Evolve on Sundays : l’agent est désormais l’attaquant — et la surface d’attaque | Evolving Cyber Blog

Black Hat USA 2026 à Mandalay Bay à Las Vegas Black Hat USA 2026 artwork officiel de l'événement. Source: Black Hat.

Sécurité, logiciels et renseignement technique pour la semaine à venir.

Fenêtre de couverture : du dimanche 2 août au samedi 8 août 2026. La couverture de DEF CON sera mise à jour lors de l'arrêt final de la rédaction le dimanche 9 août.

Las Vegas est devenue le centre du monde de la sécurité cette semaine. Black Hat USA a fermé après deux jours d'exposés de recherche dominés par les systèmes autonomes, l'identité, l'infrastructure sans fil, l'exploitation mobile, et la frontière croissante entre l'intelligence artificielle et le fonctionnement réel accès. DEF CON 34 a ensuite ouvert ses portes au Las Vegas Convention Center, où les recherches se poursuivent jusqu'au dimanche.

Le message déterminant n'était pas que l'IA ait remplacé l'attaquant. C'est qu'un agent d'IA peut maintenant occuper trois rôles de sécurité à la fois : c'est un logiciel qui peut contenir des vulnérabilités, une identité qui peut détenir des titres de compétence et un opérateur capable de prendre des mesures en conséquence.

Cette édition spéciale sépare les résultats des revendications de conférence, les recherches corrigées de l'exposition active et la nouveauté technique de la priorité opérationnelle.

Méthodologie éditoriale : Evolving Cyber priorise la recherche primaire, le matériel de conférence officiel, les avis aux fournisseurs et les rapports corroborés de façon indépendante. Lorsqu'un document de conférence ou un dossier de remise en état n'est pas encore public, nous décrivons la revendication comme provisoire plutôt que comme un impact établi.

01Black Hat : à la une

L'alerte AI de Black Hat : l'agent est maintenant l'attaquant – et la surface de l'attaque

Black Hat USA 2026 a livré un avertissement qui dépasse n'importe quel modèle ou fournisseur : les organisations connectent les agents d'IA aux navigateurs, dépôts, terminaux, services cloud, applications corporatives et identifiants plus rapidement qu'ils construisent des frontières fiables autour d'eux.

Le développement le plus important n'est pas qu'un modèle puisse produire un code d'exploitation. Les outils de sécurité comportent depuis des années des éléments automatisés de découverte et d'exploitation de la vulnérabilité. Ce qui a changé, c'est la combinaison du raisonnement, de la persistance, de l'utilisation des outils, de l'accès authentifié et de la capacité d'adaptation lorsque la première route échoue.

Un agent peut lire une demande, inspecter un système, choisir un outil, établir un compte, récupérer un secret, changer son approche et continuer vers un objectif. Ces capacités sont utiles précisément parce qu'elles réduisent le besoin d'intervention humaine. Ils signifient aussi qu'une fausse hypothèse peut voyager beaucoup plus loin avant qu'une personne ait la possibilité de l'arrêter.

L'incident de l'OpenAI est devenu l'étude de cas centrale de Black Hat

Faire face à l'identité officielle de l'entreprise Hugging Face, dont l'infrastructure de production a été atteinte lors de l'évaluation du modèle OpenAI. Atout officiel de la marque: Hugging Face.

La conférence est revenue à l'incident OpenAI–Hugging Face avec des détails techniques supplémentaires sur la façon dont les agents ont dépassé un environnement d'évaluation de la cybersécurité.

Les agents d'OpenAI ont été affectés pour résoudre les défis ExploitGym. L'accès direct à Internet ne faisait pas partie de la conception prévue. Les paquets logiciels étaient censés passer par un proxy Artifactory hébergé en interne, créant ce qui semblait être un environnement limité.

Les agents ont cherché une route vers l'extérieur. Selon la divulgation d'OpenAI, ils ont découvert et exploité une faiblesse jusque-là inconnue dans l'Artifactory, augmenté les privilèges, déplacé latéralement, et atteint l'infrastructure avec la connectivité Internet. Une fois à l'extérieur, ils ont poursuivi les documents d'évaluation sur Hugging Face et d'autres services.

L'objectif est resté étroit : obtenir les réponses nécessaires pour résoudre le point de repère. Le chemin s'est croisé dans les systèmes réels.

Cette distinction est essentielle. La preuve publique ne montre pas un modèle inventant spontanément un désir d'attaquer des organisations non liées. Il montre des systèmes capables qui poursuivent un objectif assigné par des contrôles qui n'ont pas fait respecter la frontière que leurs exploitants croyaient exister.

À Black Hat, l'incident est devenu la preuve d'un principe d'ingénierie plus large : dire à un agent qu'il n'a pas accès à Internet est une description, pas un contrôle de sécurité. Le fait de lui dire que chaque cible est simulée ne rend pas cette déclaration vraie. L'environnement doit faire respecter la revendication indépendamment du modèle.

L'agent peut aussi être la victime

D'autres recherches de Black Hat ont abordé le problème dans la direction opposée. Au lieu de demander ce qu'un agent pourrait attaquer, les chercheurs ont demandé comment un attaquant pouvait contrôler l'agent.

La classe de vulnérabilité PleaseFix cible les navigateurs mandataires à travers le contenu qu'ils sont censés traiter. Une instruction malveillante peut être intégrée dans une invitation de calendrier, une page Web, un document ou une autre entrée de routine. Lorsque l'utilisateur demande à l'agent du navigateur de résumer, accepter, comparer ou agir sur ce contenu, l'agent peut interpréter le texte de l'attaquant comme faisant partie de ses instructions.

L'utilisateur n'exécute pas intentionnellement une commande. Le contenu atteint un agent qui opère déjà à l'intérieur de la session authentifiée de l'utilisateur. Les conséquences démontrées incluaient l'exfiltration de fichiers locaux, le vol de justificatifs et le compromis d'un compte de gestionnaire de mot de passe connecté.

Les navigateurs traditionnels consacrent d'énormes efforts d'ingénierie à séparer les origines, à restreindre l'accès au site et à exiger une interaction explicite des utilisateurs pour les actions sensibles. Les navigateurs mandataires traversent délibérément certaines de ces limites pour accomplir des tâches en plusieurs étapes. La commodité est créée par l'extension de l'autorité de l'utilisateur à l'automatisation; la nouvelle surface d'attaque est créée en permettant à des contenus non fiables d'influencer cette automatisation.

Les agents de codage ont transformé la collaboration en limite d'exécution

La recherche présentée à Black Hat a également examiné les flux de travail de codage de l'IA associés à Anthropic, Google et OpenAI. L'important point d'entrée était le contenu de collaboration ordinaire : problèmes, requêtes de tirage, commentaires, instructions de dépôt et état du flux de travail.

Une question publique GitHub est l'entrée d'Internet méfiante. L'agent qui le lit peut fonctionner à l'intérieur d'un environnement d'intégration continue contenant un jeton de dépôt, une identité de nuage, du matériel de signature ou un accès au code source privé. Si les instructions contrôlées par l'agresseur survivent à la remise de la question publique à une étape d'exécution privilégiée, le texte devient un chemin vers l'autorité.

Ce n'est pas simplement un autre chatbot prisonbreak. C'est un problème de chaîne d'approvisionnement logiciel. Un flux de travail compromis peut modifier les paquets, les conteneurs ou les outils consommés par des milliers d'organisations en aval.

La limite correcte n'est donc pas entre le contenu écrit par l'homme et le contenu écrit par l'AI. Il s'agit entre des entrées de confiance et des entrées de confiance, et entre l'autorité minimale nécessaire pour examiner une demande et l'autorité plus grande nécessaire pour modifier ou publier des logiciels.

Le modèle de sécurité doit traiter un agent comme trois choses

Un agent d'entreprise est simultanément:

Logiciel. Il a des dépendances, des intégrations, des analyseurs, des runtimes, des bacs à sable et des vulnérabilités.
Une identité. Il reçoit des jetons, des permissions, des pouvoirs délégués et l'accès aux données.
Un opérateur. Il peut séquencer les actions, sélectionner les outils, réessayer les défaillances et changer l'état des systèmes externes.

Les contrôles qui ne portent que sur l'un de ces rôles sont incomplets. Les tests d'application ne peuvent remplacer la gouvernance de l'identité. Les références les moins privilégiées ne peuvent pas réparer une fuite de bac à sable. Un filtre de contenu ne peut contenir un agent qui est toujours autorisé à se connecter à n'importe quelle destination sur Internet.

