Journal Centscinq du 9 novembre : APT29 en chasse sur les mobiles, Mistral libère « Le Chonk », Amazon repart vers le robot domestique

Votre point quotidien sur les dangers du hacking, les nouveautés IA, l’agent Hermes et la robotique. Au menu ce lundi 9 novembre : une campagne massive russe visant les iPhones et les Androids, un modèle ouvert de 1 000 milliards de paramètres qui s’invite chez les développeurs, et la deuxième tentative d’Amazon pour faire entrer un robot dans les salons. Illustration : smartphone sous surveillance, générée par IA (SDXL sur infrastructure maison) — l’info du jour, la campagne d’APT29 sur les mobiles.

Hacking et risques cyber

APT29 en chasse sur les mobiles : « Poisoned Source ». Sekoia a mis en lumière une campagne de « watering hole » d’envergure, attribuée avec confiance modérée à forte au SVR russe, qui combine sites compromis, domaines leurre et le piratage de l’outil d’analytics Plerdy SEO Tracker utilisé par des milliers de sites ukrainiens. Les chaînes d’exploitation (toutes en failles connues, donc inopérantes sur appareils à jour) visent des iPhones 18.5 — copie quasi complète du téléphone, SMS, iMessages, WhatsApp, Telegram, mots de passe, photos — et des Androids avec Chrome 139 à 145. The Hacker News

WordPress : le correctif lui même peut exposer le site. CVE-2026-119977 est activement exploitée et corrigée dans la version 7.1.4, mais l’ancien mécanisme de mise à jour laisse des fichiers d’installation web accessibles dans wp-content/upgrade pendant l’installation — exécution de PHP non authentifiée possible. La recommandation de la recherche : bloquer l’accès web à ce dossier avant de patcher. (8 novembre) Slugnet

1 379 secrets exposés par Claude Code sur GitHub. Le mode « ne plus me redemander » de Claude Code écrit dans .claude/settings.local.json des commandes exactes — secrets inclus — présentes dans 1 122 copies publiques de fichiers de configuration, chez 63 organisations. Au moins une a confirmé que sa clé était encore active. (8 novembre) Cyber Recaps

Aussi relevé hier : DigiCert confirme l’exposition d’informations de clients professionnels (noms, e-mails, coordonnées) via un compte créé dans un système interne ; les PaaS Northflank et Trigger.dev signalent des clés API client détournées et revendues sur le dark web, dans la vague « Black October » qui frappe l’infrastructure des développeurs. (8 novembre) Slugnet

Nouveautés IA

LG ouvre gratuitement l’API de K-Exaone 2.5. Annoncé ce lundi dans le cadre du Nvidia AI Day Seoul : le modèle de 750 milliards de paramètres MoE (31 milliards actifs, contexte de 512 000 tokens, coréen/anglais) est accessible gratuitement et sans limite annoncée via un endpoint compatible OpenAI. C’est l’étape de validation du chemin vers la troisième génération d’Exaone, promise d’ici janvier. Paktechstan

Mistral libère « Le Chonk ». Les poids de Mistral Large 4 sont désormais sur Hugging Face : environ 1 000 milliards de paramètres MoE (≈50 milliards actifs par token), 1 M de contexte, et une licence MIT modifiée permettant usage, fine-tuning et commercialisation, sous réserve d’accord séparé pour l’offre « Modèle-as-a-Service ». Benchmarks revendiqués : 41 % sur Terminal-Bench 4.0, devant GLM-5.3 sur la préférence humaine aveugle. AI Daily Digest (dev.to)

DeepMind ajoute une journée de prévision des tempêtes. WeatherNext Cyclones, publié dans Nature, étend l’ensemble à 1 000 membres et fournit un jour complet de temps d’anticipation supplémentaire sur les cyclones tropicaux — « l’équivalent d’une décennie de progrès ». Fait notable : une résolution 28×28 km suffit, 100 fois plus grossière que les modèles traditionnels. Code et poids open-sources, dont une variante « 2-mini » exécutable sur un seul TPU. (8 novembre) AI Daily Digest (dev.to)

xAI active le watermark par défaut sur son API. Depuis le 7 novembre, la sortie texte de sept variantes de Grok porte un watermark statistique invisible, vérifiable via un en-tête x-watermark. L’activation est motivée par la conformité à l’European AI Act, dont l’échéance de marquage arrive le 2 décembre. AI Daily Digest (dev.to)

Nouveautés Hermes

Hermes Agent v0.23.0 « The Hearth Release » est sortie (5 novembre). La grosse release de l’automne consolidant toute la série v0.22.x : tous les fronts (CLI, TUI, Desktop, éditeurs, bots) unifiés sous l’unique gateway, l’espace de travail Desktop s’ouvre désormais dans un onglet de navigateur, images terminales inline et retour de conversation. Environ 10 000 commits, ~850 issues fermées et 666 contributeurs depuis v0.22.0. GitHub

Nous Research publie Arete-27B. Un fine-tune SFT ouvert (Apache 2.0) de Qwen3.8-27B, dont le but est déclaré : retirer le cadrage « étatique chinois » des réponses sur les sujets sensibles, avec Inkling comme modèle-enseignant. Sur l’éval de 803 prompts de Nous, les réponses à connotation propagande chutent de 22 % à 0,9 % sans dégrader les capacités générales. (8 novembre) Etherninja

La béta mobile garde son file d’attente. Ouverte les 30–31 octobre à l’occasion de NousCon, la béta iOS/Android de l’application mobile reste limitée : l’app se positionne comme un télécommande pour votre gateway (flux de chat, approbations de tool-calls, Live Mode vocal, bots et routines), l’attente pour les invitations continues depuis hermes-agent.nousresearch.com/mobile. Nous Research

Robotique

Amazon repart sur le robot domestique, autour de Fauna. Après le demi-échec d’Astro, Amazon recrute pour un « robot new-to-world » au sein de son Personal Robotics Group : UX pour « définir ce que c’est que de vivre avec un robot Fauna », cloud et télémétrie de flotte, ingénierie de support sur site. Le point de départ est Sprout, l’humanoïde de 1,07 m de Fauna Robotics, racheté en mars. (8 novembre) CNBC

Embodied AI dévoile AIR, humanoïde « sûr par construction ». La start-up munichoise présente à Humanoid Europe un robot sur roues, bras tendineux légers qui cèdent au contact, conçu sous ISO/TS 15066 (CE visé en 2027). Il démarre chaque tâche sous contrôle humain, et apprend de ces démonstrations — généralement autonome en un mois. (6 novembre) Business Wire

Tuosida lance Star, humanoïde bipède de 172 cm. 72 kg, capacité de charge de 10 kg aux deux bras, bras 7 axes et poignets cross-axe, orienté logistique, tri et manipulation industrielle — avec collecte de données de terrain pour faire progresser les modèles. (7 novembre) AI123

En conclusion : la frontière se déplace du laboratoire vers le quotidien — dans les maisons, sur les chaînes de montage, dans les API gratuites d’ici là — et la menace mobile APT29 rappelle que la surface d’attaque suit le même mouvement.