Le récap tech du lundi 31 août 2026

Ce lundi 31 août, l'actualité tech est dominée par la sécurité et par le noyau Linux. Côté sécurité, une faille dans le framework Starlette, qui équipe des millions de serveurs et d'outils d'IA, permet de contourner des contrôles d'accès, et un ver s'est glissé dans un paquet npm très utilisé pour voler des secrets de développeurs. Côté Linux, le premier candidat à la version 7.3 du noyau est sorti, et le projet Debian a voté pour encadrer l'usage de l'IA générative dans ses contributions. Sans oublier un avertissement inédit de la Banque d'Angleterre sur les risques que font peser les modèles d'IA avancés sur la stabilité financière mondiale.

Linux 7.3 entre en phase de test avec un gros lot de nouveautés

Linus Torvalds a publié le premier candidat à la version 7.3 du noyau Linux, deux semaines après la sortie de la 7.2. Un candidat à la version (release candidate, ou RC) est une version de test destinée aux développeurs et aux curieux, pas encore destinée au grand public. La version finale est attendue pour la deuxième quinzaine d'octobre.

Cette RC est volumineuse, notamment à cause d'un gros ajout de code pour les cartes graphiques AMD. Elle apporte aussi la prise en charge des processeurs Apple M3, un support du Thunderbolt sur les machines Apple Silicon, et des améliorations pour la gestion thermique des processeurs Intel. Rien de révolutionnaire pour l'utilisateur lambda, mais le socle se prépare pour les mois à venir.

Source : 9to5Linux.

L'annonce de Linus Torvalds sur 9to5Linux, avec le détail des nouveautés de la RC1.

Debian dit oui à l'IA générative, mais garde l'humain responsable

Après deux semaines de vote, le projet Debian, l'une des distributions Linux les plus utilisées au monde, a adopté une position officielle sur l'usage de l'IA générative dans ses contributions. La résolution « Usage responsable de l'IA générative » ne l'interdit pas, mais ne l'encourage pas non plus : elle encadre son usage.

Concrètement, chaque contribution, assistée ou non par l'IA, doit toujours respecter les standards habituels de qualité, de correction et de conformité légale. L'IA ne décharge pas le contributeur de sa responsabilité, et il est explicitement déconseillé d'envoyer du contenu généré sans relecture. La divulgation de l'usage de l'IA est encouragée, mais pas obligatoire. Le projet interdit aussi de confier des informations sensibles ou confidentielles à des services d'IA tiers.

Source : 9to5Linux.

Le détail de la résolution sur 9to5Linux.

Les robots d'IA épuisent les serveurs de Kernel.org

Kernel.org, le site qui héberge le code source du noyau Linux, consacre désormais environ 20 % de sa puissance de calcul à répondre aux robots d'IA qui raclent ses pages. Konstantin Ryabitsev, qui gère l'infrastructure, explique que le site reçoit environ six millions de requêtes par jour pour des pages de commits individuels.

Le problème, c'est que ces robots demandent chaque page une par une au lieu de cloner le dépôt Git, ce qui est pourtant gratuit et bien plus efficace. Sur les 90 cœurs de calcul répartis sur cinq sites, 14 à 16 sont en permanence occupés à générer du HTML pour les robots. L'équipe envisage de réduire le nombre d'URLs accessibles et de limiter les actions coûteuses pour les utilisateurs anonymes, sans fermer l'accès public au code.

Schéma montrant que les robots d'IA consomment plus de CPU que les utilisateurs de Git

Source : Linuxiac, d'après Konstantin Ryabitsev.

L'analyse de Linuxiac sur la pression des robots d'IA.

OpenAI s'inquiète des capacités cyber de son futur modèle Astra

OpenAI a publié un avertissement au sujet d'Astra, son prochain modèle d'IA, qui pourrait se rapprocher d'un seuil critique en matière de capacités cyber. Selon l'entreprise, les premiers tests ne permettent pas d'exclure qu'Astra atteigne sa classification « Critique », c'est-à-dire la capacité à découvrir des failles de type zero-day et à mener des cyberattaques autonomes.

Une faille zero-day est une vulnérabilité inconnue du public et non encore corrigée, donc particulièrement dangereuse. OpenAI précise que ces résultats sont préliminaires et qu'Astra n'a pas démontré toutes ces capacités en conditions réelles. L'entreprise a renforcé les protections, isolé les environnements de test et suspendu les travaux internes qui ne respectaient pas ces contrôles. Elle prévoit de collaborer avec les autorités et des évaluateurs tiers.

Illustration de l'avertissement d'OpenAI sur les capacités cyber de son modèle Astra

Source : GBHackers.

