Bonjour, et bienvenue dans votre Journal Centscinq du vendredi 13 novembre. Google déroule son plan Gemini 4 avec l’ouverture de Hydrogen au grand public, le monde du développement frissonne après une campagne de vol de secrets à grande échelle sur GitHub Actions, et l’humanoïde s’installe sérieusement — de l’usine ASUS aux entrepôts GXO. Voici le point, rubrique par rubrique.
Illustration : éclair bleu ionisé traversant un flux de code, générée par IA (SDXL sur infrastructure maison) — l’info du jour, Gemini 4 Hydrogen disponible pour tous.
Hacking et risques cyber
Tempête « wfx-loot » sur GitHub Actions. Depuis le 10 novembre, un attaquant a utilisé les identifiants de 4 837 comptes GitHub compromis pour tester l’accès en écriture sur plus de 61 700 dépôts via des pull requests innocentes intitulées « docs: dependency audit notes ». Le script voleur de secrets (à peine 1 500 lignes, non obfusqué) a tourné dans au moins 1 806 dépôts — jetons GitHub, crédentials cloud AWS/Azure/GCP, tokens npm et PyPI, clés d’IA inclus — avant que l’attaquant ne révoque ses commits et supprime les logs. Conséquence pratique : tout secret lisible par les workflows de ces dépôts doit être considéré comme compromis, et toute machine ayant exécuté un postinstall npm infecté comme infectée. Source (The Hacker News, 12 novembre)
ScreenConnect : les MSP infectés, 48 organisations touchées. Détectée le 11 novembre par Huntress, une campagne active a compromis au moins six MSP et 288 endpoints dans 48 organisations, via une faille d’authentification de l’extension tierce RMM+ (versions 1.0.31 et 1.0.32) qui contournait le MFA de ScreenConnect. Le kit « SCKit » tentait ensuite de se propager du poste client vers la station de travail du technicien (CVE-2026-84869) ; ConnectWise a désactivé cinq extensions dans environ 400 environnements partenaires et recommande de ne plus ouvrir de session interactive vers un poste suspect. Source (The Register, 12 novembre)
Maersk confirme la fuite, WhiteArmor réclame 5 M$. Le 11 novembre, le géant du transport maritime a confirmé qu’un système hérité de LF Logistics a été compromis et qu’environ 100 Go de données ont été exfiltrés, dont — selon les analystes cités par la presse spécialisée — plus de 16 000 mots de passe de chauffeurs en clair. WhiteArmor réclame 5 M$ sous 30 jours ; Maersk déclare l’incident « isolé » et nie toute divulgation de données sensibles. Source (BleepingComputer, 11 novembre)
Landmark Group notifie les membres Shukran. Depuis mardi 11 novembre, le programme de fidélité du groupe dubaïen alerte ses membres d’un accès non autorisé à des noms, coordonnées et dates de naissance ; les cartes bancaires et mots de passe échappent à l’incident. Le groupe d’extorsion N0n a revendiqué l’attaque vers le 10 novembre en publiant sur son leak site un index de recherche sémantique de 28,7 Go et plus de 3,3 millions de lignes de catalogue. Source (The National, 11 novembre)
Nouveautés IA
Gemini 4 Hydrogen pour tous. Annoncé le 12 novembre, le nouveau modèle de Google DeepMind abandonne le branding « Flash » : contexte natif d’un million de tokens, tâches terminées 2,5× plus vite au réglage par défaut, score Terminal-Bench 4.1 triplé (57 % contre 18,2 % pour Gemini 3.8 Flash) et hallucinations divisées par plus de 5. Il est immédiatement disponible dans l’application Gemini, la recherche Google, AI Studio et l’API (offerte et payante), à 1,50 $/7,50 $ par million de tokens, et devient le modèle par défaut de l’agent Antigravity — avec un « Orchestrator » qui bascule entre Carbon et Hydrogen en cours de session, 24 % de quota en moins. Source (blog.google, 12 novembre)
Gemini Decisions API : 1 000 questions en un passage. Le 11 novembre, Google a ouvert son endpoint de décisions fermes, piloté par Gemini Decision 1 : jusqu’à 1 000 questions oui/non, choix multiples (2 à 255 options) ou rubriques notées sur un même support multimodal (texte, images, audio, vidéo, PDF, 256K tokens max), avec scores de confiance, latence de 150 à 250 ms et tarif de 0,10 $ par million de tokens d’entrée, sortie facturée zéro. Un positionnement frontal sur le routage d’agents et les vérifications de politique, en concurrence avec Jev (TypeSafe) et la Decisions API d’OpenAI. Source (blog.google, 11 novembre)
