Une nouvelle menace plane sur les experts en IA : le groupe TA419

Selon un rapport de Proofpoint publié en octobre 2026, un nouveau groupe de cyberespionnage aligné sur la Chine, désigné sous le nom de TA419, a orchestré plusieurs campagnes de phishing visant des experts en intelligence artificielle (IA) travaillant pour des think tanks, universités et cabinets d’avocats américains. Depuis avril 2025, ce groupe s’intéresse particulièrement aux secteurs de la défense, de la sécurité nationale, de l’énergie et des relations internationales, principalement aux États-Unis et au Japon. Aujourd’hui, l’extension de ce ciblage aux experts en politiques IA représente une évolution préoccupante pour l’ensemble de la communauté internationale, y compris en France, où la régulation et la recherche en IA connaissent un essor rapide. Comment les organisations françaises peuvent-elles se protéger contre ces attaques sophistiquées ?

BLUF : Le Plan d’Assurance Sécurité (PAS) est le document contractuel par lequel un prestataire informatique démontre à son client le respect des exigences de cybersécurité. Il est distinct de la PSSI (politique interne) et indispensable pour répondre aux appels d’offres et se conformer au RGPD. En 2026, avec la transposition de NIS 2 et le durcissement des obligations des sous-traitants, un PAS obsolète ou incomplet est un risque commercial et juridique majeur.

Le 2 octobre 2026, GitLab a publié un correctif pour une faille de sécurité affectant sa passerelle d’intelligence artificielle (IA Gateway). Cette vulnérabilité, référencée CVE-2026-90970, obtient un score CVSS de 9,9 sur 10, soit le maximum dans la catégorie critique. Elle permet à un utilisateur authentifié ayant accès à la Duo Agent Platform d’exécuter des commandes arbitraires sur la passerelle auto-hébergée. Dans cet article, nous détaillons la nature de la faille, les versions concernées, les correctifs disponibles et les mesures à prendre pour protéger votre infrastructure.