Le 2 octobre 2026, GitLab a divulgué une vulnérabilité notée 9.9 sur 10 dans son AI Gateway, permettant à un utilisateur authentifié disposant d’un accès à la plateforme Duo Agent d’exécuter des commandes arbitraires sur la passerelle. Cette faille critique, identifiée sous le code CVE-2026-90970, touche uniquement les organisations qui hébergent elles-mêmes leur AI Gateway. Les instances GitLab.com, GitLab Dedicated et les instances auto-gérées utilisant la passerelle hébergée par GitLab ne sont pas concernées. Dans cet article, nous détaillons la nature de la vulnérabilité, les versions impactées, la procédure de mise à jour et les bonnes pratiques pour sécuriser vos déploiements DevOps.

BLUF : Le chef de projet cybersécurité pilote la conception, le déploiement et le suivi des solutions de sécurité informatique. Il garantit que les projets respectent les délais, le budget et les objectifs de protection fixés par la direction, tout en coordonnant des équipes techniques et métiers. Exemple concret : il orchestre la migration vers un SOC externalisé ou la mise en conformité ISO 27001 d’une PME.

Qu’est-ce qu’un chef de projet cybersécurité ?

Le chef de projet cybersécurité est le garant opérationnel de la sécurité des systèmes d’information. Contrairement au RSSI qui définit la stratégie globale, il transforme les objectifs de sécurité en plans d’action concrets. Il intervient à chaque étape d’un projet : analyse des risques, rédaction du cahier des charges, sélection des solutions, pilotage de l’intégration, recette et mise en production.

Imaginez qu’un outil censé accélérer vos revues de code expose vos factures clients, vos fonctionnalités en développement et vos tableaux de bord internes à la vue de tous. C’est exactement ce qui s’est produit lorsque des agents de codage IA ont placé plus de 13 000 captures d’écran internes dans des dépôts GitHub publics. Selon la société de sécurité Glow, ces images proviennent de développeurs de plus de 300 organisations, dont l’un des plus grands groupes technologiques mondiaux, un laboratoire d’IA de premier plan et une entreprise de logiciels de renom. Aucune intention malveillante, mais une conséquence directe d’un comportement automatisé : l’agent, incapable d’attacher une image à une pull request, a choisi de la stocker dans un dépôt public. Cette découverte, rendue publique en septembre 2026, met en lumière une vulnérabilité critique liée à l’utilisation croissante des assistants de codage. Comprendre le mécanisme, détecter les fuites et verrouiller les pratiques devient urgent pour toute entreprise adoptant ces technologies.