Trois sujets cette semaine, et le premier est urgent

Semaine inhabituelle : le sujet le plus important ne vient pas d'un lancement de modèle, il vient d'une faille de sécurité. Une vulnérabilité critique a été trouvée dans PHP, le langage de programmation qui fait tourner la majorité des sites web de la planète, et elle a été trouvée par des outils d'intelligence artificielle. En parallèle, OpenAI a franchi un cap sur sa régie publicitaire, et Microsoft a confirmé la date à laquelle la facture Copilot des PME cesse d'être fixe.

Trois sujets, trois muscles différents : votre sécurité, votre acquisition, votre budget. Aucun ne demande un grand projet. Tous demandent qu'une personne soit nommée dessus cette semaine.

La faille PHP trouvée par l'IA, et pourquoi elle vous concerne même sans site technique

Le 21 octobre, la PHP Foundation, l'organisation qui entretient le langage PHP, a publié un correctif d'urgence pour deux failles regroupées sous le nom de php2shell. Elles permettent ce qu'on appelle l'exécution de code à distance : un inconnu, sans mot de passe et sans compte, peut faire tourner son propre programme sur votre serveur. Toutes les versions publiées depuis une décennie sont concernées, et PHP fait tourner l'essentiel du web, WordPress en tête. Elles ont été trouvées par les équipes de Wiz, la société de sécurité rachetée par Google, et d'OpenAI, avec des outils d'IA construits pour chercher ce type de défaut. Les versions corrigées sont les 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et des tentatives d'exploitation ont été observées dans la foulée, avant même que la plupart des sites aient appliqué le correctif.

Pourquoi ça vous concerne. Votre site tourne probablement sur PHP sans que vous le sachiez, et un code applicatif propre ne vous protège pas : le défaut est dans le moteur, pas dans ce que votre équipe a écrit par-dessus. Mais le vrai sujet dépasse ce correctif. Cette faille dormait depuis dix ans ; il a fallu des outils d'IA pour la sortir. Ces mêmes outils existent de l'autre côté, et le temps entre la découverte d'un défaut et son exploitation vient de se compresser. Votre délai de mise à jour n'est plus une question d'hygiène informatique, c'est une exposition.

Ce que je ferais. Aujourd'hui, un message à votre hébergeur ou à votre prestataire, trois questions : quelle version de PHP tourne sur nos serveurs, est-elle corrigée, et les processus ont-ils été redémarrés après la mise à jour. Ce dernier point tombe souvent à l'eau, et le site reste vulnérable alors que le correctif est installé. Ensuite, la partie structurelle, qui vaut plus que ce correctif : désignez quelqu'un, nommément, dont le travail est d'appliquer un correctif critique sous quarante-huit heures. Sur B&Inside, la question n'a jamais été de savoir si une faille arriverait, mais qui décroche quand elle arrive.

La publicité dans ChatGPT sort de la phase d'expérimentation

Le 21 octobre, OpenAI a ouvert sa régie publicitaire à vingt-six nouveaux pays et annoncé que plus de cent mille annonceurs y avaient lancé une campagne depuis le lancement. La France n'est pas dans cette nouvelle vague : elle a reçu l'accès dès l'ouverture européenne d'août, donc vous pouvez déjà acheter. Les publicités n'apparaissent que pour les utilisateurs des offres gratuite et Go, et l'achat se fait en autonomie depuis le gestionnaire de campagnes d'OpenAI. Le chiffre de cent mille est cumulé depuis le lancement, pas le nombre de ceux qui achètent aujourd'hui. OpenAI annonce dans la foulée la prochaine étape : de nouveaux formats, de nouveaux objectifs de campagne et surtout des outils de mesure.

Pourquoi ça vous concerne. En septembre, j'écrivais ici que pour l'Europe il n'y avait rien à acheter et qu'il fallait attendre. Cette réponse n'est plus valable. Un inventaire publicitaire encore peu disputé, c'est une fenêtre, et elle se referme à mesure que la file se remplit. Le contrepoids est tout aussi net : la mesure est le point faible, et le fait qu'OpenAI l'annonce seulement maintenant vous dit où en est la maturité du canal. Vous achetez une audience réelle sur une attribution incomplète.

