Neuf administrations pillées, douze failles Chrome et treize milliards pour Hugging Face. C’est les brèves du 04/09/26

Sommaire

• Chrome bouche douze failles. ChromeOS, lui, regarde passer les trains
• Google a mis une IA sur la sécurité de Chrome. Elle gagne 2,6 fois. Selon Google.
• Encore un ministère. Et encore une fois, c’est le voleur qui compte
  • A lire justement sur le sujet :
• NVIDIA achète Hugging Face. Et promet, la main sur le cœur, que ça restera ouvert
• De quel droit ?
  • Partager :

Quatre nouvelles, et un fil rouge qui n’est pas beau à voir. Âmes sensibles s’abstenir. Chrome bouche douze trous pendant que ChromeOS fait la sieste sur la branche d’avant. Google annonce une IA qui répare Chrome mieux que tout le monde. Et c’est Google qui tient le chronomètre. Un ministère de plus s’est fait vider, et devine qui a compté les victimes. Enfin, NVIDIA pose treize milliards sur la table pour acheter la plus grande bibliothèque de modèles ouverts du monde, en jurant qu’elle restera ouverte. Là c’est à voir demain. Tu es prêt ? On y va.

SÉCURITÉOFFICIEL

Chrome bouche douze failles. ChromeOS, lui, regarde passer les trains

Trois billets Chrome Releases le 3 septembre. Le canal stable pour ordinateur passe en 152.0.7977.82, avec douze correctifs de sécurité et douze failles nommées, dont une confusion de type dans le moteur V8. Windows voit même arriver la 153 en avance. Android suit. Bref, ça bouge.

Et ChromeOS ? Rien. Le dernier billet le concernant date du 2 septembre et porte le navigateur 151.0.7922.222. Soit la branche d’avant. Sans le détail des correctifs, en prime. Pendant ce temps, le navigateur a encaissé trente-huit correctifs en trois jours et entame déjà la branche suivante.

Le pire n’est pas là. Les notes officielles pour les entreprises et l’éducation listent toujours ChromeOS 151 comme version la plus récente. Dernière mise à jour : 11 août. Vingt-cinq jours. Un administrateur qui cherche la doc de la 152, passée en stable grand public le 1er septembre, ne la trouve nulle part. Alors oui, les deux cycles n’ont jamais été synchrones, personne ne dit le contraire. Mais l’écart se mesure, et il s’allonge.

Source : Chrome Releases : les trois billets du 3 septembre, versions et failles corrigées

IAÀ VÉRIFIER

Google a mis une IA sur la sécurité de Chrome. Elle gagne 2,6 fois. Selon Google.

La variante « Cyber » de Gemini 3.8 Flash produirait 2,6 fois plus de correctifs corrects que les meilleurs modèles commerciaux sur les failles de Chrome. Pour un coût 2,3 à 5,2 fois inférieur. Joli chiffre. Question toute bête : qui l’a vérifié ?

Personne. On a cherché. Aucune mesure indépendante n’existe. La seule corroboration mise en avant vient de Wiz, qui appartient à Google depuis 2026. Autrement dit, Google demande à sa filiale de confirmer les notes que Google s’est données. Le programme d’accès, baptisé FairWind, revendique plus de 650 partenaires dont CrowdStrike et Palo Alto Networks, mais ni les critères d’admission ni les modalités de suivi ne sont publics.

Récapitulons. Des mesures faites par Google, sur le code de Google, dans un programme fermé que personne ne peut reproduire. Ce n’est pas une accusation, c’est une description. Le chiffre est peut-être exact. Simplement, en l’état, tu n’as aucun moyen de le savoir. Et Google non plus, à vrai dire.

Source : The Hacker News : Google, Anthropic et OpenAI sortent leurs modèles cyber la même semaine, garde-fous compris

CYBERATTAQUECONFIRMÉ

Encore un ministère. Et encore une fois, c’est le voleur qui compte

Le ministère de la Transition écologique a reconnu, auprès de l’AFP, avoir subi une « attaque informatique sophistiquée » la semaine dernière. Sites indisponibles, messageries de directions départementales touchées, ANSSI sur le pont, signalement au parquet. Des préfectures avaient d’abord parlé d’un « incident informatique ». Le mot est joli. Il ne veut rien dire.

Maintenant, le chiffre. Tu as sûrement lu 22 822 personnes, dont 14 656 contrôleurs agréés et 8 166 utilisateurs. Il ne vient pas du ministère. Il vient d’un pirate au pseudonyme de « mondial », posté sur un forum criminel. Le ministère, lui, ne donne aucun chiffre. Aucun. Une reprise française présente pourtant ce décompte comme un élément du dossier officiel. Tu as noté qui compte les victimes ? Pas l’État. Le type qui les a volées.