L'avertissement d'OpenAI rapporté par GBHackers.

La Banque d'Angleterre alerte sur les risques de l'IA pour la finance

Andrew Bailey, gouverneur de la Banque d'Angleterre et président du Conseil de stabilité financière, a adressé une lettre aux ministres des Finances et aux banquiers centraux du G20. Il y prévient que les modèles d'IA avancés, dits « frontières », pourraient déclencher une correction désordonnée des marchés financiers mondiaux.

Le risque cyber est présenté comme la préoccupation la plus immédiate : ces modèles pourraient modifier la vitesse, l'ampleur et l'économie des cyberattaques, et ébranler la confiance dans le système financier, d'autant que de nombreux services reposent sur un petit nombre de fournisseurs tiers. Bailey souligne aussi que beaucoup de pays n'ont pas encore de protocoles pour gérer le développement et le déploiement de ces modèles avancés.

Andrew Bailey, gouverneur de la Banque d'Angleterre, lors d'une interview

Source : Bloomberg via Getty Images, CNBC.

La lettre de Bailey rapportée par CNBC.

WhatsApp teste une alerte anti-arnaque qui fonctionne sur ton téléphone

WhatsApp a commencé à déployer sa fonction « Alerte anti-arnaque » (Scam Alert) auprès des utilisateurs Android inscrits au programme bêta. Cette option, annoncée par Meta il y a deux semaines, vise à prévenir l'utilisateur lorsqu'un message d'un expéditeur inconnu ressemble à une arnaque.

L'intérêt, c'est que la détection se fait directement sur l'appareil grâce à un modèle d'apprentissage automatique local. Aucun contenu de message ne quitte le téléphone pour être analysé, et rien n'est signalé automatiquement à WhatsApp ou à Meta. L'utilisateur peut ensuite marquer l'expéditeur comme fiable, ou le bloquer et le signaler. La fonction reste optionnelle et doit être activée manuellement dans les réglages.

Capture de la fonction Alerte anti-arnaque de WhatsApp sur Android

Source : GSMArena.

Le déploiement bêta rapporté par GSMArena.

Un ver se glisse dans un paquet npm et vole les secrets des développeurs

Une nouvelle attaque de la chaîne d'approvisionnement, baptisée Trinitite, a compromis le paquet npm @7nohe/openapi-react-query-codegen, une bibliothèque de génération de code utilisée par plus de 150 000 téléchargements par semaine. Un paquet npm est un module de code partagé que les développeurs installent dans leurs projets.

Le ver, une évolution de la famille Shai-Hulud, vole des identifiants de développeurs, de services cloud, de registres de paquets, de Kubernetes, de Vault et de dépôts de code, puis utilise ces accès pour se propager à d'autres paquets. L'attaque a exploité une configuration dangereuse du workflow de publication GitHub Actions, qui autorisait la publication sur simple commentaire « npm publish » sans vérifier l'identité de l'auteur. Les équipes concernées doivent isoler leurs machines, révoquer les identifiants et reconstruire leurs environnements.

Illustration de l'attaque du ver Trinitite sur le paquet npm

Source : GBHackers, d'après JFrog Security Research.

L'analyse de l'attaque Trinitite sur GBHackers.

Android 17 renforce la sécurité réseau, notamment contre les fausses antennes

Android 17 introduit une série de protections réseau par défaut, dont un mécanisme qui permet aux opérateurs de désactiver la connexion 2G pour leurs abonnés. L'objectif est de contrer les « SMS blasters », ces fausses antennes relais qui forcent les téléphones à basculer sur le réseau 2G, beaucoup moins sécurisé, pour envoyer des SMS de phishing.

La version apporte aussi la prise en charge d'Encrypted Client Hello (ECH), qui masque le nom du site visité pendant la connexion HTTPS, l'application par défaut de la transparence des certificats, et une protection du réseau local qui oblige les applications à demander la permission avant de scanner les appareils connectés au Wi-Fi. Google présente Android 17 comme le premier grand système mobile à offrir un support large d'ECH.

Schéma du fonctionnement d'une attaque par fausse antenne 2G, que Android 17 vise à bloquer

Source : Google, via GBHackers.

Les nouvelles protections réseau d'Android 17 sur GBHackers.

À surveiller demain

Le sommet du G20 à Asheville se poursuit, et les discussions sur la régulation de l'IA et la stabilité financière pourraient donner lieu à de nouvelles annonces. Le dossier Nexperia, entre la Chine et les Pays-Bas, reste ouvert après le gel de 300 millions de dollars d'actifs ordonné par un tribunal chinois. Enfin, la version finale de Linux 7.3 se précise, avec de nouveaux candidats à la version attendus chaque dimanche.