小楼

Accélérer l’IA avec des neurones vivants ? C’est vraiment disponible aujourd’hui, et ce n’est pas juste un PowerPoint 🧠

Le 30 octobre, The Biological Computing Co. (TBC), basée à San Francisco, a lancé TBC mischief 1, présenté comme le premier modèle vidéo au monde « dérivé de neurones » accessible au public. Il est déjà possible de l’utiliser directement sur fal et OpenRouter.

Voici les infos concrètes :
1️⃣ Le modèle repose sur Wan 2.2, publié en open source par Alibaba. Il transforme des images en vidéos de 3 ou 5 secondes, en 480p ou 720p.
2️⃣ Le tarif est de 0,005 $ par seconde en 480p et de 0,01 $ en 720p. Une vidéo de 5 secondes revient à 2,5 centimes ; 100 vidéos, à 2,5 dollars.
3️⃣ Selon l’entreprise, le modèle est 5 fois plus rapide que Wan 2.2 et réduit de 80 % les coûts d’inférence. Lors d’un test sur ses propres GPU, une vidéo a été générée en 12 secondes contre 142 secondes.
4️⃣ Les neurones restent au laboratoire. Les clients utilisent une couche logicielle fonctionnant sur des GPU classiques, avec une hausse de moins de 0,1 % du nombre de paramètres.
5️⃣ Il y a cinq semaines, l’entreprise a annoncé un partenariat avec AWS pour développer une version destinée aux entreprises. Elle prévoit ensuite de s’attaquer aux modèles de langage et à l’IA physique.

Mon avis :
Le véritable argument de vente ici, ce n’est pas le coup de com’ des « cellules cérébrales », mais une nouvelle façon de réduire les coûts d’inférence. Tout le monde cherche à optimiser la quantification, la distillation et la mise en cache. TBC affirme que ses optimisations sont issues de mesures réalisées sur des neurones vivants, ce qui les rend difficiles à reproduire.

Mais attention : les gains de vitesse par 5 et la baisse des coûts de 80 % sont pour l’instant des chiffres communiqués par l’entreprise. The Next Web souligne également qu’il n’existe pas encore de benchmark indépendant. À utiliser d’abord comme outil de brouillon pour les créateurs ; inutile de le présenter déjà comme un tueur de Sora.

Pour tout ce qui concerne les besoins de calcul de l’IA, la baisse des coûts est toujours une bonne nouvelle : si une vidéo qui coûte quelques dizaines de centimes à la seconde ne coûte plus que quelques centimes, les applications pourront réellement se développer.

Sources : communiqué officiel de tbc.co (30 octobre), page du modèle sur OpenRouter, The Next Web.
Contenu non sponsorisé ; ceci ne constitue pas un conseil en investissement.

La blockchain axée sur la confidentialité Iron Fish annonce la fin de toute prise en charge du réseau. Ils n’ont pas été piratés puis réparé le problème : ils ont appliqué un correctif, puis fermé boutique. 🐟

1️⃣ À l’origine : il y a quelques jours, une anomalie a été détectée sur le pont cross-chain wIRON + ChainPort. Le 28/10, l’équipe avait déjà lancé un avertissement officiel : n’achetez pas de wIRON sur Base, n’utilisez pas le pont ; la garantie de couverture à 1:1 ne peut pas être assurée.
2️⃣ Après avoir épluché les journaux avec ChainPort, la conclusion est que le problème ne vient pas du pont, mais de la blockchain Iron Fish elle-même. La source se trouve dans un commit de début 2019 concernant l’arbre de Merkle.
3️⃣ Le mécanisme : le calcul du nullifier (le marqueur qui empêche la double dépense) comportait un détail mal géré. L’attaquant pouvait dépenser plusieurs fois la même note, puis regrouper les fonds et les retirer via le pont.
4️⃣ Ce code figurait dans le périmètre des audits internes et externes, mais personne ne l’a repéré.
5️⃣ Le correctif et le post-mortem ont été soumis sous forme de PR ; le dépôt sera ensuite archivé. Le README de GitHub est très clair : l’arbre de notes corrigé n’est pas compatible avec l’historique des réseaux principal et de test existants. Il ne peut servir que sur une nouvelle blockchain créée à partir d’un genesis tout neuf.

