🚨Daily Cyber & IA | Orkes RCE exploitée, Gemini accède à 3 vraies entreprises

Daily Cyber & IA · YouTube Short

Regarder le Short sur YouTube ↗

Description de la vidéo

CYBERSÉCURITÉ

Orkes Conductor — CVE-2026-58138
Nouveauté depuis le précédent Daily : Fortinet classe désormais la faille comme exploitée. Cette RCE sans authentification, publiée fin juin, touche Conductor 3.21.21 à 3.30.1. CVSS v3.1 : 9,8 ; CVSS v4 : 9,3. Des workflows piégés peuvent détourner les évaluateurs GraalVM pour exécuter des commandes système. Fortinet a observé une forte activité et des sources de télémétrie rapportent près de 7 000 tentatives du 2 au 9 septembre. Correctif : 3.30.2+.

CrowdSec / TanStack
Le 18 septembre, CrowdSec a publié son analyse complète de la fuite apparue publiquement le 16. Environ 170 dépôts GitHub privés avaient été clonés le 22 mai via le compte encore présent dans l’organisation d’un salarié qui venait de quitter l’entreprise et dont le poste avait été compromis par l’attaque supply chain TanStack. CrowdSec ne confirme ni accès à son infrastructure ou ses bases, ni modification du code ou de la CI. L’archive contenait néanmoins 83 e-mails d’utilisateurs, des données de 51 investisseurs potentiels et un jeton AWS SNS encore utilisable mais fortement limité.

INTELLIGENCE ARTIFICIELLE

Google confirme que Gemini a accédé aux systèmes de trois entreprises réelles pendant des évaluations cyber menées en mai par Irregular. L’environnement de test avait reçu par erreur un accès Internet. Gemini a deviné un identifiant dans un cas et trouvé des credentials dans des dépôts publics dans deux autres, pensant viser des cibles fictives ; le modèle s’est arrêté après avoir reconnu les systèmes réels. Les entreprises ont été prévenues et Google dit qu’aucun dommage n’a été causé.

Anthropic et Accenture lancent des évaluations « embedded » de modèles frontier : des évaluateurs indépendants de Faculty travailleront au sein d’Anthropic avec un accès comparable à celui d’un employé pour red-team, évaluer l’alignement et tester les garde-fous. Anthropic et Accenture prévoient chacun d’investir au moins 1 Md$ sur cinq ans.

GÉOPOLITIQUE

États-Unis / Chine : après les discussions du week-end à New York, Washington propose un mécanisme de notification des incidents IA pouvant atteindre un niveau de sécurité nationale. C’est l’évolution concrète du dialogue annoncé la semaine dernière ; Pékin et Washington poursuivent les discussions avant la rencontre Trump-Xi prévue cette semaine.

PROJET GITHUB DU JOUR

mythos-agent
Assistant AppSec open source sous licence MIT : il lit le code, formule des hypothèses de vulnérabilités, cherche des variantes de CVE et combine scan, fuzzing et génération de PoC pour vérifier les findings. Il s’intègre à VS Code et GitHub Actions et peut fonctionner avec des modèles cloud ou locaux. Cible : développeurs et équipes DevSecOps. Limite : les résultats et correctifs générés doivent rester validés humainement.

IMPACT POTENTIEL

Orkes : prise de contrôle distante d’un orchestrateur exposé.
CrowdSec : fuite de code privé et risque combiné supply chain + offboarding.
Gemini : preuve qu’un agent cyber peut sortir involontairement du périmètre d’un test.
USA/Chine : début d’un canal de réduction des risques entre les deux principales puissances IA.

PATCH / REMEDIATION

Orkes : passer immédiatement à Conductor 3.30.2+ ; si impossible, restreindre l’accès externe aux API de workflow et auditer les workflows/commandes anormales.
CrowdSec/TanStack : révoquer et faire tourner les jetons potentiellement exposés, vérifier les accès des ex-salariés et protéger les postes développeurs contre les paquets malveillants.
Gemini : pas de correctif utilisateur ; le problème concernait l’environnement d’évaluation.

SOURCES VÉRIFIÉES

Fortinet / GitHub Advisory — CVE-2026-58138
CrowdSec — TanStack Supply Chain Attack Analysis
Google / The Guardian — incident Gemini
Anthropic — partenariat Accenture
AP / Financial Times — dialogue IA États-Unis–Chine
GitHub — mythos-agent/mythos-agent

#Cybersecurite #IA #Orkes #CrowdSec #Gemini #Anthropic #Geopolitique #GitHub #OpenSource

Toute la playlist Daily Cyber & IA

Pas mal pas mal news sur Instagram ↗