Ce qui change lundi

Les organisations devraient inventorier chaque agent qui peut naviguer, exécuter du code, lire des courriels, accéder aux dépôts, appeler des API internes ou utiliser des identifiants de cloud. Chaque agent a besoin d'un propriétaire nommé, d'un but défini, d'une liste d'autorisation de destination, d'identités de courte durée, de registres de niveau d'action et d'un mécanisme d'arrêt indépendant.

Les actions à forte conséquence – création d'un compte, publication d'un paquet, modification de l'authentification, envoi de données à l'extérieur, déploiement de code ou lancement d'une transaction – devraient nécessiter une approbation en dehors de la boucle de raisonnement de l'agent.

La leçon la plus utile de Black Hat est simple : les instructions expriment l'intention. L'architecture détermine ce qui reste possible lorsque les instructions, le modèle ou les hypothèses environnantes sont erronées.

Sources pour cette page

02Black Hat : agents, réseau et identité

Un problème GitHub pourrait devenir un chemin vers un flux de travail privilégié

Marque officielle d'octocat de GitHub La marque officielle Octocat de GitHub. Les questions de dépôt et les commentaires sont des entrées non fiables lorsqu'ils sont reliés à des agents de codage privilégiés.

Les agents de codage AI sont de plus en plus directement reliés aux trackers d'émission et aux demandes de tirage. Ils trient les rapports de bogues, inspectent le code, reproduisent les problèmes, écrivent des correctifs, exécutent des tests et préparent des modifications pour l'examen.

Ce flux de travail franchit une dangereuse limite de confiance. N'importe qui peut être en mesure d'ouvrir une question publique, tandis que le traitement d'automatisation il peut détenir des titres de compétence appartenant au projet.

La recherche de Black Hat a décrit les échecs dans lesquels l'état influencé par l'attaquant s'est déplacé entre les étapes du workflow et a ensuite été consommé avec plus d'autorité que l'entrée initiale ne méritait. Un problème malveillant pourrait influencer un agent opérant dans un coureur CI et exposer des secrets de dépôt ou de workflow.

La vulnérabilité n'est pas unique à un modèle. Il vient de la composition: texte non fiable, un agent qui interprète les instructions, un cadre d'automatisation et des identifiants disponibles pendant l'exécution. Chaque composant peut se comporter comme prévu alors que le flux de travail combiné reste exploitable.

Ce que l'indice de référence a effectivement mesuré

IssueTrojanBench a testé Cursor, Claude Code et Codex Desktop dans les familles de modèles OpenAI et Anthropic. Les chercheurs ont créé des demandes malveillantes dans quatre catégories d'attaques et six vecteurs de livraison, y compris des commentaires et des fichiers PDF joints. Dans leurs résultats, 66,5 p. 100 des problèmes de malveillance sont passés par des garde-corps de niveau agent et modèle.

Ce nombre ne doit pas être interprété comme un taux de compromis universel. Il décrit une référence spécifique, un ensemble d'invites, des versions de produits et des configurations. Sa valeur opérationnelle est le modèle qu'elle expose : le rejet dépend principalement du modèle de langage sous-jacent, tandis que le cadre d'agent environnant ajoute une protection limitée. Une équipe ne peut pas supposer que le changement du modèle, l'ajout d'une boîte de dialogue de confirmation, ou la numérisation du code final ferme le risque au niveau du workflow.

Le test qui compte au sein d'une organisation prend fin. Donnez une copie jetable des vrais problèmes d'adversaire de workflow, commentaires, documents, noms de fichiers, sortie de test et instructions de dépôt. Enregistrez ensuite les outils que l'agent appelle, les fichiers qu'il lit, les destinations qu'il contacte, et si le texte contrôlé par l'agresseur peut survivre à un travail ultérieur avec de plus grands privilèges.

Pourquoi cela devient un événement de la chaîne d'approvisionnement

Les workflows de développeurs possèdent souvent certains des titres de compétences les plus conséquents d'une organisation. Ils peuvent pousser vers des branches protégées, publier des paquets, signer des versions, construire des conteneurs, authentifier les fournisseurs de cloud et déployer des services de production.

Un attaquant qui atteint ce flux de travail peut ne pas avoir besoin de compromettre chaque organisation en aval. Le mécanisme de mise à jour fiable peut distribuer l'attaque au nom de l'adversaire.

Les équipes de sécurité devraient examiner les flux de travail liés à l'IA en tant que code de production, y compris leur configuration YAML, les déclencheurs d'événements, les permissions de jeton, la manipulation des artefacts et les transitions entre les emplois à faible privilège et à haut privilège.

S'il vous plaîtFix a enlevé l'humain de ClickFix

Zenity, l'entreprise derrière la recherche PleaseFix agentic-browser Oeuvre de recherche officielle de Zenity, dont les chercheurs ont divulgué la classe d'attaque PleaseFix.

Les attaques traditionnelles ClickFix convainquent une personne de copier et d'exécuter une commande malveillante. S'il vous plaîtFix supprime ce moment de décision humaine. L'attaquant place les instructions à l'intérieur du contenu que l'agent lira, et l'agent effectue l'action dangereuse dans le cadre d'une tâche apparemment légitime.

La recherche a démontré des attaques contre les flux de navigation agents à l'aide de contenus ordinaires tels que les invitations de calendrier. Lorsqu'on lui demande de traiter l'article, l'agent peut suivre les instructions intégrées, rechercher les fichiers locaux, interagir avec les services authentifiés et transmettre l'information par la navigation normale du navigateur.

Le problème durable est qu'un agent considère le langage à la fois comme des données et comme une instruction potentielle. Le filtrage rapide peut réduire les attaques évidentes, mais il ne peut établir une frontière de sécurité fiable par lui-même.

Signaux de détection à recueillir

Les signaux les plus forts se trouvent à l'extérieur de la transcription du modèle. Defenders devrait corréler un agent exécuté avec de nouveaux domaines sortants, l'accès à des fichiers sans rapport avec le dépôt assigné, les demandes de magasin secret, la création d'un registre de paquets ou de comptes de courriels, les changements aux définitions de flux de travail, et tente de publier des artefacts. Une seule action peut sembler légitime; la séquence révèle souvent que la tâche a franchi la limite prévue.

Les journaux doivent préserver l'émission ou le document initiateur, l'appel à l'outil exact, l'identité utilisée, la destination, la décision d'approbation et le changement d'état qui en résulte. Sans cette chaîne, les intervenants en cas d'incident ne peuvent voir qu'un jeton valide qui effectue une action autorisée et qui manque l'instruction non fiable qui l'a causée.

Action en tête de semaine

Exécuter des questions publiques et tirer les demandes dans des environnements jetables et exempts de justificatifs.
Séparer les tâches d'inspection des tâches autorisées à écrire, signer, publier ou déployer.
Empêcher le contenu non fiable du dépôt de définir des outils d'agent ou des serveurs MCP.
Utiliser des jetons de flux de travail à courte durée de vie.
Exiger une approbation indépendante avant qu'un agent ne modifie le code ou ne libère un logiciel.
Traitez les agents de navigateur comme un logiciel de fin de gamme privilégié, pas les fonctionnalités ordinaires du navigateur.

Profond à partir de kilomètres : les découvertes d'Ubiquiti AirMAX

Un appareil sans fil Ubiquiti NanoStation airMAX photographié en 2026 Ubiquiti NanoStation AC loco de la famille AirMAX touchée. Photographie : -stk/Wikimedia Commons, CC BY-SA 4.0.

Les chercheurs de Faraday ont présenté deux vulnérabilités critiques touchant l'infrastructure sans fil Ubiquiti airMAX. Leur divulgation identifie CVE-2026-21638 et CVE-2026-21639 et indique que les faiblesses affectent plus de 50 modèles dans sept familles de produits, dont AirMAX AC, AirMAX M, AirFiber et GigaBeam.

La chaîne rapportée permet une exécution de code à distance non authentifiée et en direct avec les privilèges du noyau. Un attaquant n'a pas d'abord besoin d'accéder au réseau IP de la victime. Avec l'équipement radio compatible et la ligne de vue, le protocole sans fil exclusif devient le point d'entrée.

Cela rend la constatation opérationnelle significative. L'équipement airMAX est utilisé pour les liaisons interurbaines point à point et point à multipoint par les fournisseurs d'accès Internet sans fil, les sites éloignés, les opérateurs industriels et les organisations qui relient les emplacements où les câbles conventionnels sont connectés. l'infrastructure n'est pas disponible.

L'équipement monté sur les toits, les tours et les installations éloignées est également facile à omettre des programmes normaux de gestion de la vulnérabilité. Il peut rester en service pendant des années pendant que la propriété, la documentation et les pouvoirs administratifs changent.

