Faille 0-day dans CPython, Ripple-65B et le duel des moteurs d'inférence

CPython, Jinja, Hugging Face : trois projets informés, zéro patch

Une vulnérabilité 0-day dans CPython demeure sans correctif. Les mainteneurs de CPython, de Jinja et de Hugging Face ont été informés du problème, et aucun des trois projets n'a publié de patch à ce jour. Le sujet dépasse le cercle des mainteneurs Python : la faille touche la chaîne d'approvisionnement de l'IA, ces briques logicielles étant largement utilisées dans les outils du secteur.

Le point sensible est là. Quand une dépendance aussi répandue que CPython reste exposée, ce ne sont pas un ou deux produits qui sont concernés, mais l'ensemble des outils qui s'appuient dessus — et l'écosystème IA en fait un usage massif, de l'entraînement au serving. La dépêche ne précise ni la nature exacte de la faille ni son vecteur d'exploitation, et aucune des trois équipes n'a communiqué de calendrier.

Rien n'indique pour l'instant qu'un correctif soit imminent. La situation est donc ouverte : information donnée aux mainteneurs, silence côté patches.

Ripple-65B : 65 milliards de paramètres face à des modèles cinq fois plus gros

Ricursive Intelligence — à ne pas confondre avec Recursive, à l'origine de Flint — publie la preview de Ripple-65B, un modèle dense de 65 milliards de paramètres. D'après ses propres benchmarks, il rivalise avec Muse Spark Open (816B) et Beam de Reflection (501B), ce qui le placerait à la frontière des modèles américains à poids ouverts.

Le post-entraînement reste léger, ciblé sur le codage agentique. L'architecture est de type « thin & deep » : 80 couches pour 5120 dimensions, avec une attention globale NoPE et du SWA dans un ratio 4:1. Autrement dit, un empilement profond plutôt qu'une largeur de dimensions classique.

Il s'agit d'une preview, et les chiffres avancés sont ceux du projet : la comparaison avec des modèles de 500 à 800 milliards de paramètres demande confirmation par des évaluations indépendantes.

Inférence : le tokens/seconde ne dit pas tout

Un membre de r/LocalLLaMA a publié un benchmark de Qwen3.8-27B passé sur six moteurs d'inférence, en contexte 256K. Le parti pris est explicite : ne pas se limiter aux tokens/seconde, mais mesurer aussi la qualité des sorties via des vérifications automatiques. TTFT, débit de prefill et de decode, requêtes concurrentes et latence de bout en bout sont également relevés, de même que les formats de modèle (GGUF, NInfer). L'auteur rappelle qu'une inférence plus rapide ne vaut pas grand-chose si la qualité se dégrade.

Sur le volet matériel, un guide dédié à Qwen3.8 Flash-Next sur une RTX 5080 16 Go avec 64 Go de RAM donne des ordres de grandeur intéressants. Basalt revendique environ 3,5x le décodage de llama.cpp sur le même fichier, et ~5x avec un drafter, avec des lectures de prompt ~7x plus rapides. Le quant UD-IQ3_XXS d'Unsloth (Dynamic v3.1) affiche une perplexité wikitext de 3,247 contre 3,382, proche du BF16 (3,273), pour 1 à 3,5 % de décodage en moins. En session de code agentique, la machine tient 195,6 tok/s de décodage moyen.

Deux approches qui se répondent : d'un côté un cadre d'évaluation qui intègre la qualité, de l'autre des chiffres de débit bruts accompagnés de leur coût en perplexité.

Hermes Agent v0.23.0 : le bureau entier dans un onglet

Hermes Agent publie la v0.23.0, dite « Hearth Release ». Le changement principal : tout l'espace de travail Desktop s'ouvre dans un onglet de navigateur, servi par la passerelle de l'utilisateur. Une seule passerelle détient désormais chaque session, si bien que CLI, TUI, Desktop, éditeurs, bots et cron partagent le même agent.

Le projet revendique environ 10 080 commits et 666 contributeurs depuis la v0.22.0. La logique sous-jacente est celle d'un point d'entrée unique : plutôt que de faire cohabiter plusieurs instances selon l'interface, tout passe par la même passerelle.

Et maintenant ?

Les quatre dépêches dessinent deux vitesses. D'un côté, une dépendance critique de l'écosystème Python reste exposée sans correctif, avec trois projets informés et aucun patch publié — rappel que la chaîne d'approvisionnement de l'IA repose sur des briques bien plus anciennes que les modèles qu'elle sert. De l'autre, la couche modèles et inférence continue de bouger : un dense de 65B qui se mesure à des modèles cinq fois plus gros, des benchmarks qui réintègrent la qualité dans l'équation, et des agents qui consolident leurs interfaces derrière une passerelle unique.