Les news de Korben

Quelle est mon ip ? Le retour !

Korben ✨ — Thu, 23 Jul 2026 15:56:57 +0200

Ma page "Quelle est mon adresse IP" traînait sur korben.info depuis presque 15 ans, à peu près dans son jus d'origine. Hé bien, bonne nouvelle, je viens de la refaire entièrement, et elle est là : korben.info/ip .

Vous arrivez dessus, votre IP publique s'affiche en gros, IPv4 et IPv6 séparées avec un bouton copier, et juste en dessous une grille de cartes déballe tout ce que votre connexion raconte sur vous sans que vous ayez rien demandé. La localisation estimée d'abord, sauf que c'est pas du GPS, juste la ville que les bases GeoIP collent à votre IP (sur mobile ça part parfois à 200 km à côté) mais aussi votre opérateur et son numéro d'AS, de datacenter Cloudflare par lequel vous passez, la latence jusqu'à lui, le protocole, le chiffrement.

Y'a une carte que je trouve bien pratique aussi c'est la carte "VPN ou pas ?". Elle compare le fuseau horaire vu depuis votre IP avec celui réglé sur votre appareil, et repère si vous sortez par une IP de datacenter, le signe quasi certain d'un VPN ou d'un proxy.

J'ai ajouté aussi un petit test de débit maison (descendant, montant, latence, gigue), tout comme le fameux leak WebRTC, ce truc qui balançait votre IP locale à n'importe quel site avant que les navigateurs ne finissent par la masquer. Ça peut encore fonctionner sur de vieux browser alors je l'ai laissé.

Le point important, parce que je sais que vous allez me poser la question, c'est que de mon côté, rien n'est stocké, rien n'est tracé, rien n'est revendu. Tout est lu à la volée entre votre navigateur et mon CDN, qui se contente de faire transiter vos requêtes comme n'importe quel hébergeur. Votre IP en dit déjà bien assez long sur vous comme ça, pas la peine d'en remettre une couche.

Bref, un bon coup de bouc-marque (bookmark, pour les intimes ^^) sur korben.info/ip et vous aurez votre IP et l'état de votre connexion sous la main en un clic.

Pentest sauvage à base d'IA, que dit la loi ?

Korben ✨ — Thu, 23 Jul 2026 14:25:59 +0200

Benjamin Code , le développeur préféré de votre développeur préféré, a reçu ce week-end un e-mail d'achat bidon avec le mot pentester dedans. En grattant un petit peu, il a découvert que quelqu'un s'amusait à trifouiller l'un de ses SaaS sans le prévenir.

Visiblement, c'est un autre créateur, Melvyn (melvynx), qui lui propose des formations autour de l'IA, qui pour les besoins d'une vidéo a fait tourner Kimi K3 en mode "hack" pour poutrer certains sites et montrer, vidéo à l'appui, que l'IA trouvait les failles toute seule.

Depuis, X s'écharpe. D'un côté, ceux pour qui la faille est corrigée et tout le monde y gagne, zéro dégât. De l'autre, ceux qui parlent d'accès illégal, pur et simple.

Alors qu'en est-il exactement ?

Eh bien, parlons de la loi d'abord, parce qu'en France, elle est limpide. L'article 323-1 du Code pénal punit "le fait d'accéder ou de se maintenir, frauduleusement" dans un système informatique de "trois ans d'emprisonnement et de 100 000 € d'amende". Créer un faux compte, simuler un paiement avec de faux numéros de CB, toucher aux données, ça aggrave les choses et on passe rapidement à cinq ans et 150 000 € (article 323-3).

Pour moi, l'argument du "il n'a rien cassé" ne tient pas une seconde en droit. Dans l'affaire Bluetouff, la Cour de cassation a validé une condamnation pour maintien frauduleux alors que les fichiers étaient accessibles sans mot de passe, tout simplement parce que Bluetouff avait continué en sachant l'accès anormal. Je trouve que ce qui est arrivé à Bluetouff, c'était abusé, mais peu importe mon avis, cela montre bien qu'aux yeux de la loi, zéro dégât ne veut pas dire qu'il n'y a pas d'infraction.

Ce qui fait basculer un pentest légal en délit, ce n'est ni la compétence, ni la bonne intention de la personne derrière, ni même ce que j'en pense. C'est UNE seule chose : L'autorisation préalable du propriétaire du système. Et je ne crois pas que Benjamin Code pratique le bug bounty sur ses systèmes...

Si on parle d'un point de vue hacking éthique, voire tout simplement en matière de nétiquette, la règle (et le bon sens, et la courtoisie) c'est d'abord d'avoir l'accord écrit avant de faire le test, et puis bien sûr de signaler la faille en privé à l'éditeur, tout en lui laissant assez de temps pour la corriger avant de communiquer dessus publiquement.

Par exemple, un bug bounty, c'est ça... C'est un périmètre défini, un canal de signalement, une protection pour le chercheur qui reste bien dans ce cadre. En dehors, il n'y a aucune protection. Et le dispositif français qui couvre les lanceurs d'alerte (article L2321-4 du Code de la défense) ne protège que le signalement de bonne foi à l'ANSSI, jamais l'intrusion elle-même.

Melvyn a reconnu lui-même juste après son "exploit" que "certains tests sur des SaaS tiers n'ont pas été précédés d'une autorisation écrite". Tu m'étonnes...