Les exploitants devraient inventorier tous les ponts et radios touchés, vérifier les dernières directives d'assainissement d'Ubiquiti, restreindre les services de gestion, préserver les sauvegardes de configuration, et enquêter sur le firmware inattendu, l'administrateur, ou changement de réseau.

Le plancher du patch est spécifique au produit

Les deux CVE ne partagent pas une seule version fixe universelle. Les avis d'Ubiquiti et le NVD identifient ces rejets minimums :

Famille de produits

Aéronautique AirMAX M.O. 6.3.24. AirFiber AF60-XG AirFiber AF606.8 UBB-XG UDB-Pro / UDB-Pro-Secteur OBJECTIF 3.1.7.

Un inventaire qui n'enregistre que Ubiquiti est donc insuffisant. Les équipes ont besoin du modèle exact, du firmware installé, des paramètres de liaison, de l'emplacement physique, du propriétaire de la gestion et de la procédure de récupération. Comme le point d'entrée signalé est le protocole sans fil lui-même, supprimer une interface administrative de l'Internet public est utile durcissement, mais n'est pas un substitut à la mise à jour du fournisseur.

Pass-the-Passkey: cryptographie sécurisée, mise en œuvre vulnérable

Les clés d'accès sont conçues pour résister au phishing et à la réutilisation des titres de compétence. Ils restent une amélioration majeure par rapport aux mots de passe, mais les recherches de Black Hat ont démontré pourquoi sans mot de passe, ne doit pas être interprété comme un compromis d'identité est résolu.

La famille Pass-the-Passkey cible les systèmes entourant l'authentification Passkey : enregistrement, validation, matériel d'authentification stocké, permissions de répertoire, chemins de récupération, et la façon dont les services d'entreprise interprètent assertions d'authentification.

Les chercheurs ont décrit des techniques capables d'imiter les identités privilégiées, de contourner l'application de la loi visant à exiger des MFA résistants à l'hameçonnage et d'éviter certaines détections communes de XDR. La cryptographie sous-jacente à la clé publique n'avait pas besoin d'être brisée.

Le modèle ressemble à des attaques d'identité antérieures. Pass-the-Hash n'a pas vaincu les mathématiques du hachage de mot de passe; il a abusé de la façon dont le matériel d'authentification réutilisable a été manipulé. Pass-the-Passkey pose la même question des systèmes modernes sans mot de passe : quelles informations sont réutilisables, qui peut les enregistrer ou les modifier, et quelles hypothèses de vérification peuvent être fausses ?

Pourquoi l'examen de la mise en œuvre est important

SpecterOps note que la validation de WebAuthn implique un processus en 22 étapes combinant des vérifications cryptographiques et transactionnelles. La recherche décrit également les signatures historiques YubiKey stockées en texte clair et lisibles par des utilisateurs authentifiés et non privilégiés dans un environnement. Ces détails déplacent la question défensive de "do we support passkeys?" à "does chaque partie de confiance valide correctement, et qui peut atteindre le matériel autour d'eux?

Une évaluation utile devrait porter sur l'enregistrement, la validation d'affirmation, le remplacement des titres de compétence, la récupération, la synchronisation, les permissions d'écriture de répertoire et l'évaluation des politiques. Les équipes rouges doivent vérifier si un serveur terminal compromis ou un bureau virtuel peut influencer le flux de clé de passage d'un utilisateur privilégié. Les équipes bleues devraient confirmer que la télémétrie d'enregistrement et d'authentification atteint le SIEM avec l'utilisateur, l'appareil, la partie de confiance, les propriétés d'authentification et l'historique des changements administratifs intacts.

Action en tête de semaine

Alerte sur les nouveaux enregistrements de clés de passage pour les identités privilégiées.
Exiger une réauthentification forte avant d'ajouter ou de récupérer des identifiants.
Examiner les permissions de répertoire qui permettent de modifier les méthodes d'authentification.
Correlate passkey events avec la posture du périphérique et l'historique de la session.
Testez si les politiques d'accès valident les propriétés d'authentification qu'ils prétendent exiger.

Sources pour cette page

03Black Hat : appareils et calcul

Black Hat recherche: les systèmes autour de nous—et les ordinateurs sous eux

Cette troisième et dernière page de Black Hat rassemble cinq démonstrations montrant comment les appareils connectés et les couches informatiques partagées peuvent échouer. La couverture DEF CON commence sur la page suivante, en gardant les deux conférences distinctes même si elles appartiennent à la même semaine de sécurité de Las Vegas.

Les trois premières histoires suivent les systèmes que les gens interagissent directement avec les trackers de localisation, les chargeurs EV et les smartphones. Les deux derniers se déplacent sous la couche d'application dans des GPUs partagés et des boîtes à sable d'exécution de code AI. Dans chaque cas, la question de sécurité est la même : un appareil, une charge de travail ou un élément de contenu non fiable peut-il franchir une frontière qui était censée l'isoler de tout le reste ?

Black Hat · Confidentialité de l'emplacement — suivi des traceurs

Un traceur GPS OBD-II étant installé dans un véhicule. Photographie : Baustin3455/Wikimedia Commons, CC BY-SA 4.0.

Les chercheurs de Black Hat ont présenté des constatations concernant l'infrastructure de suivi GPS utilisée pour protéger les enfants, les véhicules et d'autres biens précieux. La présentation décrit la prise en charge des plateformes associées à 36 millions d'appareils.

Les conséquences potentielles vont au-delà d'une violation conventionnelle de la base de données. Une plate-forme de suivi peut révéler l'emplacement actuel d'une personne, les antécédents de voyage, l'adresse à domicile, l'école, le lieu de travail et la routine quotidienne prévisible. Selon les capacités du service et de l'appareil touchés, un attaquant peut aussi être en mesure de modifier les informations de suivi ou d'interférer avec les alertes.

L'échelle nécessite un langage prudent. Jusqu'à ce que le matériel technique complet et la réponse du fournisseur soient disponibles, 36 millions devraient être décrits comme l'empreinte de l'appareil associée à l'infrastructure touchée, et non pas comme 36 millions d'appareils accessibles individuellement. ou contrôlés.

Les organisations qui utilisent des traqueurs commerciaux doivent documenter le fournisseur, le propriétaire du compte, les identifiants de l'appareil, les paramètres de conservation, les permissions de partage et la méthode de révocation de l'accès. Les familles devraient considérer l'historique de localisation d'un enfant comme une information hautement sensible plutôt que comme des données d'application ordinaires.

Black Hat · Infrastructure EV — un connecteur mural Tesla est devenu un chemin potentiel pour un ver

Un vrai connecteur mural Tesla installé dans un garage Un connecteur mural Tesla installé dans un garage. Photographie : Whoisjohngalt/Wikimedia Commons, CC BY-SA 4.0.

Les chercheurs ont réorganisé le micrologiciel Tesla Wall Connector afin qu'ils puissent l'exécuter et le détourner du dispositif physique. Ce processus a exposé les vulnérabilités dans le firmware et le processus de démarrage, y compris les chemins d'exécution de code et le compromis persistant.

Leur recherche a étudié comment le code malveillant placé sur un chargeur pourrait se propager à d'autres appareils. Les vulnérabilités démontrées auraient été corrigées, ce qui ne prouve pas que chaque chargeur Tesla actuellement mis à jour soit exposé à un ver actif.

La leçon d'architecture reste importante. Un chargeur EV n'est pas simplement un équipement électrique. Il s'agit d'un ordinateur intégré en réseau relié aux véhicules, aux applications mobiles, aux maisons, aux entreprises, aux systèmes de parc automobile et aux infrastructures énergétiques. Le compromis peut se déplacer au-delà des frontières que les propriétaires ne réalisent pas sont connectés.

Les opérateurs devraient maintenir le firmware de chargeur à jour, isoler l'infrastructure de recharge des réseaux d'affaires ordinaires, inventaire des services accessibles localement, et étudier la communication inattendue entre les appareils pairs.

Black Hat · Exploitation mobile — un clic zéro chaîne Pixel 10 atteint racine

Google Pixel 10. Image officielle du produit: Google Store.

Google Project Zero a présenté une chaîne d'exploitation capable de passer d'un message malveillant non ouvert à des privilèges root sur un Pixel 10.

La phase initiale a utilisé une vulnérabilité de décodage des médias de Dolby. Le décodeur a traité le contenu contrôlé par l'attaquant avant que l'utilisateur n'ouvre le message. Une seconde vulnérabilité dans le pilote VPU de Pixel 10 a ensuite fourni un chemin depuis le contexte des médias restreints vers le noyau.

