JONEO
Votre bibliothèque
Ouvrir la bibliothèque complète →

Des failles nichées dans PHP depuis 2004 révélées par des IA, un roman primé lâché par son éditeur, Walmart ouvre ses caisses aux acheteurs automatiques

daily
Neo Neo Avatar Coach

Deux failles critiques de PHP, présentes depuis la version 5 de 2004 et trouvées avec l'aide de modèles d'IA, ont fait déconnecter des sites dans le monde. Au Québec, l'éditeur Boréal rompt avec l'auteur Thélyson Orélien après avoir relevé des traces d'IA dans les fichiers de son roman. Walmart ouvre son site aux agents d'achat pendant qu'Amazon les bloque, et deux enquêtes ainsi qu'une étude indienne mesurent ce que l'IA change au travail et dans les études.


Faits marquants


Deux failles critiques de PHP, trouvées avec l'aide de modèles d'IA, font mettre des sites hors ligne

Le 21 octobre, la fondation qui maintient PHP, langage utilisé côté serveur par une grande partie du web, a publié des correctifs (versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35) pour deux failles critiques qui permettent d'exécuter du code à distance sans identification. Baptisées PHP2Shell, elles existeraient dans toutes les versions depuis PHP 5, sorti en 2004, et PHP alimente environ 70 % des sites selon TechCrunch. Selon OpenAI, la société de sécurité Calif a trouvé l'une des failles avec GPT-5.6 Sol. Wiz, société de sécurité rattachée à Google, dit avoir combiné son agent Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol pour en repérer plusieurs.

L'Agence de sécurité américaine (NSA) demande d'appliquer les correctifs immédiatement ou de couper les systèmes vulnérables, selon le South China Morning Post. Des sites d'administrations, d'écoles et d'hôpitaux européens ont été mis hors ligne, d'après Reuters. Le calendrier d'exploitation est discuté : OpenAI indique qu'aucune exploitation n'était observée à la divulgation, alors qu'Amazon Web Services a relevé des tentatives dès le 17 octobre, selon Wired. Les correctifs ne couvrent que PHP 8.2 et plus récent, ce qui laisse les installations plus anciennes dépendre de prestataires, toujours selon Wired.

Le roman primé de Thélyson Orélien perd son éditeur canadien après la découverte de traces d'IA

Thélyson Orélien a publié C'était ça ou mourir au Québec chez Boréal en mars 2026, puis chez Grasset, grande maison d'édition parisienne, le 19 août. Le livre a reçu le Prix du Roman Fnac le 21 septembre. Le 21 octobre, selon ActuaLitté, Boréal annonce qu'il ne réimprimera plus le roman et ne publiera aucun autre livre de l'auteur, ce qui rompt le contrat d'un deuxième roman. L'éditeur affirme qu'une expertise externe a relevé « des traces de balises d'IA dans les métadonnées » de certains fichiers de travail. Il ne sait ni quelle part du texte une IA a produite ou retouchée, ni quels outils ont servi. L'auteur nie, parle de calomnie et reconnaît seulement des recherches ponctuelles avec des outils numériques.

C'est un changement de nature : les soupçons de septembre reposaient sur des détecteurs statistiques (Pangram, Sightengine), des tests qui ne constituent pas une preuve matérielle, rappelle ActuaLitté. L'Académie Goncourt, qui décerne le grand prix littéraire français, avait exclu le roman de sa sélection le 25 septembre. Edistat comptait 83 713 exemplaires vendus en France au 11 octobre, et Le Monde relaie l'annonce de l'éditeur. Les droits ont été vendus à des éditeurs étrangers, pour une traduction annoncée dans plus de vingt langues. Grasset n'a pas précisé les conséquences pour l'édition française.

Walmart ouvre son site aux agents d'achat, Amazon les bloque

Le 21 octobre, Walmart, géant américain de la distribution, présente Agent Gateway, un serveur MCP (protocole qui permet à un assistant d'IA de se connecter à un service). Les agents approuvés pourront chercher dans son catalogue et acheter pour un client, sans accès à ses informations de paiement ni à son historique d'achats, selon TechCrunch. En novembre, chaque agent recevra un profil dédié dans le compte du client, avec des achats affichés séparément. Le client approuvera chaque achat ou fixera un plafond de dépenses. Les agents non conformes seront bloqués.

Amazon fait l'inverse : il bloque les agents qui achètent à la place des internautes, dont celui de Meta, Muse, toujours selon TechCrunch. Le même jour, Meta annonce plus de 10 millions d'utilisateurs de Muse, dont les achats figurent parmi les usages populaires. TechCrunch rapporte que plus d'un quart des utilisateurs engagés qui achètent via l'agent ont un panier moyen supérieur à 200 dollars, mais la formulation varie selon les médias. Ces chiffres sont ceux de Meta.

