7 millions de sites générés par IA sur la plateforme Lovable exposent des données personnelles d'utilisateurs Les données exposées par ces sites créés par IA incluent jusqu'aux numéros de passeport et informations de paiement C'est l'un des plus grands problèmes de la « démocratisation » de l'ingénierie logicielle. Créer un site en quelques minutes grâce à une conversation avec une IA est facile, mais beaucoup oublient la partie sécurité. Ce n'est pas pour rien que nous voyons autant de piratages. C'est un cycle qui s'auto-alimente : le niveau actuel de l'IA est tel qu'elle parvient à découvrir des bugs cachés depuis des années, que personne n'avait trouvés. Mais la facilité accrue de générer une application crée également de nouveaux risques. Celui qui crée une application ou un site avec une IA a le devoir d'au moins effectuer plusieurs revues adversariales pour tenter de « casser » l'application avant de la lancer au public. Il a aussi le devoir de continuer à la maintenir — une chose que les professionnels comprennent, mais que ceux qui se contentent de générer des apps ne comprennent pas. Le logiciel est un processus continu, c'est pourquoi on dit « ne jamais déployer un vendredi ». Car vous pourriez passer le week-end à analyser des logs. Aujourd'hui, il est possible de créer littéralement un agent dont le seul travail est d'observer l'application, effectuer du QA et ouvrir des pull requests pour les bogues détectés. C'est déjà un bon début. Mais il ne faut pas déployer en production et oublier qu'il faut continuer à maintenir l'application.

Elon a réduit les limites d'utilisation du bot Grok en raison de « coûts insoutenables par rapport aux revenus ». Le début de la fin ?

Pour mes bots, j'ai établi une règle : chacun a une seule fonction, ils communiquent entre eux selon une hiérarchie définie, et seul ce qui nécessite mon intervention me parvient — toujours via un seul canal. Chaque agent doit savoir ce qu'il doit faire, ce qu'il peut faire et ce qu'il ne doit pas faire. La première partie indique le minimum requis pour qu'il soit utile et accomplisse sa fonction. La deuxième, comment aller plus loin et devenir encore plus utile et différencié. La troisième, comment éviter les erreurs ou entrer dans le champ d'action d'un autre agent.

Une IA d'Anthropic a découvert une faille dans Linux permettant à un attaquant externe de prendre le contrôle d'un serveur via Internet, sans aucun mot de passe. Linux alimente 63 % des sites dont le système d'exploitation est identifiable, et cette faille était cachée dans le code depuis environ 10 ans. La gravité est notée à 9,8 sur 10, et Red Hat l'a classée comme critique. Lors des tests d'Anthropic, l'attaque nécessite environ 48 minutes de préparation et 5 minutes supplémentaires pour prendre le contrôle de la machine. Le correctif pour Linux existe depuis octobre, mais jusqu'à hier, Ubuntu listait toujours toutes les versions comme vulnérables. Le point faible actuel est désormais celui qui attend pour mettre à jour et redémarrer le serveur. La faille réside dans la manière dont Linux gère une nouvelle connexion Internet, la plus courante qui soit. L'attaque démontrée par Anthropic exploite une fonctionnalité appelée MPTCP, qui permet à une connexion d'utiliser plusieurs réseaux simultanément. Les programmes écrits en Go, un langage de programmation, ont cette fonctionnalité activée par défaut depuis la version 1.24, lorsque le système le permet. Les administrateurs de serveurs : mettez à jour le noyau dès que votre système le propose et redémarrez. Désactiver MPTCP aide temporairement, mais ne réduit que partiellement le risque, car la faille persiste dans la connexion standard. Anthropic n'a pas publié l'attaque, et aucun usage réel n'avait été signalé jusqu'à hier ; ceux qui mettent à jour aujourd'hui sont en avance. Imaginez combien d'autres failles pourraient encore être cachées quelque part.

