01
Nécessaires Toujours actif
Indispensables au fonctionnement du site (session, préférences, sécurité). Toujours actifs.
ACTUALITÉS
SÉCURITÉ
Recherche en sécurité et notes de durcissement sur les outils, menaces et pratiques pertinents pour les MSP et les équipes IT.
Un index cloud d’un agent de codage signifie-t-il que le code du client est resté sur l’ordinateur portable du technicien ?
Non. Un index cloud par défaut ou silencieux, un Repo Wiki ou un instantané de l’espace de travail est un contrôle de résidence et de garde : le fait de s’exécuter sur l’ordinateur portable du technicien ne prouve pas que le code du client y est resté.
ZCode est public sur GitHub. Cela ne prouve pas que les téléversements d'espaces de travail de septembre ont été supprimés.
Un chercheur a décrit des téléversements d'espaces de travail d'utilisateurs connectés vers Alibaba Cloud. L'arborescence GitHub publique de ZCode ne prouve pas que les données envoyées en septembre ont été supprimées.
FAQ MSP : un secret de service principal permanent n'est pas une identité workload
Ajouter une MFA à un compte d’automatisation ne supprime pas le risque d’un secret client à longue durée de vie. Les recommandations de Microsoft privilégient la fédération d’identité de charge de travail.
Aikido lance Altar-1, un LLM de sécurité à poids ouverts basé sur GLM-5.3
Aikido Security a publié Altar-1, un modèle sur site élagué dérivé de GLM-5.3, destiné au tri de vulnérabilités en environnement isolé. Il est distribué sous la licence de GLM-5.3, et non sous une licence permissive.
Rapport de septembre d'Anthropic : traiter les clés API IA comme des secrets de production
Le quatrième rapport de veille sur les menaces d’Anthropic documente des cas d’usage abusif entre décembre 2025 et août 2026 où des clés API client volées, et non des systèmes d’Anthropic compromis, ont donné accès aux attaquants.
FAQ MSP : séparer les accès humains et machines entre les locataires
Les comptes de service et jetons d'automatisation dépassent désormais les utilisateurs humains dans la plupart des organisations. Les recommandations OWASP sur les NHI : ils ont besoin de leurs propres identités et cycles de vie.
Les comptes d'accès d'urgence ne sont pas un simple admin protégé par MFA
Les comptes d'accès d'urgence doivent continuer à fonctionner lorsqu'un IdP ou un système MFA est hors service. Cela signifie les concevoir différemment des comptes admin ordinaires, pas ajouter une couche de plus.
FAQ MSP : comment gouverner les accès entre locataires sans administrateur absolu
Un accès administrateur global permanent sur chaque locataire client constitue un point de défaillance unique. Le modèle GDAP de Microsoft montre comment limiter les accès client par client.
Les connecteurs Muse de Meta soulèvent une question de consentement pour les MSP de l'UE
L'agent IA Muse de Meta se connecte à Gmail, Calendar et d'autres apps via un consentement par connecteur. Les MSP qui déploient des agents similaires devraient appliquer la même checklist de consentement et de rayon d'impact.
Les domaines homographes trompent encore — les mesures qui les détectent vraiment
Des domaines Unicode sosies peuvent être visuellement identiques à l'URL d'une vraie marque. Gestionnaires de mots de passe, filtrage DNS et alertes de transparence comblent plus l'écart que demander d'être attentif.
Isolation des tenants pour les MSP : un tenant ID n'est pas une autorisation
Un tenant ID, un en-tête ou une connexion fournis par le client indiquent seulement qui regarder. L'appartenance doit être revérifiée côté serveur, à chaque requête, à la connexion et lors du départ.
L'app iOS FomoPeek utilisait un exploit noyau pour voler des clés de portefeuilles crypto
Des chercheurs ont trouvé du code malveillant dans une app iOS de suivi de portefeuilles, capable de contourner la sandbox Apple et d'exfiltrer Keychain, clés privées et seed phrases. Binance : supprimez-la et déplacez vos fonds.
OpenAI a bâti une « Usine de défense » pour que des agents IA corrigent ses propres bugs
OpenAI a dirigé son modèle Astra vers ses propres systèmes et a mobilisé plus de 250 employés pour trouver et corriger des vulnérabilités avant que les attaquants n'obtiennent la même capacité. Voici l'angle gouvernance MSP.
Open Policy Agent pour les MSP : admission, autorisation API et portes CI
Un guide pratique sur Open Policy Agent pour l'autorisation API et les contrôles CI, Gatekeeper pour l'admission Kubernetes, et un récent correctif du parseur Rego.
FAQ MSP : checklist de gouvernance de l'accès à distance après un CVE client
Une vulnérabilité critique dans un outil d'accès à distance ou RMM rappelle aussi qu'il faut auditer qui peut l'utiliser. Les recommandations CISA, NSA et MS-ISAC mettent l'accent sur les rôles, la MFA et la journalisation.
Google confirme : Gemini a pénétré trois entreprises réelles en test de sécurité
Une évaluation red-team mal configurée a permis à Gemini d'atteindre trois entreprises réelles après que le nom fictif d'une société de test correspondait à un domaine réel ; le modèle s'est arrêté seul à chaque fois, dit Google.
L'arnaque aux faux recruteurs WaterPlum a touché 30 000 appareils, alertent les alliés
Un avis conjoint US, Japon, Australie et Allemagne indique que WaterPlum, lié à la Corée du Nord, a utilisé de faux entretiens pour infecter environ 30 000 appareils et voler plus de 7 000 portefeuilles crypto.
Du SBOM au contrôle des vulnérabilités : Syft et Grype dans la CI des MSP
Syft génère une nomenclature logicielle pour chaque build et Grype la scanne pour vulnérabilités connues, bloquant un job CI tant qu'une CVE n'est pas corrigée ou dérogée avec responsable et échéance.
RatHat : un RAT Android piloté par IA qui lit l'écran pour se déplacer
Les chercheurs de Zimperium ont découvert RatHat, un cheval de Troie Android qui transmet des captures d'écran à un modèle d'IA pour naviguer sur les appareils infectés, plus difficile à détecter que les malwares par scripts.
Falco pour les MSP : détection runtime, des pipelines CI aux flottes Kubernetes
Un guide pratique pour les MSP : ajustez les alertes runtime de Falco sur Kubernetes et associez-les à zizmor pour repérer les workflows GitHub Actions risqués avant leur exécution.