Maison
360 fait le point sur la fuite de clés privées, invoque une erreur de publication et procède à une révocation urgente des certificats

Même les experts chevronnés du secteur de la cybersécurité peuvent parfois commettre des erreurs. Récemment, on a découvert que la nouvelle offre d'IA de 360 Company, « 360 Security Lobster », présentait une faille de sécurité critique et fondamentale, ce qui a suscité de vives inquiétudes au sein du secteur quant à la rigueur des cycles de lancement des produits d'IA.
Selon les rapports, le problème provenait du package d'installation du produit, qui contenait les clés privées SSL et les certificats du domaine générique *.myclaw.360.cn. Cela revient à laisser une clé passe-partout à la vue de tous. Si elle tombait entre les mains d'un pirate, cette clé privée pourrait théoriquement être utilisée pour usurper l'identité d'un serveur, mener des attaques de type « man-in-the-middle » ou intercepter le trafic de données des utilisateurs.
Face à la polémique, la société 360 a réagi rapidement, attribuant le problème à une erreur de procédure mineure survenue lors de la phase de lancement, qui a accidentellement intégré un certificat de domaine interne dans le package d'installation public.
Pour atténuer l'impact, 360 a mis en œuvre les mesures d'urgence suivantes :
Révocation immédiate : le certificat compromis a été révoqué et est désormais totalement invalide.
Évaluation des risques : la société affirme que les utilisateurs lambda ne courent actuellement aucun risque et que des mesures techniques ont été déployées pour bloquer toute tentative de falsification de serveur à l'aide de la clé privée.
Le fait qu'une entreprise nationale de cybersécurité de premier plan comme 360 soit confrontée à une telle faille de sécurité avec son propre produit d'IA constitue un avertissement sévère pour l'ensemble du secteur de l'IA. Dans le contexte actuel marqué par la vague fréquente de lancements de grands modèles et d'agents intelligents, il est devenu essentiel de s'assurer que les contrôles automatisés de lancement sont substantiels, et non pas simplement procéduraux.
Article connexe
Stripe va acquérir OpenRouter alors que le routage basé sur des modèles d'IA prend de l'ampleur
Stripe a conclu un accord en vue d’acquérir OpenRouter, une plateforme de routage de modèles d’IA qui permet aux développeurs d’accéder à des centaines de modèles via une interface unique. Cette acqui
Barrett Zoph, ancien chercheur chez OpenAI, revient chez Google pour contribuer au développement de Gemini
Barret Zoph, qui avait auparavant quitté brusquement l’entreprise pour rejoindre OpenAI en raison d’un désaccord avec Miriam Mularati, PDG de Thinking Machines Lab, a une nouvelle fois changé d’employ
Comment Recursive Intelligence a levé 335 millions de dollars en 4 mois, avec une valorisation de 4 milliards de dollars
Les cofondatrices de la start-up Ricursive Intelligence semblaient destinées à devenir cofondatrices.Anna Goldie, PDG, et Azalia Mirhoseini, directrice technique, sont si connues dans le milieu de l’I
Recommandations de sujets spéciaux liés
commentaires (0)

Même les experts chevronnés du secteur de la cybersécurité peuvent parfois commettre des erreurs. Récemment, on a découvert que la nouvelle offre d'IA de 360 Company, « 360 Security Lobster », présentait une faille de sécurité critique et fondamentale, ce qui a suscité de vives inquiétudes au sein du secteur quant à la rigueur des cycles de lancement des produits d'IA.
Selon les rapports, le problème provenait du package d'installation du produit, qui contenait les clés privées SSL et les certificats du domaine générique *.myclaw.360.cn. Cela revient à laisser une clé passe-partout à la vue de tous. Si elle tombait entre les mains d'un pirate, cette clé privée pourrait théoriquement être utilisée pour usurper l'identité d'un serveur, mener des attaques de type « man-in-the-middle » ou intercepter le trafic de données des utilisateurs.
Face à la polémique, la société 360 a réagi rapidement, attribuant le problème à une erreur de procédure mineure survenue lors de la phase de lancement, qui a accidentellement intégré un certificat de domaine interne dans le package d'installation public.
Pour atténuer l'impact, 360 a mis en œuvre les mesures d'urgence suivantes :
Révocation immédiate : le certificat compromis a été révoqué et est désormais totalement invalide.
Évaluation des risques : la société affirme que les utilisateurs lambda ne courent actuellement aucun risque et que des mesures techniques ont été déployées pour bloquer toute tentative de falsification de serveur à l'aide de la clé privée.
Le fait qu'une entreprise nationale de cybersécurité de premier plan comme
Stripe va acquérir OpenRouter alors que le routage basé sur des modèles d'IA prend de l'ampleur
Stripe a conclu un accord en vue d’acquérir OpenRouter, une plateforme de routage de modèles d’IA qui permet aux développeurs d’accéder à des centaines de modèles via une interface unique. Cette acqui
Barrett Zoph, ancien chercheur chez OpenAI, revient chez Google pour contribuer au développement de Gemini
Barret Zoph, qui avait auparavant quitté brusquement l’entreprise pour rejoindre OpenAI en raison d’un désaccord avec Miriam Mularati, PDG de Thinking Machines Lab, a une nouvelle fois changé d’employ
Comment Recursive Intelligence a levé 335 millions de dollars en 4 mois, avec une valorisation de 4 milliards de dollars
Les cofondatrices de la start-up Ricursive Intelligence semblaient destinées à devenir cofondatrices.Anna Goldie, PDG, et Azalia Mirhoseini, directrice technique, sont si connues dans le milieu de l’I











