VOTRE NAVIGATEUR, VOTRE TÉLÉPHONE, VOTRE PC WINDOWS, VOTRE SERVEUR. UN SEUL MODÈLE A RENVERSÉ LES QUATRE EN QUELQUES MOIS. Il y a deux jours, j’ai demandé à tout le monde de mettre à jour ses noyaux Ubuntu pour CVE-2026-98432. Aujourd’hui, j’ai appris qui a découvert ce bug. Ce n’était pas une personne. Anthropic a publié un rapport de son équipe Frontier Red Team. Un modèle non encore publié a passé plusieurs mois à trouver des failles dans Chrome, Safari, Android, Windows et Linux. Et il ne s’est pas contenté de les découvrir. Il les a chaînées pour créer des exploits fonctionnels et a rédigé lui-même les preuves de concept. La faille sous Linux m’a particulièrement frappé. Multipath TCP, zéro clic de la victime. 48 minutes pour exfiltrer un pointeur noyau à distance, 5 minutes de plus et vous avez les droits root sur le serveur d’autrui. Dans mon message, j’avais supposé que le résultat probable était un plantage. J’avais tort : vous pouviez prendre le contrôle complet de la machine. Chrome est une histoire à part. Quatre failles consécutives, un seul clic, et la calculatrice s’ouvre sur un Mac. Google a fini par attribuer 62 CVE. Un Pixel 9 verrouillé a été compromis par USB et ses photos extraites. Les serveurs Windows ont été plantés à distance après que le modèle a reverse-engineered le binaire dans Ghidra. La partie dérangeante, c’est que ce modèle ne se fatigue pas. Leur système fait fonctionner en parallèle un essaim d’agents de scan et suit la couverture pour s’assurer qu’aucune partie du code source n’est laissée inexplorée. Pour l’instant, cette équipe accorde aux fournisseurs 90 jours pour corriger les failles. La vraie question est : combien de temps avant que la même chose soit exécutée par des personnes qui n’offrent rien à personne ? Mettez à jour Chrome. Mettez à jour le noyau. Redémarrez vraiment.