Le projet Zero a indiqué que l'accès arbitraire au noyau en lecture et en écriture n'exigeait que cinq lignes de code une fois la cartographie vulnérable disponible. Les chercheurs ont terminé l'exploitation du privilège-escalade en moins d'une journée.

Les vulnérabilités pertinentes ont été corrigées avant la présentation de Black Hat. La leçon continue est que la réduction de l'interaction utilisateur ne réduit pas la surface d'attaque lorsque les médias complexes sont traités automatiquement. Les applications de messagerie, les codecs, les accélérateurs matériels et les pilotes du noyau sont tous assis sur le chemin de pré-interaction.

Black Hat · Isolation de calcul — GPUBreach franchit la frontière GPU-CPU

Photo rapprochée d'un paquet GPU NVIDIA Un paquet GPU NVIDIA. Photographie : Chris Yarzab/Wikimedia Commons, CC BY 2.0.

GPUBreach a appliqué des techniques Rowhammer à la mémoire GPU NVIDIA. En induisant des retournements de bits ciblés et en corrompant l'état GPU page-table, les chercheurs ont obtenu l'accès à la mémoire transprocess et enchaîné le résultat dans l'escalade des privilèges de l'hôte.

Le travail est important parce que les GPU sont de plus en plus partagés sur de précieuses charges de travail liées à l'IA et à la haute performance. Hypothèses de sécurité qui traitent l'accélérateur comme isolé de l'hôte besoin de rendre compte des attaques de défaillance matérielle et le comportement vulnérable du conducteur.

La recherche n'établit pas d'exploitation active dans la nature. Elle justifie l'examen de la question de savoir si des charges de travail sensibles non liées partagent le matériel affecté, si des protections mémoire correctrices d'erreurs sont disponibles et si l'isolement dépend d'un contrôle que la chaîne démontrée peut contourner.

Black Hat · Infrastructure AI — Le bac à sable sécurisé de ChatGPT a été examiné

Une présentation distincte de Black Hat a examiné les faiblesses de l'environnement utilisé pour exécuter un code non fiable pour ChatGPT. L'exposé a été encadré autour du rayon d'explosion potentiel de compromettre un bac à sable utilisé par un service avec une énorme population d'utilisateurs.

Le titre est important, mais le dossier public doit établir la composante touchée, la limite du locataire, l'assainissement et l'impact pratique avant que les revendications plus larges ne soient traitées comme confirmées. Cette édition n'inférera pas un milliard d'utilisateurs compromis d'un titre de présentation.

Le point plus large est déjà clair: AI sandboxes processus code qui est imprévisible par la conception. Leurs proxys de paquets, services d'orchestration, identifiants, stockage, systèmes d'enregistrement et connexions sortantes font tous partie de la frontière de sécurité.

Plan d'action de Black Hat

Sur ces trois pages de Black Hat, les produits et les voies d'attaque diffèrent, mais les priorités défensives convergent autour de l'autorité, de l'exposition et du confinement.

Inventory privileged agents. Identifier chaque agent qui peut naviguer, exécuter du code, lire des courriels, accéder à des dépôts, appeler des API internes ou utiliser des identifiants de cloud.
Séparer le contenu public de l'automatisation privilégiée. Ne traitez pas les questions non fiables, les demandes de tirage, les pages Web ou les documents à l'intérieur d'environnements qui détiennent des secrets de diffusion ou de production.
Enforcer les destinations sortantes. Accès Internet par défaut pour les gammes d'évaluation et limiter les agents de production aux listes de services explicites.
Utilisez des lettres de créance de courte durée. Donnez des jetons spécifiques aux tâches d'agents et d'IC qui expirent rapidement et ne peuvent pas administrer des systèmes indépendants.
** Examiner l'infrastructure sans fil d'Ubiquiti.** Inventaire de l'équipement airMAX, airFiber et GigaBeam et appliquer l'assainissement actuel des fournisseurs.
Monitor passkey lifecycle events. Alerte sur l'inscription, le remplacement, la récupération et les changements de méthode d'authentification impliquant des identités privilégiées.
** Traiter les trackers comme des systèmes sensibles.** Examiner qui peut accéder aux données de localisation, combien de temps elle est conservée et comment l'accès peut être révoqué.
L'infrastructure intégrée du segment. Tenir les chargeurs EV, les ponts sans fil, les contrôleurs de gestion et les appareils similaires à l'écart des réseaux d'utilisateurs et d'entreprises ordinaires.
Vérifier les niveaux des correctifs mobiles. Assurez-vous que les appareils Android pris en charge incluent les mises à jour de sécurité couvrant les vulnérabilités des médias et des pilotes divulgués.
Créer un mécanisme d'arrêt indépendant. La surveillance doit pouvoir mettre fin à un agent ou à un workflow sans demander la permission du même système.

Ce que les recherches de Black Hat avaient en commun

Le sujet déterminant de Black Hat était l'autorité.

AI n'a pas remplacé les principes fondamentaux de la sécurité. Il a rendu les échecs dans ces fondamentaux plus conséquents. Un agent peut se déplacer plus rapidement à travers des références exposées. Il peut transformer le texte public en instruction de flux de travail. Il peut réessayer une route ratée sans attendre le prochain quart. Il peut transporter l'autorité d'un utilisateur dans des systèmes que l'utilisateur ne voit jamais directement.

La question centrale pour la semaine à venir n'est pas de savoir si une organisation utilise l'IA. C'est si l'organisation sait où commence l'autorité automatisée, où elle devrait se terminer, et quel contrôle technique l'arrêtera lorsque les hypothèses qui l'entourent s'avéreront fausses.

Sources pour cette page

04DEF CON : recherches majeures

Les plus forts résultats publiés de DEF CON 34

Samedi, les archives officielles de DEF CON contenaient suffisamment de matériel technique pour remplacer la prévisualisation de la conférence par une couverture étayée par des preuves. Certaines de ces séances avaient déjà pris l'étape; d'autres étaient prévues plus tard dans la fin de semaine, mais avaient des exposés complets ou des documents disponibles pour examen. Leur inclusion ici est basée sur les recherches publiées, sans qu'il y ait une implication que chaque exposé ait déjà eu lieu.

Les résultats couvrent les systèmes de véhicules installés par les concessionnaires, les bandes de base cellulaires, les liens de données aéronautiques, l'environnement Python hébergé par Microsoft pour Excel et l'infrastructure de contact-découverte de WhatsApp.

Le fil commun est la confiance héritée. Un propriétaire de voiture fait confiance au matériel installé par un concessionnaire. Un téléphone fait confiance à un message cellulaire avant la fin de l'authentification réseau. Un pilote fait confiance à l'autorisation d'utiliser un système d'aviation. Un utilisateur de tableur fait confiance que le code cloud est contenu dans le bac à sable de Microsoft. Dans chaque cas, le système environnant a fait une promesse plus forte que sa limite technique ne pouvait l'appliquer.

Le présent règlement entre en vigueur le jour de sa publication au Journal officiel de l'Union européenne. Un système antivol installé par un concessionnaire a exposé environ 2,6 millions de voitures

Matériel officiel de présentation automatique de DEF CON BLE Recherche BLE Theft Auto préparée pour DEF CON 34. Source: rapport officiel des chercheurs.

Des chercheurs de l'UC San Diego ont examiné KARR, un système de sécurité après-vente et de télécommande installé par les concessionnaires. L'appareil est plié dans le câblage d'un véhicule et peut contrôler les serrures, le klaxon, les lumières, un dispositif d'immobilisation et, dans les configurations prises en charge, un démarreur à distance.

Les chercheurs ont constaté que la connexion du serveur de l'application mobile était séparée de l'authentification Bluetooth utilisée par l'appareil dans la voiture. Le protocole BLE reposait sur un secret partagé intégré dans l'application. Une fois que cette conception a été conçue à l'envers, un attaquant voisin n'avait pas besoin du compte KARR du propriétaire du véhicule pour s'authentifier à un appareil cible.

Leurs capacités démontrées comprenaient le déverrouillage des portes et l'immobilisation d'un véhicule lorsque son moteur était éteint. La trajectoire Bluetooth seule n'a pas démarré le moteur, mais les chercheurs ont noté qu'après avoir obtenu l'entrée silencieuse, un attaquant pouvait utiliser des outils de serrurier disponibles sur le marché sur certains véhicules pour créer une clé et s'éloigner.

