Édition du jour ·
ArboNews résume chaque matin l'actu IA, tech et dev web, crypto, business et sécurité, en français, avec la source de chaque info.
Aujourd'hui
Le bitcoin a reculé sous 63 000 $ ce week-end sur fond de liquidations, tandis que Nvidia cherche un successeur à Jensen Huang. Côté IA et dev, llama.cpp atteint sa version 1.0, IBM s'attaque aux injections de prompt et OpenAI réorganise son équipe robotique.
12 actus
Les chercheurs en robotique rejoignent l'organisation de recherche principale sous Mark Chen, et les équipes appliquées et hardware passent sous Greg Brockman. OpenAI dit vouloir faire piloter les robots directement par ses modèles généralistes.
IBM publie en préversion des modèles Granite 4.1 de 3B et 8B entraînés avec LLMON, un balisage à tokens réservés qui sépare instructions et données. L'objectif est de résister aux injections de prompt indirectes ; IBM précise que ce n'est pas destiné à la production.
Après 3,5 ans, llama.cpp et ggml adoptent le versionnage sémantique avec une API publique stable. Cette version majeure retire des fonctions dépréciées : les projets en aval doivent adapter leur code et recompiler.
Le bitcoin a perdu 17 % en une semaine et l'ether 22 %. La baisse s'est accélérée après la clôture de Wall Street vendredi.
Binance indique avoir engagé plus de 6,34 Md$ de fonds propres, issus du SAFU, de son fonds d'assurance et de sa trésorerie, pour couvrir les actifs touchés par l'attaque attribuée à la Corée du Nord. L'exchange promet de reconstituer le SAFU à environ 1 Md$.
Selon le Financial Times, le conseil de Nvidia a sondé le patron d'Arm parmi plusieurs candidats. Nvidia affirme choisir encore un cabinet de recrutement et n'avoir contacté personne officiellement.
Selon Bloomberg, des investisseurs institutionnels de Chine continentale et de Hong Kong sont exclus de l'introduction en Bourse d'Anthropic. Plusieurs banques invoquent notamment la réglementation américaine ITAR.
Un membre authentifié d'une organisation peut enregistrer un nom de service contenant des métacaractères shell, qui sont exécutés en root lors des sauvegardes planifiées, ce qui permet de prendre le contrôle de l'hôte via le socket Docker monté. La faille, notée 9,9 sur 10, est corrigée dans la version 0.31.1.
Le gestionnaire de mots de passe sysPass, des versions 3.0.1 à 3.2.11, ne vérifie pas qu'il est déjà installé : un attaquant non authentifié peut le réinstaller, créer un compte administrateur puis exécuter des commandes sur le serveur. La faille est notée 9,8 sur 10.
Avant la version 1.1.11, les images Docker de FrankenPHP n'étaient reconstruites qu'à la création de nouvelles étiquettes de base, si bien que les correctifs d'Alpine, PHP et Go n'étaient pas intégrés. Des attaquants distants pouvaient exploiter des failles connues de ces bibliothèques, comme CVE-2025-15467 dans libcrypto3, pour exécuter du code.
Les actions de confirmation OAuth acceptent des requêtes GET sans vérification de jeton, ce qui permet à un attaquant d'amener un administrateur ou un client connecté à autoriser son jeton et d'obtenir un accès durable à l'API REST en son nom. La faille, notée 9,0 sur 10, est corrigée dans les versions 20.18.2 et 21.0.0-beta3.
Le retour d'autorisation OAuth2 du flux d'identifiants dynamiques ne vérifie pas que le navigateur appartient à l'utilisateur qui l'a lancé : un membre peut ainsi faire enregistrer les jetons d'une victime sous sa propre identité et agir en son nom dans ses workflows. Les versions 2.45.5, 2.46.1 et 3.0.1 corrigent le problème.
Cette édition a son adresse permanente :/edition/2026-11-15/