Mesurer ce que l'IA change au travail : tableaux de bord de Stanford et enquête auprès de managers

Le 21 octobre, Stanford HAI, l'institut d'IA de l'université Stanford, présente ses « AI Economic Indicators », lancés en juin 2026. Ces tableaux de bord mensuels s'appuient sur des données de paie anonymisées d'ADP, entreprise américaine de paie, sur des sondages et sur un index d'environ un million de conversations anonymisées avec Claude. Selon Stanford HAI, l'emploi des 22-25 ans dans le développement logiciel et le service client recule de plus de 3 % par an depuis novembre 2022, et de 4,4 % récemment. Les auteurs reconnaissent qu'ils ne peuvent pas encore isoler l'effet de l'IA d'autres facteurs. Les données ADP pourraient ne pas être représentatives, et l'article ne date pas précisément ces chiffres.

Côté management, TechCrunch rapporte une enquête de Nielsen commandée par Monday.com, éditeur d'outils de gestion du travail, auprès de 1 700 dirigeants et cadres supérieurs de sept pays. Plus de 50 % jugent plus difficile d'évaluer le travail de leurs équipes depuis l'adoption de l'IA, et 78 % ont changé leurs critères d'évaluation. En outre, 58 % s'attendent à superviser plus d'agents que d'humains dans l'année, et 35 % craignent d'être tenus responsables des décisions de l'IA. Ces réponses sont déclaratives, la méthode n'est pas détaillée et le commanditaire a un intérêt commercial.

En Inde, des étudiants en ingénierie préparent un monde du travail avec IA par des recrutements sans IA

Dans un préprint du 21 octobre non relu par des pairs, Samhitha Goutham et Ziwei Gu analysent 23 entretiens avec des étudiants et jeunes diplômés d'ingénierie et d'informatique en Inde. Les participants décrivent des postes où l'IA est centrale, mais des tests de recrutement sur campus qui l'excluent. Ils évoquent aussi le rôle des enseignants dans l'application des règles et leur inquiétude sur leur préparation. Les auteurs concluent que notes et scores perdent leur valeur de signal de compétence quand l'IA peut aider à les produire. L'échantillon est petit et qualitatif : l'étude n'établit pas l'ampleur du phénomène.

En bref

  • Microsoft attribue à Storm-0940, acteur lié à l'État chinois, l'usage d'ARTEX, un cadre open source de tests d'intrusion mené par des agents d'IA, contre des centaines d'organisations depuis septembre. Des agents ont tenté de se connecter à plus de 2 250 locataires de l'éditeur ConnectWise, à 2 900 tentatives par minute. La majorité des tentatives ont échoué, et Microsoft ne chiffre pas la part automatisée par l'IA.
  • Le conseil municipal de Memphis (Tennessee) a rejeté par 6 voix contre 6 un moratoire de 18 mois sur les centres de données et a voté à la place une pause de 135 jours sur les nouvelles demandes. La ville héberge plusieurs sites de xAI, renommée SpaceXAI selon Data Center Dynamics, contestés pour leurs turbines à gaz.
  • OpenAI précise que ses règles s'appliquent aussi aux revendeurs et hébergeurs de ses modèles. Les routeurs et passerelles d'IA devront obtenir son approbation à partir du 20 novembre 2026.
  • Le fonds européen Scaleup Europe Fund, doté de 5 milliards d'euros, mène un tour de 250 millions de dollars dans Pigment, éditeur français de planification budgétaire valorisé 2,3 milliards.

Lecture stratégique


Sécurité et risques

Observé : des modèles d'IA ont aidé à trouver, dans un logiciel très répandu, des failles présentes depuis plus de vingt ans. La divulgation a poussé des organisations à couper des sites par précaution. Les installations antérieures à PHP 8.2 restent sans correctif officiel. Séparément, Microsoft décrit un outil de tests d'intrusion à agents d'IA, ARTEX, employé en attaque à grande échelle.

Plausible : si OpenAI a raison de s'attendre à une forte hausse de découvertes similaires, les projets maintenus par de petites équipes pourraient manquer de capacité pour corriger aussi vite qu'on les alerte. Le mécanisme est celui des programmes de signalement de failles déjà saturés par des rapports générés par IA, évoqué dans notre digest du 4 octobre. Les hébergeurs et les petites structures utilisant d'anciennes versions seraient les premiers touchés.

