Parce que… c’est l’épisode 0x345!

Préambule

J’ai utilisé une nouvelle façon d’enregistrer en itinérance. La captation du son n’a pas été top et le montage n’a pas permis, avec un temps raisonnable, de retirer ma respiration et d’autres sont inhérents avec cette nouvelle méthode.

Shameless plug

• 22 septembre 2026 - Belgique - BE-Cyber
• 24 au 25 septembre 2026 - Belgique - BruCON
• 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
• 13 et 14 novembre 2026 - Worldwide - DEATHCon
• 16 au 19 novembre - Rennes, France - European Cyber Week 2026
• 25 et 26 février 2027 - Québec, Canada - SéQCure 2027
• 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027
• I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
• 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
• 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte

Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Un pivot méthodologique et un épisode en retard

L’animateur s’excuse du retard de cet épisode, enregistré le 30 septembre pour une coupure d’actualité arrêtée au 20 septembre. Après un an de production hebdomadaire, il a pivoté en abandonnant Tapestry pour des lecteurs RSS standards, avec un traitement accéléré par des flux Python et l’intelligence artificielle, d’où des nouvelles plus anciennes mais toujours pertinentes. De retour du BSides, qu’il juge excellent, il a accepté de parler moins rapidement et publiera plusieurs épisodes d’un coup. Il promeut ensuite plusieurs événements à venir et le podcast IA Café de l’Université Laval.

Agents d’intelligence artificielle et perte de contrôle

La semaine a été marquée par une avalanche de nouvelles sur des agents qui s’échappent de leur cadre, sujet devenu bruit de fond. L’animateur se dit fasciné et incompréhensif face à l’étonnement de compagnies qui investissent des sommes immenses, soupçonnant une réflexion en silo. Ces comportements seraient attendus de l’entraînement de modèles statistiques, sans anthropomorphisme. Il insiste sur la nécessité de rendre les sites résistants à l’intelligence artificielle et recommande des firmes de tests d’intrusion intégrant ces outils.

Asymétrie offensive, divulgation et hygiène de base

Le bloc sur l’asymétrie offensive et le bug bounty aborde le slop dans la divulgation de vulnérabilités, avec un épisode à venir sur YesWeHack. L’intelligence artificielle force une remise en question des paradigmes, comparable au passage de l’antivirus à l’EDR, mais avec un délai bien plus court. La réalité des attaques ramène toujours à l’hygiène de base et à des processus robustes, puisque les incidents observés découlent d’échecs dans l’application des processus. Il propose de s’inspirer de la sûreté industrielle, avec ses cadenas de consignation et ses enquêtes obligatoires comme celles de la CNESST.

Intelligence artificielle, géopolitique et risque existentiel

Une hallucination aurait pu déclencher un conflit entre les États-Unis et la Chine au sujet d’armes nucléaires déplacées. L’animateur distingue les LLM du machine learning, plus déterministe, et juge la littératie fondamentale avant tout usage. Les appels à ralentir l’intelligence artificielle sont pour lui des manœuvres commerciales dans un contexte de bulle potentielle. Il prône la prudence avec les modèles open weight et OpenRouter, où aucune protection des données n’est présumée, et juge alarmiste le discours sur une IA qui nous tuerait.

Encadrement, SOC et modélisation des menaces

L’EFF propose un encadrement cohérent inspiré du nucléaire, sans freiner l’innovation puisque la Chine avancera, et l’animateur espère un retour au centre d’une réglementation européenne jugée trop brutale. Dans le SOC, l’intelligence artificielle ne remplace pas les analystes mais accélère leurs travaux. En modélisation des menaces, notamment avec les travaux de Shostack, l’IA peut générer des cadres généraux, mais les analyses de risque contiennent des informations sensibles. Le vibe coding ignore le cycle de développement sécurisé, et deux papiers de recherche proposent des balises pour éviter des vulnérabilités dans du code public.

Guerre et souveraineté numérique

La section guerre couvre la guerre cognitive, très présente à l’European Cyber Week, les attaques iraniennes contre des infrastructures américaines et l’évolution du cyber entre temps de paix et temps de guerre. L’Union européenne renforce la collaboration entre États membres pour répondre aux cyberattaques et sabotages. Un article de Michael Geist examine le rapprochement du Canada avec l’Europe, mais la collaboration ne remplace pas une souveraineté locale, comme le modèle français. Les équipements de surveillance Flock, autrefois fabriqués aux États-Unis, s’appuient désormais sur des chaînes d’approvisionnement moins claires, rendant risqué d’y héberger des données canadiennes sous le Cloud Act.

