Outils 2026-08-19

Le moteur sur lequel repose une grande part de l'entraînement de l'IA est exploité — et Washington a donné trois jours à ses administrations

Le 17 août, l'agence américaine de cybersécurité CISA a ajouté CVE-2025-62593 à son catalogue des vulnérabilités activement exploitées. La faille se trouve dans Ray, le moteur de calcul distribué open source sur lequel tourne une part importante de l'entraînement et de l'inférence d'apprentissage automatique en production. Elle est notée 9,4 sur 10. Le chemin d'attaque est inhabituellement indirect : Ray tentait de bloquer les requêtes venant d'un navigateur en vérifiant que l'en-tête User-Agent commençait par « Mozilla », une vérification qu'un attaquant satisfait sans peine ; en la combinant à une technique de DNS rebinding, une page web malveillante — ou une publicité malveillante — peut exécuter du code sur la machine de quiconque navigue sous Firefox ou Safari pendant que Ray tourne. Les administrations civiles fédérales ont jusqu'au 20 août pour corriger : trois jours, le délai le plus court prévu par la directive opérationnelle contraignante 26-04, réservé aux actifs accessibles publiquement où une attaque réussie livre la machine entière. La faille avait été divulguée en novembre 2025, et les chercheurs de BitSight ont découvert par la suite que le botnet RondoDox l'utilisait déjà deux jours avant cette divulgation. Les mainteneurs de Ray contestent la présentation : leur documentation précise que Ray n'est pas destiné à fonctionner hors d'un réseau strictement contrôlé, et l'authentification par jeton existe depuis la version 2.52.0.

Pourquoi c'est importantC'est un débat que la course aux infrastructures d'IA repoussait. Ray a été conçu comme un outil de cluster interne, en supposant que celui qui l'exécute le place derrière un pare-feu — et pendant des années cette hypothèse a largement tenu, parce que seuls quelques laboratoires faisaient tourner de grands clusters. Aujourd'hui, toute entreprise disposant d'un budget GPU en exploite un, souvent monté par une équipe de data science plutôt que d'infrastructure, et le nombre de tableaux de bord Ray joignables depuis l'internet ouvert est précisément ce que personne ne mesure. Appeler cela une vulnérabilité ou une erreur de déploiement détermine à qui revient la correction, et c'est pourquoi les mainteneurs et l'État peuvent décrire le même fait de façon si différente. Un délai de trois jours indique comment le gouvernement américain a tranché pour ses propres systèmes. Si votre employeur entraîne des modèles, la question du jour est de savoir qui gère le tableau de bord du cluster et s'il est exposé.

#Code

✓ Vérifié · 4 sources

▶ Vidéo associée: Why Ray Became a Distributed Computing Engine for Modern AI Lire dans l'app — gratuit, en 9 langues

Actus liées

Apple Music indiquera quand un morceau a été fait par une machine — mais c'est celui qui le publie qui décide de le dire
2026-08-21 Rumeur : le modèle anonyme qui vient de dominer un test de programmation, gratuitement, serait le fleuron non publié de Zhipu
2026-08-21 Nvidia paie 6 milliards de dollars pour la machine qui fabrique les modèles d'un rival — et embauche 109 de ceux qui la faisaient tourner
2026-08-21 Stripe vient de payer 7,5 milliards pour un routeur de modèles. Quelques jours plus tard, Ramp en construit un et l'offre jusqu'en janvier.
2026-08-21 L'assistant de Meta est désormais une app Mac qui lit votre écran et écrit dans n'importe quelle fenêtre — et ce qu'il voit peut entraîner le modèle
2026-08-21