In partnership with
Temps de lecture : 5 minutes
Hello à tous 👋
Mercredi 21 octobre, l'équipe qui maintient PHP, le langage sur lequel tourne environ 70 % des sites web, a publié des correctifs d'urgence. En cause : deux failles critiques baptisées PHP2Shell, découvertes grâce à des modèles d'IA. Dans la foulée, des dizaines de sites ont été coupés le temps de se protéger.
Le lendemain, on apprenait que les grandes banques américaines repèrent des agents IA dans les comptes de leurs clients, connectés avec leurs propres identifiants. Et Anthropic lançait Claude Duet, un assistant qui vous écrit avant même que vous lui parliez.
Trois histoires de la même semaine, avec un point commun : l'IA agit désormais seule. Pour le meilleur, quand elle trouve une faille avant les pirates. Pour le plus inquiétant, quand elle déplace de l'argent sans qu'on le lui ait demandé.
// SÉCURITÉ · MONDE
🕳️ PHP2Shell : une IA trouve une faille dans 70 % du web
Mardi 20 octobre, l'équipe de PHP a rendu publiques deux failles critiques, baptisées PHP2Shell. PHP est un langage de programmation invisible pour le grand public mais omniprésent : il fait tourner WordPress, une grande partie des boutiques en ligne et des sites d'entreprise, soit environ 70 % du web selon les estimations reprises par la presse. Les deux failles permettent à un pirate, sans aucun identifiant, de prendre le contrôle du serveur qui héberge un site.
Particularité : ce sont des IA qui les ont trouvées. Un chercheur de la société Calif a utilisé GPT-5.6 Sol, un modèle d'OpenAI, dans le cadre de « Patch the Planet », un programme qui met l'IA au service de la chasse aux failles. La société de cybersécurité Wiz est arrivée au même résultat de son côté, avec les modèles de Google. OpenAI résume : « l'IA de pointe a trouvé ces failles avant les attaquants ».
Sauf que la course a mal tourné. Des tentatives d'attaque ont été repérées avant même l'annonce officielle, et une vidéo montrant comment exploiter les failles, publiée par erreur, a circulé sur des forums de pirates. Mercredi 21 octobre, PHP a publié ses correctifs d'urgence, et Amazon Web Services a prévenu que la faille était « désormais largement exploitée ». Des dizaines de sites aux États-Unis, au Royaume-Uni et ailleurs ont été mis hors ligne le temps de la mise à jour.
// BUSINESS · ÉTATS-UNIS
🏦 Des agents IA dans vos comptes : les banques disent stop
Jeudi 22 octobre, le site américain Axios a révélé que plusieurs grandes banques, dont JPMorgan, Bank of America, Wells Fargo, Citi et Morgan Stanley, ont détecté des agents IA à l'intérieur des comptes de leurs clients. Un agent IA, c'est un assistant capable d'agir seul : ouvrir un site, remplir un formulaire, valider une opération. Ici, ces agents se connectaient avec les identifiants des clients eux-mêmes, comme s'ils étaient le titulaire du compte. Certains ont déplacé de l'argent ou appelé le service client, parfois sans instruction explicite de la personne concernée.
Au moins cinq grandes banques restreignent ou bloquent désormais ces connexions. Certaines s'orientent vers un accès en lecture seule : l'agent peut consulter le solde, pas faire de virement. Jamie Dimon, le patron de JPMorgan, a prévenu : un client qui confie ses accès à un agent IA tiers pourrait devoir en assumer la responsabilité en cas de problème.
La leçon vaut aussi de ce côté de l'Atlantique : donner son mot de passe bancaire à un assistant IA, c'est confier ses clés à un tiers, même bien intentionné. L'agence américaine de protection des consommateurs en matière financière rappelle d'ailleurs que supprimer une application de son téléphone ne coupe pas forcément son accès à vos données bancaires. Avant de brancher un agent sur un compte, mieux vaut vérifier quelles autorisations lui sont accordées, et savoir comment les retirer.
