Sécurité

Le 28 octobre 2026, le procureur général de Floride, James Uthmeier, a annoncé une plainte civile contre Rengstorff Consulting Ltd, opérateur de la plateforme d'IA générative A2E et de ses applications mobiles. Selon la plainte, ses outils de « nudification » permettent de téléverser des photos ou vidéos réelles de personnes non consentantes, enfants compris, pour produire des images sexualisées ou pédocriminelles, et de rajeunir numériquement des adultes pour les faire ressembler à des enfants dans des scènes sexuelles.

Le procureur reproche à A2E de ne mettre en place ni surveillance réelle, ni vérification du consentement, ni signalement aux forces de l'ordre, malgré les interdictions de ses conditions d'utilisation. La plainte cite des affaires pénales floridiennes, dont un dossier à Tampa où un homme a créé plus de 100 images sexualisées de ses beaux-enfants mineurs. L'État demande une injonction permanente, la restitution des gains et des amendes civiles allant jusqu'à 10 000 dollars par infraction au titre de la loi floridienne sur les pratiques commerciales trompeuses.

Le 28 octobre 2026 à Tokyo, la Première ministre japonaise Sanae Takaichi et le chancelier allemand Friedrich Merz ont publié trois textes : une déclaration commune des dirigeants, une déclaration sur la coopération dans les technologies avancées et une autre sur la sécurité économique. Selon le compte rendu du cabinet japonais, ils ont salué le lancement d'un « Japan-Germany High-Level Dialogue on AI » et convenu de se coordonner en vue de l'organisation d'un sommet sur l'IA au Japon.

La déclaration sur la sécurité économique demande que ce dialogue se réunisse au plus tôt, prévoit l'accès aux modèles de frontière entre partenaires de confiance et une coopération entre le Japan AI Safety Institute et l'AI Safety and Security Institute allemand, attentive à l'usage malveillant de l'IA contre les infrastructures critiques. Le Japon sera pays partenaire de la Hannover Messe 2028.

Le 28 octobre 2026, la Fédération internationale de l'automobile (FIA) et Amazon Web Services ont annoncé un partenariat mondial qui fait d'AWS le partenaire officiel de la fédération pour l'IA et le cloud. La FIA fait déjà tourner sur le calcul haute performance d'AWS les simulations aérodynamiques qui servent à préparer les règlements techniques de la prochaine génération de Formule 1. AWS fournira en plus à ses équipes techniques et d'ingénierie des outils d'IA pour élaborer des règles sur la sécurité, la performance et la durabilité. D'autres applications métier de la FIA migreront vers AWS dans les prochaines années. L'accord prolonge aussi la plateforme numérique de licences lancée l'an dernier, qui s'étend à davantage d'autorités sportives nationales et s'inscrit dans l'objectif de la FIA de doubler le nombre de pratiquants du sport automobile dans le monde.

Le 28 octobre 2026, l'éditeur japonais Bengo4.com a annoncé que la préfecture de Shiga utilise désormais son service de signature électronique CloudSign pour dématérialiser ses notifications de décisions administratives, envoi et accusé de réception compris, jusqu'ici traités sur papier et par la poste.

La préfecture a aussi retenu « LegalBrain Agent », l'agent d'IA juridique de l'éditeur, pour fiabiliser la vérification des textes et des conditions légales dans les procédures d'instruction et les tâches juridiques. Selon Bengo4.com, c'est la première collectivité japonaise à l'adopter. L'agent ne s'appuie que sur des lois, de la jurisprudence, des lignes directrices et des ouvrages juridiques spécialisés, et cite sa source pour chaque réponse.

CloudSign revendique plus de 300 entreprises et collectivités clientes dans la signature électronique.

Le 28 octobre 2026, le ministère sud-coréen des Sciences et des TIC et le ministère de l'Économie et des Finances ont remis à Séoul les prix du premier « AI Innovation Challenge » des établissements publics, volet public du concours national d'IA lancé en mars. De juin à août, 105 organismes ont soumis 316 projets ; 30 ont été retenus après deux tours d'expertise en septembre.

Dans la catégorie des preuves de concept, le grand prix revient à Korea Western Power pour une turbine à gaz pilotée par IA et inspectée par des robots, bâtie sur des NPU et des modèles coréens, avec un gain attendu d'environ 2,1 milliards de wons par an. L'aéroport international d'Incheon remporte la catégorie des services en exploitation avec un système de prédiction et de détection des risques aériens 24 heures sur 24. Parmi les lauréats figurent aussi le Service national d'assurance maladie, pour la détection d'anomalies de consommation de soins, et KEPCO, qui repère les risques de mort solitaire à partir de la consommation électrique.

Le 27 octobre 2026, BerriAI a publié sur GitHub l'avis de sécurité GHSA-w4c7-34wj-hqm8, classé critique avec un score CVSS 3.1 de 10,0, qui concerne LiteLLM, sa passerelle d'accès aux modèles de langage.

Une requête non authentifiée envoyée à n'importe quelle route LLM d'un proxy LiteLLM fonctionnant sous licence Enterprise pouvait lui faire lire un fichier local et en transmettre le contenu à une adresse choisie par l'attaquant. La lecture de /proc/self/environ expose la variable LITELLM_MASTER_KEY et les clés d'API des fournisseurs, soit un accès administrateur complet, voire, selon la configuration, l'exécution de code Python en root. Les déploiements open source sans licence ne sont pas touchés.

Les versions corrigées sont 1.103.10, 1.104.8, 1.105.6 et 1.106.5 ; l'avis ne porte pas encore d'identifiant CVE. Le rapport d'incident publié par LiteLLM après la compromission de sa version 1.107.0, le 21 octobre, annonçait la divulgation d'une vulnérabilité pour le 27 octobre.