Vie privée et protection des jeunes

Les téléviseurs intelligents, dont les modèles LG, écoutent même éteints, et la nouvelle Apple Watch, avec ses résumés en temps réel, mérite de la prudence. Le débat Flock le fascine, des villes abandonnent, des policiers invoquent des prétextes douteux et les caméras servent même à auditer les policiers eux-mêmes. Il estime que la police a perdu de vue sa mission, comme une cybersécurité faite pour elle-même sans alignement avec le business. Les recherches de téléphones à la frontière américaine échappent aux protections constitutionnelles, et les prompts envoyés aux LLM grand public doivent être traités comme des publications sur Facebook. En législation, la loi française bloquant les adolescents a été renversée, l’Union européenne s’y engage et l’Australie n’atteint qu’environ 25 pour cent d’observance. L’animateur juge l’interdiction inefficace, préfère des lois californiennes visant les algorithmes, et insiste sur des lieux sécuritaires pour les jeunes.

Défense, opérations et gestion des vulnérabilités

La section bleue couvre l’air gap, qui ne doit pas empêcher les mises à jour ni la télémétrie des équipements industriels, les équipements médicaux exigeant un cycle de sécurité vivant dans des hôpitaux sous-financés, et les dispositifs portés comme les pacemakers. Sur l’identité, il faut assumer la compromission et l’usurpation des identités, la CISA et ses partenaires diffusant une stratégie contre le vol de jetons, les passkeys manquant encore de maturité. Plusieurs articles couvrent l’attribution, la défense non coopérative et les diagrammes utiles aux analyses de risque, et le facteur humain soulève l’épuisement des professionnels. Anton Chuvakin, en quittant Google, publie abondamment et critique l’usage des SIEM comme en 2003. La CISA abandonne son bulletin hebdomadaire au profit du KEV, et on ne peut pas se patcher hors d’un backlog dépassant 500 vulnérabilités mensuelles chez Microsoft, d’où l’importance de l’architecture, du cloisonnement et du zero trust.

Bilan et prochains épisodes

Enfin, un guide de l’EFF aide à contourner les fermetures d’Internet et des réflexions portent sur la maturité des PME, avec l’appui possible d’un MSSP. Ce premier épisode du nouveau processus annonce des publications plus rapides et des améliorations sur le site. L’animateur remercie les auditeurs pour leur patience et les échanges au BSides.

Notes

• IA ou Ghost in the shell
  • Agents IA hors de contrôle
    • A single firm is behind OpenAI, Anthropic, and Meta hacking scandals
    • AI agents can modify themselves without humans telling them to do so
    • After the Hugging Face OpenAI Swarm: What Enterprise Security Looks Like Now
    • Gemini Hacked Three Companies in First Known Breakout by Google’s AI
    • Inside the suddenly explosive world of AI safety
    • OpenAI’s rogue AI tried to hack another company in May

    • [The Model Is the Malware

      What Four Agentic Intrusions Tell Defenders](https://www.sentinelone.com/labs/the-model-is-the-malware-what-four-agentic-intrusions-tell-defenders/)