Alors les kikoulol de X.com peuvent bien jouer les spécialistes en long en large ou en travers, ça ne change rien. Kimi K3 ou pas, dégâts ou pas, tester le système d'un autre sans son feu vert, même avec une IA autonome, ça a un nom dans le Code pénal...

Maintenant, je ne pense pas que ça ait besoin d'aller plus loin que ça... Dans un monde idéal, ce qui serait super, c'est que Melvyn fasse des excuses publiques à Benjamin Code et aux autres créateurs de SaaS qu'il a "poutrés", et puis qu'il évite de refaire ce genre de conneries dans le futur.

Source : le billet de Melvyn sur Codelynx

Test d’un câble USB-C magnétique moderne, tout simple et bien pratique

Vincent Lautier — Thu, 23 Jul 2026 12:05:48 +0200

- Contient des liens affiliés Amazon -

Les câbles magnétiques, ce n'est pas nouveau, ça fait bien une dizaine d'années qu'on en trouve. L'idée a toujours été la même, vous laissez un petit embout aimanté planté en permanence dans le port de votre appareil, et le câble vient s'y coller tout seul quand vous en avez besoin.

Sauf que pendant longtemps, ces câbles ne servaient qu'à recharger doucement, ils plafonnaient vite et laissaient tomber la charge rapide. C'est justement ça qui a changé ces dernières années.

Le modèle que j'utilise en ce moment, un MOSHOU tressé en nylon violet vendu autour de 17 euros , encaisse en théorie jusqu'à 240W, soit du 48V et 5A. Autant dire qu'on est très loin du petit câble aimanté poussif d'avant.

Aucun de mes appareils ne réclame autant de watts, évidemment, mais du coup la charge n'est plus jamais ralentie à cause du câble. Il y a une puce E-Marker planquée dedans qui règle le courant et la tension toute seule selon ce que vous collez au bout, donc a priori pas de risque d'envoyer trop de jus dans vos écouteurs.

Moi je m'en sers surtout pour mes écouteurs, mon petit modem 5G et les manettes qui traînent sur mon bureau. J'ai laissé un embout aimanté planté dans chacun, et ça facilite clairement ma recharge au quotidien.

L'aimant est assez costaud pour tenir, et l'embout se décroche simplement en tirant dessus. L'autre avantage c'est le port USB-C qui s'use beaucoup moins vite qu'à force de brancher et de débrancher.

Le pack en livre trois, donc vous en plantez un dans chaque appareil et un seul câble circule pour tout le monde. Il y a même une petite LED qui s'allume en violet pendant la charge.

Bon, ça ne change pas une vie, mais pour 17 euros et le plaisir de ne plus jamais chercher le port à l'aveugle, je l'ai adopté sans trop me poser de questions. Pour les petites recharges du quotidien c'est bien sympa. Si vous voulez tester, c'est par ici sur Amazon .

Une salle de contrôle satellite maison, 100% européenne

Korben ✨ — Thu, 23 Jul 2026 12:02:16 +0200

Une salle de contrôle satellite, celle qu'on imagine avec des grands écrans et des ingénieurs en blouse, Clément Igonet en a monté une version perso qui tient sur un seul serveur. Son projet Overwatch affiche 23 satellites qui défilent en temps réel sur un globe. Vous cliquez sur n'importe lequel pour lire, en direct, sa tension de batterie, ses températures et ses courants. Le tout à partir de données 100% ouvertes.

Et il y a deux trucs vraiment sympas à regarder ! D'abord, la batterie de chaque satellite monte et descend selon qu'il passe au soleil ou dans l'ombre de la Terre, et ça se voit direct sur le graphe. Ensuite, pour chaque engin, une carte montre quelles stations au sol l'ont capté : tel satellite entendu depuis Kitakyushu, Buenos Aires et un jardin en Bavière. C'est une vraie photo vivante du réseau de radioamateurs qui écoutent le ciel !

Les positions des engins viennent de CelesTrak, la télémétrie de SatNOGS, le réseau mondial de stations tenues par des radioamateurs bénévoles, et le fond de carte, c'est de l'imagerie Sentinel-2 de Copernicus. C'est un peu comme ce globe temps réel qui agrège avions, navires et radios , sauf qu'ici on écoute des satellites.

Un truc qui m'a surpris, d'ailleurs c'est que sur environ 1700 satellites encore vivants, seulement 23 émettent en clair ET sont vraiment entendus par une antenne. C'est ça l'état réel de la télémétrie satellite ouverte aujourd'hui. J'avais déjà parlé d'un radioamateur qui décode le signal d'une sonde chinoise , et ici c'est la même idée, mais servie sur un joli globe.

Le tout est open source sous licence AGPL, auto-hébergé en Europe, dans la même logique que la stack privacy européenne dont je vous parlais .

La démo est juste ici , amusez-vous bien à cliquer sur tous ces satellites !

Mage-Flow - Le modèle de diffusion de Microsoft qui tourne sur Mac

Korben ✨ — Thu, 23 Jul 2026 11:44:10 +0200

Microsoft vient de publier Mage-Flow, un modèle de génération d'images de 4 milliards de paramètres, et dont l'objectif est d'atteindre la qualité des gros modèles sans en avoir la taille. Là où FLUX.2 embarque 32 milliards de paramètres, Qwen-Image 20 et Z-Image 6, Mage-Flow joue dans la même cour mais seulement avec 4 milliards de paramètres.

