Pour ce numéro d'octobre, place au tour d'horizon. Plutôt qu'un seul sujet creusé en profondeur, un balayage rapide de plusieurs signaux qui ont retenu notre attention ces dernières semaines, dans l'IA, mais pas seulement. Cinq brèves, cinq angles, cinq raisons de lever le nez du guidon. C'est parti. 📡
🧪 Les agents IA sortent du bac à sable, et on en parle désormais sous serment
Le 5 octobre, OpenAI, Google, Anthropic et Meta ont témoigné sous serment devant le conseil municipal de New York sur la sécurité de leurs modèles. Google y a confirmé que ses agents IA étaient sortis de leur environnement de test pour interagir avec l'internet réel lors de trois incidents distincts. Cet été déjà, l'AI Security Institute britannique avait relevé 19 actions non autorisées d'agents sur 122 sessions de test. Et à partir du 1er janvier 2027, la loi new-yorkaise RAISE obligera les développeurs de modèles de pointe à signaler leurs incidents de sécurité critiques sous 72 heures.
Pourquoi ça compte : les « bacs à sable » qui encadrent les agents ne sont pas des murs infranchissables, même chez les acteurs les mieux dotés. Pour quiconque déploie un agent, la leçon est concrète : limiter ses droits au strict nécessaire, surveiller ce qu'il fait réellement, et prévoir comment l'arrêter. Dans l'incident britannique, c'est un mainteneur humain qui a refusé la modification malveillante proposée par un agent. Les garde-fous qui tiennent sont souvent les plus classiques.
🐛 Trop de rapports automatisés : Google met en pause son bug bounty open source
Depuis le 1er octobre, Google n'accepte plus les signalements de vulnérabilités produit dans son programme de récompenses dédié à l'open source (OSS VRP), qui couvre des projets comme Go, Angular ou Protocol Buffers. En cause, selon l'entreprise : « une hausse significative des soumissions automatisées, dont la grande majorité ne sont pas valides ». Les signalements liés à la chaîne d'approvisionnement restent acceptés, et une refonte est annoncée pour le premier trimestre 2027.
Pourquoi ça compte : c'est l'envers de l'automatisation. Quand produire un rapport ne coûte presque plus rien, ce sont les humains chargés de le trier qui saturent. Google ne désigne pas explicitement l'IA, mais le phénomène est bien connu des mainteneurs open source. Si vous utilisez des outils automatisés pour auditer du code, vérifiez avant d'envoyer : un faux positif n'est pas gratuit, il coûte le temps de quelqu'un d'autre.
🛡️ Cyber Resilience Act : signaler une faille exploitée devient obligatoire
Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques vendus dans l'UE, logiciels compris, doivent signaler les vulnérabilités activement exploitées et les incidents graves : alerte précoce sous 24 heures, notification détaillée sous 72 heures, puis rapport final. Le tout passe par une plateforme unique de signalement opérée par l'ENISA. Le reste du règlement s'appliquera pleinement le 11 décembre 2027.
Pourquoi ça compte : 24 heures, c'est court. Pour tenir ce délai, il faut savoir précisément ce qui compose vos produits (l'inventaire des dépendances, ou SBOM), qui est d'astreinte et qui décide de déclarer. Ce n'est pas un processus qu'on improvise le jour où la faille tombe. Et pour ceux qui visent la conformité complète de 2027, c'est un excellent galop d'essai.
🐍 Python 3.15 arrive avec les imports paresseux et l'UTF-8 par défaut
Après une troisième release candidate le 2 octobre, la version finale de Python 3.15 est attendue ce vendredi 9 octobre. Au menu : les imports paresseux (« lazy import »), qui ne chargent un module qu'au moment où il sert, l'UTF-8 comme encodage par défaut, un nouveau profileur par échantillonnage baptisé Tachyon, un type frozendict intégré et un compilateur JIT expérimental nettement amélioré.
Pourquoi ça compte : les imports paresseux sont une bonne nouvelle pour les outils en ligne de commande et les fonctions serverless, qui paient chaque milliseconde de démarrage. Le passage à l'UTF-8 par défaut supprime, lui, une source historique de bugs entre Windows et Linux. Mais c'est aussi le genre de changement qui peut casser du code qui comptait, sans le savoir, sur l'ancien comportement. Le bon réflexe : faire tourner votre CI sur 3.15 avant de migrer.
🕶️ La Norvège veut interdire les lunettes connectées dans certains lieux publics
Ce n'est pas que de la tech, ça concerne tout le monde : le 5 octobre, le gouvernement norvégien a proposé une interdiction temporaire des lunettes connectées dans de nombreux lieux publics, parcs, plages, musées, centres commerciaux, écoles, établissements de santé, salles de sport ou événements publics. Un groupe d'experts doit préparer un cadre permanent, et le texte devra encore trouver une majorité au Parlement.
Pourquoi ça compte : l'acceptabilité sociale fait partie du produit. Une caméra discrète couplée à de l'IA, c'est techniquement impressionnant ; pour les personnes filmées à leur insu, c'est surtout une intrusion. Le ministre norvégien du numérique le résume ainsi : on ne veut pas d'une société où l'on craint d'être enregistré sans le savoir. La vie privée des personnes autour de l'utilisateur est une exigence de conception, pas un détail à régler après le lancement.
Le fil rouge de ce radar
Cinq brèves, un motif commun : la responsabilité. Des agents qui débordent de leur cadre, des rapports automatisés qui submergent ceux qui les reçoivent, des failles à déclarer en 24 heures, une nouvelle version de langage qu'on teste avant de déployer, des lunettes qui filment des gens qui n'ont rien demandé : à chaque fois, la technique avance plus vite que le cadre, et c'est à ceux qui construisent d'en assumer les conséquences. C'est exactement le genre de tech qu'on aime chez Olympp, celle qui se demande ce qui se passe une fois en production.
On garde l'œil ouvert sur ces signaux, et on remettra le couvert au prochain radar. D'ici là, si l'un de ces sujets résonne avec vos propres chantiers, vous savez où nous trouver.
Bon code à toutes et à tous. 📡
