Shopify Canvas place un chat IA au centre de la création de boutique

Shopify a annoncé l'outil jeudi. Le marchand se retrouve dans une conversation avec Sidekick, l'assistant que l'entreprise utilise déjà pour écrire du code, construire des applications et personnaliser des thèmes. À mesure que l'agent modifie le site, Canvas affiche le code réel de la boutique, rapporte TechCrunch. Le marchand peut tester l'interactivité et les animations. Il peut aussi vérifier l'apparence des pages sur différentes tailles d'écran au lieu de juger une maquette statique.

Shopify a simplifié l'architecture de ses thèmes pour ce lancement. Sidekick peut ainsi lire et réécrire la structure, la logique et le design d'une boutique. L'agent prend aussi des captures de son propre travail, ce qui lui permet de voir ce que voit le marchand au fil des mises à jour. Les marchands peuvent toujours cliquer sur un élément pour le modifier directement. Le chemin par défaut du produit reste toutefois la fenêtre de chat.

Canvas est loin d'être terminé. La prise en charge des thèmes tiers, les blocs et extensions d'applications, les marchés, les traductions, les déploiements progressifs et les mises à jour de thème manquent tous à cette première version. L'outil fonctionne uniquement sur ordinateur. Shopify a indiqué à TechCrunch que ces lacunes seront comblées avec le temps.

Le lancement arrive sur un marché encombré. Wix, Squarespace, Webflow et Framer proposent tous des constructeurs de sites assistés par IA. Les plateformes de vibe coding comme Lovable et Replit visent la même promesse : un site fonctionnel sans développeur. Canvas rejoint cette liste avec une différence : l'aperçu est le code de production lui-même, pas un rendu de celui-ci.

Les attaquants vont plus vite aussi

La même semaine, des chercheurs en sécurité ont publié un cas montrant ce qui se passe quand des agents agissent sans humain devant le clavier. L'Institut néerlandais pour la divulgation des vulnérabilités (DIVD) a déclaré que son propre réseau avait été compromis via une chaîne de deux zero-days dans Zammad, une plateforme open source de helpdesk. Les failles, suivies sous les références CVE-2026-102489 et CVE-2026-102490, permettaient le détournement de session, l'exécution de code à distance et une élévation de privilèges depuis un compte Zammad jusqu'à root, selon BleepingComputer le 30 septembre.

DIVD décrit l'intrusion comme menée par un agent IA qui choisissait lui-même ses étapes suivantes. L'agent a laissé derrière lui des explications de ses décisions, ce qui a permis à l'association de reconstituer la séquence. La segmentation du réseau a limité les dégâts. L'enquête se poursuit et DIVD a annoncé la publication de nouveaux éléments le 1er octobre. Son conseil aux utilisateurs de Zammad est direct : passer à la version 7 ou mettre l'instance hors ligne.

Zammad indique sur son site que plus de 2 000 clients et 55 000 utilisateurs font tourner le logiciel, parmi lesquels De'Longhi, Amnesty International et NextCloud.

Les fournisseurs commencent à répondre à ce type de menace. GTT Communications a lancé GTT Defense Halo le 29 septembre. Il s'agit d'une plateforme de défense réseau native IA que GTT dit exploiter comme une instance dédiée par client. GTT affirme qu'elle génère des plans de remédiation avant que les attaquants ne trouvent les mêmes failles. L'annonce de GTT cite une lettre ouverte publiée fin août et signée par plus de 100 entreprises de la technologie, de la cybersécurité et des services financiers. La lettre avertit que les attaques assistées par IA vont se multiplier et que les défenseurs disposent d'une fenêtre étroite pour se préparer.

Les acheteurs, eux, ne sont pas entièrement convaincus par leurs fournisseurs. Une étude publiée par Arelion le 28 septembre montre que 58 % des dirigeants interrogés ont retardé, réduit ou entouré de garde-fous des initiatives stratégiques au cours des deux dernières années en raison d'inquiétudes liées à un fournisseur réseau. Les projets d'IA et pilotés par les données sont les plus touchés, cités par 49 % de ceux qui signalent une perturbation, devant les programmes de sécurité et de conformité à 44 %. Presque tous les répondants, 93 %, disent faire largement ou totalement confiance à leur fournisseur actuel. Pourtant, 15 % seulement se déclarent entièrement confiants dans sa capacité à détecter et résoudre rapidement un incident réseau grave.

La description de NeedyMantis par Microsoft, publiée le 28 septembre, décrit un logiciel malveillant qui conserve un accès durable à des réseaux déjà compromis. Il est apparu dans un petit nombre d'intrusions ciblées contre des opérateurs télécoms, des universités, des associations médicales à but non lucratif, des organisations intergouvernementales et des sous-traitants gouvernementaux. Son usage remonte au moins à octobre 2025. Microsoft l'a trouvé en suivant les indicateurs de l'enquête de Kaspersky sur une attaque de la chaîne d'approvisionnement visant DAEMON Tools. Dans cette attaque, des installateurs signés ont transporté du code malveillant du 8 avril 2026 jusqu'à leur remplacement par le développeur le 5 mai. L'activité est suivie sous le nom Storm-3069, que Microsoft situe en Chine sans avoir rattaché le groupe à un acteur étatique chinois.

Deux formations de cinq semaines proposées par InfoQ pointent la même lacune de compétences. L'une porte sur l'ingénierie de la sécurité et de la vie privée en IA à partir du 26 octobre, l'autre sur l'ingénierie assistée par IA à partir du 19 octobre. Les animateurs expliquent comment construire du contexte pour les agents de codage et limiter leurs permissions avant de leur imposer des contrôles. Côté recherche, trois articles arXiv soumis le 28 septembre traitent des plongements invariants par échantillonnage pour des ensembles de signaux organisés, des réseaux de neurones pour l'optimisation spectrale et des réseaux de pooling transversal pour les actions de groupe affines.