TL;DR : une chaîne à trois failles est passée de main en main entre quatre groupes en six jours, un ver WeChat a été monté en une semaine avec de l’IA, et deux témoignages du jour rappellent qu’un chiffre annoncé sans preuve reste un chiffre annoncé.
1. BlueMoon : quatre groupes, une seule chaîne d’attaque
Proofpoint a donné un nom à une chaîne d’exploitation employée par quatre groupes d’espionnage distincts : BlueMoon. Nous n’avons pas pu ouvrir le billet de Proofpoint lui-même, et lisons donc le compte rendu d’Ars Technica et celui de The Hacker News, qui donnent les mêmes numéros. Elle enchaîne trois failles, une confusion de type dans le moteur V8 de Chrome (CVE-2026-85046), une lecture hors limites toujours dans V8 qui permet de sortir du bac à sable (CVE-2026-87491), puis un dépassement de tampon dans le mécanisme ALPC de Windows (CVE-2026-85880), qui donne les droits du noyau.
Ce qui compte n’est pas la chaîne, c’est sa circulation. APT31 l’emploie le 28 août contre des ONG et des négociants américains. Le 2 septembre, deux autres groupes s’en servent contre l’aéronautique américaine et un industriel vietnamien. Le 3, un quatrième vise des organisations publiques et financières en Indonésie et à Singapour. Six jours pour qu’un même outillage passe entre quatre mains.
Notre avis : la fenêtre de tir, c’est le délai entre un correctif publié et un correctif installé. Elle se referme en relançant Chrome.
2. Un ver zero-click sur WeChat, monté en une semaine
Calif Research a démontré WeWorm, un ver qui se propage par simple appel WeChat sur iOS et Android, sans que la victime touche à rien. L’équipe annonce deux jours pour trouver le bug et écrire un premier exploit, puis une semaine pour le ver complet, là où un tel projet demandait des mois.
Notre avis : la nouveauté n’est pas la faille, c’est le coût de main-d’oeuvre. Ce qui exigeait une équipe et un trimestre tient dans une semaine, et ce raccourci ne profite pas qu’aux chercheurs.
3. Un coffre Obsidian comme cache pour Claude Code
Un auteur de XDA a cessé de heurter les limites de Claude en arrêtant de lui donner des dossiers entiers. Il maintient un dossier d’index auto-généré, un fichier de schéma et un fichier de routage, et l’agent ne charge que les deux ou trois notes utiles. Son compte : environ 400 jetons pour les instructions, 400 pour le schéma, un à deux milliers par note, soit deux à quatre milliers par session au lieu d’un ordre de grandeur au-dessus.
Notre avis : ce sont ses estimations, pas une mesure reproductible. Le principe, lui, se vérifie ici tous les jours : ce qui coûte cher n’est jamais le travail, c’est ce qu’on charge pour rien.
4. Douze mille dollars de litiges, et aucune preuve
Un billet très partagé raconte sept mois de réclamations déléguées à un agent : plus de 12 000 dollars récupérés sur neuf dossiers, dont 6 813 dollars de pénalités annulées par le fisc américain. La méthode est banale et sérieuse : rassembler le dossier, lire les conditions générales, écrire, relancer, monter d’un cran vers le régulateur ou l’arbitrage.
Notre avis : aucune de ces sommes n’est documentée, ni capture, ni courrier, ni décision. La méthode vaut d’être connue, le total ne vaut rien tant qu’il n’est pas montré.
5. OtoDock est auto-hébergeable, il n’est pas libre
OtoDock fait tourner des agents sur votre serveur, avec bac à sable et connecteurs MCP, sous une présentation qui coche toutes les cases de l’auto-hébergement. Sa licence est une FSL-1.1-Apache-2.0 : gratuite jusqu’à cinq utilisateurs, et Apache 2.0 seulement deux ans après chaque version. Le dépôt comptait 108 étoiles ce matin, et il lui faut une clé Anthropic ou OpenAI pour servir à quelque chose.
Notre avis : « auto-hébergeable » décrit où tourne le logiciel, pas ce que vous avez le droit d’en faire. Les deux se lisent séparément, et la seconde question se pose avant l’installation. C’est pour ce genre de cas qu’on a mis un décodeur de licence au Labo.