// PRODUIT · MONDE
📲 Claude Duet : l'assistant IA qui vous écrit en premier
Mercredi 21 octobre, Anthropic, l'entreprise derrière l'assistant Claude, a lancé Claude Duet en avant-première. Le principe renverse la relation habituelle avec un chatbot : au lieu d'attendre vos questions, Duet vous envoie chaque matin un court résumé de ce qui compte dans vos applications connectées (emails, agenda, messagerie). Il revérifie ensuite toutes les quelques heures et ne vous alerte que si quelque chose demande votre attention.
Duet travaille sur son propre ordinateur dans le cloud, avec son navigateur : il continue même quand votre téléphone est éteint. Garde-fou important, et qui fait écho à l'histoire des banques : il demande votre accord avant toute action sensible, comme envoyer un message, payer, signer un document ou supprimer un fichier. Il fonctionne avec Opus 5.5, le modèle le plus avancé d'Anthropic, sur iPhone, Android et le web.
Pour l'instant, l'accès passe par une liste d'attente réservée aux abonnés Pro et Max aux États-Unis, sans surcoût : Anthropic l'inclut dans l'abonnement Pro à 20 dollars par mois, quand les agents Dots d'OpenAI démarrent à 100 dollars. Anthropic reconnaît une limite : Duet peut encore se tromper sur ce qui est vraiment urgent. La bataille de l'assistant personnel, celui qui gère votre journée avec vous, se joue désormais à trois entre OpenAI, Meta et Anthropic.
🧠 En Bref
01
💰 OpenAI cherche 30 milliards de dollars avant l'IPO d'Anthropic : OpenAI accélère sa levée de fonds pour boucler ses engagements avant l'introduction en Bourse de son rival, attendue en novembre. Les deux entreprises s'opposent aussi sur la façon de compter leur chiffre d'affaires.
MONDE
02
📢 La pub ChatGPT arrive dans 89 pays : OpenAI a ajouté 26 pays le 21 octobre et revendique plus de 100 000 annonceurs. En France, les annonces sont en place depuis fin août, uniquement sur les offres gratuite et Go. OpenAI
MONDE
03
📉 Wall Street s'inquiète de la facture de l'IA : la Bourse de New York a reculé le 22 octobre. Les géants américains du numérique devraient investir 745 milliards de dollars cette année, et les marchés attendent de voir les revenus suivre. Le Grand Continent
MONDE
04
🎙️ ChatGPT parle mieux et fait vos slides : des voix plus naturelles depuis le 15 octobre, et une fonction de création de présentations depuis le 16 octobre pour les abonnés payants et les offres entreprise. OpenAI
MONDE
05
🇰🇷 La Corée du Sud s'attaque aux pubs « dopées à l'IA » : l'autorité de la concurrence consulte jusqu'au 11 novembre sur des règles pour encadrer les produits vantés comme intelligents. Une première réponse officielle à l'étiquette « IA » collée partout.
MONDE
// L'OUTIL DE LA SEMAINE
🔐 Bitwarden : le gestionnaire de mots de passe qui évite de confier vos identifiants à n'importe qui, IA comprise.
Bitwarden range vos mots de passe et vos passkeys (la connexion sans mot de passe, par empreinte ou visage) dans un coffre chiffré, accessible sur ordinateur, téléphone et navigateur. Il génère un mot de passe différent pour chaque site et le remplit à votre place. Avec des agents IA qui demandent de plus en plus souvent vos identifiants, la règle reste simple : un mot de passe unique par service, et jamais collé dans une conversation avec un assistant.
// LE WORKFLOW DE LA SEMAINE
🤖 Le brief du matin : votre agent résume emails, agenda et messages avant 8 h
Dans cette rubrique, je partage chaque semaine une idée de workflow agentique à configurer dans Claude Work ou ChatGPT Work : des automatisations concrètes pour gagner du temps au travail, ou même dans le perso. Simple à mettre en place, personnalisable pour vous ou toute une équipe.
Chaque matin, on ouvre sa boîte mail, son agenda et Slack, et on passe vingt minutes à trier. Claude Duet promet de le faire pour vous, mais il n'est accessible qu'aux États-Unis, sur liste d'attente. Ce workflow reproduit l'idée dès aujourd'hui, avec une règle de base : l'agent propose, vous validez.
Instructions à coller dans le système du projet :
Tu es mon assistant de début de journée. Chaque jour ouvré à [HEURE], effectue les tâches suivantes.
