🚨Daily Cyber & IA | GitLab AI Gateway 9,9/10 + Rejetto HFS désormais exploité

Daily Cyber & IA · YouTube Short

Regarder le Short sur YouTube ↗

Description de la vidéo

CYBERSÉCURITÉ

GitLab AI Gateway — Le 2 octobre, GitLab a corrigé CVE-2026-90970, CVSS 9,9/10, dans le Self-Hosted AI Gateway utilisé par GitLab Duo Agent Platform. Un utilisateur authentifié disposant de l’accès Duo Agent Platform pouvait, via une configuration de flow spécialement forgée, sortir du sandbox de template et exécuter des commandes arbitraires sur l’hôte du gateway. Versions affectées : 18.1.6 à 19.2.4, 19.3 à 19.3.2 et 19.4 à 19.4.1. Correctifs : 19.2.4, 19.3.2 et 19.4.1. Les gateways hébergés par GitLab ont déjà été corrigés ; aucune exploitation active n’est confirmée.

Rejetto HFS — Évolution matérielle ce week-end sur CVE-2026-61500 : la faille était corrigée depuis juillet, mais VulnCheck a désormais observé son exploitation réelle. Elle touche HFS 3.0.0 à 3.2.0 et permet, sans authentification, de reconstruire la clé de signature de session, forger une session admin puis atteindre l’exécution de code. CVSS 4.0 : 9,3. Horizon3 avait identifié la chaîne avec le modèle de recherche cyber Mythos d’Anthropic. Des tentatives ont notamment été signalées depuis une IP hébergée en Chine contre des hôtes aux États-Unis et au Japon. Mise à jour requise : HFS 3.2.1 ou ultérieur.

INTELLIGENCE ARTIFICIELLE

Anthropic — Le 2 octobre, Anthropic a annoncé Claude Frontier Academy avec un engagement de 100 M$ pour former 10 000 Frontier Deployed Engineers d’ici fin 2027. Les premières cohortes incluent notamment Accenture, Bain, Capgemini, Deloitte, McKinsey, Morgan Stanley et Novo Nordisk ; l’objectif est de former des ingénieurs capables de faire passer des projets Claude de l’idée à la production, sécurité et gouvernance comprises.

Cloudflare — AI Gateway intègre désormais une Web Search API native, avec Ceramic.ai, Exa et Linkup. Les développeurs peuvent injecter du contexte web temps réel dans les appels modèles via AI Gateway, API REST ou Workers bindings : un ajout directement utile aux agents et aux applications RAG nécessitant des données fraîches.

GÉOPOLITIQUE

États-Unis — Le 4 octobre, Donald Trump a annoncé une nouvelle task force fédérale IA, la « Super Intelligence Force », dirigée par le directeur du renseignement national Jay Clayton. Elle doit coordonner l’action fédérale sur l’IA avec la FTC, le Pentagone, les fournisseurs d’infrastructures critiques, les entreprises IA et d’autres acteurs, avec l’objectif affiché de préserver le leadership américain tout en traitant les risques.

PROJET GITHUB DU JOUR

Agent-Reach — Projet MIT très actif qui sert de couche d’accès Internet pour agents IA : web, X, Reddit, YouTube, GitHub, Bilibili, Instagram et autres canaux via des outils locaux et des backends de repli. Intérêt concret : éviter de réintégrer manuellement chaque source dans Claude Code, Codex, Cursor ou d’autres agents. Le dépôt affiche plus de 80 000 étoiles et une forte activité récente. Précaution : certains canaux réutilisent des sessions navigateur ou des cookies ; à déployer avec des comptes dédiés et en respectant les règles des plateformes.
GitHub : https://github.com/Panniantong/Agent-Reach

IMPACT POTENTIEL

Priorité cyber : patch immédiat des AI Gateway GitLab auto-hébergés et des HFS inférieur à 3.2.1 exposés. Plus largement, ces deux cas montrent que les composants agentiques et IA deviennent eux-mêmes une surface d’attaque critique.

PATCH / REMEDIATION

GitLab : https://docs.gitlab.com/releases/patches/other-patches/patch-release-gitlab-ai-gateway-19-4-1-released/
Rejetto HFS : https://github.com/rejetto/hfs/releases/tag/v3.2.1

SOURCES VÉRIFIÉES

GitLab • VulnCheck • Horizon3 • Anthropic • Cloudflare • Associated Press • GitHub
https://www.vulncheck.com/advisories/rejetto-hfs-session-forgery-via-predictable-signing-key
https://horizon3.ai/attack-research/disclosures/anthropic-mythos-rejetto-hfs-rce/
https://www.anthropic.com/news/claude-frontier-academy
https://blog.cloudflare.com/introducing-web-search-api/
https://apnews.com/article/trump-jay-clayton-artificial-intelligence-task-force-b8689ea07de9102a52bd1cd2049b5901

#Cybersecurite #IA #GitLab #Rejetto #Anthropic #Cloudflare #AgenticAI #GitHub #OpenSource #T3R

Toute la playlist Daily Cyber & IA

Pas mal pas mal news sur Instagram ↗