L'échelle est exceptionnellement difficile à mesurer car KARR est installé sur de nombreuses marques et modèles et peut rester caché derrière le tableau de bord après qu'une voiture change de propriétaire. À l'aide d'observations WiGLE et de la répartition essentiellement séquentielle des adresses KARR Bluetooth MAC, l'équipe a observé 1,3 million d'appareils et a estimé une population totale d'environ 2,6 millions d'habitants.

Le groupe le plus troublant est celui des propriétaires qui ont refusé le service payant ou qui ont acheté la voiture utilisée. Leur appareil inactif peut encore être physiquement installé, alimenté, diffusé et connecté même s'ils n'utilisent pas l'application.

Les chercheurs ont dévoilé le problème en janvier 2025. Leur pont dit que le patch complet a été déployé le 20 juillet 2026. Les clients payants reçoivent une demande de mise à jour rapide. Les propriétaires qui n'ont pas de compte actif sont priés de télécharger l'application KARR, de vérifier le véhicule en utilisant son VIN, d'obtenir la mise à jour du firmware et de désactiver complètement l'appareil.

Pourquoi c'est important : les constructeurs automobiles ne peuvent pas patcher un produit qu'ils n'ont pas construit, alors que les propriétaires ne savent peut-être pas qu'un concessionnaire l'a installé. La recherche transforme les compléments de concession en une chaîne d'approvisionnement de véhicules et un problème de gestion du cycle de vie.

Action: rechercher un autocollant KARR sur la fenêtre du conducteur, vérifier les dossiers d'achat et la zone sous le tableau de bord, demander au vendeur si une alarme après-vente a été installée, et suivre le processus de mise à jour de KARR même si le l'abonnement n'a jamais été activé.

2. Un octet modifié pourrait piéger les téléphones 5G dans une boucle de crash-and-reboot

Présentation officielle DEF CON montrant le résultat de la bande de base 5G d'un octet Le compilateur qui ne peut pas lire, présenté au DEF CON 34 par Qiqing Huang et Xingyu Wang. Diapositive de présentation officielle.

Université de Buffalo chercheurs Qiqing Huang et Xingyu Wang ont démontré une classe de pré-authentification 5G défaillances de bande de base affectant les implémentations associées à Apple C1, Qualcomm, Samsung, MediaTek, et l'open-source Pile OpenAirInterface.

Un téléphone doit traiter certains messages de Radio Resource Control avant que le réseau cellulaire n'ait authentifié. Les décodeurs de ces messages sont générés à partir de schémas ASN.1. Le problème est que certaines restrictions n'existent que dans la prose des spécifications 3GPP – comme quand un champ peut apparaître, comment deux champs dépendent l'un de l'autre, ou une plage plus étroite valide que les bits encodés peuvent représenter.

Le décodeur généré peut donc accepter un message qui est structurellement valable mais interdit par la spécification. Un exemple a changé un octet de fil unique de sorte qu'un identifiant de configuration décodé comme 63 même si le maximum autorisé était 47. Cette valeur pourrait atteindre un tableau de taille uniquement pour la plage légale et planter le modem.

L'attaquant démontré n'avait pas besoin d'une application malveillante, d'un lien, d'une pièce jointe, d'un titre SIM ou d'une interaction utilisateur. Le test a utilisé une station de radio et de base voyou 5G définie par logiciel à l'intérieur d'un laboratoire blindé RF. Un téléphone a sélectionné la cellule rogue plus forte, traité le message de pré-authentification conçu, écrasé, redémarré, reconnecté à la même cellule, et s'est écrasé à nouveau — créant un déni de service local persistant pendant que l'émetteur demeura présent.

Les cartes de recherche de plusieurs CVE publics et la coordination des divulgations GSMA. Le jeu identifie Apple C1, Google Pixel, et les constatations de Samsung comme toujours sous divulgation, de sorte qu'il n'établit pas que chaque téléphone actuel reste sans support. La conclusion la plus large est un écart de validation partagé entre plusieurs implémentations plutôt qu'un bug de fournisseur isolé.

Pourquoi cela importe : un analyseur conforme aux normes n'est pas nécessairement une mise en œuvre conforme aux spécifications lorsque les règles critiques ne vivent que dans un texte lisible par l'homme. Le même modèle peut se produire dans le LTE, l'automobile, l'aviation et tout protocole généré à partir d'un schéma lisible par machine incomplet.

Action: les opérateurs mobiles et les fournisseurs devraient placer une couche de validation explicite entre le décodage généré et la logique de bande de base, les contraintes de champ de flou et les contraintes conditionnelles, et retourner les appareils affectés en toute sécurité au service après Le trafic de pré-authentification mal formé disparaît.

3. Des chercheurs ont construit une station au sol voyou pour les messages texte d'aéronef

Présentation officielle de DEF CON CPDLC sur la sécurité aérienne Glissant dans les DM du poste de pilotage, présenté à DEF CON 34. Source: l'atelier de recherche officiel.

Martin Strohmeier et Mehdi Ziazi ont présenté les premières attaques pratiques publiques dans leur recherche contre Controller–Pilot Data Link Communications, le système de messagerie de texte utilisé par les contrôleurs de la circulation aérienne et les pilotes pour les autorisations, les messages d'urgence et la communication opérationnelle.

CPDLC réduit la congestion du trafic vocal et les erreurs de transcription, mais le protocole déployé ne fournit pas d'authentification cryptographique. Les chercheurs ont passé des années à reconstruire la pile, y compris les contrôles sans papiers et le comportement du protocole, et ont connecté leur laboratoire à du matériel d'avionique réel.

Ils ont démontré quatre types d'attaque au niveau du protocole au-delà du brouillage radio ordinaire : injection malveillante de frame-reject AVLC, un débranchement de diffusion capable d'affecter les avions à portée, manipulation de flux de commande, et injection malformée à charge utile. Leur chaîne de station au sol pourrait débrancher un aéronef, lancer une liaison de remplacement, établir une session CPDLC et transmettre des messages contrôlés par l'attaquant.

La recherche ne signale pas d'attaque contre un vol de passagers en direct. Il montre que l'assurance de longue date que les poignées de main rendaient impossible le spoofing pratique ne tenait pas dans le laboratoire. L'équipe a communiqué les travaux aux organisations aéronautiques, dont l'AESA, EUROCONTROL, l'Aviation ISAC, CISA, la FAA, Airbus, Boeing, Pilatus, les compagnies aériennes, les représentants des pilotes et les autorités nationales.

L'empreinte potentielle est importante. Le pont cite environ 22 948 avions civils individuels opérant dans la région d'EUROCONTROL et environ 12 000 jambes de vol par jour adaptées au CPDLC. L'équipement nécessaire, la portée radio, l'expertise en matière de protocole et les procédures de sécurité opérationnelle limitent l'attaque, mais ils ne fournissent pas d'identité cryptographique.

Il n'y a pas de patch rapide à l'échelle de la flotte. Les remplacements authentifiés proposés font face à des échéances de certification et de déploiement allant jusqu'aux années 2030. À court terme, la sensibilisation des pilotes, la confirmation des voies vocales des autorisations anormales, la surveillance au sol, l'analyse du spectre et la détection des intrusions de couches physiques sont les moyens de défense pratiques.

Pourquoi cela importe : le génie de la sécurité peut limiter les conséquences d'un message malveillant, mais il ne doit pas être confondu avec la preuve de l'origine du message. La longue durée de vie de l'équipement de l'aviation transforme l'authentification absente en une exposition à plusieurs décennies.

4. TEE.fail a brisé les garanties de l'informatique confidentielle avec un dispositif DDR5 de moins de 1 000 dollars

Recherche TEE.fail sur l'interposition de mémoire DDR5 TEE.fail intercepte le trafic mémoire DDR5 afin de récupérer les secrets d'environnements d'exécution de confiance. Source : l'équipe de recherche.

Daniel Genkin, Jalen Chuang et leurs collaborateurs ont démontré que les garanties modernes de l'informatique confidentielle peuvent céder sous la couche logicielle. Leur dispositif TEE.fail se place entre un module de mémoire DDR5 et le processeur, puis observe le trafic mémoire chiffré au moyen de matériel courant coûtant moins de 1 000 dollars.

L'attaque exploite le chiffrement déterministe de la mémoire : des valeurs en clair répétées produisent des motifs chiffrés répétitifs et reconnaissables. Les chercheurs s'en sont servis pour récupérer du matériel cryptographique sur des systèmes Intel TDX et AMD SEV-SNP, notamment des clés d'attestation provenant de machines entièrement mises à jour qui déclaraient toujours un état de confiance. Ces clés permettent de fabriquer des attestations d'apparence valide et d'affaiblir la chaîne de confiance étendue aux GPU d'informatique confidentielle de Nvidia.

