Meta ouvre le bug bounty de Muse, jusqu'à 300 000 dollars à la clé, et Flock attaque une carte de ses caméras

Meta a publié les conditions le 25 septembre. L'entreprise paie jusqu'à 300 000 dollars pour les rapports valides, dont 130 000 dollars pour une injection de prompt touchant un seul utilisateur. Le programme était auparavant privé. Cette ouverture fait suite à des exercices de red teaming sur les agents et à des observations tirées de scénarios adverses réels.

Le billet, écrit par Meta AI Research, décrit une architecture bâtie sur une hypothèse : l'agent sera attaqué par les données qu'il lit. Le harnais de l'agent tourne dans un conteneur systemd-nspawn où root correspond à un utilisateur hôte non privilégié. Il a son propre système de fichiers racine Debian et un ensemble d'appels système filtré qui bloque io_uring, CAP_SYS_PTRACE et CAP_NET_ADMIN. Les classificateurs de sécurité et les workers de connecteurs privilégiés restent en dehors de cette cellule, pour qu'un attaquant ne puisse pas les désactiver.

C'est une intention de conception, pas un résultat. Meta reconnaît que Muse peut encore commettre des erreurs et qu'il en commettra, même si l'entreprise s'attend à ce qu'elles soient plus rares et moins dommageables. Les tests reposent pour l'instant sur le dogfooding, le red teaming et le bounty privé. Cela reste une preuve mince pour un agent à qui Meta dit avoir confié des boîtes mail, des agendas et un shell depuis début 2026.

Le contraste avec les événements du même week-end est difficile à manquer.

Le 27 septembre, Tom's Hardware a rapporté que Flock a déposé une plainte pour contrefaçon de marque afin de faire retirer la carte des caméras de l'entreprise réalisée par un chercheur en sécurité. Le site recense 335 701 emplacements de caméras. Selon The Intercept, cité par Tom's Hardware, le chercheur Joshua Michael a trouvé une faille non authentifiée sur le site de Flock. Elle renvoyait un jeton d'accès sans identifiants de connexion. Il a ensuite interrogé ArcGIS, la couche cartographique tierce utilisée par Flock, pour extraire une base de données d'appareils en novembre 2025.

Michael a déclaré à The Intercept avoir signalé la faille le 13 novembre 2025. Tous ses tests, précise-t-il, étaient strictement non intrusifs et limités à des points d'accès ouverts et non authentifiés. Tom's Hardware rapporte que Flock n'a pas répondu à son premier message et qu'il a fallu deux relances avant qu'un représentant réponde, indiquant que les conclusions étaient en cours de triage en interne. Michael affirme que l'entreprise ne lui a toujours pas répondu. Flock a corrigé la vulnérabilité en janvier, après sa publication, mais la base de données avait déjà été exfiltrée.

L'entreprise affirme que la plateforme cloud de Flock Safety n'a jamais subi de violation de données. Michael conteste cette version et déclare à The Intercept que cette déclaration est venue après qu'il a extrait la base de données des appareils.

Son analyse est directe : soit l'entreprise était au courant et a choisi de ne pas le divulguer, soit elle n'a pas détecté l'exfiltration du tout. Dans le premier cas, c'est un défaut de transparence, dit-il, dans le second un défaut de détection aux implications pour la sécurité nationale. Tom's Hardware note aussi des découvertes antérieures : les caméras Flock stockaient les clés de chiffrement sur l'appareil, ce qui a permis d'extraire plus de 27 000 clips et de montrer 1 600 000 images capturées en 21 jours, ainsi que des cas d'agents ayant détourné le système.

Les deux affaires portent sur le même écart : ce que l'évaluation mesure réellement. Le bounty de Meta fixe l'injection de prompt à 130 000 dollars pour un utilisateur touché, un montant qui implique que l'entreprise sait qu'un contournement unique est plausible. Le cas Flock suggère que le problème le plus difficile n'est pas de construire une défense mais de remarquer qu'elle a déjà été franchie.

Ailleurs, le débat sur l'évaluation avance plus vite que les déploiements. The Decoder a rapporté le 27 septembre que des chercheurs de Stanford et Caltech ont construit HomeBody, qui branche GPT-6 Astra directement sur un robot Unitree G1, sans couche de contrôle entraînée entre le modèle et le matériel. Le robot explore une cuisine inconnue, construit un jumeau numérique dans Isaac Sim de Nvidia et se corrige sur ses erreurs. Les limites citées incluent la latence d'Astra, la surchauffe des servomoteurs des doigts et des coûts de calcul élevés.

Le même jour, The Decoder a rapporté que Boris Power, responsable de la recherche appliquée chez OpenAI, a déclaré que 80 à 90 pour cent de la recherche de l'entreprise cible désormais GPT 7, GPT 8 et au-delà. Power a qualifié en interne les mises à jour incrémentales comme GPT 5.1 vers 5.2 d'extrêmement court-termistes, même si elles sont utiles pour itérer rapidement. Il a aussi dit que le principal obstacle pour les assistants actuels est l'onboarding, pas la qualité du modèle.

Lus ensemble, les trois positions ne sont pas contradictoires mais successives. Meta fixe le prix de la défaillance qu'elle anticipe. Flock montre ce que coûte une défaillance non détectée. OpenAI consacre déjà la majeure partie de sa recherche à des modèles qu'elle n'a pas livrés, et à l'hypothèse que chaque génération fonctionne simplement mieux.