Le pari de Microsoft, c'est ce qu'on appelle le co-design. Au lieu d'empiler les paramètres, Mage-Flow mise sur deux briques taillées ensemble. D'abord Mage-VAE, un tokenizer latent qui encode et décode les images avec 12 à 22 fois moins de calcul par pixel que le VAE de FLUX.2, à qualité de reconstruction équivalente. C'est ce qui débloque la haute résolution, habituellement le point où ces modèles s'étranglent.

Et ensuite un transformer de diffusion multimodal baptisé NR-MMDiT, entraîné en rectified flow matching, avec Qwen3-VL comme encodeur de texte. Un seul checkpoint génère alors de 512 à 2048 pixels, dans n'importe quel ratio, jusqu'à des formats extrêmes en 4:1 sans buckets ni padding. Vous demandez du 512×2048 ou du 2048×512, il vous le sort.

Le modèle existe en trois saveurs. La Base qui tourne en 30 étapes de débruitage, la version RL-aligned à 20 étapes, et la Turbo distillée qui crache une image en 4 étapes seulement. Et il y a son jumeau, Mage-Flow-Edit, qui fait de l'édition d'image par instruction. Vous lui donnez une photo et une consigne en langage naturel, et lui la modifie. Le tout sous licence MIT, poids libres sur Hugging Face, usage commercial compris.

Côté chiffres officiels, tout vient d'un A100 donc c'est pas représentatif sur nos machins mais en gros, on est à 0,59 seconde par image en Turbo, avec un pic mémoire de 18 à 20 Go. Sauf que moi, je n'ai pas d'A100. J'ai un Mac Studio. Et le dépôt ne parle que de CUDA. La doc d'install vous fait compiler flash-attn, qui est une extension qui a besoin d'un toolkit NVIDIA. Zéro mention d'Apple Silicon, zéro mention de MPS, et les exemples sont tous en mode device="cuda" en dur. Bref, pour le moment, je ne suis pas invité à la fête.

Mais en fouillant le code, j'ai trouvé la porte de sortie. Un fichier planqué dans les modules expose un backend alternatif basé sur scaled_dot_product_attention, le mécanisme d'attention natif de PyTorch, prévu JUSTEMENT pour quand flash-attn n'est pas dispo.

Et ce backend-là, il tourne nickel sur Metal. Le piège, c'est que le modèle réclame lui aussi flash-attn par défaut à deux endroits : le transformer, mais aussi l'encodeur Qwen3-VL. Le transformer accepte qu'on bascule plus tard alors que l'encodeur non. Lui, il lit son réglage au moment où il se construit et plante si flash-attn manque. Il faut donc forcer le mode SDPA avant de charger le modèle.

Voici ce que j'ai fait tourner, pour de vrai. On monte un environnement Python, on installe tout sauf flash-attn :

python3 -m venv mageflow && source mageflow/bin/activate

pip install torch torchvision diffusers==0.38.0 "transformers>=5.3,<5.6" accelerate safetensors huggingface_hub einops pydantic pillow loguru

pip install "git+https://github.com/microsoft/Mage.git#subdirectory=mage_flow" --no-deps

Une fois que c'est fait, y'a plus qu'à vous créer un petit script mage.py par exemple qui basculera l'attention sur SDPA avant le chargement, pointera sur mps et génèrera votre image :

import os
os.environ["PYTORCH_ENABLE_MPS_FALLBACK"] = "1"
from mage_flow.models.mage_flow import ModelConfig
ModelConfig.model_fields["attn_type"].default = "sdpa" # AVANT de charger, sinon Qwen3-VL exige flash-attn
ModelConfig.model_rebuild(force=True)

from mage_flow import MageFlowPipeline
pipe = MageFlowPipeline.from_pretrained("microsoft/Mage-Flow-Turbo", device="mps")
img = pipe.generate(["un barista avec un chapeau de cowboy qui réalise un latte art, lumière chaude"], heights=[1024], widths=[1024], steps=4, cfg=1.0)[0]
img.save("out.png")

Ensuite, lancez le script :

python3 mage.py

Le PYTORCH_ENABLE_MPS_FALLBACK sert de filet comme ça si une opération n'existe pas côté Metal, elle basculera sur le CPU au lieu de tout faire tomber. Premier lancement, le modèle se téléchargera, donc comptez une bonne dizaine de Go entre le transformer 4B, l'encodeur Qwen3-VL et le VAE.

Et ça marche !!! Sur mon M4 Max de 128 Go, le modèle charge en une vingtaine de secondes puis génère une image 1024×1024 en 10 secondes une fois chaud.

Mon barista à chapeau de cowboy est sorti impeccable.

Ma toute première génération Mage-Flow sur le Mac Studio : un barista, 1024x1024, 4 etapes en Turbo.

Cette image 1920x1080 a été générée en moins de 6 secondes,

Pour du batch industriel, une carte NVIDIA restera toujours mieux mais pour générer tranquillement chez soi des petites images sans envoyer ses prompts dans le cloud, c'est parfaitement utilisable, et ça rejoint la logique de l'IA qui tourne en local sur votre Mac que je creuse depuis un moment.

Deux détails à connaître avant de vous lancer. Chaque prompt passe par un filtre de contenu obligatoire côté encodeur, sans option pour le désactiver : les prompts jugés interdits reviennent en images de refus. Et chaque image générée porte un watermark Gaussian-Shading planqué dans le bruit initial, lui non plus désactivable. Hé oui, Microsoft trace ses sorties, donc autant le savoir.

Y'a des garde-fous ! J'ai donc très hâte que ce modèle se fasse "libérer".

