AutreTechCrunch AI1sem

Mercor révèle avoir subi une cyberattaque liée à une compromission du projet open source LiteLLM

1 source couvre ce sujet·Source originale ↗·

Mercor, la startup américaine spécialisée dans le recrutement par intelligence artificielle, a confirmé avoir été victime d'une cyberattaque après qu'un groupe de hackers spécialisé dans l'extorsion a revendiqué le vol de données depuis ses systèmes. L'incident est lié à une compromission du projet open-source LiteLLM, une bibliothèque Python largement utilisée pour interfacer différents modèles de langage via une API unifiée. Les attaquants auraient exploité une vulnérabilité dans cette dépendance pour accéder aux infrastructures de Mercor.

La compromission d'une librairie open-source utilisée en production représente un risque systémique : toutes les entreprises ayant intégré LiteLLM dans leur stack technique sont potentiellement exposées. Pour Mercor, dont le cœur de métier repose sur le traitement de données sensibles de candidats et d'entreprises clientes, une fuite de données constitue un préjudice réputationnel et légal significatif. Ce type d'attaque par la chaîne d'approvisionnement logicielle (supply chain) est en forte augmentation dans l'écosystème IA.

Cet incident illustre un angle mort croissant dans la sécurité des startups IA : la dépendance massive à des bibliothèques open-source tierces insuffisamment auditées. LiteLLM, très populaire dans l'écosystème des développeurs IA, concentre désormais l'attention des équipes de sécurité. L'affaire devrait accélérer les discussions sur la nécessité d'audits de sécurité formels pour les dépendances critiques, à l'heure où des centaines de startups construisent leurs produits sur ces mêmes fondations.

Impact France/UE

Les startups et développeurs européens utilisant LiteLLM dans leur stack IA sont potentiellement exposés à la même vulnérabilité de chaîne d'approvisionnement et doivent auditer leurs dépendances en urgence.

💬 Le point de vue du dev

LiteLLM, c'est dans le stack de la moitié des devs IA en ce moment, donc l'exposition est large. Ce qui me dérange, c'est qu'on intègre ces libs à toute vitesse sans jamais regarder qui les maintient vraiment, avec quels moyens. Bon, ça va peut-être forcer un peu de rigueur sur les dépendances critiques, ce serait pas du luxe.

À lire aussi

1Ars Technica AI

Anthropic restreint l'accès à Mythos, son nouveau modèle d'IA en cybersécurité

Anthropic a officiellement lancé Claude Mythos Preview, un modèle d'intelligence artificielle spécialisé dans la cybersécurité, en le réservant à un cercle restreint d'organisations triées sur le volet. Parmi les premiers accès figurent des géants technologiques comme Amazon, Apple et Microsoft, ainsi que des acteurs de la sécurité informatique tels que Broadcom, Cisco et CrowdStrike. La start-up de San Francisco a annoncé ce mardi être également en discussions avec le gouvernement américain concernant un éventuel déploiement dans le secteur public. Ce lancement contrôlé signale qu'Anthropic joue désormais dans la cour des outils offensifs et défensifs de cybersécurité, un marché stratégique et sensible. En limitant l'accès à des organisations vérifiées, la société cherche à éviter que le modèle ne soit détourné à des fins malveillantes, une préoccupation centrale pour les IA capables d'analyser des vulnérabilités ou d'automatiser des attaques. Le partenariat avec des entreprises comme CrowdStrike suggère une orientation vers la détection de menaces et la réponse aux incidents. Ce lancement intervient dans un contexte embarrassant pour Anthropic : des descriptions détaillées du modèle Mythos et d'autres documents internes avaient été découverts le mois dernier dans un cache de données publiquement accessible, révélant l'existence du projet avant toute annonce officielle. Cette fuite avait forcé la main de l'entreprise. Plus largement, la course aux modèles spécialisés en cybersécurité s'intensifie, avec Microsoft, Google et des startups comme Protect AI qui développent également leurs propres solutions, faisant de ce segment l'un des plus disputés de l'IA appliquée.

AutreActu

1 source

2Siècle Digital

Une IA soutenue par Apple et Google révèle des milliers de failles dans des logiciels très utilisés

Project Glasswing, une initiative de cybersécurité soutenue par douze géants technologiques dont Apple, Google, Microsoft, AWS, Cisco, NVIDIA et JPMorgan Chase, a été lancée pour détecter automatiquement des failles dans les logiciels les plus critiques au monde. Le projet s'appuie sur un système d'intelligence artificielle baptisé Mythos, capable d'analyser en profondeur des bases de code massives pour y repérer des vulnérabilités jusqu'alors inconnues. Plus de quarante organisations gérant des infrastructures logicielles mondiales participent également à l'initiative, coordonnée sous l'égide de la Linux Foundation. Aucun accès public, abonnement commercial ou lancement grand public n'est prévu : le projet fonctionne exclusivement en consortium fermé. L'enjeu est considérable. Les logiciels open source constituent la colonne vertébrale de l'infrastructure numérique mondiale, des serveurs bancaires aux systèmes industriels en passant par les plateformes cloud. Des failles non détectées dans ces composants peuvent exposer des millions d'organisations simultanément, comme l'avait illustré la vulnérabilité Log4Shell en 2021. En automatisant la détection à grande échelle, Mythos promet de réduire drastiquement la fenêtre d'exposition entre l'introduction d'une faille et sa correction, un délai qui se compte aujourd'hui souvent en mois, voire en années. Ce projet s'inscrit dans une tendance de fond : après des années à construire des IA génératives grand public, les grandes entreprises technologiques réorientent une partie de leurs investissements vers des usages à fort impact systémique. La sécurité logicielle, longtemps sous-financée malgré sa criticité, attire désormais des coalitions inédites. Project Glasswing illustre aussi une réponse collective aux pressions réglementaires croissantes en Europe et aux États-Unis, qui imposent aux éditeurs une responsabilité accrue sur la sécurité de leurs chaînes d'approvisionnement logicielles.

