Édition du jour ·
ArboNews résume chaque matin l'actu IA, tech et dev web, crypto, business et sécurité, en français, avec la source de chaque info.
Aujourd'hui
Google teste des TPU en orbite avec Project Suncatcher. Anthropic alerte sur les capacités cyber de GLM-5.3. MetaMask sort des validateurs Ethereum après un incident d’infra, tandis qu’Armadin lève 255,5 M$ et que Microsoft pousse agents vocaux MAI et Container Apps Express.
14 actus
Google a mis en orbite un satellite prototype avec quatre TPU, qui exécutent Gemma par créneaux de 15 minutes pour tester radiation et thermique. Partenariat avec Planet, lancement SpaceX ; des clusters reliés par lasers sont prévus l’an prochain, sans remplacer les data centers terrestres à court terme.
Le modèle open-weight chinois GLM-5.3 (Zhipu/Z.ai) a produit 50 exploits bout-en-bout sur 410 tentatives ExploitBench, contre 56 pour Claude Mythos Preview. Anthropic estime qu’une abliteration des refus coûte environ 4 400 $ de GPU et que des versions modifiéés ont circulé rapidement.
MAI-Transcribe-2-Streaming assure une transcription live via WebSocket (premières hypothèses ~320 ms, plus de 60 langues, 0,54 $/heure audio). Deux modèles TTS, MAI-Voice-2.1 et Flash, complètent la stack pour des agents vocaux moins dépendants d’OpenAI et Anthropic.
Express déploie une image avec des defaults opinionated, scale-to-zero et facturation à la seconde, sur Sandboxes (microVM isolées, démarrage subseconde). Plus de 40 régions ; limites assumées (pas de domaines custom, GPU, Dapr).
Exchange Web Services est désormais désactivé par défaut, avec un déploiement progressif. Mail et Calendrier sur Mac, encore dépendants d’EWS pour les comptes Microsoft 365 pro, peuvent perdre la synchro sauf maintien explicite par l’organisation.
Après un détournement estimé à 0,36 ETH de rewards de production de blocs, MetaMask sort des validateurs par précaution ; un chercheur évoque ~17 000 validateurs et ~523 000 ETH. Aucune menace immédiate signalée pour les wallets ; Lido estime jusqu’à ~45 jours pour exit et réentrée.
zkAPI, développé avec Open Anonymity Project, est live sur le mainnet : dépôt ETH/USDC, preuves zero-knowledge et clés API temporaires pour payer des modèles sans lier l’identité. Design co-signé Buterin et Crapis ; le protocole reste expérimental.
La startup cybersécurité de Kevin Mandia (ex-Mandiant) clôture une série B de 255,5 M$ menée par a16z et Accel. Elle propose des swarms d’agents pour des tests de défense continus ; total levé supérieur à 445 M$.
La startup berlinoise fondée par les créateurs d’Apache Flink lève 20 M$ en série A menée par Singular (total 27 M$). Replit y a déjà basculé son agent ; Restate vise Temporal sur l’orchestration durable.
La faille CVE-2026-104286 (FG-IR-26-175), publiée le 1er octobre, combine un traversal de chemin et une mauvaise neutralisation d'octet nul dans l'interface de gestion FortiMail. Un attaquant non authentifié peut écrire des fichiers arbitraires via des requêtes HTTP ou HTTPS conçues à cet effet. Fortinet confirme une exploitation active ; la CISA l'a ajoutée au catalogue KEV le même jour. Score CVSS v3 : 9,8. Correctifs à venir (8.0.2, 7.6.7, 7.4.9) ; contournement : désactiver IBE ou restreindre l'accès à l'interface de gestion.
La faille CVE-2026-96658, publiée le 1er octobre par Red Hat, touche le moteur de modèles de Foreman. Un utilisateur authentifié à faibles privilèges peut contourner le bac à sable safemode en détournant la gestion des méthodes déléguées, puis exécuter des commandes arbitraires sur l'hôte. Score CVSS v3.1 : 9,9. Correctifs via les errata RHSA-2026:74503, 74504 et 74506 pour Red Hat Satellite 6.16, 6.18 et 6.19.
La faille CVE-2026-12627, publiée le 1er octobre, concerne le service boks_autoregisterd de Fortra Core Privileged Access Manager (BoKS). Un attaquant distant avec accès réseau au service peut provoquer une corruption mémoire lors du traitement des réponses client. Score CVSS v3.1 : 9,8. Versions corrigées : boks-server 8.1.0.24 et 9.0.0.7 ; à défaut, restreindre ou désactiver le port 6507.
La faille CVE-2026-14157, publiée le 1er octobre, touche le micrologiciel routeur ASUS série 3.0.0.6_102. Un utilisateur authentifié peut téléverser un fichier de configuration VPN conçu pour abuser d'une chaîne de format contrôlée de l'extérieur et exécuter des commandes arbitraires. Score CVSS v4.0 : 9,4. ASUS recommande d'installer le dernier micrologiciel et de n'importer que des fichiers VPN issus de sources de confiance.
La faille CVE-2026-76721, publiée le 29 septembre dans l'avis HPESBNW05150, concerne les points d'accès HPE Networking Instant On jusqu'à la version 3.4.1.0. Un débordement de tampon non authentifié peut permettre l'exécution de code arbitraire avec privilèges élevés sur l'hôte sous-jacent. Score CVSS v3.1 : 9,8. Correctif : Instant On 3.4.2.0 ou supérieur, déployé automatiquement via le portail cloud Instant On.
Cette édition a son adresse permanente :/edition/2026-10-02/