Zhipu revendique un modèle plus doué pour traquer les bugs

Le chinois Zhipu a présenté GLM-5.3, un modèle d’IA qu’il dit plus performant pour détecter des failles logicielles que plusieurs concurrents américains, dont des systèmes d’Anthropic et d’OpenAI. L’annonce, publiée last week selon la source, compte parce qu’elle touche un terrain très concret : la cybersécurité, où les modèles capables de repérer des vulnérabilités peuvent accélérer les audits, mais aussi aider à casser des défenses. Dans le même temps, d’autres dossiers réglementaires bougent en Asie, entre app stores et plateformes de VTC.

GLM-5.3 se mesure aux tests de sécurité, pas au discours

Zhipu affirme que GLM-5.3 est « state of the art on CyberGym for vulnerability discovery ». CyberGym est un benchmark, c’est-à-dire un banc d’essai utilisé pour comparer des modèles sur des tâches de cybersécurité réelles. Selon l’entreprise, le modèle bat Fable 5 et GPT-5.6 Sol sur ce test, et progresse surtout « further up the exploitation chain », autrement dit sur la capacité à enchaîner plusieurs étapes d’attaque plutôt qu’à repérer une faille isolée.

La formulation est intéressante, car elle décrit un changement de nature plus qu’un simple gain de score. Zhipu dit que GLM-5.3 « did not simply become better at identifying isolated flaws: it began to reason across multiple stages of exploitation, forming coherent plans for complete exploitation chains. » Une IA qui sait raisonner sur une chaîne d’exploitation devient utile pour les tests offensifs, mais aussi plus préoccupante si elle tombe entre de mauvaises mains. Les chercheurs en sécurité n’auront pas besoin d’un café supplémentaire pour y voir un sujet sensible.

Des vulnérabilités trouvées dans 269 projets

La société dit avoir testé le modèle sur des bases de code réelles avec des entreprises chinoises. Résultat annoncé : 2 436 vulnérabilités identifiées dans 269 projets, dont 1 097 de gravité moyenne à élevée. Les failles recensées touchent des noyaux systèmes, des systèmes d’exploitation, des moteurs de navigateur, des infrastructures open source, des applications web et des protocoles réseau.

Zhipu ajoute que beaucoup de ces problèmes étaient passés inaperçus « for years or even decades », avec certains cas remontant à environ 40 ans. Cette partie du message sert évidemment la démonstration commerciale, mais elle dit aussi quelque chose du marché : la chasse aux bugs, longtemps très manuelle, entre dans une phase où les modèles peuvent faire gagner du temps sur les gros corpus de code. Reste que la source signale aussi des performances plus faibles de GLM-5.3 sur d’autres benchmarks de sécurité et de codage [à vérifier].

La Chine rattrape le terrain cyber plus vite que prévu

Le commentaire le plus lourd de sens n’est peut-être pas la comparaison directe avec Anthropic ou OpenAI, mais la vitesse d’itération. Zhipu écrit que, « as we scaled post-training, cyber capability developed faster than we expected ». En clair, une fois le modèle entraîné et affiné, ses capacités de sécurité auraient monté plus vite qu’anticipé.

Pour le marché, cela compte à double titre. D’un côté, les équipes de sécurité gagnent un outil potentiel de plus pour trouver des failles dans des systèmes complexes. De l’autre, la compétition stratégique entre États et entreprises s’intensifie sur un terrain où le même modèle peut servir à protéger ou à attaquer. Sur ce point, la frontière reste mince, et pas seulement sur le papier.

Apple, Google et les pourboires des VTC : la régulation suit son cours

En Corée du Sud, la Communications Commission a estimé la semaine dernière qu’Apple et Google avaient abusé de leur position dominante sur les app stores. Le pays avait déjà adopté en 2021 une loi obligeant les opérateurs à proposer des moyens de paiement tiers. Les deux groupes s’y sont conformés, mais avec une commission de transaction de 26 %, ce qui a réduit l’effet réel de la réforme.

Le régulateur dit pouvoir infliger jusqu’à 3 % des revenus issus du comportement non conforme. Pour Apple et Google, cela ressemble à une menace sérieuse sur le principe, moins sur le montant absolu [à vérifier]. En Inde, une autre règle touche les plateformes de VTC : le gouvernement a interdit aux services de course de proposer à l’avance un pourboire avant l’acceptation d’une course. Les applications ne pourront suggérer un tip qu’après la fin du trajet, et l’intégralité du pourboire devra revenir au conducteur.

Les services IT indiens sous pression après deux aveux de fuite

TCS et HCL ont, chacun de leur côté, signalé des incidents de sécurité liés à des données d’employés. TCS dit avoir reçu des alertes de threat intelligence sur une possible exposition d’informations, puis n’avoir trouvé « no credible evidence of a breach of TCS systems or customer environments ». Le groupe précise que les données mentionnées sont des informations basiques sur des salariés, vieilles de plus de quatre ans.

HCL évoque pour sa part des « claims made by a hacker group of potential exposure of limited data elements relating to HCLTech employees ». Là encore, l’entreprise assure que les données clients sont sûres et parle d’éléments limités, datés de quelques années. Dans les deux cas, le point important est moins la gravité immédiate que la répétition du signal : les grands sous-traitants numériques restent des cibles, même quand l’incident vise surtout des données RH.