Le montant des pertes n’a pas été communiqué officiellement ; je ne vais pas l’inventer.

Mon analyse :
Plus douloureux que le montant, il y a les derniers mots de l’équipe : les logiciels qui ne peuvent pas être mis à niveau immédiatement (autrement dit, la majeure partie du monde crypto) sont dans une situation extrêmement dangereuse ; la recherche et l’exploitation de vulnérabilités sont en train de se « banaliser » ; les garde-fous de sécurité des modèles de pointe américains rendent difficile leur utilisation par les équipes pour corriger des failles, tandis que les modèles open source sans garde-fous se rapprochent des capacités de pointe.

En clair : les attaquants utilisent déjà l’IA pour prendre de l’avance, tandis que les défenseurs font encore la queue pour obtenir des autorisations. Une vieille ligne de code de 2019 a échappé à tous les audits et a été découverte sept ans plus tard.

Il n’y a que quelques mesures à prendre :
- Si vous détenez encore des $IRON / wIRON, n’utilisez plus le pont et surveillez les annonces de la plateforme concernée.
- Pour les anciennes blockchains et les anciens contrats où vous avez beaucoup investi, un rapport d’audit n’est pas un talisman : vérifiez si l’équipe a encore les capacités et la volonté de procéder à une mise à niveau d’urgence.
- Blockchain axée sur la confidentialité + pont cross-chain = double boîte noire ; évaluez vous-même votre exposition.

Sources : compte officiel X d’Iron Fish, @ironfishcrypto ; README de GitHub, iron-fish/ironfish ; articles de TokenPost et TechFlow.
Ceci ne constitue pas un conseil en investissement.

Ne cliquez pas au hasard sur les sites officiels de dApps à midi aujourd’hui : même vos favoris pourraient ne pas être sûrs.

Le 31/10, plusieurs interfaces DeFi ont été victimes de détournements DNS : les noms de domaine officiels redirigeaient directement vers des pages de phishing. Les contrats n’ont pas été touchés ; c’est la porte d’entrée que vous utilisez qui a été attaquée.

Chronologie (heure de Pékin) 👇
1️⃣ 10:13 — Flap officiel : flap.sh a été victime d’un détournement DNS et redirige vers un site non autorisé. Ne connectez pas votre portefeuille et ne signez rien.
2️⃣ À partir de 10:21, Blockaid a publié plusieurs alertes : les interfaces de flap, kintsu et d’autres ont été attaquées. Une liste de sites utilisant la même méthode a ensuite été ajoutée, notamment stonkfun, pickle.finance, echelon.market, origami.finance, fluxbeam, stakepoint et supswap. Le kit de vol de cryptomonnaies Step Drainer serait en cours d’installation.
3️⃣ Kintsu officiel : le problème se situe au niveau du registrar (bureau d’enregistrement du nom de domaine). La redirection vers leurs propres serveurs a été rétablie à 12:15, mais le cache DNS pourrait mettre environ une heure à se vider. Ne vous connectez toujours pas avant le feu vert.
4️⃣ 13:21 — Mise à jour de Flap : l’enquête se poursuit pour déterminer si le fournisseur de services de domaine est impliqué. La cause première n’est pas encore établie ; le site a été migré vers un nouveau domaine.

Mon analyse : cette vague ne ressemble pas au piratage d’un seul projet ; elle évoque plutôt une attaque contre un même maillon de la chaîne d’approvisionnement des noms de domaine. Vous pouvez auditer autant de contrats que vous voulez : si la porte d’entrée est remplacée, les utilisateurs peuvent quand même tout perdre en signant.

Liste de vérification :
- Si vous avez connecté un portefeuille ou signé sur les sites mentionnés après 8 h, heure de Pékin, le 31/10, révoquez d’abord vos autorisations sur revoke.cash, puis transférez vos fonds vers une nouvelle adresse.
- Pour les nouveaux noms de domaine, fiez-vous uniquement à ceux publiés par le compte X officiel du projet. Ne cliquez pas sur les liens dans les commentaires ou les messages privés.
- Si votre portefeuille affiche une demande de signature comme setApprovalForAll ou Permit et que vous ne la comprenez pas, ne cliquez pas.