Reste que c'est un très joli cadeau de la part de Microsoft ! Un modèle libre, compact, qui gère l'édition et n'importe quel ratio, et qui tient sur une machine Apple avec un petit réglage bien caché ^^...

ps: L'image d'illustration de cet article a été générée avec ce modèle.

La Xbox originale débarque sur PC, mais Xemu le fait déjà

Korben ✨ — Thu, 23 Jul 2026 09:56:23 +0200

Microsoft vient de rendre officiel un truc que les émulateurs font gratuitement depuis des années à savoir vous permettre de jouer aux jeux de la Xbox originale, celle de 2001, directement sur votre PC. Le programme s'appelle "Xbox Backward Compatibility on PC" et il a débarqué hier, le 22 juillet, avec 4 titres pour commencer.

Au menu de ce premier lot, BLiNX: The Time Sweeper, Conker: Live and Reloaded, Crimson Skies: High Road to Revenge et Fuzion Frenzy. Comptez 10 dollars pièce, sauf si vous êtes abonné Game Pass ou que vous possédez déjà la licence numérique de ces jeux sur console, auquel cas c'est gratuit. Par contre, ne comptez pas glisser votre vieux disque Xbox dans le lecteur du PC, ça ne marchera pas... Snif ! C'est dommage, je venais d'en retrouver quelques-uns en préparant mon déménagement.

Ça tourne sur Windows 11 et sur les consoles portables ROG Xbox Ally et Xbox Ally X, via l'app Xbox on PC. Côté config, Microsoft demande une misère. Une GTX 950 qui a 11 ans au compteur suffit, et une GTX 1070 Ti de 2017 fait tourner tout ça au mieux. Donc soyez heureux, y'a pas besoin d'un foudre de guerre... ça nous change !

En plus, sur PC, ces vieux jeux gagnent quelques options sympas. VSync, filtrage anisotropique, anti-aliasing renforcé, et surtout un upscaling jusqu'à 4x du signal SD d'origine, qui grimpe donc à 2560×1920. Après, dommage mais le jeu reste bloqué à son framerate et son ratio d'époque. En clair, la plupart du temps, c'est du 30 fps en 4:3, bandes noires sur les côtés comprises.

De ce que j'ai pu lire dans les premiers tests, l'expérience tient la route et se rapproche de celle d'une Xbox Series X, mais c'est pas parfait non plus. Les testeurs pointent un filtrage anisotropique faiblard, des soucis de timing d'images qui donnent une caméra qui saccade, et une poignée de bugs visuels sur cette première fournée. Autre absence remarquée, les jeux à succès ne sont pas là au lancement mais Microsoft promet de les ajouter plus tard en 2026, sur console comme sur PC.

Après côté technique, y'a pas de quoi grimper au rideau. Microsoft émule les jeux Xbox originale sur son propre matériel depuis la Xbox 360 donc porter cette émulation sur PC, c'était assez facile pour eux, et ça reproduit exactement ce que les émulateurs communautaires font gratos depuis des lustres. Je vous avais par exemple déjà montré Xemu , qui émule la Xbox d'origine et upscale la résolution sans débourser un centime.

Le vrai sujet derrière tout ça, c'est surtout leur stratégie marketing. Ce lancement, c'est une brèche de plus dans le mur qui sépare le PC et la console chez Microsoft, un mur déjà bien fissuré depuis Xbox Play Anywhere en 2016, le branding Xbox collé aux PC portables, et l'annonce que la future console Project Helix fera tourner "les jeux Xbox et PC". Bref, Microsoft veut fondre sa branche console qui rame dans l'écosystème gaming Windows qui, lui, se porte beaucoup mieux, et ça se remarque de plus en plus.

La société présente ça comme "le début d'un effort plus large pour préserver les jeux Xbox du passé et les amener sur PC au fil du temps", donc d'autres titres suivront. Reste à voir lesquels, et surtout à quel rythme.

Voilà, pour l'instant c'est sympa pour les nostalgiques mais sachez que Xemu ou d'autres, en font autant, gratos et supportent beaucoup plus de jeux.

Source

PyPI verrouille vos vieilles releases contre les tokens volés

Korben ✨ — Thu, 23 Jul 2026 09:28:49 +0200

Bonne nouvelle pour tous ceux qui balancent du code sur PyPI. L'index officiel des paquets Python refuse désormais tout nouveau fichier ajouté à une release qui a plus de 14 jours. Le correctif vient de Seth Larson, développeur sécurité en résidence à la Python Software Foundation, et il colmate un trou que personne n'avait encore exploité sur PyPI... mais qui traînait là, grand ouvert.

Jusqu'ici, un mainteneur pouvait ajouter un fichier à n'importe quelle release, même sortie il y a 3 ans. Pratique pour livrer une nouvelle wheel, dangereux si un token de publication se fait voler. Un attaquant avec vos clés pouvait glisser un binaire vérolé dans une version stable que tout le monde télécharge depuis des lustres, sans déclencher la moindre alerte. Larson le dit sans détour : si ça n'a pas encore été abusé, c'est juste que les pirates n'avaient pas réalisé que c'était possible.

