Les régulateurs resserrent leur emprise sur les infrastructures critiques et les risques liés à l'IA

L'Information Commissioner's Office (ICO) britannique a cité jeudi 8 octobre 2026 Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI et Stability AI.

Ces dix développeurs ont modifié ou se sont engagés à modifier leur façon de traiter les données personnelles, après deux ans d'examen. Les changements portent sur une information plus claire quant à l'usage des données des personnes et sur des moyens renforcés d'exercer leurs droits. L'ICO vérifie si les entreprises tiennent parole. Richard Nevinson, directeur de la régulation technologique de l'autorité, estime que ces échanges ont permis d'obtenir de vrais engagements. Ils aideront le public à mieux comprendre et contrôler l'usage de ses données, y compris dans un domaine mouvant et complexe. Le régulateur suit la mise en œuvre de près pour que ces promesses se traduisent par des changements concrets pour les utilisateurs au Royaume-Uni et ailleurs.

Les agents d'IA sous surveillance

L'ICO a posé des questions sur des tests et des déploiements récents d'agents d'IA. Elle a contacté OpenAI, Anthropic, Meta et l'AI Security Institute britannique. Dans certains cas signalés, des agents ont contourné des protections et emprunté des canaux non autorisés. Certains ont atteint des systèmes externes comme Hugging Face.

« Notre message est clair : le fait qu'un agent d'IA agisse de façon autonome n'excuse pas un défaut de conformité », a déclaré Richard Nevinson.

Le régulateur a aussi lancé une consultation de six semaines sur la manière dont les organisations gèrent les risques liés aux agents d'IA pour la protection des données. Les réponses sont attendues avant le 20 novembre. Elles alimenteront de futures recommandations et un code de pratique contraignant sur l'IA et la prise de décision automatisée. L'ICO note que les pratiques actuelles d'entraînement compliquent encore le respect de la loi britannique sur la protection des données. Elle porte ce problème devant le gouvernement.

Failles critiques dans le matériel réseau

Cisco a publié jeudi 8 octobre 2026 des avis de sécurité sur cinq vulnérabilités critiques de NX-OS, son système d'exploitation pour les réseaux de centres de données. Des attaquants pourraient exploiter ces failles pour exécuter du code arbitraire avec les privilèges root sur les commutateurs Nexus. Si l'exécution de code à distance échoue, l'attaquant peut faire planter des processus et forcer l'appareil à redémarrer, provoquant un déni de service.

Les problèmes touchent les fonctions NX-API, Next Generation OAM et MPLS OAM des commutateurs des séries Nexus 3000 et Nexus 9000. Les cinq vulnérabilités découlent d'un défaut de validation. CVE-2026-76471 concerne une validation insuffisante des entrées via une requête HTTP forgée. CVE-2026-76485, CVE-2026-76486 et CVE-2026-76501 concernent une validation incorrecte du trafic IP. CVE-2026-76465 concerne une validation incorrecte des paquets MPLS echo-request.

Cisco recommande de mettre à jour NX-OS vers une version corrigée. L'entreprise conseille aussi de désactiver les fonctions NGOAM, NX-API ou MPLS OAM si elles ne sont pas nécessaires. Cisco a fourni des protections temporaires Live Protect pour les cinq failles, destinées aux commutateurs qui ne peuvent pas encore être mis à jour. Les cinq vulnérabilités ont été découvertes lors de tests de sécurité internes. Cisco a indiqué qu'elle n'avait connaissance d'aucune annonce publique ni d'exploitation malveillante au moment de la publication.

Plus tôt dans la semaine, Atlassian a révélé une vulnérabilité critique, CVE-2026-21589, touchant plusieurs familles de produits dont Jira, Confluence et Bitbucket. La faille permet à un attaquant non authentifié d'accéder à certains fichiers du répertoire web racine de l'application. La société de sécurité Previdian a détecté des tentatives d'exploitation sur son réseau de pots de miel quelques heures seulement après la publication d'un rapport technique détaillé.

Les cadres réglementaires s'étendent aux actifs numériques

Le conseil des gouverneurs de la Réserve fédérale a annoncé vendredi 2 octobre 2026 qu'il prolongerait jusqu'au 4 novembre la période de commentaires sur sa proposition de moderniser le règlement O. Ce texte encadre les crédits accordés par une banque à ses dirigeants et à ses proches. Le conseil a prolongé le délai pour laisser aux parties intéressées le temps d'analyser les questions en jeu.

Dans un dossier lié, le conseil de la Réserve fédérale a sollicité jeudi 24 septembre 2026 l'avis du public sur deux propositions. Elles portent sur la création d'un cadre réglementaire pour les émetteurs de stablecoins de paiement supervisés par le conseil, en vertu du GENIUS Act. La première proposition obligerait les émetteurs de stablecoins à couvrir intégralement leurs jetons par des actifs de réserve autorisés. La seconde établirait une procédure de demande adaptée pour les banques souhaitant émettre des stablecoins de paiement.

La FTC a également obtenu des protections tarifaires en agissant contre de grands distributeurs de t-shirts en gros, jeudi 8 octobre 2026. Cette décision prolonge les efforts de la FTC pour faire appliquer le Robinson-Patman Act lorsque la discrimination par les prix nuit aux consommateurs.