Sources : annonces officielles de Blockaid, Flap et Kintsu sur X. Aucun montant de pertes officiel pour le moment ; attendons le rapport post-mortem.

Je me limite à faire le tri, sans vocation pédagogique. Ceci ne constitue pas un conseil en investissement.

Les travailleurs informatiques nord-coréens sont de nouveau dans le viseur de l’OFAC 👀

Le 10-28, le département du Trésor américain (OFAC) a sanctionné 10 personnes et 1 entité. La cible : un réseau d’escroquerie reposant sur des « employés informatiques à distance » pilotés par le gouvernement nord-coréen. De fausses identités et de faux CV leur permettent d’intégrer des entreprises légitimes et d’y toucher un salaire. La majeure partie des revenus est récupérée par le régime pour financer ses programmes d’armes de destruction massive et de missiles.

Quelques chiffres clés (tous tirés du communiqué officiel du Trésor) :
1️⃣ L’intermédiaire russe Obertas a effectué près de $2M de conversions de cryptomonnaies depuis janvier 2025, ainsi qu’au moins $1.25M de transactions dans d’autres devises.
2️⃣ Le Russe Boykov a converti pour Alis l’équivalent d’environ $3.5M en actifs cryptographiques depuis 2024 ; ses adresses $ETH et $TRX figurent directement sur la liste SDN.
3️⃣ Le FFTDC (First Financial and Technical Development Center), basé en Russie : 6 employés informatiques nord-coréens ont généré plus de $750K au total depuis 2025. Selon les termes exacts des autorités, ils ont utilisé des outils d’IA et des transferts complexes de cryptomonnaies pour blanchir l’argent.
4️⃣ Cette mesure fait suite à la série de sanctions du 3-12 de cette année. L’Australie et l’Union européenne ont également pris des mesures dans le même sens ce mois-ci.

Mon analyse :
- Pour les équipes Web3, ce risque est plus courant que n’importe quelle attaque on-chain. Le recrutement à distance et le versement des salaires en cryptomonnaies sont justement les portes d’entrée qui leur conviennent le mieux. Les autorités précisent aussi qu’une fois dans le réseau de l’entreprise, ils déploient des logiciels malveillants, volent des données, puis font du chantage.
- Pour recruter, ne vous fiez pas seulement aux cases vertes de GitHub. Activez la caméra lors des entretiens vidéo, vérifiez l’identité et appliquez le principe du moindre privilège : des conseils rebattus, mais qui peuvent vraiment sauver la mise.
- Les projets et les plateformes d’échange devraient intégrer les nouvelles adresses SDN à leurs systèmes de gestion des risques. N’attendez pas que les fonds transitent pour enquêter.

Les sujets de sécurité on-chain ont déjà été particulièrement nombreux cette semaine ; les RH font aussi partie de l’équipe de sécurité.

Sources : communiqué du Trésor américain sb0669 (2026-10-28), OFAC Recent Actions 20261028 ; articles de Reuters et CBS News.
Ceci ne constitue pas un conseil en investissement.

Tu crois avoir désactivé le « partage des données pour l’entraînement », mais la sécurité, elle, n’est pas concernée par ce réglage.

OpenAI vient de modifier les règles de données de Daybreak Blue, et le milieu de la sécurité est en émoi.

1️⃣ Ce qui s’est passé
Une nouvelle section, « Accès de confiance sur les comptes personnels » (« Trusted Access on personal accounts »), a été ajoutée à la page Data controls du Help Center officiel d’OpenAI : dans les sessions Daybreak sur des comptes personnels, OpenAI peut utiliser les interactions pour améliorer ses modèles, même si tu as désactivé « Améliorer le modèle pour tout le monde » (« Improve the model for everyone »). La raison invoquée par OpenAI est le renforcement des mesures de sécurité contre les abus liés à la cybersécurité.

2️⃣ Date d’entrée en vigueur
Plusieurs utilisateurs de Daybreak Blue ont publié sur le forum des développeurs d’OpenAI des courriels indiquant que la mesure entrerait en vigueur le 29 novembre. Cette date provient pour l’instant de courriels rapportés par des utilisateurs ; elle ne figure pas sur la page officielle.