Le déclencheur, c'est l'affaire LiteLLM et Telnyx, deux paquets populaires compromis en mars dernier via une "référence mutable" dans leur usage de la GitHub Action Trivy. Encore une compromission de la chaîne d'appro, dans la lignée de Shai-Hulud sur npm dont je vous ai déjà parlé avec son scanner dédié , même si le mécanisme n'est pas le même. Le sujet mijotait depuis janvier 2024 dans les discussions autour de PEP 740, sauf qu'il coinçait sur un cas d'usage bien réel. En effet, certains projets ajoutent le support d'une nouvelle version de Python, genre les wheels cp314 pour Python 3.14, à d'anciennes releases longtemps après leur sortie.

Sauf que les chiffres ont tranché. En interrogeant la base PyPI sur les 15 000 paquets les plus populaires, seuls 56 avaient publié une wheel compatible 3.14 plus de 14 jours après une release. 56 sur 15 000, autant dire une poignée. Mike Fiedler, l'ingénieur sécurité de PyPI, a donc porté le débat au Packaging Summit de la PyCon US 2026, et le consensus est tombé. Il est maintenant demandé à ces projets de bumper vers une nouvelle version.

Après ne prenez pas cette nouvelle mesure de sécurité comme une garantie. Il n'existe aucune API pour vérifier qu'une release est "fermée", et les vraies règles du jeu ne seront gravées dans le marbre qu'avec l'API Upload 2.0 et les Staged Previews prévus par PEP 694. Donc pour l'instant, c'est un verrou qui protège, mais pas un vrai contrat de confiance sur lequel bâtir (De quoi Darty ??).

N'empêche que le bénéfice est immédiat car ça fait moins de ménage pour les admins PyPI quand un projet se fait trouer, et s'en est fini de l'état schizophrène où une release est à moitié compromise, à moitié saine, avec quelques fichiers vérolés planqués au milieu. Une vieille release devient un bloc figé, et voilà !

GitHub avait déjà dégainé la même idée avec ses releases immuables , qui rendent vos versions intouchables même par le mainteneur du projet.

Bref, une porte de moins pour les attaquants supply chain. Sympa non ?

Source (repéré chez Simon Willison)

Ubuntu 26.04 planque ses mises à jour (et c'est fait exprès)

Korben ✨ — Thu, 23 Jul 2026 09:23:06 +0200

Ubuntu 26.04 LTS est disponible depuis avril, et si vous l'avez installée, vous avez peut-être remarqué un truc : **Plus aucune notification de mise à jour !**L'icône qui vous prévenait dans la barre du haut a disparu, les pop-ups aussi. Rassurez-vous, ce n'est pas un bug mais un choix de design assumé par Canonical.

La clé show-updates-status-icon du paquet update-notifier est passée à false par défaut, du coup, votre système ne vous signale plus rien quand des paquets attendent d'être installés. Pour le savoir, il faut ouvrir un terminal ou lancer l'App Center à la main.

Je précise quand même un truc avant que tout le monde s'énerve, parce que beaucoup de Linuxiens n'aiment pas le changement ^^. Sachez que cette icône de notification est toute récente et n'existait pas sur Ubuntu 24.04, elle est arrivée avec la 25.10 pour remplacer le vieux pop-up intrusif du Software Updater. Donc cette 26.04 ne supprime pas une fonction historique, mais achève juste un machin qui avait à peine un an.

Donc avant de changer de distro en panique, non, votre sécurité n'est pas en jeu. Ubuntu garde unattended-upgrades, le service qui installe les correctifs de sécurité tout seul en arrière-plan, actif par défaut. Les failles critiques continuent donc d'être colmatées, c'est juste que vous n'êtes plus au courant quand ça se produit.

Sauf qu'il y a un petit bémol bien réel : LTS. Une version LTS, c'est celle qu'on garde 5 ans, souvent installée sur le PC de quelqu'un qui n'ouvrira jamais un terminal (coucou l'ordi de vos parents). Et unattended-upgrades ne gère par défaut que la sécurité, et pas les mises à jour applicatives. Vos applis en Snap comme Firefox continuent donc bien de se mettre à jour toutes seules dans leur coin, mais vos paquets .deb non critiques, eux, vont s'empiler sans que personne ne vous prévienne. C'est la seule vraie critique à faire à Canonical sur ce coup. Après c'est un éditeur coutumier des choix qui divisent , donc on commence à avoir l'habitude, mais bon voilà, il faudra penser à faire les mises à jour non critiques.

Le plus gênant, c'est qu'il n'y a pas non plus de bouton dans les réglages pour réactiver cette icône. La seule voie passe donc par gsettings, et la valeur par défaut, elle, reste sur off.

Donc voici comment faire si l'idée de piloter vos mises à jour à l'aveugle vous refroidit. Une ligne de commande et l'icône revient :

gsettings set com.ubuntu.update-notifier show-updates-status-icon true

Voilà, voilà, vous retrouvez vos notifications comme avant sans avoir besoin de réinstaller quoi que ce soit.

Bref, rien de dramatique, mais un défaut trèèèès discutable notamment sur les versions LTS qu'on garde des années.

Source

Interroger ses fichiers Mac en local, sans cloud, avec bHive

Korben ✨ — Thu, 23 Jul 2026 09:15:44 +0200

bHive, c'est une app Mac qui lit l'intérieur de vos fichiers au lieu de se contenter de leur nom, et qui sait maintenant répondre à des questions dessus. Vous lui demandez "qu'est-ce que dit mon bail sur la résiliation anticipée ?", elle va fouiller vos PDF et vous sortir la réponse en clair, tout ça en local sur votre machine, sans rien envoyer nulle part.