Culture, création et médias

Observé : pour la première fois dans ce dossier, un éditeur invoque un indice matériel, des balises dans des métadonnées, plutôt qu'un score de détecteur. L'auteur perd son éditeur et un contrat. Les lecteurs ont déjà acheté plus de 83 000 exemplaires en France, sans savoir ce qu'ils lisaient.

Vie quotidienne, relations et consommation

Observé : un distributeur choisit d'encadrer l'achat par agent par un profil dédié, un plafond de dépenses et un droit de retour, tandis qu'un autre bloque ces agents. Le client y gagne un mandat explicite, mais la responsabilité d'un achat raté dépend encore de la politique de chaque enseigne.

Plausible : si plusieurs enseignes adoptent des conditions propres aux agents, l'accès des agents au commerce pourrait se négocier enseigne par enseigne, par contrat, comme Meta l'a fait pour l'accès à des contenus. Les assistants gratuits comme Muse auraient alors besoin d'accords commerciaux pour acheter, ce qui avantagerait les plus gros acteurs.

Travail et emploi

Observé : Stanford HAI mesure un recul de l'emploi des 22-25 ans dans les métiers les plus exposés, sans pouvoir l'attribuer à l'IA seule. Dans l'enquête commandée par Monday.com, plus de la moitié des managers trouvent l'évaluation plus difficile. Les deux sources ont des limites exposées dans les faits marquants.

Éducation et formation

Observé : des étudiants indiens décrivent une contradiction entre des recrutements sur campus sans IA et des emplois où elle est centrale. Qui gagne ou perd dépend des établissements, la portée de l'étude restant limitée à 23 entretiens.

Environnement, énergie et ressources

Observé : à Memphis, une pause de 135 jours remplace un moratoire plus long, après un vote à égalité. Les riverains et les élus favorables au développement économique s'y opposent encore.


Impacts


Sécurité et risques

Observé : des modèles d'IA ont aidé à trouver, dans un logiciel très répandu, des failles présentes depuis plus de vingt ans. La divulgation a poussé des organisations à couper des sites par précaution. Les installations antérieures à PHP 8.2 restent sans correctif officiel. Séparément, Microsoft décrit un outil de tests d'intrusion à agents d'IA, ARTEX, employé en attaque à grande échelle.

Plausible : si OpenAI a raison de s'attendre à une forte hausse de découvertes similaires, les projets maintenus par de petites équipes pourraient manquer de capacité pour corriger aussi vite qu'on les alerte. Le mécanisme est celui des programmes de signalement de failles déjà saturés par des rapports générés par IA, évoqué dans notre digest du 4 octobre. Les hébergeurs et les petites structures utilisant d'anciennes versions seraient les premiers touchés.

Culture, création et médias

Observé : pour la première fois dans ce dossier, un éditeur invoque un indice matériel, des balises dans des métadonnées, plutôt qu'un score de détecteur. L'auteur perd son éditeur et un contrat. Les lecteurs ont déjà acheté plus de 83 000 exemplaires en France, sans savoir ce qu'ils lisaient.

Vie quotidienne, relations et consommation

Observé : un distributeur choisit d'encadrer l'achat par agent par un profil dédié, un plafond de dépenses et un droit de retour, tandis qu'un autre bloque ces agents. Le client y gagne un mandat explicite, mais la responsabilité d'un achat raté dépend encore de la politique de chaque enseigne.

Plausible : si plusieurs enseignes adoptent des conditions propres aux agents, l'accès des agents au commerce pourrait se négocier enseigne par enseigne, par contrat, comme Meta l'a fait pour l'accès à des contenus. Les assistants gratuits comme Muse auraient alors besoin d'accords commerciaux pour acheter, ce qui avantagerait les plus gros acteurs.

Travail et emploi

Observé : Stanford HAI mesure un recul de l'emploi des 22-25 ans dans les métiers les plus exposés, sans pouvoir l'attribuer à l'IA seule. Dans l'enquête commandée par Monday.com, plus de la moitié des managers trouvent l'évaluation plus difficile. Les deux sources ont des limites exposées dans les faits marquants.

Éducation et formation

Observé : des étudiants indiens décrivent une contradiction entre des recrutements sur campus sans IA et des emplois où elle est centrale. Qui gagne ou perd dépend des établissements, la portée de l'étude restant limitée à 23 entretiens.

Environnement, énergie et ressources

Observé : à Memphis, une pause de 135 jours remplace un moratoire plus long, après un vote à égalité. Les riverains et les élus favorables au développement économique s'y opposent encore.


Sources



Partager