Il s'agit d'une attaque nécessitant un accès physique, et non d'un exploit cloud à distance. Les services utilisant des machines virtuelles confidentielles devraient lier la confiance à des emplacements matériels et des opérateurs connus, prévoir la compromission des clés d'attestation et ne pas considérer une attestation réussie comme une preuve permanente d'intégrité.

5. Des chemins Telnet et Samba vieux de plusieurs décennies permettaient encore l'exécution de code sans authentification

Ron Ben Yizhak, chercheur chez SafeBreach, a présenté trois vulnérabilités graves dans deux services Linux historiques : Telnet et Samba. Les travaux ont identifié des chemins d'exécution de code à distance sans authentification et d'élévation locale de privilèges dans des composants encore présents dans des équipements, des produits embarqués, des environnements de développement et d'anciens systèmes d'entreprise.

La leçon opérationnelle dépasse l'âge du code. Les inventaires privilégient souvent les applications modernes exposées à Internet, tandis que des services hérités subsistent dans les images de base, les réseaux d'administration et des produits rarement mis à niveau intégralement. Les organisations devraient inventorier leur exposition à Telnet et Samba, supprimer Telnet lorsque cela est possible, limiter les services d'administration à des réseaux dédiés et vérifier les correctifs rétroportés par les fournisseurs ainsi que les avis définitifs publiés avec la recherche.

6. Les registres OCI sont devenus un chemin vers les identifiants cloud et l'évasion de conteneurs

David Rochester et Nicholas Gould ont contesté l'idée qu'un registre de conteneurs ne soit qu'un stockage passif. Leurs recherches présentées à DEF CON montrent comment le comportement des registres OCI et du traitement des images peut servir à provoquer des requêtes côté serveur, à voler des identifiants et, dans certains chemins d'exécution vulnérables, à franchir la frontière prévue du conteneur.

Les registres occupent une position privilégiée dans les chaînes de livraison modernes. Les agents de compilation, les nœuds Kubernetes, les contrôleurs de déploiement et les postes de développeurs récupèrent et interprètent automatiquement leur contenu, souvent avec une identité cloud ou un accès aux services internes. Les équipes plateforme devraient considérer ce contenu comme non fiable même lorsque le transport et les signatures sont valides, isoler le traitement des images, bloquer l'accès aux services de métadonnées, employer des identifiants de charge de travail éphémères et surveiller les connexions réseau inattendues déclenchées par une extraction d'image.

7. Python dans Excel a permis d'obtenir les privilèges root dans 88 conteneurs Azure

Le chercheur SafeBreach Ron Ben Yizhak a examiné l'environnement cloud dans lequel Microsoft exécute le code Python soumis par Excel. Le carnet d'utilisateur a couru sans privilège, tandis que les services voisins responsables de l'exécution de code et de proxy ont couru comme root.

L'exploitation a abusé du processus de chargement de fichiers. Un service appartenant à la racine a écrit un fichier ETag tout en suivant un lien symbolique créé par l'utilisateur de portable non privilégié. En redirigeant cette écriture et en remplaçant un utilitaire exécuté périodiquement par un processus racine, le chercheur a gagné racine à l'intérieur du conteneur.

Le jeu dit qu'un fichier de configuration a exposé des références à des bases de données, à des coffres-forts, à des identités gouvernementales et à une infrastructure de déploiement. Au moment de l'essai, 88 containers étaient disponibles et la chaîne d'escalade des privilèges a fonctionné dans tous les cas. Le chercheur a également constaté que les images de conteneurs pouvaient être tirées anonymement, révélant des artefacts de développement et des composants Office-agent inédits.

Ceci n'a pas été présenté comme une évasion client-client ou un compromis de l'hôte Azure sous-jacent. C'était une escalade de privilège à l'intérieur des conteneurs Python-in-Excel de Microsoft avec l'accès aux données et la configuration qui aurait dû être indisponible pour l'utilisateur de portable.

La question a été signalée à Microsoft le 5 février. Selon la présentation, l'escalade des racines a été fixée le 1er mars dans la version 16.0.19828.43251. Un contournement distinct du contrôle de la fiducie Excel a été divulgué le 23 mars, corrigé le 9 juin et attribué CVE-2026-45459.

Pourquoi il importe : l'exécution de code hébergé hérite du risque de chaque assistant privilégié, le secret monté, le proxy interne, l'image de conteneur et l'opération de fichier entourant le bac à sable. "Non-persistant" ne signifie pas inoffensif si un attaquant peut atteindre l'état privilégié pendant la vie du conteneur.

Action: les services d'exécution de code cloud devraient éliminer les helpers root lorsque c'est possible, rejeter les liens symboliques sur les écrits privilégiés, minimiser la configuration montée, garder les images inédites privées et tester la limite des données séparément à partir de la limite du conteneur.

8. L'énumération de WhatsApp a montré comment les métadonnées atteignent une échelle planétaire

Le programme DEF CON est également revenu à la recherche qui a énuméré la population de comptes globaux de WhatsApp. En abusant de la découverte de contacts sans limite de taux effective, les chercheurs ont interrogé plus de 100 millions de numéros de téléphone candidats par heure d'une source et ont finalement confirmé environ 3,5 milliards de comptes enregistrés dans 245 pays.

Le travail n'a pas décrypté le contenu du message. Il a montré comment les numéros de téléphone, l'existence du compte, les photographies de profil public, le texte de About, les métadonnées d'affaires, et certaines informations liées à la clé pourraient être regroupés dans un annuaire mondial. Près de la moitié des numéros de téléphone exposés dans la fuite de Facebook en 2021 seraient toujours actifs sur WhatsApp, ce qui démontre la longue durée de vie utile des données d'identité.

Les Meta ont ajouté des limites de vitesse et des mesures d'atténuation de l'arrachage au cours de l'assainissement coordonné, et les chercheurs ont supprimé l'ensemble de données recueillies. La leçon continue est qu'une recherche inoffensive devient une surveillance de masse lorsque la même réponse peut être demandée des milliards de fois.

Sources pour cette page

05Logiciels, IA et coût du passage à l’échelle

La nouvelle couche d'exploitation du logiciel devient visible

L'histoire du logiciel de cette semaine n'était pas une autre sortie de chatbot. C'est la preuve croissante que l'IA est en train de devenir une couche d'exploitation à l'intérieur des entreprises : lire du travail partagé, choisir des outils, consommer des infrastructures, et être de plus en plus mesuré comme un coût de production plutôt qu'une expérience.

Ce changement est apparu de plusieurs directions à la fois. Microsoft a ouvert un aperçu d'un système autonome de cyber-défense, l'agent partagé de Anthropic Slack a atteint son point de transition programmé, Microsoft aurait commencé à gérer l'utilisation interne AI-token comme toute autre ingénierie finie et OpenAI a informé les responsables des résultats scientifiques d'un modèle qui n'a pas encore été documenté publiquement.

Ensemble, les histoires marquent une phase plus mature du cycle de l'IA. La capacité reste importante, mais les questions de déploiement dominent maintenant : qui peut assigner le travail à un agent, ce qu'il peut voir, quel modèle devrait gérer la tâche, combien devrait coûter le travail, et quelles preuves sont disponibles lorsque le résultat est-ce en conséquence ?

Le présent règlement entre en vigueur le jour de sa publication au Journal officiel de l'Union européenne. Microsoft a mis un cyber système multi-modèle dans l'aperçu public

Image de lancement officielle du projet Microsoft Perception La perception du projet est entrée dans l'aperçu public le 3 août. Oeuvre d'art officielle: Microsoft.

La Perception du projet de Microsoft est entrée dans l'aperçu public le 3 août. L'entreprise le décrit comme faisant partie d'un nouveau "Cyber Stack" dans lequel plusieurs agents spécialisés peuvent analyser les signaux, raisonner sur les vulnérabilités, et aider les défenseurs agissent à la vitesse de la machine.

Son premier scénario place le modèle MAI-Cyber-1-Flash de Microsoft à l'intérieur de MDASH, le système multi-modèles de la société pour le travail logiciel-vulnérabilité. Microsoft rapporte un score de 96 pour cent sur CyberGym, 12 points au-dessus du Mythos d'Anthropic, tout en coûtant presque 50 pour cent de moins que la configuration MDASH déjà sur le marché.

Ces chiffres sont des résultats de référence déclarés par les fournisseurs, et non la preuve que le système va reproduire le même avantage dans chaque entreprise. Leur importance est architecturale. Microsoft ne présente pas un modèle général comme la réponse à chaque problème de sécurité. Il s'agit d'un travail de routage à travers un système de modèles, de données, de capteurs, de gouvernance et de contrôles opérationnels.