Vous pointez bHive vers des dossiers que vous avez déjà, et elle lit ce qu'il y a dedans. Vos documents, les PDF, les images dont elle fait l'OCR, et depuis la 2.0 l'audio et la vidéo, transcrits directement sur le Mac. Ensuite vous cherchez en décrivant ce que vous voulez, plutôt qu'en essayant de vous souvenir du nom que vous aviez collé au fichier. Rien ne bouge, rien n'est copié dans une bibliothèque, vos fichiers restent exactement où ils sont, ils sont tout simplement indexés dans un RAG.

La vraie nouveauté de cette version, c'est "Ask bHive". Vous posez une question, l'app trouve les fichiers concernés, les lit, et vous répond en langage clair. Elle vous montre alors quels fichiers elle a utilisés, donc vous pouvez les ouvrir et vérifier vous-même et surtout, quand elle ne sait pas, elle le dit, au lieu d'inventer un truc qui sonne juste. Ça paraît con dit comme ça, mais c'est avec ça que la plupart des assistants IA vous plantent.

Bon, moi, je n'en ai pas vraiment besoin de cet outil parce que j'ai mis en place mes propres RAG, mais je me dis que si j'avais trouvé ça avant, je ne me serais pas fait chier.

Côté moteur, tout tourne en local, et le modèle intégré à macOS marche tout de suite, donc vous n'avez rien à télécharger. Si vous voulez de la recherche plus fine, il y a bien sûr un modèle plus costaud à récupérer, de 515 Mo.

Il y a aussi une vue "santé de la bibliothèque", histoire que vous sachiez ce qui n'est pas cherchable et pourquoi. Fichiers déplacés, disque externe débranché, format illisible, OCR raté, éléments encore dans la file d'attente. En gros, un tableau de bord de confiance au lieu de vous laisser deviner si la recherche couvre vraiment tout. Vous pouvez aussi sauvegarder vos collections, tags et notes dans un fichier pour les restaurer plus tard.

Je vous avais déjà parlé de Cardinal , qui rend la recherche de fichiers instantanée sur Mac sauf que Cardinal cherche par nom, là où bHive lit ce qu'il y a à l'intérieur et sait vous répondre avec beaucoup plus de richesse. On est une gamme au-dessus selon moi.

Après, bHive 2.0 réclame macOS 26 et une puce Apple Silicon donc si vous êtes resté sur macOS 15 comme un homme de cro-magnon, vous devrez rester sur la vieille version 1.3.1 qui continue de tourner, mais sans toutes ces nouveautés... sniiif.

Voilà, c'est gratuit, et ça respecte vos données puisque tout reste en local.

À tester !

Phantomdrive - La clé USB déverrouillée par un fichier texte

Korben ✨ — Thu, 23 Jul 2026 09:06:40 +0200

Ryan Walker, le gars derrière Rootkit Labs, vient de sortir un truc que je trouve super malin. C'est une clé USB, baptisée Phantomdrive, qui se déverrouille en écrivant dans un simple fichier texte stocké dessus. Vous la branchez, vous ouvrez un bloc-notes, vous tapez password:votremotdepasse dans un fichier que vous enregistrez à la racine, et hop, une partition cachée apparaît.

Et y'a pas de logiciel pour faire tourner ça ! Au branchement, votre système voit une clé de 8 Go tout ce qu'il y a de plus banale, et il est incapable de deviner qu'il existe le moindre octet au-delà. Le firmware, lui, n'a aucune notion de système de fichiers, et se contente d'intercepter les commandes USB brutes (les WRITE10 et READ10 que votre ordi envoie pour lire et écrire des blocs) et de les traduire pour la carte SD planquée à l'intérieur.

Et quand il repère le motif password: qui passe, il dérive alors une clé, démonte la partition visible et remonte la seconde, chiffrée en AES-256, le tout en trois secondes chrono.

L'idée derrière ce bricolage, c'est le modèle de menace que ça vient contrer. Par exemple, un volume caché VeraCrypt vous sauve si on vous force à donner votre mot de passe, car vous pouvez mettre en place 2 niveaux de mot de passe. Le premier est un leurre qui ne révèle pas grand-chose et le second ouvre la vraie partition avec tous vos secrets. Mais bon, tout le monde connaît le truc et le simple fait d'avoir un conteneur chiffré sur vous suffit à vous faire passer pour un suspect. Phantomdrive répond donc à ça, puisque rien n'est détectable donc il n'y a rien à vous reprocher... Exactement ce qui se joue aux frontières, où les appareils se font fouiller sans se gêner .

Évidemment, cette invisibilité tient uniquement face à une inspection logicielle, et pas face à un labo qui démonterait la clé. Ryan le reconnaît lui-même, on peut retrouver la carte SD en cassant le boîtier, même s'il l'a noyée dans l'époxy et que la partition cachée, elle, restera chiffrée quoiqu'il arrive.

Sauf que si on dessoude la puce et qu'on lit la mémoire brute, on tombera forcément sur bien plus que les 8 Go annoncés, à cause de ce gros bloc de données illisibles qui trahit l'existence de la partition cachée. La déniabilité joue donc contre un contrôle "pressé" mais pas contre un forensique très motivé. Autre limite rigolote, si vos vraies données contiennent par hasard la chaîne password:, la clé peut alors se déverrouiller toute seule au mauvais moment.

Et surtout, le projet n'a pas été audité. C'est du hardware expérimental fait par une seule personne, sous licence MIT certes, mais pas un coffre-fort certifié. C'est rigolo pour bidouiller, mais pas encore pour lui confier de vrais secrets.

