Cédric Colman @cedcolman

🥱 Résumé d’octobre: Début octobre, plus de sept établissements financiers sud-coréens se font vider leurs fichiers clients. Le 8 octobre, le ver Shai-Hulud, qui traîne sur npm depuis septembre 2025, ressort dans le kit officiel de Tensorlake, téléchargé 12 000 fois par semaine. Dans la nuit du 11 au 12 octobre, des hackers lancent le dégivrage à distance dans les frigos de centaines de supermarchés français. Les vitrines montent à 50 degrés chez environ 300 Intermarché et Netto, 80 Carrefour et une trentaine de Monoprix. Le 15 octobre, la vice-gouverneure de la Banque d’Angleterre déclare que l’IA est devenue un risque systémique pour la finance mondiale et demande aux banques de garder des serveurs de secours débranchés de tout le reste. Le week-end suivant, Firefox, Chrome, Apple et Microsoft bloquent en catastrophe huit certificats de l’organisme indien eMudhra, celui qui garantit à ton navigateur que tu parles au bon site. Ses clés privées étaient toutes des nombres inférieurs à 256. L’une d’elles, c’était 4. Oui, le chiffre 4. Le mercredi 21 octobre, en une seule journée: PHP sort en urgence deux correctifs pour des failles notées 9,2 sur 10 qui permettent de prendre la main sur un serveur web sans mot de passe. Node.js en sort dix, dont quatre graves. LiteLLM, la librairie Python qui branche les boîtes sur leurs IA, se fait pirater: pendant 1h43, la version officielle vole les mots de passe de tous ceux qui l’installent. Le même jour, on apprend qu’un gang mexicain a lâché une meute d’agents IA sur plus de 400 banques et fintechs d’Amérique latine. Ils ont réussi à extraire des données personnelles, des numéros de compte et des mots de passe. Ce 22 octobre, Axios révèle que JPMorgan, Bank of America, Morgan Stanley et Wells Fargo trouvent des agents IA tiers dans les comptes de leurs clients, dont certains agissent sans qu’on leur ait rien demandé. Et le mois n’est pas fini. La cyber-pandémie (ou guerre) est là et ne fait que commencer. Le WEF prévenait déjà en janvier 2026: Rapport cyber du WEF: « une faille chez un fournisseur aujourd’hui peut devenir la brèche d’une autre organisation demain ». Même rapport: « l’énergie, l’eau et les transports sont de plus en plus ciblés », avec en exemple un barrage norvégien piraté en 2025, vanne ouverte à 500 litres par seconde pendant quatre heures. Même rapport: 31% des sondés n’ont pas confiance dans la capacité de leur pays à encaisser une cyberattaque majeure, contre 26% l’an dernier. L’article du WEF sur ce rapport: l’IA, la géopolitique et la fraude « convergent plus vite que les organisations ne peuvent s’adapter ». Rappel : Le 16 octobre, les ministres des Finances du G7 annoncent depuis Bangkok qu’ils vont simuler des cyberattaques par IA contre le système financier, pour tester leurs protocoles et réviser leurs manuels. Ils ont écrit le scénario en janvier et ils font la répétition en octobre. Les plus grandes institutions de ce monde sont complètement démunies face à ce qui est en train de se passer, et pendant ce temps elles t’obligent à valider ton virement bancaire de 300 balles avec une confirmation par SMS et un scan de visage. Tout va bien se passer. Follow @lebunkerbtc pour suivre les nouvelles de la cyber-guerre mondiales 2026

# Black October For anyone who knows me even somewhat well, it's clear that I am a 99th percentile tech optimist. However, the vibes have shifted for me quite a bit in the last 18 hours, and I feel a moral imperative to share what I'm thinking and feeling with my circles so that everyone can understand, and hopefully take seriously, what's happening right now. I think October 2026 will have many chapters written about it in the history books. You know those scenes in financial movies like Margin Call where someone realizes that they're all fucked, and no one else sees it yet? And that person feels like they're crazy, and then suddenly everyone is pulling an all-nighter in a boardroom and freaking out? Yeah, that's kind of how this is feeling right now in the SF/Bay Area/AI circles. We're 48 hours into what is being called Black October. In the last 2 days there have been several dozen cyber attacks which, in isolation, would each have been the worst to happen in an entire calendar year. Every sector from government