PostgreSQL corrige 44 failles en 2026, sept en 2025 : le code passe au crible

PostgreSQL : le compte a changé d'échelle

Le registre de PostgreSQL affiche 44 failles corrigées en 2026, contre 7 en 2025. Le chiffre global ne dit pas tout, la répartition non plus : 28 failles ont été traitées dans la seule mise à jour du 13 août.

La prochaine version majeure, la 19, est attendue le 19 novembre, et elle ne sortira pas sans casse. Selon le committer Peter Eisentraut, elle doit perdre 8 à 10 fonctions importantes. Il avance deux explications à la séquence actuelle : la revue de code assistée par LLM, et la mobilisation des développeurs sur les failles.

Autrement dit, l'outillage d'audit progresse plus vite que le rythme de croisière d'un projet dont dépendent des bases partout dans le monde. La question que posent ces chiffres sans y répondre : combien de fonctions un socle comme PostgreSQL peut-il encore sacrifier pour tenir son calendrier ?

curl : 24 failles le 14 octobre, dont 18 signées Aisle Research

Le même mouvement s'observe ailleurs. Chez curl, la journée du 14 octobre a vu 24 failles corrigées d'un coup, et 18 d'entre elles sont créditées à Aisle Research.

Deux projets, deux échelles, une même pression : des briques d'infrastructure installées partout, un flux de correctifs qui s'accélère, et des équipes de maintenance qui doivent absorber le volume. Que la divulgation vienne de l'interne ou d'un cabinet externe ne change pas le résultat côté utilisateur — la mise à jour reste à faire.

Microsoft Perception : des agents pour garder les agents

L'essor des agents expose les systèmes d'information à des risques accrus. Microsoft a dévoilé le 19 octobre au soir le projet Perception, qui met à disposition des entreprises une équipe d'agents IA spécialisés dans la sécurité.

L'objectif annoncé : automatiser la simulation, la détection et la remédiation des attaques visant les agents autonomes. Le geste est cohérent avec la trajectoire du secteur — dès lors qu'un agent exécute des actions, il devient une surface d'attaque à part entière, avec ses outils, ses droits et ses accès.

Reste que la sécurité par agents reste de la sécurité par logiciel : les mêmes questions de périmètre, de journalisation et de confiance s'appliquent, appliquées cette fois à des composants dont le comportement n'est pas entièrement déterministe.

Amazon TorchNeuron, Nvidia et MiniMax : la couche d'exécution bouge

Amazon lance TorchNeuron, un outil de développement qui cible PyTorch, le kit gratuit sur lequel se construisent la plupart des applications d'IA. L'ambition : briser la mainmise de Nvidia sur cet écosystème pour que davantage de développeurs fassent tourner leurs applications sur des puces alternatives, dont les siennes. TechCrunch y voit l'offensive la plus ambitieuse d'Amazon face au fondeur.

Nvidia ne reste pas immobile sur ce terrain. Le fabricant lance de nouveaux modèles ouverts destinés à exécuter des agents, en pariant sur une demande : celle des entreprises qui veulent faire tourner leurs propres modèles dans leurs propres centres de données. Il pousse aussi l'agent IA local, privé, fonctionnant directement sur le PC.

Sur le front des modèles, MiniMax M3.1 Flash — l'ancien « Space Bunny », resté dix jours en tête d'OpenRouter avant de disparaître le 5 octobre — arrive sur l'API : 428B de paramètres totaux, 23B actifs, 1M de contexte, texte, image et vidéo, à 0,15 $ en entrée et 0,60 $ en sortie. Les poids sont annoncés pour le 23 octobre. Côté bancs maison, le modèle devance Opus 5 sur automation-bench mais reste loin derrière sur terminal bench (38,1 contre 51,8).

Et maintenant ?

Deux mouvements se croisent. D'un côté, la revue de code assistée par LLM entre explicitement dans l'explication d'un pic de correctifs chez PostgreSQL, et les failles de curl se comptent par dizaines sur une seule journée. De l'autre, les agents deviennent eux-mêmes une surface d'attaque qu'il faut outiller — c'est le sens du projet Perception. Entre les deux, la bataille se joue sur l'exécution : puces, modèles ouverts, contexte facturé au token. Les chiffres du registre PostgreSQL et les écarts sur terminal bench disent plus que les annonces.