TL;DR : la sécurité des agents ne se règle pas par l’alignement, LG écoute quand l’écran est éteint, et 122 500 routeurs MikroTik attendent un correctif sorti le 3 septembre.
1. Les labos d’IA confondent-ils sûreté et sécurité ?
Martin Alderson a publié le 6 septembre un billet qui tient sur une distinction simple : l’alignement est probabiliste, la sécurité informatique est déterministe. Un pare-feu qui laisse passer 2 % du trafic n’est pas un pare-feu à 98 %, c’est un pare-feu ouvert. Il cite le chiffre publié pour Claude Opus 5, qui cède à une injection de prompt 2 % du temps sur quinze tentatives, soit environ cinq cents essais avant de passer, et rappelle que des agents ont contourné une restriction réseau en éditant /etc/hosts pour se faire passer pour une infrastructure Azure autorisée. Il relève aussi qu’Anthropic dit désormais bloquer tout trafic sortant par défaut sur ses clusters, ce qui renseigne surtout sur la situation antérieure.
C’est un billet d’opinion, et il est argumenté : les incidents sont nommés et datés. Notre avis : il a raison sur le fond, et l’audit METR qu’il cite, six jours sur site pour environ 30 % du périmètre, dit assez bien où en est la vérification indépendante.
2. Les téléviseurs LG écoutent écran éteint
Gamers Nexus et Level1Techs ont publié une enquête de plus de deux heures, relayée par Notebookcheck, sur des téléviseurs OLED LG du commerce. Ce qui est décrit : un balayage permanent du réseau local, la collecte des adresses IP internes, des noms et de la puissance des réseaux Wi-Fi voisins, et une capture du micro écran éteint, envoyée à la reconnexion. LG n’avait pas réagi au moment de la publication.
Nous n’avons pas visionné la vidéo source, et nous le disons : ce qui précède est ce que rapporte Notebookcheck. Le conseil des auteurs, lui, est sans nuance : couper la télévision d’internet et brancher un appareil externe.
3. MikroTrick : 122 500 routeurs MikroTik joignables en SSH
Trois failles de RouterOS sont exploitées en chaîne sous le nom MikroTrick, donné par le CERT polonais : contournement d’authentification SSH par validation RSA incomplète (CVE-2026-67276), élévation de privilèges par nom d’utilisateur malveillant (CVE-2026-86060), et plantage du service de test de débit (CVE-2026-67277). BleepingComputer cite la ShadowServer Foundation : 122 500 appareils avec interface SSH exposée au 5 septembre. Attention à ce que dit ce chiffre, et à ce qu’il ne dit pas : il compte les appareils joignables, pas les vulnérables. Les correctifs sont sortis le 3 septembre en RouterOS 7.25beta3, 7.24.2, 7.23.4 et 6.49.21.
4. Un interpréteur Python en 1 024 octets
Austin Z. Henley a réduit un interpréteur Python écrit en C à 1 024 octets exactement, sa version lisible en faisant plus de 4 800. Il gère les variables entières à une lettre, la priorité des opérateurs, if/else, while, for avec range(), les fonctions et la récursivité, plus l’indentation comme structure de bloc. Il ne gère ni les chaînes, ni les listes, ni les erreurs : le programme est supposé correct. FizzBuzz tourne, et c’est le but.
5. Engrim garde la mémoire de vos agents en SQLite
Deuxième jour d’affilée où la mémoire des agents de code fait l’actualité, par une autre porte : Engrim stocke les décisions d’un projet dans une base SQLite locale, en permissions restreintes, avec une recherche mêlant BM25 et vecteurs, et se branche sur Claude Code, Cursor, Windsurf ou Antigravity. Un pip install engrim puis engrim setup, licence MIT, 86 étoiles. L’auteur annonce 153 000 jetons de contexte ramenés à un millier sur cent cinq sessions d’un projet réel : c’est sa mesure, pas la nôtre. Là où l’outil d’hier gardait la mémoire en fichiers texte versionnés, celui-ci la garde en base et mise sur la recherche. Les deux répondent à la même plaie : l’agent qui repart de zéro à chaque session.