to education to big tech and banks is being massively affected, and people are starting to freak out. In a nutshell, what's happened is that frontier AI models have gotten to a point where they are as advanced as the most sophisticated programmers, with one critical difference: they can work 24/7, and you can spin up 10,000 of them with a single command and they'll work together tirelessly until they accomplish their task. The most advanced models today are from companies like Anthropic and OpenAI, whose current best technology is so good that they haven't been able to roll it out to everyone yet because of the national security risks it poses. Meanwhile, the best open source models (where anyone can just download the model weights and do whatever they want with them, uncensored) are slightly behind the frontier but still 90-95% as capable. These models, developed primarily in China, are being used by black hat hackers to wreak havoc on the Western capitalist structure. Presumably, this has been part of China's plan the entire time, and we're seeing its implications fall out in real time. In red-pilled AI circles, we've been sharing and reading papers called things like "Situational Awareness" and "AI 2027" for the last year or so, which at the time felt a bit like near-term speculative fiction. They laid out the case for why Artificial General Intelligence (AI smarter than any human at any knowledge task) and Recursive Self-Improvement (models that are able to use themselves to get better) weren't half-baked future ideas anymore, but instead an inevitable outcome of the linear progress that's happening. These papers would then talk about things like "takeoff scenarios," trying to envision how that moment would come to be and what it would be like when it happened. It would either be a "slow takeoff" that would play out over the course of months and quarters, happening subtly and only obvious to a few. Or, it would be a "fast takeoff" where it would pretty much happen instantly, like a bit flipping from 0 to 1. From everything that I can see and am feeling, we are currently experiencing the fast takeoff scenario. Beyond the crazy security vulnerabilities that have come out recently, there have also been massive breakthroughs in life sciences, fundamental computer science, materials science, and pure mathematics that have all landed in the same time frame. While I still firmly believe that AI will be a net positive for humanity, it's more clear to me than ever that the societal and individual risk is very real, and is playing out NOW. For as much conviction as I have that this is happening, the thing that's caused me to lose sleep is that I don't really know what to do about it, or more importantly, what to tell you, reader, to do about it. So, the best I can do is make a few suggestions that have always been a good idea but are more timely now than ever: Set up 2-factor authentication for everything. I use Duo. Use a password manager across your devices. I use 1Password. Get an identity protection app set up. I use Alta. Move your IoT devices to their own network. Claude helped me do this. And last, but certainly not least, if you've been avoiding leaning into AI, see this as a catalyst to wake up and start using it. Don't just use the chat mode version of ChatGPT/Claude; click that Code/Work button and see how easily you can have AI write code to help you with your job. One of the biggest vulnerabilities was in a massively popular programming language called PHP, and the prompt that set it off was literally, "Find vulnerabilities in php." This is an unprecedented time for humanity, but as we've done with many things before, we will prevail so long as we are kind, loving, and open-minded to the world. Much love.

Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server's file system or database. If an immediate update is not feasible, it is recommend that organizations take the system offline until it can be fully mitigated. NSA will follow up shortly with more specific guidance.

Les cris en hémicycle ne peuvent masquer ni les chiffres ni les faits : depuis 50 ans, 80 % de la hausse des dépenses publiques est allée aux dépenses sociales, notamment aux retraites et à la santé. Pas à la jeunesse. Pas à la transition écologique.

