TL;DR : cinq histoires, une seule idée. Un garde-fou n’existe pas parce qu’il est écrit : il existe quand quelqu’un l’applique. Un correctif publié qu’on n’installe pas, une diode qu’un autocollant recouvre, un contrat qu’on résilie, une règle qu’il faut cinq semaines à voter.
1. OpenAI coupe ses modèles à Cursor
OpenAI met fin au contrat qui fournissait ses modèles à Cursor, avec une date de coupure proposée au 12 novembre 2026. La raison tient à qui possède désormais l’éditeur : SpaceX a racheté Anysphere, sa maison mère, pour 60 milliards de dollars en titres, opération close à la mi-août. Dans sa décision, reprise notamment par The Star, OpenAI dit ne pas pouvoir être certain que SpaceX respectera ses conditions d’utilisation, et cite deux précédents : le contrat rompu par Twitter après son rachat, et le témoignage sous serment de Musk reconnaissant que xAI les avait enfreintes.
Pour qui code avec Cursor, la leçon n’est pas dans la querelle : un assistant de développement repose sur un fournisseur de modèles, et ce fournisseur peut fermer le robinet en un courrier. C’est une dépendance de chaîne d’approvisionnement, comme une bibliothèque non maintenue.
2. Une faille Gitea notée 9,8 traîne sur 8 300 serveurs
CVE-2026-60004 : un compte ayant un simple accès en écriture sur un dépôt peut faire exécuter des commandes avec les droits du compte système qui fait tourner Gitea, par l’API diffpatch et une rustine en conflit qui dépose un fichier exécutable en crochet Git. Toutes les versions de la 1.17 à celles antérieures à la 1.27.1 sont touchées, et cette 1.27.1 est sortie le 27 juillet. L’agence américaine de cybersécurité l’a inscrite le 25 août à son catalogue des failles activement exploitées, et plus de 8 300 instances exposées ne sont toujours pas à jour.
Si vous hébergez un Gitea, le numéro de version est en pied de page. Le regarder prend dix secondes.
3. Meta ferme la faille de l’autocollant
Les lunettes Meta refusaient déjà de démarrer un enregistrement si la diode de capture était masquée. Il suffisait donc de filmer d’abord et de couvrir ensuite. C’est corrigé : « la caméra s’arrête maintenant si la lumière est couverte pendant un enregistrement », dit Alex Himel, vice-président chargé de la réalité augmentée, dans l’article d’Engadget. Deuxième correction en moins de deux mois.
Le même article rappelle que des autocollants vendus deux dollars contournent déjà la protection. Un garde-fou qui se neutralise pour le prix d’un café reste un garde-fou de façade.
4. GLM-5.3 passe en poids ouverts, et sait trouver des failles
Z.ai publie les poids de GLM-5.3, 753 milliards de paramètres, sous sa propre licence et non en MIT comme la version Flash. Ce qui frappe dans la fiche du modèle n’est pas le code, c’est la sécurité offensive : 84,5 sur CyberGym, revendiqué comme état de l’art pour la découverte de vulnérabilités, 105 et 130 sur ExploitGym. Z.ai écrit elle-même que « la capacité cyber s’est développée plus vite que prévu ».
Rapprochez cette phrase du point 2, et vous avez la journée en entier : le temps entre la publication d’un correctif et son installation était déjà trop long. Il vient de devenir la seule chose qui protège.
5. Debian a voté sur le code écrit avec une IA
Cinq semaines de débat, huit propositions allant de l’interdiction inscrite au contrat social au refus au nom du climat, un scrutin clos le 28 août : c’est « usage responsable de l’IA générative » qui l’emporte. Ni encouragement, ni interdiction, et le contributeur reste responsable de ce qu’il propose. Le détail est sur la page du scrutin.
Beaucoup de projets appliquent déjà cette règle sans l’avoir écrite. La différence, chez Debian, c’est qu’elle est votée : elle s’oppose à un mainteneur, elle ne dépend plus de son humeur.