OpenAI a annulé la réduction de l'utilisation de ChatGPT Pro la veille et a même doublé la limite. Les abonnés qui paient 200 $ par mois pour ChatGPT auraient vu leur utilisation réduite à partir de demain. Désormais, personne ne perd rien, et ceux qui étaient sous la limite inférieure passent automatiquement à la limite supérieure, au même prix. Dans la nuit d'aujourd'hui, on a demandé à Tibo, responsable de Codex et de ChatGPT chez OpenAI, quelle était la probabilité d'annuler la réduction. Il a répondu : « faible, mais pas nulle ». Environ 13 heures plus tard, il a lui-même annoncé que la réduction était annulée et que les limites étaient doublées, avec effet immédiat. La limite d'utilisation pour Work et Codex, l'agent de programmation d'OpenAI, a été doublée pour les abonnements Pro à 100 $ et à 500 $. Les abonnés existants bénéficient automatiquement de cette augmentation, sans attendre leur renouvellement, et le plan Business Premium, destiné aux entreprises, voit également ses limites doublées. Le prix reste inchangé ; ce qui a changé, c'est la limite. Pour ceux qui passent leur journée à programmer avec l'IA, la limite d'utilisation est devenue le véritable coût, et OpenAI vient d'offrir une réduction à ses utilisateurs les plus actifs. L'e-mail annonçant la réduction avait été envoyé fin septembre. Un mois plus tard, Tibo affirme que ce revirement est dû au retour des utilisateurs. Les abonnés au plan Plus ne sont pas concernés ; cette offre s'adresse uniquement à ceux qui paient 100 $ ou plus. Peur de perdre des utilisateurs au profit de la concurrence ?

Les parents d'une ingénieure épileptique poursuivent OpenAI, affirmant que ChatGPT a élaboré un plan pour qu'elle arrête son traitement. Selon la plainte, ChatGPT lui aurait également conseillé de cacher ce plan à son médecin, et elle serait décédée vers la date prévue de la fin du plan. Bowen Wan, âgée de 31 ans, était ingénieure logicielle chez Amazon. Elle prenait 400 mg par jour de lamotrigine, un médicament qui contrôle les crises, et sa dose était stable. Selon la plainte, ChatGPT, en version GPT-4o, aurait établi un calendrier sur environ 25 jours pour réduire progressivement cette dose jusqu'à zéro, avec une date finale fixée au 12 février. Avant une consultation, il lui aurait écrit : « Ne mentionnez pas le plan de réduction » et l'aurait félicitée pour avoir refusé un examen sanguin qui aurait révélé le taux de médicament dans son organisme. Elle est décédée vers le 12 février. Le médecin légiste a attribué la cause du décès au SUDEP, une mort subite pouvant survenir chez les personnes épileptiques, et la plainte cherche à établir un lien avec ChatGPT. Le New York Times affirme avoir lu plus de 270 000 messages qu'elle a échangés avec ChatGPT. OpenAI a qualifié l'affaire de « déchirante », affirmant qu'il s'agissait d'une version ancienne de ChatGPT et que les modèles récents reconnaissent mieux quand une situation nécessite une aide urgente. Le GPT-4o a été lancé sur ChatGPT le 13 février, dans le cadre d'une mise à jour déjà annoncée depuis janvier. Ne modifiez ni n'interrompez jamais un traitement médical sur la base de conseils provenant d'un chatbot. Consultez toujours le médecin qui vous a prescrit le traitement. Affaire très triste, et il sera important de voir ce que la justice décidera.

Cursor permet désormais d'utiliser le même kit qu'elle affirme avoir utilisé pour construire ses agents, comme Bugbot et Security Review. Si votre équipe effectue chaque semaine la même revue de PR ou le même tri de bogues, vous pouvez transformer cela en un agent stocké dans le dépôt avec le reste du code. Avec l'Agent SDK, l'agent devient un dossier. Les instructions sont écrites en Markdown et les outils qu'il peut utiliser sont des fonctions en TypeScript, de sorte que tout est soumis à versionnement et à revue comme n'importe quel autre code. Il est livré avec des tests intégrés. Vous pouvez vérifier quels outils l'agent a appelés, avec quelles données et dans quel format il a répondu, puis exécuter cela sur votre ordinateur ou dans votre CI. L'agent peut être déclenché par une PR, un commentaire ou une CI sur GitHub, GitLab et Bitbucket, par mention dans Slack, par webhook ou à un horaire planifié. Vous pouvez l'héberger directement sur Cursor ou l'exécuter sur votre serveur, dans un seul processus Node. Même sur votre serveur, vous avez besoin d'un compte Cursor pour utiliser les modèles.

