États-Unis

Source: NIST (NISTIR 8584, août 2025). Le rapport « FATE MORPH Part 4B: Considerations for Implementing Morph Detection in Operations » de Mei Ngan et Patrick Grother fournit des lignes directrices pour intégrer la détection de morphing facial dans des environnements opérationnels (émission de documents d’identité, contrôle aux frontières), en s’appuyant sur les évaluations publiques FATE MORPH et l’état de l’art des approches S‑MAD (single-image) et D‑MAD (différentielle). Le document rappelle la menace: des photos morphed peuvent permettre à plusieurs personnes d’utiliser un même titre (ex. passeport), surtout lorsque les photos sont auto‑soumisses et leur historique numérique est inconnu. Il souligne que l’amélioration des performances des détecteurs permet désormais aux agences de mettre en balance capacités, coûts de détection manquée et coûts opérationnels des faux positifs. ...

Selon 404 Media, le site web de Grok (xAI) exposait publiquement les prompts internes de nombreuses personas (compagnon, comédien « unhinged », ami loyal, aide aux devoirs, « doc », « thérapeute », et des compagnons animés comme Ani et Bad Rudy), permettant de consulter leur configuration détaillée et leur ton. Les documents exposés incluent des instructions explicites, notamment pour un persona complotiste (« ELEVATED and WILD voice », références à 4chan/Infowars, incitation à tenir des propos extrêmes et à maintenir l’engagement), un comédien “unhinged” avec un langage volontairement vulgaire et provocateur, un persona “docteur” présenté comme « génie » donnant « les meilleurs conseils médicaux », et un persona “thérapeute” encourageant l’introspection (le terme ‘therapist’ étant entre guillemets). Pour Ani (anime girl), le profil décrit des traits de caractère, un système de points de romance, et des récompenses pour la créativité et la gentillesse. Bad Rudy est décrit comme un panda roux au ton caricatural et changeant. ...

Selon BleepingComputer, un homme du Nebraska a été condamné à un an de prison pour avoir fraudé des fournisseurs de cloud computing de plus de 3,5 millions de dollars afin de miner des cryptomonnaies d’une valeur proche de 1 million de dollars. Faits principaux: l’individu a orchestré une fraude aux services cloud pour obtenir des ressources informatiques et les exploiter à des fins de minage de cryptomonnaies. Impact financier: plus de 3,5 M$ de services cloud détournés et près de 1 M$ de crypto-monnaies extraites. Sanction: peine d’un an d’emprisonnement. 🔎 Points à retenir: ...

Selon BleepingComputer, une attaque de vol de données liée à Salesforce a entraîné le pillage d’informations personnelles concernant 1,1 million d’individus, impactant l’assureur américain Allianz Life en juillet. Faits saillants 🔎 Type d’incident : vol de données via Salesforce Organisation affectée : Allianz Life (États-Unis) Ampleur : 1,1 million de personnes concernées Période : juillet Impact 🧑‍💻 Des données personnelles ont été dérobées lors de l’attaque, avec un impact massif sur les personnes liées à Allianz Life. Contexte technique 🧩 ...

Source: CNN Business — L’article détaille un règlement collectif de 177 millions de dollars lié à deux incidents de sécurité survenus en 2024 chez AT&T, ainsi que les modalités de réclamation pour les clients concernés. • Ce qui s’est passé 🔐 Le 30 mars 2024, AT&T a annoncé enquêter sur une fuite de données survenue environ deux semaines plus tôt. Elle concernait des données jusqu’en 2019, incluant des numéros de Sécurité sociale (SSN), et touchait 73 millions d’anciens et actuels clients; un dataset a été trouvé sur le dark web. Quatre mois plus tard, AT&T a attribué une autre fuite à un « téléchargement illégal » sur une plateforme cloud tierce ☁️, apprise en avril. Cette fuite comprenait les numéros de téléphone de « presque tous » les clients mobiles AT&T et des clients d’opérateurs utilisant le réseau AT&T, pour la période du 1er mai au 31 octobre 2022. • Montant du règlement 💸 ...