C'est HISTORIQUE: Bercy publie pour la 1ère fois le poids réel des pensions dans le budget de chaque ministère. Attention, ça pique: 32% du budget de l’Éducation nationale et 30% du budget de l'Intérieur part en réalité dans... les retraites Tous les ministères sont concernés⤵️

Comprendre les tensions récentes entre la France et l’Allemagne 1.⁠ ⁠L'Allemagne débloque le plus gros budget militaire d'Europe (grâce à son énorme capacité d’endettement liée à deux décennies d’excédents construits en partie sur une monnaie et un marché favorable à leur économie et défavorables à l’économie française et italienne). 108 Md€ en 2026, contre 57 Md€ pour la France : presque le double. Et Berlin prévoit déjà près de 140 Md€ en 2027. 2.⁠ ⁠L’allemagne ne vas pas bien. Sa capacité d’endettement massive est une de ses dernières cartouches. Elle ne peut pas se permettre de la griller. Elle est dans une situation très fragile car son business modèle historique de transformer du gaz russe en machines outils à destination de la Chine est fini. Jusqu'en 2022, la Russie fournissait 55 % du gaz importé par l'Allemagne. Côté Chine, les exportations allemandes sont passées de 106 Md€ en 2022 à 81 Md€ en 2025, un quart de moins en trois ans. Le déficit bilatéral, lui, a été multiplié par plus de quatre : environ 20 Md€ en 2020, près de 90 Md€ en 2025. Un bon trou de 70 milliards à combler et qui va continuer à se creuser. 3.⁠ ⁠L’Allemagne a donc un besoin vital de transformer son budget militaire en refonte totale et profonde de son économie, en se rattachant à la nouvelle révolution Industrielle. Le capital-risque suit : 3,5 Md$ investis dans les start-up de défense allemandes en 2026, contre 375 M$ en France, soit neuf fois plus. Et cet argent est largement américain : le tour de 1,8 Md$ de Helsing a été porté par Dragoneer, Lightspeed, General Catalyst, Iconiq, Goldman Sachs et JPMorgan. Ces fonds parient sur une demande garantie par l'État allemand, qui a signé avec Helsing et Stark un accord-cadre pouvant atteindre 4,3 Md€. 4.⁠ ⁠L’Allemagne utilise le canal militaire pour 4 raisons : a. Ce sont les besoins de l'époque, avec la montée des périls géopolitiques. b. Les politiques et l’opinion publique allemands, largement défavorables à l’endettement, sont prêts à faire une exception pour des besoins de défense. ( En 2027, Berlin empruntera 85 Md€ pour la défense hors frein à l'endettement, contre 33 Md€ autorisés pour tout le reste du budget : deux fois et demie plus.) c. La nouvelle révolution industrielle fondée sur l’ia et la robotique est essentiellement duale, c est à dire que des progrès dans le domaine militaire peuvent s’appliquer facilement dans le domaine civil. d. Les dépenses militaires sont exemptées des contraintes des traités européens sur les interventions de l'État. Mini détail à l’importance capitale. 5.⁠ Alors que l’industrie civile allemande se délite en temps reel - depuis 2019, l'industrie automobile allemande a perdu 142 400 emplois, soit un poste sur six - tous les industriels allemands sont donc désormais comme des noyés en haute mer en train de se battre pour s'accrocher à une bouée de sauvetage : les budgets militaires allemands. Ils jouent leur survie, donc ils n'ont absolument aucune intention de laisser un Français toucher un seul euro de ce pactole. Sur 222 Md€ de commandes militaires allemandes passées entre 2020 et 2026, 3 % seulement sont allées aux autres Européens. (Mais 12% d’achats hors Europe, essentiellement américains. Il faut soigner l’alliance de revers.) 6.⁠ ⁠L’industrie de défense française est historiquement supérieure à l'allemande. En 2015, les groupes de défense français réalisaient 21 Md$ de ventes d'armes, contre 5,6 Md$ pour les allemands : près de quatre fois plus. En 2024, c'est 26,1 Md$ contre 14,9 Md$ : l'écart est tombé à moins du double, l'industrie allemande ayant presque triplé en dix ans. Plus le secteur de la défense allemand continuera grossir, plus il se clashera directement avec le secteur français. Les deux grands programmes communs lancés en 2017 en sont les premières victimes. Le 8 juin dernier, Paris et Berlin ont acté que le SCAF ne pouvait pas être mené à bien, alors que Dassault avait l'avion et Airbus coté allemand tout le reste, drones compris. Le char commun a suivi le même chemin : avant-hier, le chef d'état-major des armées a annoncé devant l'Assemblée que l'Allemagne abandonnait le MGCS, quatre mois après la chute du SCAF. La France doit désormais lancer seule dès 2027 les études pour remplacer le Leclerc. Le mouvement de séparation d’avec la France dépasse la défense : Ecosia, le moteur de recherche berlinois utilisé notamment par les ministères allemands abandonne Mistral cinq mois après l'avoir choisi pour remplacer OpenAI. Son PDG juge les modèles français en retard d'un an, et va jusqu'à reprocher à Mistral la part du nucléaire dans le mix électrique français. 