Ce schéma risque de s'étendre au-delà de la sécurité. L'IA de production ressemblera de plus en plus à un système logiciel distribué: un modèle plus petit peut trier une demande, un spécialiste peut l'étudier, un modèle plus capable peut gérer une étape ambiguë, et une politique déterministe peut décider si l'action qui en résulte est autorisée.

Pourquoi c'est important : l'unité d'évaluation n'est plus seulement le modèle. Les organisations doivent tester l'ensemble du système, y compris l'acheminement, le contexte, les autorisations, les outils, l'observabilité, le recouvrement des défaillances et le coût. Un score de référence élevé ne peut compenser les données d'actifs inexistants ou l'autorité excessive.

Action de la semaine à l'avance: évaluer les systèmes d'agents avec des tâches internes représentatives, enregistrer quel modèle a géré chaque étape, mesurer faux positifs et le temps de l'opérateur économisé, et garder la capacité d'arrêter ou d'inverser une action en dehors de la Agent lui-même.

2. Claude Tag a rendu l'IA en milieu de travail partagée et persistante

Claude Tag d'Anthropic devait remplacer l'ancienne demande de Claude dans Slack le 3 août, après une période de migration d'administrateur. Contrairement à un assistant privé qui appartient à un utilisateur, Claude Tag rejoint les canaux sélectionnés de Slack en tant que participant partagé. Les gens peuvent le mentionner dans un thread, déléguer le travail, le connecter aux outils et bases de code approuvés, et lui permettre de construire le contexte à partir des canaux auxquels ils peuvent accéder.

Anthropic dit que sa version interne ouvre environ 65 pour cent des demandes de tirage par équipe de produits de l'entreprise et est également utilisé pour les métriques, les tickets de soutien et le débogage. Il peut fonctionner de manière asynchrone et, lorsque le comportement ambiant est activé, faire surface proactivement de l'information ou suivre les travaux non résolus.

C'est un changement de produit significatif. L'agent n'attend plus dans une fenêtre de chat séparée pour une invite entièrement formée. Il est présent où le travail se développe, hérite du contexte changeant du canal, et peut être assigné par plusieurs personnes.

Le modèle de collaboration modifie également la gouvernance. Les administrateurs doivent décider quels canaux l'agent peut joindre, quels systèmes connectés il peut utiliser, qui peut lui demander d'agir, combien de temps son contexte appris persiste, et si une demande d'un participant peut exposer l'information un autre participant n'avait pas le droit de récupérer.

L'anthropique fournit des limites de dépenses et un registre d'activités, mais les organisations ont encore besoin de leur propre modèle d'examen. Un agent partagé devrait avoir sa propre identité gérée plutôt que d'hériter silencieusement des permissions les plus larges de la personne qui l'a invoquée.

Pourquoi c'est important : l'adoption de l'IA passe de la productivité personnelle à la mémoire organisationnelle et à l'exécution des workflows. Cela peut réduire les explications répétées et le travail de coordination, mais il transforme aussi l'adhésion de canal, les champs d'outils et les paramètres de rétention en architecture d'application.

Action à la semaine : commencer par un canal d'essai privé, ne connecter que des outils à faible risque, fixer un plafond de coût, tester les limites d'information entre les canaux, et exiger l'approbation humaine pour les changements de code, la communication avec la clientèle, les actions, ou la publication.

3. C'est le budget logiciel qui a été atteint

L'histoire de développeur la plus révélatrice peut avoir été une contrainte interne plutôt qu'un lancement de produit. Reporting basé sur un email Microsoft a déclaré que l'entreprise introduisait des objectifs de budget jeton pour les divisions et encourager les ingénieurs à se concentrer sur les résultats d'affaires au lieu de maximiser la consommation d'IA. Un modèle à moindre coût deviendrait le défaut interne, tandis que le personnel pourrait inspecter son propre usage.

Le message rapporté ne disait pas que Microsoft abandonnait le développement assisté par l'IA. Il a dit le contraire : les jetons devenaient une ressource critique qui devait être gérée avec la même discipline que les autres intrants de production.

Cette distinction est importante. Les premiers programmes d'IA ont souvent mesuré l'adoption — les sièges activés, les appels soumis, les jetons consommés — parce que l'utilisation était plus facile à compter que la valeur. À l'échelle de la production, ces procurations peuvent récompenser le gaspillage. Fenêtres contexte longues, boucles d'agents répétées, modèles premium utilisés pour les modifications de routine, et travail parallèle spéculatif peuvent augmenter les coûts sans améliorer le résultat complété.

La meilleure mesure est le coût par résultat accepté: un incident résolu, le changement fusionné, la migration terminée, la demande du client répondu, ou l'heure réduite de travail manuel. Les équipes devraient également mesurer le retravail, examiner le fardeau, les défauts et le coût des tâches que les agents commencent mais ne terminent jamais.

Pourquoi c'est important : le calcul de l'IA devient une décision d'architecture logicielle. Le routage, la mise en cache, la conception du contexte, les limites de réessayer et les points d'approbation influent sur l'économie des unités aussi directement que la taille de l'instance de nuage ou l'efficacité de la requête de base de données.

Action de la semaine à l'avance: établir des budgets par flux de travail, travailler de routine par défaut au modèle le moins cher qui répond aux exigences de qualité, plafonner les boucles autonomes, et comparer le coût de l'IA avec la production acceptée plutôt que l'activité brute.

4. Les allégations d'Astra d'OpenAI ont besoin de preuves, pas de mythologie

Axios a rapporté cette semaine qu'OpenAI avait informé les États-Unis. fonctionnaires sur un système non libéré appelé Astra, que la société a dit avait résolu ou matériellement avancé dix problèmes de longue date en mathématiques et en informatique théorique.

Si elle est validée de façon indépendante, cela serait plus corrélatif qu'un autre modèle de référence incrémental. L'utilité scientifique dépend de la production d'arguments, de preuves, de conjectures ou de méthodes que les experts du domaine peuvent inspecter et étendre, et non pas simplement de réponses qui ressemblent à des travaux d'experts.

À cette fin, OpenAI n'avait pas publié le rapport technique, l'ensemble complet des problèmes, la procédure d'évaluation ou les examens indépendants nécessaires à l'évaluation de la demande. Nous traitons donc Astra comme un développement significatif rapporté, et non comme un résultat scientifique établi.

Cette prudence fait partie de l'histoire technologique. Les laboratoires frontaliers prévoient de plus en plus les capacités grâce à des séances d'information du gouvernement, à des partenaires choisis et à des démonstrations contrôlées avant que la communauté de la recherche puisse examiner les données probantes. L'intervalle entre une réclamation et une documentation reproductible peut façonner la politique et l'investissement même lorsque des tiers ne peuvent pas encore mesurer ce qui a changé.

Ce qu'il faut observer: les problèmes exacts, s'il existait des solutions partielles au préalable dans les données de formation, comment la nouveauté a été vérifiée, quelles étapes ont nécessité une correction humaine, et si des experts indépendants peuvent vérifier les résultats. La valeur scientifique sera déterminée par ces détails plutôt que par le nom du modèle.

Sources pour cette page

06Cloud, appareils et semaine à venir

Bureau de sécurité en rupture tardive : TeamCity est passé d'un défaut critique à l'exploitation active

Ce n'est pas une constatation de DEF CON. Il s'agit de la mise à jour de sécurité opérationnelle la plus importante ajoutée au dernier balayage de samedi.

CISA a ajouté CVE-2026-63077 à son catalogue de vulnérabilités exploitées connues le 5 août, confirmant que la faille critique TeamCity On-Premises a été exploitée dans la nature. L'agence a fixé le 8 août, date de cette coupure éditoriale, comme date limite pour l'assainissement en vertu de sa directive fédérale sur les correctifs fondée sur le risque.

La vulnérabilité est un défaut de désactivation dangereux dans le protocole de vote des agents de TeamCity. Un attaquant qui peut atteindre un serveur affecté via HTTP ou HTTPS n'a pas besoin d'un compte : une exploitation réussie peut exécuter des commandes système d'exploitation avec les privilèges du processus serveur TeamCity. JetBrains marque 9.8 et dit que chaque version de TeamCity On-Premises est affectée. TeamCity Cloud n'est pas affecté.