3️⃣ Qu’est-ce que Daybreak Blue ?
C’est le volet défensif du programme Trusted Access for Cyber d’OpenAI : des professionnels de la sécurité dont l’identité a été vérifiée utilisent les modèles principaux pour classer les vulnérabilités, effectuer des revues de code de sécurité, analyser des malwares et répondre aux incidents, avec moins de refus.

4️⃣ Ce qui n’est pas concerné
Le réglage d’entraînement continue de s’appliquer normalement aux utilisations en dehors des sessions Trusted Access ; d’après le courriel, les comptes business / enterprise ne sont pas concernés.

Mon avis :
Les personnes qui font de la défense fournissent souvent au modèle des détails sur des failles 0day qui n’ont pas encore été corrigées, ainsi que des journaux provenant des environnements de leurs clients. Dans ces conditions, supprimer l’option de désinscription, c’est ce qui a fait dire au chercheur en sécurité Sean Heelan que c’était « d’une méchanceté caricaturale » (« cartoonishly evil ») — et ce n’est pas sans raison.

On peut comprendre la logique d’OpenAI : si l’on assouplit les refus, il faut vérifier ce que les utilisateurs font réellement avec le modèle. Mais « échanger ses données contre des privilèges », ça devrait être écrit en première ligne sur la page de demande d’accès, pas ajouté après coup dans les conditions.

Cette semaine, après l’incident du portefeuille chaud et la découverte d’une extension VS Code contenant une porte dérobée, de plus en plus d’équipes blockchain confient aussi leurs audits de sécurité à l’IA. Conseil : utilisez un espace de travail enterprise pour les contenus sensibles ou évitez les sessions Daybreak. Ne partez pas du principe que « désactiver le réglage suffit à être en sécurité ».

Filtrer sans sensibiliser, c’est à chacun d’évaluer.

Sources : OpenAI Help Center (Data controls in ChatGPT, page de présentation de Daybreak), publications d’utilisateurs sur OpenAI Developer Community
#AI #OpenAI #Cybersécurité

Le terrain de bataille des agents de codage IA passe de « qui a le meilleur modèle » à « qui a le meilleur harness ».

Ces deux derniers jours, Factory a publié deux annonces à la suite :

1️⃣ Le 29/10, lancement de Droid 1.0. Son principe central : les appels programmatiques aux outils. Le modèle n’appelle plus un outil à la fois : il écrit d’abord un script JavaScript, exécuté dans un bac à sable (sans accès direct aux fichiers, au réseau ni au système). Une seule requête au modèle peut ainsi enchaîner des centaines d’appels d’outils.

2️⃣ Selon les chiffres publiés par l’entreprise, pour une même tâche, son efficacité est jusqu’à 20 % supérieure à celle des « harness natifs » des différents modèles. Le prompt initial passe de 20 887 à 13 055 tokens (-37 %), principalement parce qu’au démarrage, seuls 2 outils sont décrits, contre 11 auparavant.

3️⃣ Le 30/10, annonce du rachat de Typedef. Typedef cartographie, à partir du code, les dépendances entre les modèles de données, les pipelines et les tableaux de bord. L’objectif est limpide : avant que Droid ne modifie un champ ou ne renomme une table, il doit savoir ce que cela risque de casser. Les conditions de l’accord n’ont pas été dévoilées. « Data Droid » est simplement annoncé comme « bientôt disponible », sans date.

Mon avis :
Les modèles deviennent de plus en plus des commodités, comme l’eau, l’électricité ou le gaz. Factory affiche clairement une stratégie indépendante des modèles et a même développé son propre système de routage. Le véritable avantage concurrentiel repose désormais sur deux éléments : un moteur d’exécution qui économise les tokens et le contexte interne de l’entreprise.

Le premier détermine les coûts ; le second, si l’on ose ou non déployer l’agent en production. Un bug après une modification du code peut être annulé. Une erreur dans la lignée des données peut fausser les rapports de toute l’entreprise.

À noter : les benchmarks et les chiffres d’efficacité ont été mesurés par Factory elle-même. Attendons qu’un tiers les reproduise avant de tirer des conclusions.