Le 27 octobre 2026, Surge AI a publié Dayjob: Tax, banc d'essai qui confie à des agents d'IA le travail d'un fiscaliste, de la demande du client au livrable fini. Il compte 50 environnements répartis sur huit domaines de la pratique fiscale et 1 789 fichiers, dont 1 487 PDF : déclarations, avis du fisc, grands livres, contrats, et jusqu'à la photo d'un reçu manuscrit.

Une tentative n'est réussie que si elle satisfait au moins 95 % des critères de notation, rédigés et revus par des fiscalistes. Claude Sonnet 5.5 arrive en tête avec 10,8 % de réussite, devant Claude Fable 5.1 (9,6 %) et Claude Opus 5.5 (9,2 %). Surge AI cite une échéance qui ferait perdre une exonération sur la vente d'un logement, qu'un des modèles testés n'a repérée dans aucune de ses cinq tentatives. Le banc rejoint les volets santé et finance de la série Dayjob.

Le 27 octobre 2026, le gouvernement du Queensland a déposé au Parlement de l'État un projet de loi qui crée une infraction de création non consentie d'images ou d'enregistrements audio intimes au moyen de technologies numériques, a annoncé la procureure générale Deb Frecklington. Elle le présente comme la fermeture d'une faille juridique qui permettait aux auteurs d'échapper aux poursuites.

Le communiqué cite des cas de harcèlement d'élèves et d'enseignants par ce type de contenus dans les écoles de l'État. Le texte a été préparé après une consultation des associations d'aide aux victimes de violences sexuelles et familiales, de sécurité en ligne, du secteur juridique et de l'éducation.

La nouvelle infraction couvre les images retouchées ou entièrement fabriquées, y compris par des générateurs d'images d'IA et des applications de « déshabillage » (nudify), ainsi que les personnes simulées qui ressemblent de près à une personne réelle identifiable. Elle est punie d'une peine maximale de 3 ans d'emprisonnement.

Le 26 octobre 2026, Cloudflare a publié le rapport d'un défaut d'isolation entre clients sur le modèle GLM-5.3 de Z.ai servi par Workers AI. Entre le 27 août et le 9 septembre, 155 réponses à des prompts de plus de 681 280 tokens ont contenu des données de requêtes d'autres clients. Cloudflare dit n'avoir trouvé aucune trace d'exploitation délibérée.

Le modèle était déployé avec une fenêtre de 1 048 576 tokens, mais le cache KV des GPU de préremplissage ne pouvait en contenir que 681 280. En mode désagrégé, SGLang remplaçait les prompts trop longs par un token de substitution sans renvoyer d'erreur, et le nœud de décodage lisait des pages de cache laissées par des requêtes antérieures.

Signalé le 8 septembre par Gadi Evron (Knostic), le modèle a été retiré et rétabli le 9. Le cache tient désormais environ 2,04 millions de tokens, et Cloudflare recommande aux opérateurs de passer à SGLang 0.5.22 ou ultérieur.

Le 26 octobre 2026, l'Agence numérique d'Andalousie (ADA) a réuni à Grenade la première assemblée générale d'EUNOMIA.AI, le projet européen qu'elle coordonne pour introduire l'IA générative dans les services publics. Le consortium compte 33 organisations de treize États membres et de la Norvège, dont trente administrations publiques, selon la Junta de Andalucía.

Prévu sur trois ans et lancé en juillet, le projet est cofinancé à 50 % par le programme Europe numérique ; l'agence Europa Press chiffre son budget global à 14 millions d'euros. Il porte sur des modèles de fondation européens et des applications de simplification administrative, d'analyse automatisée des normes et d'assistants virtuels multilingues, sur une infrastructure partagée en partie hébergée par l'Université de Grenade. La réunion de Grenade était la première rencontre en présentiel de tous les partenaires depuis le démarrage du projet.

Le 26 octobre 2026, la division des enquêtes cyber de la police métropolitaine de Séoul a annoncé avoir déféré en détention, le 23 octobre, le chef d'un groupe de pirates, un homme de 32 ans, rapporte l'agence Yonhap. Six complices font l'objet d'une enquête sans détention. La police présente l'affaire comme le premier cas élucidé dans le pays de piratage massif mené avec l'IA générative.

Depuis septembre 2025, le groupe a dérobé 8,2 millions de données personnelles et des documents internes dans environ 90 structures, dont des instituts privés, des hôpitaux, des golfs, des universités et des filiales de grands groupes, avant d'exiger de l'argent par courriel. Selon la police, le suspect, sans formation informatique mais ancien testeur d'intrusion, utilisait depuis fin août l'IA générative pour attaquer des cibles sans discrimination, ainsi que le « système de test d'intrusion autonome par IA » employé lors des récentes fuites dans la finance.

Trente-huit entreprises ont été visées par le chantage, pour un total de 360 millions de wons réclamés.

Le 26 octobre 2026, la base américaine NVD a enregistré la vulnérabilité CVE-2026-116096 de llama.cpp, signalée par VulDB. La faille touche la fonction list_pockettts_state_slots du module de synthèse vocale Pocket-TTS : un argument mmproj manipulé provoque une écriture hors limites dans le tas. L'attaque exige un accès local et une preuve de concept est publique. Le score CVSS 4.0 est de 1,9 (faible), le score CVSS 3.1 de 5,3 (moyen). La mise à jour vers la version b11796 corrige le problème. Selon la notice, sur la branche principale et la dernière version b11871, un fichier mmproj malveillant déclenche désormais une assertion qui arrête le programme au lieu d'une écriture silencieuse. Le correctif de fond proposé par le découvreur, la pull request 29360 qui empêche les accès hors limites issus de fichiers mmproj malformés, reste ouvert.