A la une Trois chercheurs de Hacktron AI ont enchaîné deux failles pour accéder à des comptes de salariés d’OpenAI, puis à son environnement GitHub interne. Leur point d’entrée : une bibliothèque de traitement d’images vulnérable utilisée par le forum communautaire. Une mauvaise configuration de l’authentification unique leur a ensuite permis de prendre le contrôle de comptes ChatGPT et Codex.Claude a joué un rôle décisif dans la mise au point de l’attaque.

Sollicité par les chercheurs, le modèle a analysé la bibliothèque, puis produit un exploit fonctionnel et l’a adapté à l’environnement du forum. Les chercheurs ont prouvé leur accès aux dépôts internes en créant une proposition de modification avec le compte Codex compromis d’un salarié, sans consulter le contenu des dépôts.L’opération, menée dans le cadre d’une recherche responsable, a pris moins de 72 heures. Les chercheurs ont signalé les failles après leur démonstration.

OpenAI indique avoir corrigé la faiblesse environ 14 heures après le premier signalement.L’essentiel NIS 2 : Failles exposées, périmètre incertain, loi en retard… les entreprises françaises face à un chantier qui n’attend pas. Alors que la France n’a toujours pas achevé la transposition de la directive européenne NIS 2, Board of Cyber a évalué l’exposition sur Internet de près de 22 000 organisations susceptibles d’entrer dans son champ. Seules 32,7% atteignent un niveau de maturité avancé et une petite fraction des entités concentre l’essentiel des vulnérabilités critiques.

Mais les entreprises se heurtent à une difficulté plus élémentaire : déterminer si elles sont réellement assujetties au futur texte.Cybersécurité : Airbus remporte un contrat pour sécuriser les échanges de données du ministère des Armées. La Direction générale de l’armement a choisi Airbus pour développer, produire et maintenir des passerelles capables de filtrer les échanges entre des réseaux de niveaux de classification différents au sein du ministère des Armées. Le contrat court sur 25 ans.5G, fibre, cybersécurité…

Les géants européens des télécoms mettent Bruxelles face à ses contradictions sur la souveraineté numérique. Un groupe d’opérateurs télécoms, dont Orange et Deutsche Telekom, appelle l’Union européenne à revoir deux réformes actuellement en discussion : le Digital Networks Act et le Cybersecurity Act. Il alerte sur le coût du retrait de certains équipements considérés à risque, qu’il chiffre jusqu’à 40 milliards d’euros.Avec l’aval de l’Otan, AWS peut proposer son cloud aux armées alliées pour traiter certaines de leurs données classifiées.

Amazon Web Services a obtenu l’aval de l’Otan pour que certains de ses services cloud puissent traiter des informations classifiées « NATO Restricted ». Cette approbation doit faciliter les projets des armées alliées. Chacune devra toutefois autoriser ses propres systèmes avant leur mise en service.La fuite de données de la semaine Académie de Créteil : des données d’élèves dérobées.

L’administration publique a annoncé le 21 septembre qu’une intrusion fin juillet avait permis l’extraction de données d’élèves, de leurs parents et de personnels. Sont concernés les noms, coordonnées, identifiants nationaux des élèves, notes et appréciations. Le nombre de personnes touchées n’a pas été précisé.La levée de fonds de la semaine 400 millions de dollars pour sécuriser l’accès des agents aux données.

La start-up américaine Cyera annonce un investissement de 400 millions de dollars de Goldman Sachs Alternatives, la division d’investissement sur les marchés privés. Elle veut réunir sur une même plateforme la protection des données et la gestion des identités pour contrôler ce que les agents IA peuvent consulter et faire dans l’entreprise. Les fonds doivent aussi soutenir son développement à l’international et auprès des administrations américaines.Le focus réglementaire et conformité Infraction au RGPD : amende ou rappel à l’ordre ?

Pour rendre les sanctions plus cohérentes d’un pays à l’autre, le Comité européen de la protection des données vient de dévoiler une nouvelle méthode pour aider les autorités à choisir entre une amende ou une autre sanction en cas de violation du RGPD. Elles doivent vérifier que l’infraction peut être sanctionnée financièrement et que l’organisme visé est bien responsable. Elles doivent ensuite examiner si la faute était intentionnelle ou due à une négligence, puis évaluer sa gravité et les circonstances aggravantes ou atténuantes.Le coin opérationnelLes certificats TLS ne seront bientôt valables que 47 jours : Tersedia s’appuie sur Klarion pour automatiser leur gestion.

Utilisés pour authentifier les sites et serveurs, chiffrer les échanges et garantir l’intégrité des communications, les certificats TLS sont indispensables à la sécurité des services numériques. Leur durée de vie maximale sera progressivement réduite de 398 à 47 jours d’ici à 2029, rendant leur gestion manuelle difficilement tenable. Pour automatiser leur inventaire, leur renouvellement et leur déploiement, Tersedia lance une offre managée reposant sur la plateforme de l’éditeur Klarion.