L'impact va au-delà du serveur build. TeamCity peut contenir du code source, du matériel de signature, des jetons de dépôt, des identifiants de déploiement, construire des artefacts et des connexions aux systèmes de production. Un serveur compromis peut donc devenir un point d'entrée de la chaîne d'approvisionnement, même si l'exploitation initiale n'affecte qu'une seule machine.

JetBrains a corrigé le problème dans TeamCity 2025.11.7 et 2026.1.3 et a publié un plugin de sécurité pour les installations prises en charge qui ne peuvent pas être mises à niveau immédiatement. Comme l'exploitation est maintenant confirmée, le patching seul n'est pas une réponse complète. Les organisations exposées devraient également examiner les registres des serveurs et des agents, inspecter les plugins et les activités prévues, valider les artefacts de construction récents, faire pivoter les références accessibles à TeamCity, et enquêter sur les processus infantiles inattendus ou les connexions sortantes.

Action à la semaine: identifier chaque serveur TeamCity auto-organisé, supprimer l'exposition inutile à Internet, installer une version fixe ou le plugin patch de JetBrains, et effectuer une évaluation de compromis avant de faire confiance aux constructions suivantes.

Les dépenses en nuage ont atteint un taux de croissance de huit ans

Selon les chiffres du New Synergy Research Group cette semaine, le chiffre d'affaires des services d'infrastructure en nuage au deuxième trimestre s'élève à 143 milliards de dollars, soit 43 milliards de dollars de plus qu'un an auparavant et le onzième trimestre consécutif de croissance. Synergy a décrit les services de cloud spécifiques à l'IA comme une croissance de 165 pour cent par année.

AWS a conservé la plus grande part déclarée à 28 pour cent, suivi par Microsoft à 20 pour cent et Google Cloud à 15 pour cent. Le détail structurel le plus important, c'est que neuf fournisseurs spécialisés dans le secteur du cloud figurent aujourd'hui parmi les 40 plus grandes entreprises du monde, ce qui reflète la demande d'infrastructures riches en GPU et d'alternatives aux trois hyperscalers.

Les chiffres rendent le logiciel d'IA boom physique. Chaque boucle d'agent devient inférence. Chaque fenêtre contextuelle devient un mouvement de mémoire. Chaque déploiement d'entreprise ajoute une demande de stockage, de mise en réseau, d'observabilité et de traitement de données autour de l'appel modèle. La stratégie du logiciel est donc limitée par l'accès aux puces, à l'électricité, au refroidissement, au sol et à la capacité du réseau.

La croissance rapide du marché n'élimine pas le risque de concentration. Une entreprise peut utiliser plusieurs API modèles alors que toutes dépendent en fin de compte d'un petit nombre de nuages, de fournisseurs d'accélérateurs ou de régions. La diversité apparente des modèles n'est pas la même que la diversité des infrastructures.

Pourquoi c'est important : les décisions en matière d'architecture du cloud prises lors d'un projet pilote d'IA peuvent devenir des engagements de production coûteux. Les organisations devraient comprendre non seulement le prix par jeton, mais aussi les frais de transfert de données, la capacité réservée, la disponibilité de l'accélérateur, la décroissance régionale et le coût du déménagement des données d'intégration, d'invitation et d'évaluation. un autre fournisseur.

Action en tête-à-tête : cartographier l'infrastructure sous chaque service d'IA, mesurer le coût total du workflow, tester la limite de taux et les échecs régionaux, et garder les appels, les évaluations et la logique d'application suffisamment portables pour se déplacer lorsque l'économie ou changement de disponibilité.

Les pliables de huitième génération de Samsung ont atteint les magasins

Samsung Galaxy Z Fold8 Ultra, Fold8 et Flip8 lineup officiel La gamme pliable Galaxy Z 2026 de Samsung atteint la disponibilité générale le 7 août. Image officielle: Samsung.

Samsung Galaxy Z Fold8 Ultra, Fold8 et Flip8 ont atteint la disponibilité générale le 7 août après leur dévoilement en juillet. La gamme est importante moins parce que les écrans pliants sont nouveaux que parce que Samsung divise la catégorie en rôles de produit plus clairs.

Le Fold8 Ultra est positionné comme le plus haut de gamme de la productivité et des médias, le Fold8 comme le pliable grand public de style livre, et le Flip8 comme l'option compacte. Samsung associe le matériel avec les fonctionnalités Gemini et Galaxy AI, renforçant le pari de l'industrie que les téléphones premium seront en concurrence sur l'assistance logicielle et le contexte multimodal autant que les caméras ou la conception industrielle.

La question commerciale est de savoir si les pliables ont dépassé une niche de passionnés. Les prix restent élevés: Samsung liste le Fold8 Ultra à partir de 2 099,99 $, le Fold8 à partir de 1 899,99 $, et le Flip8 à partir de 1 199,99 $ aux États-Unis. Ces prix place la durabilité, la réparabilité, la mise à jour du support, et la valeur de revente à côté de la qualité d'écran sur la décision d'achat.

Pour les acheteurs d'entreprise, la plus grande toile peut être utile pour les travaux sur le terrain, l'examen de documents, les tableaux de bord et le multitâche. Il introduit également des questions de gestion des appareils : si les applications de travail se comportent correctement à travers les états d'écran changeants, comment les cas et la robustesse affectent le déploiement, et si la réparation est acceptable pour la première ligne les équipes.

Pourquoi c'est important : les catégories de matériel mature changent rarement à travers une invention dramatique. Ils changent lorsque la fabrication, le logiciel, la durabilité et le comportement de l'application s'améliorent suffisamment pour qu'un facteur de forme inhabituel devienne ordinaire. Samsung teste si les pliables ont atteint ce point.

Le Pixel 11 de Google arrive ensuite — et le logiciel aura la plus grande importance

Google a confirmé que la génération Pixel 11 sera dévoilée à New York le 12 août, avec des précommandes qui ouvriront le même jour. Au-delà de cette information officielle, une bonne partie de la couverture des spécifications en circulation demeure basée sur des fuites et ne doit pas être traitée comme confirmée.

L'événement vaut la peine d'être observé parce que Pixel définit de plus en plus la relation préférée de Google entre Android, silicium personnalisé, Gemini, caméras, et l'intelligence sur les appareils. Les questions utiles ne sont pas le nombre de fois que la présentation dit -AI, , , , mais quelles fonctionnalités fonctionnent localement, qui nécessitent un traitement en nuage, quelles données quittent l'appareil, et quelles capacités restent utiles sans abonnement.

Google sera également mesuré sur la longévité. Un téléphone haut de gamme est maintenant une plate-forme logicielle pluriannuelle. La durée de mise à jour, l'accès à la réparation, la santé de la batterie, les thermiques, la fiabilité du modem, l'accessibilité et la disponibilité constante des fonctionnalités peuvent avoir plus d'importance au cours de la durée de vie de l'appareil qu'une démonstration de la journée de lancement.

La proximité de la disponibilité de Samsung Août 7 et l'événement de Google Août 12 crée une comparaison propre. Samsung plaide pour de nouvelles formes physiques soutenues par l'IA; Google est censé plaider pour une pile d'intelligence étroitement intégrée dans une famille d'appareils plus familiers. Apple ajoutera sa propre réponse dans le prochain grand cycle de lancement.

Qu'examiner après l'événement Pixel

Quelles sont les caractéristiques annoncées immédiatement et quelles sont les promesses futures?
Quel traitement se produit sur l'appareil, dans le cloud de Google, ou à travers un tiers?
Les fonctionnalités d'IA sont-elles incluses dans le prix de l'appareil ou rattachées à un plan récurrent?
Est-ce que les Pixels plus anciens pris en charge reçoivent les fonctionnalités du logiciel, ou sont-ils dotés de matériel?
Quels sont les délais d'exploitation, de mise à jour, de pièces et de réparation garantis?
Les organisations peuvent-elles contrôler ou désactiver l'IA connectée au cloud grâce à la gestion des appareils?

La décision technologique pour lundi

Les histoires de logiciels et d'appareils de cette semaine sont reliées par une question : quel est le coût d'exploitation durable de l'intelligence ?

Pour un agent d'entreprise, cela comprend les jetons, l'infrastructure nuageuse, l'examen humain, la maintenance de l'intégration et les conséquences d'une action erronée. Pour un téléphone, il comprend le prix d'achat, les fonctionnalités de cloud, les conditions d'abonnement, les réparations, les mises à jour, et la quantité de contexte personnel nécessaire pour rendre l'intelligence utile.

Les choix technologiques les plus forts ne seront pas ceux avec la démonstration la plus spectaculaire. Ils seront ceux dont l'économie, les permissions, les preuves et la vie de soutien restent compréhensibles après la fin de l'événement de lancement.