7.⁠ ⁠Autrefois, les deux industries de défense allemandes et françaises avaient moins de sujets de contention. Elles ont construit ensemble le Transall, l'Alpha Jet, le missile Roland et l'hélicoptère Tigre, puis participé ensemble au NH90 et à l'A400M, chacun apportant ses points forts : le terrestre côté allemand ; l'aviation de combat, les missiles, les sous-marins nucléaires et la dissuasion côté français. Les drones et l'IA qui n'ont pas de propriétaire historique ont créé quant à eux une concurrence frontale. Dans le spatial, où la France dominait depuis Ariane et Kourou, l'Allemagne fait désormais cavalier seul avec pour but assumé de marginaliser la place de la France dans le spatial européen : l’Allemagne prévoit 35 Md€ d'ici 2030 pour le spatial militaire, finance ses propres lanceurs (Isar Aerospace a réussi sa première mise en orbite en septembre 2026) et lance sa propre constellation militaire d'environ 10 Md€, en doublon pourtant de la constellation européenne IRIS². Sur les systèmes autonomes, l’allemand Helsing est valorisée 18 Md$, contre 1,4 Md$ pour Harmattan AI, son équivalent français : treize fois plus. L'écart tient d'abord à la taille de la commande publique : outre l'accord-cadre déjà cité, Berlin finance les drones Helsing livrés à l'Ukraine, quand la DGA a commandé seulement 1 000 drones à Harmattan. Il tient ensuite à l'accès aux grands fonds américains, qui soutiennent particulièrement l’Allemagne (mélange de donnant donnant, de confiance financière et de stratégie géopolitique), alors que le tour de Harmattan a été mené par Dassault, acteur indispensable mais aux poches beaucoup moins profondes que celles du techno-capitalisme américain. 8.⁠ ⁠Cet argent militaire nourrit directement l'économie civile, car ces technologies sont duales comme nous l’avons vu. Le programme spatial allemand finance des constellations de satellites, des stations au sol et des capacités de lancement garanties : des infrastructures que l'économie civile utilisera. 9.⁠ ⁠La crise financière française arrive au pire moment, celui où la France aurait besoin de tripler son budget militaire pour se mettre au niveau de l’Allemagne.Tripler le budget militaire demanderait environ 114 Md€ de plus, soit à peu près 25% du montant des retraites versées. 25% c’est aussi le montant que touchent en plus les retraités Français par rapport aux retraités Belges. En d’autres termes si la France décidait que ses retraités devaient avoir le même niveau de vie qu’en Belgique plutôt que le niveau de vie le plus élevé de la planète, elle pourrait être au niveau des Allemands dans ses dépenses militaires qui décident du futur de la nation pour ce siècle. Économiquement et moralement faisable, politiquement impossible. 10.⁠ ⁠L'Allemagne est à la fois très agacée par l'endettement français, qui fragilise la zone euro et risque in fine de faire payer les épargnants allemands pour les retraités français, et en même temps bénéficiaire de cet affaiblissement. Merz l'a dit publiquement : il suit la situation française avec inquiétude, parce que la monnaie commune doit rester stable ; et bien sûr il a rappelé qu’il refuse toute dette commune européenne. Mais une France qui s'endette pour des dépenses courantes est une France qui s'affaiblit, qui ne peut pas investir autant que l'Allemagne, qui doit céder du lest et bientôt devra vendre une partie des bijoux de famille, que l'Allemagne pourra racheter. Le précédent est célèbre : en 2015, sous plan de sauvetage, la Grèce a dû céder l'exploitation de 14 aéroports régionaux à l'allemand Fraport. Le mouvement a déjà commencé avec KNDS, le fabricant du Leclerc et du Leopard : l'État français, qui détenait 50 % du groupe, doit descendre à 40 % pendant que l'État allemand y entre à hauteur de 40 % pour environ 8 Md€. L’Allemagne a déjà gagné la parité sur l’autel des difficultés financières françaises. Demain, ce pourrait être les participations de l'État dans Thales, Safran ou Airbus. Nous sommes donc face à une situation très préoccupante. La prospérité économique de l'Allemagne se joue en bonne partie sur sa capacité à fragiliser l'industrie de défense française. Les intérêts français et allemands se trouvent donc, comme bien souvent par le passé, de plus en plus désalignés. Lorsque cela arrive, l’Europe vit en général des épisodes chaotiques.