Le 2 octobre 2026, GitLab a publié un correctif pour une vulnérabilité classée 9,9 sur 10 dans sa passerelle AI (AI Gateway). Ce score, quasi maximal, traduit une faille d’exécution de commande à distance qui pourrait compromettre les serveurs hébergeant la passerelle. Pour les organisations françaises qui ont choisi d’héberger elles-mêmes cette composante - souvent par souci de souveraineté des données - la mise à jour est impérative.

Selon les informations communiquées par GitLab, un utilisateur authentifié disposant d’un accès à la plateforme Duo Agent peut, sous certaines conditions, exploiter la vulnérabilité référencée CVE-2026-90970 pour échapper au bac à sable du modèle de prompt d’un flux personnalisé (custom flow). L’attaque aboutit à une exécution arbitraire de commandes sur la passerelle. Bien qu’aucune exploitation active n’ait été signalée à ce jour, l’agence américaine CISA a déjà ajouté la vulnérabilité à son catalogue avec une évaluation initiale d’absence de preuve de concept publique. Toutefois, la gravité du score CVSS impose une action immédiate.

Chef de projet cybersécurité : le pilote de la sécurité informatique

Le chef de projet cybersécurité conçoit, pilote et sécurise les systèmes d’information. Il transforme les exigences de sécurité (RGPD, ISO 27001, NIS2) en plans d’action concrets, en coordonnant les équipes techniques, la direction et les prestataires. Sans lui, les projets de sécurité restent des vœux pieux.

Exemple concret : il pilote le déploiement d’un SOC (Security Operations Center) pour surveiller 10 000 postes, en respectant un budget de 500 k€ et un délai de 9 mois.

Plus de 13 000 captures d’écran internes provenant de 300 organisations ont été découvertes sur des dépôts GitHub publics. Ces images, publiées involontairement par des agents de codage IA, contenaient des fiches de facturation clients, des écrans de fonctionnalités non encore dévoilées et des informations sensibles sur des produits en développement. Ce phénomène, révélé par la société de sécurité Glow en septembre 2025, met en lumière une vulnérabilité systémique dans l’utilisation des agents d’intelligence artificielle pour les revues de code.