8 actus IT chaudes de la semaine

Ce qui me retient cette semaine n'est pas que Cisco, Citrix et Microsoft touchent chacun un plan de contrôle plutôt qu'une donnée — centraliser le pilotage du réseau et des passerelles reste souvent le choix le plus raisonnable, pas une erreur d'architecture. Ce qui m'arrête, c'est que les trois incidents produisent le même rayon d'impact par trois voies différentes : un contournement d'authentification chez Cisco, une paire de RCE exploitée en silence pendant trois semaines chez Citrix, une fenêtre de maintenance un peu trop chargée chez Microsoft. Sur mes missions, l'exercice de continuité qui couvre « notre VPN est piraté » et celui qui couvre « notre prestataire cloud a raté sa fenêtre de maintenance » sont presque toujours portés par deux équipes différentes, avec deux calendriers de test, parfois deux comités. Résultat, vérifié une fois de plus cette semaine : quand le plan de contrôle tombe, sur tout un parc NetScaler ou sur 18 régions Azure à la fois, personne n'a jamais répété le scénario tel qu'il se produit réellement, parce qu'il appartient aux deux calendriers sans appartenir vraiment à aucun. Ce que ça change dans mes audits à partir de cette semaine : exiger que l'exercice de bascule du plan de contrôle soit le même, qu'on simule une intrusion ou une mise à jour ratée — sinon le jour où ça tombe pour de vrai, c'est la première fois que quiconque regarde ce scénario précis, quelle qu'en soit la cause.

Sur l'IA, le rapprochement de la semaine n'est pas dans les deux nouveaux modèles mais dans ce que Google fait du sien avant même d'en vanter les capacités. Gemini 4 Argon corrige des vulnérabilités de façon autonome, et Google ne l'ouvre pas largement : il passe d'abord par un programme de testeurs cyber agréés et par la revue volontaire du gouvernement américain, avant tout accès élargi. C'est l'éditeur qui s'impose à lui-même la vérification externe que 84 % des dirigeants, chez PwC, disent vouloir financer cette année — et que 5 % seulement appliquent déjà en totalité sur leurs propres risques data. Pendant ce temps, Workday finance sa « feuille de route IA agentique » en supprimant 525 postes dans ses équipes produit et techno, c'est-à-dire exactement la fonction interne qui, chez un éditeur, ferait ce travail de vérification avant un déploiement large. Je le redis avec d'autres mots chaque semaine parce que personne, dans les comités où je siège, ne l'a encore budgétisé correctement : un agent qui corrige, qui répond à un client ou qui pousse du code n'est pas une fonctionnalité qu'on active, c'est un périmètre de droits qu'on délègue à quelque chose qui décide seul — et déléguer ce périmètre sans financer la fonction qui le vérifie n'accélère pas la feuille de route, ça avance seulement la date de l'incident. Avant de signer la prochaine ligne budgétaire IA, la question à poser est simple : qui, chez nous, joue le rôle que Google vient de donner à son programme de testeurs agréés — et si la réponse est personne, l'argent va au mauvais endroit.