les sessions d’exfiltration ont été menées depuis des comptes ordinaires, ce qui montre que ceux-ci pouvaient accéder à un volume important de données.

L’ANSSI indique que ce point pourrait être examiné plus tard, dans le cadre d’un audit de l’organisation de la DGFiP prévu dans une seconde phase.

Les remèdes préconisés

Comment éviter qu’un tel fiasco se reproduise ? Dans son rôle de RSSI de l’Etat, l’ANSSI préconise d’abord de restreindre l’accès aux applications métiers selon leur usage, qu’il soit interne, externe limité ou public.

Elle demande que toutes les applications soient placées sous supervision dans un SIEM, avec des quotas de consultation et des blocages fondés sur la géolocalisation et la réputation des adresses IP.

Côté équipements, l’usage d’appareils personnels pour accéder aux ressources professionnelles doit être proscrit, et les appareils professionnels doivent être durcis.

L’authentification multifacteur doit être déployée sur l’ensemble des applicatifs, avec un second facteur capable de résister à la compromission du premier : jetons physiques ou applications d’authentification plutôt qu’un simple code envoyé par e-mail.

L’Agence recommande aussi une gestion plus fine des droits des utilisateurs, assortie de plafonds de consultation pour limiter l’impact d’un accès illégitime.

Enfin, chaque réinitialisation de mot de passe devrait s’accompagner d’une analyse de l’activité du compte depuis la date supposée de compromission, ainsi que de la révocation des sessions actives sur tous les portails accessibles.

The post Vol de données fiscales : l’ANSSI confirme les mauvaises pratiques cyber de Bercy appeared first on Silicon.fr.