Les 3 articles les plus chauds de la veille du 5 novembre 2026. 🔥

🔥 Top 3

1. A thousand fewer paths to root

948 façons de devenir root sur Linux, trouvées et exploitées par une machine. Coût de l’opération : 1,2 million de dollars en crédits API, soit environ 1 280 dollars par exploit.

Le pipeline d’OpenAI enchaîne seul plusieurs étapes : repérage des zones sensibles du noyau, analyse statique, reproduction dynamique en environnement isolé, écriture d’un exploit fonctionnel, puis génération d’un correctif. Un chercheur humain relit chaque résultat avant de le transmettre aux mainteneurs.

Sur 2 308 pistes détectées, 1 724 ont été reproduites. 948 donnent un accès root depuis un compte non privilégié, sur une distribution Linux standard, pas une cible affaiblie. Le modèle de menace retenu est celui des concours Pwn2Own.

Le chiffre qui fait mal : au tarif des primes versées par ces concours, les mêmes 948 exploits vaudraient entre 18,9 et 66,3 millions de dollars. Le pipeline revient donc 16 à 55 fois moins cher.

Second test, sur l’environnement kernelCTF (un noyau à surface d’attaque réduite) : 21 exploits LPE et 25 fuites d’information, pour 33 000 dollars. Or le programme kernelCTF a accepté 26 0-day confirmés sur toute l’année 2026.

Les agents ont aussi employé au moins 10 techniques d’exploitation inédites, selon OpenAI.

Reste le problème qui fâche : trouver des failles devient industrialisable, les corriger beaucoup moins. Pendant les dix jours du scan, plus de 100 LPE Linux ont reçu un correctif ailleurs, et 300 autres étaient en discussion publique. La génération automatique de patches n’est plus un confort, c’est le seul moyen de tenir le rythme.

🔗 OpenAI

2. I removed 85% of gemma’s weights (and it is mostly fine)

Un modèle de langage, c’est d’abord un gros tas de nombres. Gemma, la famille de modèles ouverts de Google, en aligne des milliards, chacun ajusté pendant l’entraînement. Sur r/LocalLLaMA, un utilisateur en a supprimé 85 %. Le modèle tourne encore, et son verdict tient en trois mots: « mostly fine ».

L’opération s’appelle l’élagage (pruning). Beaucoup de poids ne servent presque à rien, on peut les mettre à zéro sans que la sortie bouge beaucoup. Sauf qu’ici, ce n’est pas 10 ou 20 % du réseau qui part. Il en reste 15 %.

Deux lectures. L’optimiste : les grands modèles sont massivement redondants, et on peut les faire tenir sur du matériel bien plus modeste. La gênante : les tests standards ne voient pas la casse. Un modèle amputé répond encore juste aux questions courantes, puis déraille dès qu’on sort du sentier, sur du code tordu ou du raisonnement long.

Le détail qui compte, c’est la méthode. Couper au hasard détruit tout. Couper les poids de plus faible valeur absolue, ou ceux dont l’activation reste proche de zéro sur un jeu de calibration, laisse survivre la structure. C’est de la chirurgie sur des statistiques, pas sur du sens.

Reste une question désagréable : si 85 % du modèle ne sert à rien, à quoi a servi l’entraînement qui les a produits ?

🔗 www.reddit.com

3. Kimi-K3.1-Pro is now open-weights

Kimi-K3.1-Pro passe en open weights. Moonshot AI libère les poids de son dernier modèle, et l’annonce circule sur r/LocalLLaMA.

Un modèle « open weights », c’est simple : les fichiers de paramètres sont téléchargeables. Pas d’API à appeler, pas de facture au token. Vous récupérez quelques dizaines (ou centaines) de gigaoctets, et le modèle tourne sur votre matériel, chez vous ou dans un cloud privé.

La nuance avec l’open source complet tient en deux mots : licence et données. On récupère le gâteau, rarement la recette. Les données d’entraînement restent opaques, et le texte de la licence décide de ce que vous avez le droit d’en faire.

L’intérêt réel pour une équipe, c’est le fine-tuning. Réentraîner le modèle sur ses propres documents sans les envoyer à un fournisseur tiers change la donne dès qu’il s’agit de code propriétaire, de données clients ou de santé.

Le piège, c’est le calcul. Un modèle de cette taille ne tient pas sur un laptop. Il faut des GPU, de la mémoire, et quelqu’un capable de gérer l’inférence. Les poids ouverts démocratisent l’accès au modèle, pas celui aux machines qui le font tourner.

Détail savoureux : la page Reddit qui relaie l’annonce est bloquée par un captcha anti-robots. Vérifier les termes exacts de la licence demande donc de prouver qu’on est humain.

La vraie question n’est plus de savoir si les poids sont libres, mais si la licence laisse assez de marge pour un usage en production.

🔗 www.reddit.com

📦 Le reste de la veille

… et 19 autres articles consultés.