    • An OpenAI Agent Tried to Jailbreak Itself
    • Covert uploads and megalomania: OpenAI details new “misaligned” agent incidents
    • OpenAI Admits Six More Instances of AI Models Acting Deceptively
    • OpenAI Model Misalignment Report
    • OpenAI Models Searched for Leaked API Keys and Uploaded Files Without Permission
    • OpenAI Says This Is When and How It Will Announce New Model Misbehavior
    • OpenAI details more cases of AI agents taking unauthorized actions
    • ‘Be Transparent Only If Asked’: OpenAI Models Acted Out in Six Newly Disclosed Ways
  • Bug bounty, slopdemic et asymétrie offensive
    • AI Risks
    • AI isn’t the problem – asymmetry is
    • Bug Bounties in the Age of AI
    • Build the tooling. Don’t be the tooling.
    • DeepSeek v4.1 Flash Is Now Our Best Hacking Model
    • Find it and fix it
    • A lot of people are just sitting on zero-day right now
    • AI Didn’t Break Vulnerability Disclosure. It Exposed What Was Already Broken.
    • Forget the AI Slowdown–the Vulnerability Explosion Is Already Happening
    • Mythos has made 2026 patching hell. It might make 2027 a breeze
    • Slopdemic, Not Vulnpocalypse (Yet)
    • The Hitchhiker’s Guide to Bug Bounty and Vulnerability Disclosure in 2026
    • Wake Me After the Vulnpocalypse
  • Hype vs réalité des attaques IA
    • AI Failures Aren’t New Security Failures. Liz Wharton Says Fix the Basics
    • Autonomous AI Cyberattacks: Real Breaches vs. AI Hype
    • Building Hackbots
    • From AI Hacking Hype to Enterprise Reality: What Mythos Actually Changes
    • Humans, not rogue AI, are still the biggest cybersecurity risk to energy systems
    • LLMs are real, AI is fake
    • Machine Speed is a lie: stop trying to fight AI with AI
  • IA, militaire et géopolitique
    • AI hallucination of Chinese nuclear components almost led to US military attack
    • US Military had close call after using AI for hallucinated intelligence report
    • Nuclear Experts Offer China and US Solutions for AI Risks
  • Pause et risques existentiels
    • The latest AI doomsayer is China’s intelligence boss
    • AI Could Kill Us All? Cyber Experts Cut Through the FUD
    • Dario Calls for a Pause
    • How, Exactly, Could A.I. Kill Us?
    • If the AI Industry Followed Its Own Research, It Might Have Paused Already
    • Mate Security CEO Asaf Wiener’s LinkedIn Post Draws Attention To The AI Cybersecurity Debate
    • Should you care about an “AI slowdown?”
  • Régulation et encadrement de l’IA
    • AI Regulation Should Be Rational, Not Retaliatory
    • EFF to Lawmakers: Ground AI Cybersecurity Rules in Best Practices
  • SOC et défense augmentés par l’IA
    • Agentic AI in the SOC: The Gap Between the Haves and the Have-Nots Is Already Widening
    • Building an AI Detection Engine That Understands Agent Intent
    • How AI Automates Detection Engineering
    • The AI SOC Buying Guide Nobody Has Yet
    • Using AI to defeat AI
  • Threat modeling avec les LLM
    • Claude Opus 4.7 and Threat Modeling
    • Threat Modeling AI Systems: Finding the Line Between Application Security and AI Security
    • Threat Modeling Intensive with Complete AI: From a Developer’s POV
    • Threat Modeling in the Age of AI
    • Using LLMs as Friend and Foe in Threat Modeling
    • Why PHANTOM-B?
  • Vibe coding sous surveillance
    • A Security Risk Assessment Framework for AI-Powered Development Tools
    • AI coding agents’ 0-click RCE flaw could hand attackers keys to the kingdom
    • Anti-Vibe Vibe Coding: Why AI Agents Need the SDLC
    • Understanding the (In)Security of Vibe-Coded Applications
  • 4 things you can do to protect yourself from the rising threat of AI
  • Are AIs Still Struggling with CAPTCHAs?
  • Don’t trust AI companies with your content. Verify them instead
  • LLMs respond differently to harmful prompts when AI watermarking is used
• La guerre, la guerre, c’est pas une raison pour se faire mal!
  • A Brief Introduction to Cognitive Warfare
  • Iran (and Everyone Else) Is Coming for U.S. Critical Infrastructure. Are We Ready?
  • Peacetime cyber versus wartime cyber
  • The excess pessimism of early nuclear bomb designers
• Souveraineté ou vive le numérique libre!
  • EU chief wants joint response to cyberattacks, sabotage
  • Elbows Up With Europe Too: Why Canada’s Pivot to the EU Raises the Same Digital Sovereignty Questions as the U.S.
