Outils AI Minute Newsroom 2026-08-19

Le moteur sur lequel repose une grande part de l'entraînement de l'IA est exploité — et Washington a donné trois jours à ses administrations

Le 17 août, l'agence américaine de cybersécurité CISA a ajouté CVE-2025-62593 à son catalogue des vulnérabilités activement exploitées. La faille se trouve dans Ray, le moteur de calcul distribué open source sur lequel tourne une part importante de l'entraînement et de l'inférence d'apprentissage automatique en production. Elle est notée 9,4 sur 10. Le chemin d'attaque est inhabituellement indirect : Ray tentait de bloquer les requêtes venant d'un navigateur en vérifiant que l'en-tête User-Agent commençait par « Mozilla », une vérification qu'un attaquant satisfait sans peine ; en la combinant à une technique de DNS rebinding, une page web malveillante — ou une publicité malveillante — peut exécuter du code sur la machine de quiconque navigue sous Firefox ou Safari pendant que Ray tourne. Les administrations civiles fédérales ont jusqu'au 20 août pour corriger : trois jours, le délai le plus court prévu par la directive opérationnelle contraignante 26-04, réservé aux actifs accessibles publiquement où une attaque réussie livre la machine entière. La faille avait été divulguée en novembre 2025, et les chercheurs de BitSight ont découvert par la suite que le botnet RondoDox l'utilisait déjà deux jours avant cette divulgation. Les mainteneurs de Ray contestent la présentation : leur documentation précise que Ray n'est pas destiné à fonctionner hors d'un réseau strictement contrôlé, et l'authentification par jeton existe depuis la version 2.52.0.

Pourquoi c'est importantC'est un débat que la course aux infrastructures d'IA repoussait. Ray a été conçu comme un outil de cluster interne, en supposant que celui qui l'exécute le place derrière un pare-feu — et pendant des années cette hypothèse a largement tenu, parce que seuls quelques laboratoires faisaient tourner de grands clusters. Aujourd'hui, toute entreprise disposant d'un budget GPU en exploite un, souvent monté par une équipe de data science plutôt que d'infrastructure, et le nombre de tableaux de bord Ray joignables depuis l'internet ouvert est précisément ce que personne ne mesure. Appeler cela une vulnérabilité ou une erreur de déploiement détermine à qui revient la correction, et c'est pourquoi les mainteneurs et l'État peuvent décrire le même fait de façon si différente. Un délai de trois jours indique comment le gouvernement américain a tranché pour ses propres systèmes. Si votre employeur entraîne des modèles, la question du jour est de savoir qui gère le tableau de bord du cluster et s'il est exposé.

#Code

✓ Vérifié · 4 sources

▶ Vidéo associée: Why Ray Became a Distributed Computing Engine for Modern AI Lire dans l'app — gratuit, en 9 langues

Actus liées

L'assistant de Meta tient une fiche horaire sur vos proches.
2026-10-05 Une commande rend l'interrupteur d'IA qu'Apple avait supprimé.
2026-10-05 OpenAI promet une amélioration par jour sinon il remet vos quotas.
2026-10-05 Meta a ouvert le firmware pour fabriquer votre propre appareil Muse.
2026-10-04 Un déluge de rapports écrits par IA a gelé les primes de Google.
2026-10-04