Si vous ne retenez qu’une chose : si vous administrez une passerelle de messagerie Kiteworks, passez en 9.4.1 aujourd’hui, la faille se déclenche sans mot de passe.
1. Un modèle de 0,8 milliard fait le tri devant un 27B
Un développeur publie Jeff, un modèle de décision de 0,8 milliard de paramètres bâti sur Qwen3.5, avec neuf adaptateurs LoRA spécialisés (tri de tickets, garde-fou, spam, clauses juridiques…). Placé en première ligne, il tranche seul quand il est sûr de lui et ne passe la main au gros modèle que dans le doute. Sur huit tâches mesurées par son auteur sur un M4 Max, la cascade atteint 95,3 % de bonnes réponses contre 86,6 % pour Qwen3.8-27B seul, en 0,25 s par décision contre 8,11 s. Le « 39 fois plus rapide » de l’annonce est une moyenne géométrique ; le rapport des temps moyens donne environ 32. Jeff et son adaptateur tiennent en 1,5 Go, le 27B en demande environ 30.
Notre avis : c’est exactement ce que font les modèles de décision qu’Ollama vient d’ouvrir, et que nous avons passés au banc ce soir. Le travail d’un seul auteur, à reproduire avant d’y croire tout à fait.
2. La FTC enquête sur les agents d’IA incontrôlés
Selon Reuters, repris par BNN Bloomberg, un haut responsable de la Federal Trade Commission annonce des demandes formelles d’information et des auditions de dirigeants chez OpenAI, Anthropic et METR, l’organisme qui évalue les modèles pour leur compte. La question : ces entreprises ont-elles trompé le public sur les dangers de leurs agents, après la série d’incidents ouverte en juillet par l’attaque d’agents d’OpenAI contre Hugging Face. Aucun communiqué officiel à ce stade, et aucune des trois n’a répondu.
Notre avis : c’est la transparence qui est visée, pas la technique. METR dans la liste, c’est l’auditeur qu’on interroge en même temps que les audités.
3. Kiteworks : une faille notée 10 sur 10, trouvée via YesWeHack
Kiteworks a publié son avis de sécurité pour CVE-2026-54154, note CVSS de 10.0. Sur sa passerelle de messagerie (Email Protection Gateway) avant la version 9.4.1, un attaquant à distance, sans authentification, pouvait combiner une traversée de répertoires et une injection de code pour exécuter ce qu’il voulait, jusqu’à prendre la main sur l’appareil. Les trois chercheurs crédités sont passés par YesWeHack, la plateforme française de chasse aux bugs.
Notre avis : l’éditeur avait demandé à ses clients d’éteindre leurs serveurs la semaine dernière. Si le vôtre est rallumé sans la 9.4.1, il est ouvert.
4. Pangolin 1.24 devient un vrai VPN
Pangolin, l’outil auto-hébergé qui expose ses services sans ouvrir de port chez soi, ajoute des nœuds de sortie : un appareil peut désormais faire passer tout son trafic internet par un des sites de son réseau, choisi selon la latence, le débit et la disponibilité. Le Mac et l’iPhone se connectent tout seuls au démarrage, une machine Linux peut servir de routeur pour tout un sous-réseau. Il faut au moins Newt 1.18.0 et des clients récents (0.12.0 sur Mac, 0.15.0 sur Windows).
Notre avis : il lui manquait ce bouton pour remplacer un VPN commercial en voyage. Il faut toujours un serveur public pour l’héberger.
5. Bilibili ouvre ses modèles de traduction
Le géant chinois de la vidéo publie Index-Translate sous licence Apache 2.0 : des modèles de 2 et 9 milliards de paramètres, bâtis sur Qwen3.5, qui traduisent du texte dans 150 langues, plus un 35B en préversion. Des variantes traduisent la parole, doublent une vidéo ou ajustent le nombre de syllabes pour le sous-titrage, mais sur peu de paires : du chinois vers l’anglais, l’espagnol et le japonais, essentiellement.
Notre avis : un traducteur ouvert de 2 milliards de paramètres, c’est de quoi traduire chez soi. Pour le doublage en français, il faudra attendre.