Runway ouvre les poids de Praxis-1 (11 novembre). Fait daté : le modèle de robotique qui combine prédiction vidéo et prédiction d’actions (27 milliards de paramètres) est publié sous licence Apache-2.0, avec le code d’inférence et le fine-tuning (LoRA inclus). Sur RoboLab-120, il devance FLUX 3 Action (46,2 % contre 42,9 %) et Cosmos3 Nano. Une option rare de VLA ouvert pour les équipes robotiques. Source (Aivor, 11 novembre)
Nouveautés Hermes
Pas de release majeure sur les 72 dernières heures ; deux faits datés à suivre. D’abord, Hermes Agent v0.23.1 (9 novembre), patch release qui ajoute le backtrack « Esc » dans le TUI et le CLI, des group chats qui tournent sur un gateway sans Desktop, la signature du navigateur intégré avec le profil réel, « hermes gateway attach », « hermes clipboard image » et une nouvelle API de plugins (variables d’environnement de session, hooks on_session_open et post_curator_run). Source (GitHub). Ensuite, le plugin officiel hermes-security (8 novembre) : il construit un threat model du dépôt, identifie les entrées d’attaquant, écrit de petites reproductions exécutées dans une copie temporaire du répo, et exporte les rapports en Markdown, JSON, CSV ou SARIF. Source (Tekedia, 8 novembre)
Robotique
ASUS détaille Gallop, son humanoïde d’usine. Dans un billet du 13 novembre, Dr Albert Chang présente le premier poste de travail de Gallop : l’emballage d’accessoires de cartes mères (15 petites pièces, certaines dans des sachets transparents) dans une usine EMS du groupe, avec un objectif de 99,5 % de réussite sous 20 secondes par carte — le même standard qu’un opérateur humain. L’architecture modulaire permet de changer les modèles d’IA sans reconstruire le robot ; pilotes clients en 2027, commercialisation à l’automne 2028. Source (ASUS Pressroom, 13 novembre)
GXO s’engage sur jusqu’à 1 000 humanoïdes Apollo. Le 12 novembre, le logisticien a signé une lettre d’intention avec Apptronik pour déployer jusqu’à 1 000 Apollo dans ses entrepôts d’Amérique du Nord d’ici 2031, sur quatre ans — dans la foulée du résultat de 96 % de réussite mesuré sur les lignes de production Mercedes-Benz cette semaine. Source (The Robotics Media, 12 novembre)
JPMorgan : 300 000 à 400 000 humanoïdes produits aux États-Unis d’ici 2030. Analyse du 12 novembre : la banque prévoit 1,5 million d’unités d’ici 2035, mais le goulot n’est pas la demande — ce sont les mains, les actionneurs et le calcul embarqué qui limiteront la cadence de production. Source (The Robotics Media, 12 novembre)
Pékin vise cinq champions nationaux d’humanoïdes d’ici 2028. Le plan d’action « embodied intelligence » publié le 11 novembre fixe un cap industriel pour la période 2026-2028 : au moins cinq fabricants de classe mondiale et dix leaders nationaux chinois dans la robotique humanoïde. Source (Aivor, 11 novembre)
Xinhua et UBTECH déploient leurs présentatrices bioniques (fait daté). Xinyan et Xinyu, deux humanoïdes grandeur nature à peau bionique dont le réalisateur Zhang Yimou est le directeur de conception, ont lécrit l’actualité en direct lors du World Media Summit de Pékin fin octobre — branchées sur l’agent d’information de l’agence pour éviter les dérives génératives, une première pour un média d’État chinois. Source (Aju Press, 8 novembre)
À retenir aujourd’hui. La chaîne d’approvisionnement logicielle est le front chaud : GitHub Actions, ScreenConnect et ses extensions tierces sont des cibles actives — si vous administrez des CI/CD ou du RMM, vérifiez l’historique Run Command, révoquez les tokens et évitez les sessions interactives vers un poste suspect. Côté IA, le vrai changement, c’est le segment des « décisions fermes » à moins d’un dixième de dollar : le routage d’agents va basculer sur des modèles spécialisés. Demain, on suit la montée en charge des revendications wfx-loot et l’arrivée effective de Hydrogen dans les apps grand public.
Laisser un commentaire
Vous devez vous connecter pour publier un commentaire.