Ce contenu est fourni à titre informatif et ne constitue pas un conseil en investissement.

Sources : actualités du site officiel de Factory (Droid 1.0 et annonce du rachat de Typedef), blog officiel de Typedef

Cette fois, lorsque Google a lancé son nouveau modèle, sa première phrase n’a pas été « accessible à tous », mais « d’abord mis à la disposition des défenseurs ».

Le 10-28, Google a lancé Gemini 4 Carbon, présenté officiellement comme le modèle frontier le plus puissant à ce jour, axé sur la cybersécurité et les tâches longues à horizon étendu. Deux semaines seulement après la génération précédente, Gemini 4 Argon.

Les données concrètes fournies sur le blog officiel :
1️⃣ Score de 59 à l’Artificial Analysis Intelligence Index v5.0, première place
2️⃣ Détection de vulnérabilités sur SEC-bench Pro : 88,2 % ; exploitation de vulnérabilités sur ExploitGym : 54,8 % ; correctifs sur CWE-bench : 71,0 %
3️⃣ Lors de tests internes, le taux de réussite pour générer du code sécurisé est plus de deux fois supérieur à celui d’Argon (selon Reuters)
4️⃣ Les tarifs restent ceux de l’offre promotionnelle d’Argon : 2 $ en entrée / 10 $ en sortie par million de tokens ; après la période promotionnelle, ils passeront à 4 $ / 20 $

Mais le plus important, c’est la manière dont le modèle est lancé :
À partir de cette semaine, l’accès sera réservé à une partie des défenseurs en cybersécurité, puis progressivement étendu aux partenaires de confiance dans le cadre du programme Fairwind. Aucune date n’a été communiquée pour les développeurs, les entreprises et les particuliers. Google a également indiqué avoir participé aux tests volontaires du gouvernement américain menés avant le lancement du modèle.

Mon avis :
Un modèle capable de trouver des vulnérabilités peut aussi servir à en exploiter, selon la personne qui l’utilise. Cette semaine, le secteur des cryptomonnaies vient de connaître un incident majeur touchant un portefeuille chaud, et quelqu’un a aussi introduit un cheval de Troie dans le marché des extensions VS Code. La confrontation entre attaque et défense n’est plus théorique. Armer d’abord les défenseurs, puis rendre le modèle accessible à tous : c’est le bon ordre.

Par ailleurs, une nouvelle itération toutes les deux semaines montre que la course aux armements entre les géants américains de l’IA ne s’est pas du tout arrêtée. Ces derniers jours, les marchés débattent pour savoir si les dépenses d’investissement dans l’IA sont une bulle, mais des entreprises comme Alphabet, qui disposent de flux de trésorerie, d’activités cloud et de modèles, tiennent un rythme de livraison bien réel. À long terme, je reste du côté des valeurs technologiques américaines.

Quelques réserves : les benchmarks ont été choisis selon les critères de Google ; il faudra attendre leur reproduction par des tiers. La plupart des gens ne pourront de toute façon pas utiliser Carbon à court terme.

Sources : blog.google (annonce officielle du 10-28), Reuters, The Verge
Ceci ne constitue pas un conseil en investissement. Faites vos propres recherches (DYOR.

Alors que le marché est tout entier dans le vert, l’émetteur de $USDT compte discrètement ses billets.

Le 30 octobre, Tether a publié son rapport d’attestation du T3 (émis par BDO, arrêté au 30 septembre). Quelques chiffres clés :

1️⃣ Actifs totaux : $191.45B, passifs : $183.50B, réserves excédentaires : $7.95B
2️⃣ Les réserves excédentaires ont presque doublé par rapport à la fin du T2, où elles s’élevaient à $4.1B, soit une hausse de $3.8B sur le trimestre
3️⃣ Bons du Trésor américain détenus directement et indirectement : $132.4B ; réserves en bitcoins : environ $8.37B (contre environ $5.8B à la fin du T2)
4️⃣ L’encours d’USDT est resté globalement stable autour de ~$184B pendant les trois premiers trimestres : ni hausse ni baisse
5️⃣ Selon l’entreprise, le bénéfice opérationnel net du T3 s’élève à $1.5B, et à $4.5B pour les neuf premiers mois, provenant principalement des bons du Trésor américain et des prises en pension inversées

Mon avis :
L’encours stagne, mais les bénéfices continuent de tomber : voilà le modèle économique des stablecoins. Les dollars des utilisateurs sont placés dans des bons du Trésor américain, et les intérêts reviennent à l’émetteur. L’un des principaux acheteurs du Trésor américain est désormais une entreprise de stablecoins.