Alors on a compté à sa place. Voici les neuf dossiers publics de 2026 qu’on a pu vérifier nous-mêmes, avec la seule colonne qui compte vraiment : celle qui dit qui a ouvert la bouche en premier.

Regarde bien la dernière colonne. Neuf dossiers, et l’administration n’a ouvert le sien elle-même que trois fois : le FICOBA en février, l’ANTS en avril, l’Éducation nationale en juillet. Les six autres, c’est le voleur qui les a annoncés.

Pour les impôts, c’est même plus gênant que ça. ZeroBytes publie son butin le 12 août. La DGFiP confirme ensuite l’accès illégitime, remontant à fin juin. Et Bercy lâche en conférence de presse le 18 août : « Nous n’avions pas connaissance du vol de données avant le 12 août ». Six semaines. Deux comptes d’agents compromis, bloqués l’un en juin, l’autre en juillet, et personne n’avait vu que les données étaient déjà parties. Ce n’est pas l’administration qui a découvert le vol. C’est le voleur qui le lui a appris.

Reste le chiffre. Il résiste encore mieux. Deux administrations seulement en ont avancé un : le FICOBA et l’ANTS. Depuis le 21 avril, plus une seule.

Un mot sur la ligne gendarmerie, pour éviter la confusion. Elle vise GendForm2, la plateforme de formation, et elle n’est pas confirmée. À ne pas mélanger avec l’autre dossier du ministère, CHEOPS, le portail d’accès aux fichiers de police : celui-là remonte à 2025, avec une intrusion du 9 novembre au 4 décembre, révélée le 13 décembre, et jusqu’à seize millions de personnes évoquées. Le ministre avait reconnu un accès à « un certain nombre de fichiers ». Les documents internes sortis en août 2026 donnent le détail : 37 serveurs de messagerie compromis sur 250, 96 fichiers de police exfiltrés. Point d’entrée ? L’ordinateur personnel d’un agent du ministère de l’Agriculture. Voilà. Pas une attaque de génie. Un coup de chance.

Et le décompte national ? Il n’existe pas. Le dernier chiffre officiel disponible est celui de 2025 : 1 366 incidents traités par l’ANSSI, dont 24 % visaient des ministères et des collectivités, et 196 exfiltrations de données contre 130 l’année d’avant. Pour 2026, rien. Un sénateur a posé la question au Premier ministre le 25 juin. Deux mois et demi plus tard, la réponse se fait attendre. Le pirate, lui, publie ses chiffres le jour même.

Source : La confirmation du ministère de la Transition écologique, sans le moindre chiffre

A lire justement sur le sujet :

RACHATOFFICIEL

NVIDIA achète Hugging Face. Et promet, la main sur le cœur, que ça restera ouvert

C’est signé, c’est daté, c’est chiffré au dollar près : 12 930 300 000 dollars. NVIDIA rachète Hugging Face, autrement dit le plus grand dépôt de modèles ouverts de la planète. Le vendeur des pelles s’offre la mine.

Jensen Huang a écrit deux phrases qu’il faudra pouvoir relire dans deux ans. La plateforme « restera une plateforme ouverte pour tout l’écosystème ». Et le calcul NVIDIA « ne sera pas requis » pour y construire ou y déployer. Note-les quelque part. On verra bien.

Ce qui manque est plus parlant que ce qui est dit. Pas de structure financière. Pas de calendrier de clôture. Pas un mot sur une notification à une autorité de concurrence. Pour une opération à treize milliards qui place la distribution des modèles ouverts sous la coupe du fournisseur dominant des puces qui les font tourner, le silence est remarquable. Aucune reprise ouverte ne pose la question. Nous, si.

Un détail pour la route. En juillet 2026, un modèle non publié d’OpenAI a provoqué une brèche chez Hugging Face. Son patron raconte que c’est un modèle ouvert de NVIDIA qui a aidé à la défendre, pas un modèle propriétaire. L’argument tombe bien, forcément. Il est quand même daté et vérifiable. Fais-en ce que tu veux.

Source : Le communiqué de Jensen Huang, avec les deux promesses d’ouverture noir sur blanc

De quel droit ?

Une fois de plus, c’est le silence radio du côté de l’État. L’ampleur et le volume des vols de données qui nous concernent tous sont systématiquement minimisés, alors même que ces fuites s’opèrent parfois avec une facilité déconcertante. Dès lors, le doute s’installe : nos gouvernants ont-ils seulement conscience de la gravité des cybermenaces ? Quelle est la légitimité de ces responsables qui se taisent et assurent que tout est sous contrôle alors que des cyberattaques massives frappent l’ensemble de la société ? La question de la confiance est désormais posée. De quel droit le pouvoir se permet-il d’occulter l’impact réel de ces failles ? Qui sont-ils pour imposer une telle opacité ? Et pourquoi s’arrogent-ils le droit de bafouer notre liberté de savoir ?