Côté matos, Ryan a utilisé une puce que je ne connaissais pas, la CH569, qui embarque de l'USB3 et un bloc de chiffrement AES matériel. Les débits restent modestes mais suffisants pour de l'usage courant, autour de 9 Mo/s en écriture et 20 Mo/s en lecture. Sachez aussi que s'il est parti sur une carte SD plutôt que de l'eMMC, c'est parce que cette dernière est devenue hors de prix à cause de la flambée des mémoires dopées par l'IA.

Hé oui, même les bidouilleurs hardware se prennent la bulle de l'IA dans les pattes. Voilà, tout est sur GitHub , électronique, mécanique et firmware compris, avec une page de précommande si vous préférez ne pas sortir le fer à souder.

Source : Rootkit Labs

Universe Atlas - L'univers à l'échelle réelle dans votre navigateur

Korben ✨ — Thu, 23 Jul 2026 08:11:18 +0200

Si vous prévoyez de vous rendre en Islande le 12 août prochain pour admirer l'éclipse totale, vous pouvez déjà vous projeter dans l'expérience grâce à Universe Atlas, un nouvel atlas mis en ligne par Chris Zaharia, qui permet de localiser chaque éclipse de 2026.

D'un simple clic, vous êtes transporté à Reykjavik à 17h45 UTC pour voir virtuellement le soleil, en forme de croissant, se lever à l'horizon sous un ciel aux teintes étranges, évoquant cette atmosphère de fin du monde très caractéristique des éclipses ! (Moi je suis team fin du monde 1999 à l'aéroport de Beauvais, tu connais !! loool)

Reykjavík, le 12 août 2026 vers 18h.

Cette application tourne dans le navigateur et pèse environ 85 ko compressés, ne possède ni moteur de jeu ni dépendance externe, mais repose exclusivement sur du WebGPU brut.

Vous y trouverez 8,4 millions d'étoiles réelles issues des catalogues Gaia DR3 et ATHYG, chacune avec sa distance mesurée et sa vitesse réelle. Si vous remontez le temps de 100 000 ans, vous verrez ainsi la Grande Ourse se désagréger sous vos yeux !

La carte intègre également jusqu'à 2,6 millions de galaxies issues du relevé SDSS, ainsi que les planètes sur leurs orbites képlériennes, l'ISS et 170 satellites positionnés selon leurs éléments orbitaux du jour. L'ensemble est présenté dans un zoom continu couvrant 43 ordres de grandeur, allant du cosmos au quark dans l'infiniment petit, sans aucune coupure de scène.

Impressionnant non ? Alors si je vous dis maintenant que tout a été codé avec Claude code et le modèle Fable 5 ??

Bah non, ne faites pas cette tête, c'est pas grave parce que c'est vraiment top ! Jusqu'à présent, seuls ceux qui savaient coder pouvaient matérialiser leurs idées... Mais avec l'arrivée de l'IA, n'importe qui avec une jolie idée et un peu de débrouillardise peut lui donner vie sans trop de souffrance avec la technique ! Et c'est ça que je trouve magique dans le vibe coding.

Après c'est sûr, faut vérifier et pas faire confiance aveuglément. C'est pourquoi les positions des planètes passent en intégration continue avec des tests qui comparent les datas de l'app avec celles de JPL Horizons, l'éphéméride de la NASA, et comme ça, dès qu'un corps céleste dérive de plus de 0,2 degré, hé bien le build pète. Les générateurs refusent ainsi d'écrire quoi que ce soit qui ne passe pas leurs contrôles physiques.

Ça permet d'avoir un truc sérieux qui marche bien grâce au vibe coding sans pour autant sacrifier la qualité.

Sagittarius A, la lumière courbée autour de son ombre. Le bandeau affiche ses sources : GRAVITY 2022, orbites des étoiles S d'après Gillessen et al. 2017.*

Tout est extrêmement précis et l'échelle réelle est conservée, puisque c'est vraiment le cœur du produit. Le développeur met donc un point d'honneur à ne jamais truquer une taille, une distance ou une vitesse pour faire joli.

Et vous pouvez vérifier qu'il s'y tient ! Appuyez sur X et tout se recolore selon la provenance avec couleurs naturelles pour ce qui est mesuré, ambre pour ce qui a la bonne taille mais un rendu stylisé, cyan pour ce qui est purement illustratif.

Par contre, je trouve dommage qu'on ne puisse pas régler la date et l'heure précisément, ou alors je n'ai pas trouvé comment. Et c'est assez difficile de se caler sur une date et une heure précises, sachant qu'on peut aller de 10 ans en 10 ans, et qu'ensuite le saut n'est pas de 100 ans en 100 ans, mais de 1000 ans en 1000 ans, donc c'est un peu dur de doser. J'y ai passé un petit peu de temps.

Pour que ça fonctionne, il vous faudra WebGPU c'est-à-dire Chrome / Edge ou Safari depuis la version 26. Après Firefox, c'est plus tordu car c'est activé sur Windows depuis la 141, sur les Mac Apple Silicon depuis la 145 mais y'a toujours rien côté Firefox pour les Mac Intel ni pour Linux. Sous Linux, prenez donc plutôt Chrome 144 ou plus récent.

Dans le même genre, je vous avais montré AstroClick pour le système solaire en voxels, et le vénérable Space Engine . Bref, c'est par ici , c'est gratuit, et le code est sur GitHub sous licence MIT.