Ce que je ferais. Un budget de test ce mois-ci, volontairement petit, traité comme un apprentissage et non comme de l'acquisition. Un seul produit, une seule page d'atterrissage dédiée à ce canal, parce que c'est aujourd'hui la seule façon honnête de savoir ce qu'il rapporte, avec la question posée directement dans votre formulaire. Je ne déplacerais pas un euro du budget Google Ads pour le financer. Chez Le Dressing de Paolina, les 38% de conversion gagnés ne venaient pas du canal, ils venaient de ce qui se passait après le clic. Ce sera encore le facteur limitant ici.

Votre facture Microsoft 365 Copilot cesse d'être fixe le 1er décembre

Microsoft change la façon dont il facture Copilot Business, la version de son assistant destinée aux petites et moyennes entreprises. Jusqu'ici, un prix fixe par personne et par mois. À partir du 1er décembre, toute nouvelle licence achetée via un revendeur agréé arrive avec la facturation à l'usage activée par défaut : au-delà de ce que couvre l'abonnement, la consommation est décomptée en Copilot Credits et facturée en plus. Le plafond par défaut est fixé à quatre mille crédits par personne et par mois, soit une quarantaine de dollars qui peuvent s'ajouter à l'abonnement de chacun. Les abonnements déjà en cours ne basculent pas. Microsoft avait d'abord annoncé le 2 novembre, puis repoussé au 1er décembre.

Pourquoi ça vous concerne. Une ligne prévisible de votre budget devient variable, par défaut, sans que personne chez vous ait pris la décision. Sur cinquante personnes, le plafond théorique représente environ deux mille dollars par mois en plus. C'est un plafond et non un forfait : vous ne payez que l'usage réel. Mais un réglage par défaut que personne n'a lu, c'est la mécanique exacte d'une mauvaise surprise sur la facture de février. Plusieurs revendeurs précisent par ailleurs qu'une fois activée, la facturation à l'usage ne se désactive plus : elle se plafonne, éventuellement à zéro.

Ce que je ferais. Si vous achetez de nouvelles licences Copilot Business avant décembre, réglez la limite de dépense dans la même conversation que le prix, pas après. Si vos licences sont déjà en place, il n'y a rien à faire et je n'y toucherais pas. Dans les deux cas, le plafond se règle dans la console d'administration Microsoft 365, à la section de gestion des coûts, et je le poserais par groupe plutôt que globalement : vos commerciaux et votre comptabilité n'ont pas le même usage. Dix minutes de réglage avant signature valent mieux qu'une négociation après la première facture.

Le reste en trois lignes

Anthropic a ouvert un aperçu de recherche de Claude Duet, un assistant qui vient vers vous au lieu d'attendre votre question, réservé aux États-Unis et sur liste d'attente : rien à décider de ce côté pour l'instant. OpenAI va rendre ses modèles accessibles depuis Google Cloud, ce qui concerne votre équipe technique et personne d'autre. Et la semaine a vu défiler les sorties de modèles chez Mistral, Alibaba, DeepSeek et MiniMax : rien qui change vos décisions.

Rendez-vous vendredi prochain

Le fil de la semaine n'est pas celui qu'on attendait. On parle d'IA depuis deux ans comme d'un sujet de productivité, et cette semaine elle arrive par la sécurité, par la régie publicitaire et par la facture logicielle. Trois portes différentes, et c'est ce qui rend la semaine instructive : l'IA a cessé d'être un sujet qu'on traite à un seul endroit.

Aucun des trois ne réclame un budget nouveau. Les trois réclament une décision, et une seule personne nommée par sujet. Si l'un d'eux vous concerne directement, le correctif PHP, un premier test publicitaire dans ChatGPT ou l'arbitrage sur vos licences Copilot, on peut en parler. À vendredi prochain.