Source: College of Engineering at Carnegie Mellon University (engineering.cmu.edu). Contexte: une équipe de CMU a étudié la capacité des modèles de langage à planifier et mener des attaques réseau complexes de manière autonome dans des environnements d’entreprise réalistes. 🔬 Les chercheurs montrent que des LLM, lorsqu’ils sont dotés d’une abstraction de « modèle mental » du red teaming et intégrés à un système hiérarchique d’agents, peuvent passer de simples outils passifs à de véritables agents de red team autonomes, capables de coordonner des cyberattaques multi‑étapes sans instructions humaines détaillées. ...

Selon aicyberchallenge.com, la finale du DARPA AI Cyber Challenge (AIxCC), menée avec l’ARPA-H et des laboratoires de pointe, a sacré Team Atlanta, démontrant la capacité de systèmes autonomes d’IA à sécuriser des logiciels open source au cœur des infrastructures critiques. 🏆 Résultats et ouverture: Team Atlanta (Georgia Tech, Samsung Research, KAIST, POSTECH) remporte la compétition, devant Trail of Bits (2e) et Theori (3e). Quatre des sept cyber reasoning systems (CRS) développés sont publiés en open source, afin d’accélérer l’adoption par les défenseurs. La DARPA et l’ARPA-H ajoutent 1,4 M$ pour encourager l’intégration de ces technologies dans des logiciels pertinents pour les infrastructures critiques. ...

NIST a publié un “concept paper” présentant les « Control Overlays for Securing AI Systems » (COSAIS), une série de lignes directrices basées sur SP 800‑53 pour renforcer la cybersécurité des systèmes d’IA, et sollicite des retours de la communauté. Le document explique que, bien que les systèmes d’IA soient majoritairement logiciels, ils posent des défis de sécurité distincts. Les overlays SP 800‑53 visent à adapter et prioriser des contrôles existants pour des contextes IA spécifiques, en protégeant en priorité la confidentialité, l’intégrité et la disponibilité (CIA) des informations. Ils tirent parti de la familiarité des organisations avec SP 800‑53, tout en permettant une personnalisation (sélection, modification, compléments, paramètres) selon les risques et environnements. ...

SecurityWeek rapporte que Rockwell Automation a publié plusieurs avis de sécurité détaillant des vulnérabilités de sévérité critique et élevée affectant divers produits industriels, et que la CISA a relayé ces informations. 🛠️ Correctifs critiques FactoryTalk Linx Network Browser — CVE-2025-7972 : faille permettant de désactiver la validation de jeton FTSP, pouvant être utilisée pour créer, mettre à jour et supprimer des pilotes FTLinx. Micro800 (PLCs) — correction de trois vulnérabilités plus anciennes liées à Azure RTOS (open source RTOS) pouvant mener à de la prise de contrôle à distance (RCE) et à de l’élévation de privilèges, ainsi qu’un correctif pour une vulnérabilité de déni de service (DoS) distincte. ControlLogix — correctif pour une RCE identifiée sous CVE-2025-7353. ⚠️ Vulnérabilités de sévérité élevée ...

Selon blog.trailofbits.com, à l’issue de la DARPA AI Cyber Challenge (AIxCC), Trail of Bits annonce l’ouverture du code de Buttercup, son cyber reasoning system (CRS) arrivé deuxième de la compétition. 🎉 Buttercup est un système entièrement automatisé et assisté par l’IA pour la découverte et la correction de vulnérabilités dans des logiciels open source. Trail of Bits publie une version autonome fonctionnant sur un ordinateur portable « typique », ajustée à un budget IA réaliste pour des projets individuels, ainsi que les versions ayant participé aux demi-finales et à la finale d’AIxCC. Le code est disponible sur GitHub. ...