UELes pressions réglementaires européennes sur la sécurité des chaînes d'approvisionnement logicielles (Cyber Resilience Act) sont citées comme moteur explicite du projet, qui vise à réduire les risques systémiques pesant sur les infrastructures numériques utilisées en Europe.

AutreOpinion

1 source

3Siècle Digital

Mistral dévoile 22 mesures dédiées à l’IA pour réveiller l’Europe avant qu’il ne soit trop tard

Mistral AI a publié un manifeste détaillant 22 propositions concrètes pour permettre à l'Europe de rattraper son retard dans la course mondiale à l'intelligence artificielle. Arthur Mensch, cofondateur et PDG de la startup française, tire la sonnette d'alarme : selon lui, les citoyens, les entreprises et les gouvernements européens sont aujourd'hui « dépendants d'une domination étrangère », celle des géants américains et des acteurs chinois qui contrôlent les modèles, les infrastructures et les données sur lesquels repose l'IA mondiale. Ces 22 mesures ciblent trois leviers stratégiques : l'attraction et la rétention des talents, l'orientation des marchés publics vers des solutions souveraines, et l'accès aux données. L'enjeu est considérable pour l'industrie européenne. Si les administrations et entreprises du continent continuent de s'appuyer exclusivement sur des modèles américains ou chinois, elles transfèrent de facto leurs données sensibles et leur souveraineté technologique à des acteurs étrangers soumis à des législations incompatibles avec le droit européen. Orienter les marchés publics vers des fournisseurs comme Mistral permettrait de financer un écosystème local tout en réduisant cette dépendance structurelle. Mistral, fondée en 2023 et valorisée à plus de six milliards de dollars, s'impose comme le principal champion européen face à OpenAI et Google. Cette prise de position intervient dans un contexte de débat intense sur le AI Act européen et les appels répétés à construire une « IA souveraine ». En publiant ces mesures, Arthur Mensch cherche à peser sur l'agenda politique européen avant que l'écart technologique ne devienne définitivement impossible à combler.

UEMistral, champion français de l'IA valorisé à plus de 6 milliards de dollars, propose 22 mesures pour réduire la dépendance européenne aux modèles étrangers, avec des implications directes sur les marchés publics français et la souveraineté numérique de l'UE.

AutreReglementation

1 source

4Next INpact

Anthropic dévoile Mythos, son modèle d’IA chasseur de failles… réservé à certains

Anthropic a officialisé l'existence de Claude Mythos, un modèle d'intelligence artificielle spécialisé dans la cybersécurité, via le lancement du projet Glasswing. L'annonce est intervenue après plusieurs semaines de rumeurs et la fuite d'un billet de blog qui avait déjà éventé la surprise. Présenté comme plus capable qu'Opus, le modèle phare de la start-up californienne jusqu'alors, Mythos a été conçu pour détecter et exploiter des failles dans des logiciels avec une précision inédite. Son accès est strictement limité à un cercle de partenaires triés sur le volet : AWS, Apple, Google, Microsoft, NVIDIA, Cisco, Broadcom et la fondation Linux font partie des entreprises qui bénéficient d'un aperçu du modèle dans le cadre de Glasswing, un nom inspiré des papillons aux ailes transparentes. Anthropic reconnaît elle-même que Mythos est potentiellement trop dangereux pour une diffusion publique, ses capacités offensives en cybersécurité pouvant constituer une menace réelle si elles tombaient entre de mauvaises mains. En le réservant à de grands acteurs institutionnels et technologiques capables de l'encadrer, l'entreprise entend le transformer en outil défensif : sécuriser des logiciels critiques plutôt qu'en compromettre. Pour les entreprises partenaires, l'enjeu est considérable, car un modèle capable de scanner automatiquement des bases de code à la recherche de vulnérabilités inconnues représente un avantage stratégique majeur face aux attaques croissantes ciblant les infrastructures numériques mondiales. Cette annonce s'inscrit dans un contexte tendu pour Anthropic, frappée simultanément par une autre fuite involontaire concernant Claude Code, attribuée là encore à une "erreur humaine". La coïncidence de ces deux événements nourrit les interrogations sur la gestion interne de l'information chez la startup, fondée en 2021 par d'anciens d'OpenAI. La stratégie de communication autour de Mythos, d'abord entretenue dans le flou avant d'être officialisée sous une forme très contrôlée, intervient alors qu'Anthropic se prépare à une introduction en bourse et cherche à affirmer sa position face à OpenAI dans une compétition de plus en plus féroce. Limiter volontairement l'accès à son modèle le plus puissant, tout en le présentant comme potentiellement dangereux, est une manière de soigner à la fois son image de responsabilité et son aura technologique auprès des investisseurs et du grand public.

UEL'émergence d'un modèle IA dédié à la détection de vulnérabilités logicielles accentue la pression concurrentielle sur les acteurs européens de la cybersécurité et soulève des questions sur l'accès des infrastructures critiques européennes à ces capacités défensives de pointe.

AutreOpinion

1 source