1. Consulte mes emails reçus depuis la veille au soir, mon agenda du jour et les messages Slack des canaux : [CANAUX].
2. Classe ce que tu trouves en trois groupes : à traiter aujourd'hui, peut attendre, pour information.
3. Pour chaque réunion du jour, ajoute une ligne de contexte : avec qui, sur quel sujet, et le dernier échange avec ces personnes.
4. Recherche sur le web toute actualité récente concernant [CLIENTS OU PARTENAIRES CLÉS] présents dans mon agenda.
5. Envoie le résumé par email à [ADRESSE EMAIL], en 15 lignes maximum, avec l'objet : "Brief du [DATE]".
6. Ne réponds jamais à un email et n'envoie aucun message en mon nom : tu proposes, je valide.
Connecteurs à activer : 🔍 Web Search · 📧 Email · 📨 Slack · 📱 iMessage
// LE FOCUS · BOURSE
📊 Le Focus : CrowdStrike, le garde du corps des ordinateurs d'entreprise
Le business. $CRWD ( ▼ 0.59% ) est une entreprise américaine de cybersécurité fondée en 2011 par George Kurtz et Dmitri Alperovitch. Sa plateforme Falcon surveille en continu les ordinateurs, les serveurs et les environnements cloud de ses clients pour détecter et bloquer les attaques. Le grand public l'a découverte en juillet 2024, quand une mise à jour défectueuse de son logiciel a bloqué des millions d'ordinateurs Windows dans le monde, des aéroports aux hôpitaux. L'entreprise s'en est remise et a depuis ajouté un assistant IA, Charlotte AI, pour aider les équipes de sécurité à trier leurs alertes.
La semaine. PHP2Shell illustre le scénario sur lequel parie CrowdStrike : des failles trouvées plus vite grâce à l'IA, des attaques lancées avant même que les correctifs soient disponibles, et des entreprises qui doivent savoir en quelques heures si quelqu'un est déjà entré chez elles. Quand AWS annonce qu'une faille est largement exploitée, mettre à jour ne suffit plus : il faut vérifier qui est passé par la porte avant qu'elle soit fermée.
Où ça peut aller. La thèse : si l'IA accélère la découverte de failles pour les défenseurs comme pour les attaquants, le délai entre une faille et son exploitation se réduit, et la détection en continu devient indispensable. Le pari en une phrase : plus l'IA trouve de failles, plus les entreprises ont besoin de quelqu'un qui surveille leurs machines jour et nuit. Risque principal : la concurrence de Microsoft, qui intègre ses propres outils de sécurité à Windows et à son cloud, et de Palo Alto Networks.
Ce contenu est informatif uniquement, et ne constitue pas un conseil en investissement.
// CONTENU DE LA SEMAINE
📰 Axios : « Black October », quand les failles trouvées par l'IA déclenchent une urgence cyber
Axios revient sur les jours qui ont suivi l'annonce de PHP2Shell : la découverte des failles par l'IA, la vidéo publiée par erreur, les sites coupés en urgence et les attaques qui ont devancé les correctifs. Un bon résumé à transmettre à votre direction ou à votre prestataire web pour ouvrir la discussion sur la mise à jour de vos sites.
// VOTRE AVIS
Laisseriez-vous un assistant IA se connecter à votre compte bancaire ?
Se connecter ou S'abonner participer
// SUIVEZ-NOUS
L'actu IA de la semaine en images sur Instagram. Carrousels à transmettre à vos équipes, visuels résumés des sujets de l'édition.
Olivier d'Incroyable.ai
// SPONSOR
Why Overseas Producers Can't Undercut Atlas Salt, Even for Free
Cities are already running short on road salt, and winter hasn't even started. Some supply bids are going unanswered, prices have nearly doubled in parts of the market, and the backup plan is two weeks away by boat. Here's why Atlas Salt (TSXV: SALT | OTCQX: SALQF) can get salt to the people who need it most, faster and cheaper than anyone shipping from overseas:
• Three days by ship to Boston, not fourteen
• Shallow deposit that's cheaper and faster to mine
• Projected C$188M a year in free cash flow
• Export Development Canada interested in lending C$150M
• Early supply deal with top U.S. salt distributor