Le journal / Coffee Beans
IA, développement, stratégie. Ce que j’expérimente et ce que j’en retiens, pour éclairer vos prochains choix.
Retrouver CTO Log
En octobre, OVHcloud, Rank Math et 345 dépôts GitHub ont distribué du code malveillant sans que leur code source soit touché, pendant qu'un logiciel espion visait les sessions des assistants de code. Ce que ces cas ont en commun, et le plan d'action d'une PME, maillon par maillon.
Lire l’article
En une semaine, PHP, Ruby et Node.js ont tous publié des correctifs de sécurité pour leur moteur d'exécution. Quand personne n'est chargé de suivre ces versions, que faut-il mettre en place ? Où se cachent vos runtimes, de combien de temps vous disposez vraiment, la routine minimale, et que faire d'une version qui n'est plus supportée.
Lire l’article
Le LMS est embarqué en iframe dans l'intranet, branché au SSO de toute l'entreprise, nourri de paquets SCORM venus de prestataires, et rarement mis à jour. Moodle, Drupal et Chamilo ont tous corrigé des failles sérieuses ces derniers mois, et php2shell rappelle que le moteur compte aussi. Voici où regarder, et la checklist que j'utilise en audit.
Lire l’article
Deux failles critiques dans le moteur PHP, corrigées le 21 octobre, permettent d'exécuter du code à distance sans authentification sur un serveur web. Des sites gouvernementaux ont été coupés par précaution, Cloudflare a vu des attaques avant le correctif, et le plus dur commence : retrouver tout le PHP qu'on fait tourner, y compris l'oublié.
Lire l’article
DGFiP, AP-HP, Région Hauts-de-France, Carrefour, registre danois : les fuites de données de ces dernières semaines ont un point commun. L'attaquant est rarement entré par la porte principale de la victime, mais par un prestataire, un portail ou un outil exposé, grâce à une faille élémentaire. Pour une PME, le périmètre à protéger inclut désormais les accès et les outils de ses prestataires.
Lire l’article
Un agent IA, c'est un modèle plus tout ce qui l'entoure : consignes, outils, mémoire, boucles de vérification, revue. Google Research publie un framework qui améliore ce harness sans toucher au modèle, l'équipe Claude Code d'Anthropic y a déplacé l'essentiel de sa revue de code, et les études commencent à chiffrer l'écart. Pour un CTO de PME, la question utile n'est plus « quel modèle choisir ? » mais « qu'est-ce qui entoure le modèle, et comment je le mesure ? ».
Lire l’articleDe la lecture à la pratique
Une idée, un besoin, une question. Le premier pas, c’est d’en parler.
