Shopify lance Canvas, son outil de boutique par IA, pendant que le DIVD attribue sa propre intrusion à deux zero-days Zammad

Shopify a présenté Canvas le 1 octobre, rapporte TechCrunch le même jour. L'outil permet aux marchands de monter une vitrine en discutant avec Sidekick, l'agent IA de la société. Le produit affiche en temps réel le code réel de la boutique, et non un aperçu statique. Les marchands peuvent tester l'interactivité, les animations et différentes tailles d'écran à mesure que le site évolue.

Sidekick n'est pas nouveau. L'agent servait déjà à écrire du code, construire des applications et personnaliser des thèmes, selon TechCrunch.

Ce qui change, c'est l'accès. Shopify a donné à Sidekick un accès direct aux fichiers du thème et simplifié l'architecture de celui-ci. L'agent peut ainsi comprendre la structure, la logique et le design de la boutique. Le lancement reste limité. La prise en charge des thèmes tiers, les blocs et extensions d'applications, les marchés, les traductions, les déploiements progressifs et les mises à jour de thème manquent tous dans cette première version, rapporte TechCrunch. Canvas fonctionne uniquement sur ordinateur. Shopify a indiqué au média prévoir de les ajouter au fil du temps. L'opération place Shopify aux côtés de Wix, Squarespace, Webflow et Framer, qui vendent déjà de la création de sites assistée par IA, ainsi que des plateformes de vibe coding Lovable et Replit. Shopify mise sur une base de marchands déjà large et sur un agent qui modifie des fichiers de production plutôt que de générer une maquette jetable.

"We started the year at 80 sites, hit the 100th site right on our second-year anniversary as a company, and now we're nine months into the year and we've over doubled in size," Ionna CEO Seth Cutler told InsideEVs.

L'actualité sécurité de la semaine est allée plus vite que celle des produits. L'Institut néerlandais pour la divulgation de vulnérabilités a indiqué que des attaquants ont pénétré son propre réseau en exploitant deux failles zero-day dans Zammad, une plateforme open source de helpdesk et de ticketing, rapporte BleepingComputer le 30 septembre. Les failles sont répertoriées sous CVE-2026-102489 et CVE-2026-102490. Elles ont permis le détournement de session, l'exécution de code à distance et une escalade vers root.

Le DIVD avait auparavant décrit l'attaque comme bruyante et désordonnée, menée par un agent IA qui choisissait lui-même ses étapes suivantes. L'agent a laissé derrière lui des explications de ses décisions, ce qui a permis aux enquêteurs de reconstituer l'incident. L'organisation recommande aux utilisateurs de Zammad de passer à la version 7 ou de mettre l'instance hors ligne.

La confiance, et là où elle cède

Les acheteurs enterprise sont déjà inquiets. Le rapport d'Arelion, publié le 28 septembre, montre que 58 % des dirigeants interrogés ont retardé, réduit ou assorti de garde-fous des initiatives stratégiques au cours des deux dernières années, par crainte de leur fournisseur réseau. Les projets IA et pilotés par les données sont les plus touchés, cités par 49 % de ceux qui ont subi une perturbation. Viennent ensuite les programmes de sécurité et de conformité à 44 %, la transformation numérique à 42 % et les migrations cloud à 38 %.

Le même rapport relève un écart entre la confiance déclarée et la confiance éprouvée. 93 % des répondants disent faire largement ou totalement confiance à leur fournisseur actuel. Mais seulement 15 % se disent tout à fait convaincus que ce fournisseur saura détecter et résoudre rapidement un incident réseau grave. Interrogés sur ce qui construit la confiance, les dirigeants placent d'abord la protection contre les menaces de sécurité à 48 %, puis la fiabilité et la disponibilité à 44 %, et enfin la performance et la latence à 37 %.

Les fournisseurs vendent dans cet écart. GTT Communications a lancé GTT Defense Halo le 29 septembre. Il s'agit d'une plateforme de défense réseau native IA que GTT dit déployer en instance dédiée pour chaque client, sur sa propre usine IA hébergée aux États-Unis, au Royaume-Uni et dans l'Union européenne. Light Reading a rapporté le lancement. GTT affirme que la plateforme identifie les vulnérabilités et les lacunes de politique, génère des plans de remédiation et construit un modèle à états des connexions hôte à hôte d'un client.

L'argument tombe dans un contexte d'attaques assistées par IA. L'annonce de GTT renvoie à une lettre ouverte publiée fin août. Plus de 100 entreprises de la technologie, de la cybersécurité et des services financiers l'ont signée. Elles avertissaient que les cyberattaques assistées par IA allaient se multiplier et que les défenseurs disposaient d'une fenêtre étroite pour se préparer.

Les recherches de Microsoft vont dans le même sens. La société indique qu'une famille de malwares nommée NeedyMantis a servi à conserver un accès de long terme à des réseaux déjà compromis, selon The Hacker News. Les intrusions relèvent d'un petit nombre d'attaques ciblées contre des opérateurs télécoms, des universités, des organisations médicales à but non lucratif, des organisations intergouvernementales et des sous-traitants gouvernementaux. Leur usage remonte au moins à octobre 2025. Microsoft rattache l'activité liée à l'attaque de la chaîne d'approvisionnement DAEMON Tools au groupe Storm-3069. La société précise que plusieurs groupes peuvent utiliser ce malware.

Attaques agentiques, défenses agentiques

La formation court après le même problème. InfoQ organise en octobre 2026 deux cohortes en ligne de cinq semaines : AI Security and Privacy Engineering à partir du 26 octobre, et AI-Assisted Engineering à partir du 19 octobre. Katharine Jarmul, qui anime la cohorte sécurité, estime qu'un audit de sécurité IA doit suivre les données et les décisions dans tout le système. Zichuan Xiong, de Thoughtworks, co-animateur de la cohorte ingénierie, juge que la question la plus difficile pour un agent de codage est ce qu'il a été autorisé à faire et comment on sait que la modification est saine.

Du côté de la recherche, arXiv a publié SimTrace le 29 septembre. Le framework génère des clickstreams multimodaux synthétiques à partir de trajectoires réelles d'utilisateurs et d'un jumeau simulé d'un environnement web. Les auteurs indiquent qu'il surpasse les références concurrentes sur 7 des 8 métriques de fidélité. Ils rapportent aussi que l'ajout de données synthétiques aux données réelles a amélioré la précision de prédiction de l'action suivante de 11,0 % par rapport à un entraînement sur les seules données réelles. Le travail vise les clients virtuels pour les tests A/B, le développement de systèmes de recommandation et l'évaluation d'interfaces. C'est la même infrastructure que celle nécessaire pour tester le comportement d'un agent IA sur une vitrine en production.

Pris ensemble, les nouvelles de la semaine ressemblent moins à une série de lancements séparés qu'à un même argument avancé depuis plusieurs directions. On confie aux agents davantage de contrôle sur des systèmes de production, et l'outillage de sécurité et de mesure qui les entoure reste à écrire.