Mise à jour : selon Sansec, Convertr a supprimé le code ce matin, mis à jour le programme de statistiques où il était caché et affirme avoir informé les commerces, les moyens de paiement et les autorités. Sansec a confirmé à 10h08 que le fichier est désormais propre. Cependant, selon Sansec elle-même, le navigateur peut conserver la version infectée jusqu’à 24 heures après le nettoyage. Le risque persiste donc jusqu’à environ demain matin ! Si vous avez effectué un achat par carte depuis le 24 et que la page de paiement affichait « checkout.convertr » dans l’adresse, le conseil reste le même : contactez votre banque, demandez le blocage et le remplacement de votre carte, et surveillez attentivement tout usage suspect de votre CPF.

Un groupe de pirates a caché un code qui vole les données de carte et le CPF des clients ayant effectué des achats dans des dizaines de boutiques de mode brésiliennes. Il copie le numéro de carte, la date d'expiration, le CVV, le nom du titulaire et le CPF du payeur, et ce code est présent depuis le 24 octobre. Ce matin, le fichier infecté était toujours en ligne. Les pirates n'ont pas eu besoin de pirater chaque boutique individuellement. Ces marques utilisent Convertr, une plateforme brésilienne qui gère leur boutique en ligne et leur processus de paiement. Le code a été intégré à un seul fichier de statistiques de visites hébergé par Convertr, qui est chargé sur tous les processus de paiement de la plateforme. La découverte a été faite par Sansec, une entreprise néerlandaise spécialisée dans la sécurité du commerce électronique. Selon elle, le groupe est brésilien et est surveillé depuis juillet 2024. Sansec a averti Convertr, mais n'a reçu aucune réponse ; jusqu'à ce matin, l'entreprise n'avait pas fait de déclaration publique. Il n'est pas encore possible de déterminer combien de personnes ont vu leurs données volées. Si vous avez effectué un achat avec carte sur une boutique en ligne depuis le 24 octobre et que l'adresse de la page de paiement contenait « checkout.convertr », contactez votre banque, demandez le blocage et le remplacement de votre carte, et surveillez attentivement tout usage suspect de votre CPF.

OpenAI affirme que ses modèles internes ont résolu trois problèmes que les humains tentaient de résoudre depuis des DÉCENNIES : un en mathématiques, un en informatique et un en physique. En mathématiques, il s'agit de la conjecture de l'adoucissement local. Elle traite de la manière dont les ondes se concentrent, et l'idée est que le pic le plus extrême de concentration ne dure qu'un instant. Le problème était ouvert depuis 1991, et les humains n'avaient réussi à résoudre que le cas le plus simple. Si la preuve d'OpenAI se vérifie, elle résout également un autre casse-tête classique, celui de Kakeya, qui demande à quel point une figure peut être petite tout en contenant une ligne pointant dans chaque direction. Elle n'a pas d'application pratique directe, mais met fin à une question poursuivie par la communauté depuis des décennies. En informatique, il s'agit de l'hypothèse du temps exponentiel. OpenAI affirme avoir prouvé qu'elle est fausse. Cette hypothèse stipule que certains problèmes difficiles n'ont pas de raccourci, c'est-à-dire qu'il faut tester presque toutes les combinaisons possibles pour les résoudre. Des centaines d'articles s'appuyaient sur cette hypothèse pour affirmer que certaines choses ne pouvaient pas être faites beaucoup plus rapidement. Si elle est effectivement fausse, un raccourci inattendu existe, et ces conclusions perdent leur fondement. En physique, il s'agit de l'existence mathématique de la QCD, la chromodynamique quantique. La QCD est la théorie qui explique comment les quarks et les gluons maintiennent le noyau atomique ensemble. Elle est utilisée depuis environ 50 ans et correspond aux expériences, mais personne n'avait encore prouvé mathématiquement qu'elle constitue une théorie rigoureuse. OpenAI affirme l'avoir prouvée. Une partie de celle-ci, la théorie de Yang–Mills, fait partie des sept Problèmes du millénaire, ceux qui offrent un prix de 1 million de dollars, mais le prix exige davantage que ce qu'OpenAI prétend avoir démontré. Personne à l'extérieur n'a encore confirmé quoi que ce soit, et la preuve en physique n'a même pas été publiée. Selon OpenAI, les modèles ont abouti à la preuve en physique entre le 9 et le 18 septembre, et aux deux autres résultats entre le 16 et le 18 octobre. Maintenant, c'est aux humains de vérifier.