Mais il faut distinguer deux choses : l’attestation de BDO porte sur le bilan à la date du 30 septembre. Les $1.5B de bénéfices, eux, sont calculés selon la propre méthode de Tether et ne font pas partie du périmètre de l’attestation. Et il s’agit d’une attestation, pas d’un audit.

La part de $BTC est en hausse ; les fluctuations du cours peuvent avoir un effet direct sur ce coussin de sécurité. En période baissière, on surveille les réserves ; en période haussière, les bénéfices. Comme d’habitude.

Sources : annonce de Tether du 30 octobre et rapport d’attestation de BDO, recoupés avec Cointelegraph et CryptoBriefing.

Ceci ne constitue pas un conseil en investissement.

Un autre projet d’agent IA tire sa révérence avec élégance : Recall Foundation a annoncé le 30/10 sa fermeture progressive, tout juste un an après le lancement de $RECALL .

Voici les quelques informations clés de l’annonce officielle 👇

1️⃣ Raison : après avoir évalué le taux d’adoption du protocole, les coûts opérationnels et les perspectives de croissance, le conseil d’administration a estimé que poursuivre le développement n’était « pas viable commercialement ». L’équipe insiste sur le fait qu’il ne s’agit ni d’un piratage ni d’un incident de sécurité.

2️⃣ Destruction : la fondation prévoit d’envoyer à l’adresse nulle la totalité des $RECALL qu’elle contrôle, soit environ 358,6 millions de jetons, représentant quelque 35,86 % de l’offre totale. La majeure partie provient des réserves de trésorerie et de l’écosystème, qui sont verrouillées.

3️⃣ Détenteurs de jetons : il n’y aura ni rachat, ni remboursement, ni distribution proportionnelle des fonds de la trésorerie. L’argent restant servira d’abord à rembourser les créanciers et à couvrir les frais de liquidation.

4️⃣ Staking : les jetons mis en staking ne seront pas détruits. La période de refroidissement de 30 jours pour le unstaking est supprimée à compter de la date de l’annonce, mais les périodes de verrouillage initiales restent en vigueur. L’application officielle cessera d’être accessible dans 30 jours ; ensuite, il sera possible de procéder directement au unstaking et au retrait via les contrats sur Base.

5️⃣ Calendrier : la destruction finale aura lieu avant la liquidation, que la fondation prévoit d’achever au premier trimestre 2027.

Mon avis :
« Détruire 35 % » peut sembler positif, mais il s’agit surtout de jetons de la fondation qui étaient déjà verrouillés et hors circulation. L’équipe abandonne le projet, les jetons restent là, et les détenteurs ne reçoivent pas un centime d’indemnisation. C’est le point essentiel de cette nouvelle.

Le secteur des agents IA a connu son plus grand boom de lancement de jetons en 2025 ; en 2026, il faut passer à l’épreuve des faits : est-ce que les gens utilisent le produit ? Les revenus couvrent-ils les coûts ? Les présentations PowerPoint ne résistent pas à deux cycles haussiers-baissiers.

Si vous avez des jetons en staking, pensez à les unstaker vous-même une fois la période de verrouillage arrivée à son terme. N’attendez pas la fermeture de l’application pour vous pencher sur les contrats. L’équipe précise qu’elle communiquera uniquement via @recallnet, les annonces sur son site officiel et Discord. Elle n’enverra pas de messages privés et ne fera pas d’airdrop ; toute personne se faisant passer pour elle est une arnaqueuse.

Source : annonce officielle de Recall Foundation (recallnet.github.io, 30/10), @recallnet.
Ceci ne constitue pas un conseil en investissement. Faites vos propres recherches.