Édition du jour ·
ArboNews résume chaque matin l'actu IA, tech et dev web, crypto, business et sécurité, en français, avec la source de chaque info.
Aujourd'hui
Le bitcoin a glissé sous les 80 000 $ samedi sur fond de liquidations massives. La faille Brotli « Node2Shell » touche désormais Python, Envoy, Bun et curl. Côté IA, Block présente un modèle vocal local et OpenAI coupe l'internet de ses entraînements.
16 actus
Entraîné uniquement sur de la parole, Dessa peut parler et écouter en même temps et fonctionne sur un MacBook M4 Max ou mieux. Il n'est pas encore accessible au public : Block l'ouvre d'abord à des chercheurs en sécurité.
Les entraînements par renforcement d'OpenAI utilisent désormais un « monde hors ligne » de pages web en cache, pour que les modèles apprennent à naviguer sans agir sur de vrais systèmes.
Le procureur général Ken Paxton accuse ChatGPT d'avoir été présenté comme sûr sans protéger les mineurs. Il demande notamment qu'un évaluateur indépendant valide les nouveaux modèles avant leur sortie au Texas.
La CVE-2026-111497, notée 9,2, permet une corruption mémoire via un flux Brotli piégé. Les correctifs sont Brotli 1.2.1, Node.js 22.23.4, 24.22.1 ou 26.12.1 et Bun 1.4.4, suivis d'une reconstruction des conteneurs.
En 11 heures sans surveillance, l'agent a fait accepter deux optimisations : -40 % sur la préparation des sessions et -21 % sur le temps d'import. Quatre autres propositions ont été rejetées en revue.
Le bitcoin est tombé vers 79 700 $ samedi avec les tensions au Moyen-Orient, et plus de 810 M$ de positions ont été liquidées en 24 heures selon Coinglass.
Noms, contacts, adresses de livraison et commandes ont été exposés. Ni clés privées ni phrases de récupération ne sont concernées, mais l'entreprise met en garde contre de faux remboursements.
Le fonds d'Andreessen Horowitz investira aussi dans l'IA, la robotique et d'autres technologies émergentes, tout en continuant de soutenir la crypto.
Le laboratoire chinois a plus que doublé son objectif initial de levée, avec Tencent et CATL parmi les principaux investisseurs.
La série E de la startup parisienne de planification par IA est menée par le Scaleup Europe Fund géré par EQT, avec un investissement prévu de Nvidia. Pigment a dépassé 100 M$ de revenus annuels récurrents.
La plateforme de vente de produits numériques boucle une série D menée par Sequoia et Shopify Ventures.
Les versions jusqu'à 2.2.1 incluse de l'extension de sauvegarde et de migration Prime Mover désérialisent des données non fiables lors d'un export ou d'une restauration. Un attaquant non authentifié peut déposer un objet malveillant via un simple commentaire, qui s'exécute lorsqu'un administrateur lance ensuite une opération Prime Mover.
La bibliothèque Datasets jusqu'à la version 5.1.0 charge sans validation les fichiers pickle passés au générateur « pandas », désormais obsolète. Un jeu de données piégé peut ainsi exécuter du code Python arbitraire avec les droits de la victime lorsqu'elle l'ouvre avec load_dataset.
Un dépassement d'entier dans les versions 1.5.0 à 1.5.6 de la pile OPC UA open62541, très utilisée dans l'industrie, permet à un serveur malveillant de provoquer un débordement de tas chez le client. Il peut en résulter un plantage, voire l'exécution de code ; la version 1.5.7 corrige le problème.
Jusqu'à la version 0.86.2, l'assistant de programmation Aider charge automatiquement le fichier .aider.conf.yml d'un dépôt sans demander confirmation. Un dépôt malveillant peut y définir des commandes qui s'exécutent ensuite avec les droits de l'utilisateur.
Le composant iscsiuio d'open-iscsi calcule mal la longueur des options DHCPv4 et lit au-delà de la mémoire allouée. Un attaquant présent sur le même segment réseau peut envoyer une réponse DHCP forgée pour faire planter le service ou corrompre sa configuration réseau.
Cette édition a son adresse permanente :/edition/2026-10-25/