  • Flock Once Touted Its Cameras as ‘Made in the USA.’ Now It’s Not So Clear
• Privacy ou cachez ces informations que je ne saurais voir
  • Objets connectés espions
    • Dystopian Surveillance Is Becoming a Reality
    • It’s not just LG. Every TV company is spying on you
    • Move Fast, Surveil Things
    • Your Apple Watch isn’t recording audio, it’s flowing it ↦
  • Scandale des caméras Flock
    • Boston dumps Flock, says it shared data nationwide in violation of contract
    • Cops Searched Thousands of Flock Cameras for Reasons of ‘LMAO,’ ‘IDK,’ ‘Hehe,’ And ‘Asdfg’
    • Flock Offers Employees Buyouts as Customers Flee
    • Flock camera use by internal affairs unit puts DC police at odds with officers’ union
    • Hackers Stole Flock’s Camera Software, Revealing How the Company Tracks Cars and People
    • Hackers reveal how Flock cameras really track cars and people
    • Surveillance Camera Security? It’s Completely Flocked!
    • What happens after a town de-Flocks
  • Surveillance étatique et policière
    • Cops Play Hide and Seek About Using Spy Tech to Avoid Scrutiny and Bad PR
    • Meet Rayhunter: A New Open Source Tool from EFF to Detect Cellular Spying
    • The Fourth Circuit Says Border Agents Can Search Your Phone By Hand, No Suspicion Required
  • Mythos feels a lot like Snowden
  • The Illusion of Local Privacy: Confidentiality Boundary Failures in Consumer LLM Serving Systems
  • What happened when Meta tried to collect employee data
• I am the law
  • European Commission set to push social media restrictions, safety requirements into law
  • French Top Court Gets It Right, Strikes Down Social Media Ban For Youths
  • The social media ban in Australia, how is it going?
  • We All Deserve a Better Internet, Not A Smaller One
  • What if social media isn’t hurting kids?
  • Why Bill C-34’s Social Media Ban for Kids Is Unconstitutional
• Red ou tout ce qui est brisé
  • Initial access techniques used by Iran-based threat actors
  • Malicious use of virtual machine infrastructure
• Blue ou tout ce qui améliore notre posture
  • Air gap et dispositifs médicaux
    • Air-Gap Security Can Create Physical Risk
    • Medical Device Security Doesn’t End at FDA Approval
  • Authentification : MFA, passkeys, jetons
    • Assume Breach Must Now Mean Assume Impersonation
    • CISA and NIST Release Technical Checklist for Safeguarding Identity Tokens From Theft and Misuse
    • I don’t like passkeys
  • Comprendre l’adversaire et la riposte
    • Non-Cooperative Defense and Impermissive Access
    • Six Signals for Threat Attribution
    • The “irrational asymmetry” in threat behavior
  • Diagrammes et modélisation des menaces
    • Diagram Style (Threat Model Thursday)
    • Diagrams and Common Elements (Threat Model Thursday)
    • Your Security Architecture May Be a Sideways Driveway
  • Facteur humain en défense
    • Cybersecurity Burnout Is a Risk Signal. Pizza Parties Won’t Fix It.
    • The Human Factor in IAM: Why Identity Programs Succeed or Fail
    • What Being a CISO Taught Me About Security Leadership
    • Why Engineers Still Work Around Privileged Access Management
  • Opérations de détection et SOC
    • The Ancient Art of SIEM: Why 2003 Problems Look So Familiar in 2026
    • The Life of a SOC Analyst: Responsibilities, Challenges, and Strategies for Success
  • Shadow IT et trafic masqué
    • Cybercriminals Are Hiding Malicious Web Traffic in Plain Sight
    • Shadow IT: The Initial Access You Didn’t Log
  • Vulnérabilités et gestion du risque
    • CISA decides weekly vulnerability bulletin isn’t necessary anymore
    • Risk Is (or Should Be) the Business Language of Vulnerability Management
    • The Equivalent Zone: Using FAIR-CAM to Defend a Control to Auditors
    • You Can’t Patch Your Way Out of the Vulnerability Backlog
  • A Hackers Guide to Circumventing Internet Shutdowns
  • Common web application security risks every SME should understand
  • Toward an Empirical Probabilistic Risk Manifestation Model of Organizational Cybersecurity in SMEs
• Divers ou parce que j’ai aucune idée où les placer
  • J’ai retiré la totalité de ce que l’IA m’avait mis dans cette section, considérant que le script n’était pas encore stable et l’abondance des articles cette semaine

Contributeurs

Nicolas-Loïc Fortin

Crédits

• Montage par Intrasecure inc
• Locaux réels par Ibis Toulouse centre

Tags: blue, guerre, ia, loi, red, souverainete