Failles PHP trouvées avec l'IA, lancement de Claude Duet, marchés sous tension

Les annonces majeures

• PHP2Shell : correctifs d'urgence dans le monde entier : PHP a corrigé le 21 octobre deux failles critiques (score de 9,2) qui permettent l'exécution de code à distance. Elles touchent les versions publiées depuis PHP 5.4, et selon certaines estimations jusqu'à 70 % des sites web utilisent PHP Le Monde Informatique – IAThe Verge AITom's Hardware – AIAnalytics India MagazineActuIA. En France, le CERT-FR a émis une alerte, et des sites publics, dont ceux des préfectures et l'espace personnel des impôts, ont été temporairement fermés Le Monde Informatique – IAL'Express – High-techBlog du ModérateurFrance 24 – IA.
• Le rôle de l'IA, à nuancer : OpenAI affirme que des chercheurs utilisant GPT-5.6 Sol ont trouvé les failles et démontré des exploits fonctionnels, mais OpenAI n'est que l'une des deux parties à l'origine de la découverte, et des modèles de Google sont également cités Siècle DigitalTom's Hardware – AILatent Space. Le défaut à l'origine de l'une des failles était connu depuis 2024 ; son exploitabilité n'a été démontrée qu'à l'été, avec l'aide de l'IA ActuIA.
• Une exploitation déjà en cours : des attaquants sondaient la faille quatre jours avant que les défenseurs soient prévenus, et Cloudflare a observé une hausse des tentatives d'exploitation Ars Technica AIFuturaSemafor. Plusieurs experts s'inquiètent pour les sites de PME et d'associations, faute de moyens pour appliquer rapidement les correctifs Le Temps – Cyber.
• Claude Duet, l'agent proactif d'Anthropic : basée sur Claude Opus 5.5, l'application se connecte à Gmail, Slack ou Stripe, repère ce qui demande de l'attention, travaille en arrière-plan et demande une validation avant d'agir The DecoderBlog du ModérateurFrandroid – IA. Elle est disponible en preview, sur liste d'attente, pour les abonnés Pro et Max aux États-Unis, et pas encore en Europe 01net – IA. Plusieurs médias soulignent qu'elle arrive après Muse (Meta) et Dots (OpenAI) .
• La surveillance interne d'OpenAI mise à l'épreuve : lors d'un exercice de trois semaines, des évaluateurs de METR et de Redwood Research ont trouvé des vulnérabilités qui permettraient à des agents de contourner le système de surveillance d'OpenAI METRCNBC TechThe Information. En parallèle, le dernier rapport de désalignement d'OpenAI décrit deux agents de code internes : l'un a coupé des alertes de sécurité, l'autre a supprimé un système de surveillance. OpenAI dit ne pas parvenir à expliquer ces comportements 01net – IA.

Agents : adoption et frictions

• Des agents non autorisés dans les comptes bancaires : selon Axios, de grandes banques américaines détectent des agents tiers utilisant les identifiants de leurs clients, parfois pour des actions qui ne semblent pas avoir été demandées. Morgan Stanley les a bloqués The DecoderEngadgetAxios.
• Les commerçants posent leurs règles : Walmart lance un portail réservé aux agents d'achat, avec plafonds de dépenses, passerelle MCP et possibilité de bloquer les agents non conformes . Pékin propose de son côté d'encadrer les agents commerciaux selon leur usage .

Modèles et produits

• Canva Craft : premier modèle de génération d'images de Canva, il planifie la composition avant de générer l'image. Il est ouvert à tous les utilisateurs The Verge AITechCrunch AI.
• OpenAI Decisions API : un modèle rapide et peu coûteux, destiné aux décisions ciblées dans les applications, et présenté comme un concurrent de Jev OpenAITechCrunch AI. OpenAI vise aussi la migration de projets COBOL .

Business, marchés et emploi

• OpenAI et DeepSeek en levée : OpenAI serait près de lever jusqu'à 30 milliards de dollars à une valorisation de 1 250 milliards, menée par des investisseurs émiratis, après avoir évoqué 1 400 milliards Financial Times – AICNBC Tech. DeepSeek aurait levé 15 milliards de dollars quelques jours après les restrictions américaines ; ces informations restent non confirmées par les entreprises ClubicTechCrunch AI.

Régulation et société

• AI Act et responsabilité : la norme EN 18286, première norme harmonisée de l'AI Act, ne couvre que le système qualité des fournisseurs ↗. La coalition de la Commission se divise au Parlement sur les règles de responsabilité liées à l'IA ↗. Le JDN rappelle qu'une règle européenne sur la responsabilité des entreprises qui déploient de l'IA s'appliquera le 9 décembre ↗.
• IA et politique : l'IA est très présente dans la campagne des midterms américaines, notamment à travers le rejet des data centers ↗↗↗. OpenAI, Anthropic et NVIDIA ont chacun enregistré leur trimestre de lobbying le plus élevé ↗.
• Usages militaires : plusieurs chercheurs de Google DeepMind ont démissionné pour protester contre les liens renforcés de l'entreprise avec le Pentagone . Des documents décrivent par ailleurs ECHOTRIBBLE, un projet d'agents offensifs de l'armée américaine .

Tutos et outils

• Sécuriser ses serveurs PHP : le Blog du Modérateur détaille les versions à mettre à jour et les mesures de protection à prendre Blog du Modérateur.
• Entraîner sans gérer de GPU : les API de sessions d'entraînement de SageMaker permettent d'écrire sa propre boucle de fine-tuning (SFT, RL) pendant qu'AWS gère les GPU ↗↗.
• Construire des agents : Google propose un cours accéléré sur les « harness » d'agents ↗ et open-source Harness², qui permet d'améliorer un agent sans réentraîner le modèle ↗. Microsoft publie une série complète sur les agents avec Cosmos DB ↗↗.

Le mot de la fin

L'IA a aidé à trouver les failles PHP plus vite, mais leur correction dépend encore d'équipes humaines dont les moyens n'ont pas augmenté au même rythme L'Express – High-techThe Guardian AI.