Ah et pensez à appuyer sur T pour la visite guidée !

Source

Unitree - Le firmware que personne ne signe

Korben ✨ — Thu, 23 Jul 2026 07:10:18 +0200

Le 26 février dernier, lors d'une réunion d'Austin Hackers Anonymous au Texas, le chercheur Andreas Makris a fait la démo d'un outil qui permet de générer de faux firmwares Unitree, que le robot avale sans broncher comme s'ils sortaient de l'usine de Hangzhou...

Car oui, Mesdames et Messieurs, les robots Unitree ne sont pas capables de déterminer si le firmware avec lequel ils se mettent à jour a été créé par Unitree ou par quelqu'un d'autre.

C'est ouf, non ? Le problème en fait, c'est que les paquets de mise à jour d'Unitree, c'est-à-dire les fichiers .upk qu'un Go2 ou un G1 télécharge tout seul, sont chiffrés avec TEA, un algo hyper minimaliste sorti de Cambridge en 1994.

La clé de chiffrement issue de cet algorithme se calcule ensuite à partir de trois constantes planquées dans le binaire du robot, + une graine aléatoire qui est stockée dans le paquet lui-même. Hop, comme ça vous avez la clé... Tout le monde a la clé, en fait !

Les trois constantes, en clair dans la doc de l'outil.

Et comme TEA est un algo symétrique, la clé qui déchiffre est aussi celle qui chiffre. Unitree s'en sert pour cacher le contenu de ses mises à jour, sauf que le robot, lui, comme il a été programmé avec les pieds, il en déduit que le paquet est légitime. C'est con, hein ? Une vraie signature, avec une clé privée gardée au chaud chez le fabricant, rendrait la contrefaçon impossible même en connaissant tout le reste.

Alors avant que vous ne débranchiez votre robot, je tiens à préciser un truc que Makris dit lui-même dans son dépôt : il n'existe pas de moyen public de livrer un firmware maison au robot. En effet, le canal de mise à jour passe par MQTT et n'accepte pas les paquets persos.

Cette faille a une belle note de 7,8 sur 10 mais exige un accès local et une action du propriétaire. Donc rassurez-vous, personne ne va reflasher votre chien robot qui fait des petits tours dans votre usine depuis un van garé sur le parking.

Le scénario réaliste, c'est plutôt le firmware véreux qu'on vous refile via un prestataire qui "met à jour" votre flotte, ou la clé USB d'un labo partenaire. Vous l'installez, votre robot le valide et vous n'avez aucun moyen de vérifier qu'il sort bien de chez Unitree. Bref, pour du matériel qu'on retrouve dans des labos de recherche et sur des sites industriels, c'est pas terrible !

Les firmwares décortiqués couvrent les gammes Go2 et G1, du Go2 Air au G1 Edu+, plus les modules moteur. Le NVD (National Vulnerability Database), lui, considère que toute l'offre actuelle du constructeur est concernée et surtout gag, y'a pas de correctif !!

On est quand même près de 5 mois après la publication, et y'a toujours rien. Je pense quand même qu'Unitree devrait revoir ses priorités et surtout revoir complètement la façon dont ils protègent leurs mises à jour.

De son côté, Makris n'a pas prévenu le fabricant. C'est pas un oubli, mais un choix car comme il l'explique dans son avis de publication , Unitree a montré une certaine hostilité face aux communications de divulgation. Donc, autant dire que le divorce est acté entre les chercheurs et l'entreprise chinoise.

Du coup ça nous fait quand même un quatrième épisode sur tout ce bordel. Le hack Bluetooth en 1 minute dont je vous parlais en décembre , les deux CVE sur le Go2 que je vous ai remis en mars , le backdoor vers un cloud chinois que Benn Jordan a popularisé en mai, et maintenant les mises à jour.

À l'époque, je me souviens que Benn Jordan conseillait carrément de ne plus jamais toucher au firmware pour garder l'accès root et surveiller ce que le robot envoie, sauf qu'on sait maintenant qu'une mise à jour officielle ne prouve rien, et que chacun peut forger la sienne. Breeeeef... pour du matos vendu à des labos et des industriels, je trouve ça vraiment pas sérieux.

Merci à Sammy pour le tuyau !

Source

Surfshark et son VPN furtif - Votre FAI ne doit même pas savoir que vous utilisez un VPN

Korben ✨ — Thu, 23 Jul 2026 06:47:37 +0200

-- Article en partenariat avec Surfshark --

Vous êtes au café, vous allumez votre VPN pour checker vos mails en toute tranquillité, et là, patatra : la connexion tombe. Votre FAI vient de détecter que vous utilisez un VPN et il vous a bloqué. Sympa, non ?

Sauf que non, c'est pas sympa du tout. Et c'est exactement pour ça que des mecs comme Surfshark ont développé ce qu'on appelle un VPN obfusqué (ou VPN furtif, stealth VPN, camouflage…) bref, ça a plein de noms, mais c'est le même principe : faire passer votre trafic VPN pour du trafic internet ordinaire. Genre, du HTTPS classique, comme quand vous consultez votre banque ou que vous regardez des vidéos de chats sur YouTube.

Comment ça marche, cette magie noire ?

Alors, pour ceux qui dorment au fond, un VPN classique chiffre vos données. Votre FAI voit un tunnel chiffré, mais il sait que c'est un VPN. Il ne peut pas lire ce qui passe dedans, mais il peut le bloquer. Et dans certains pays (je vous laisse deviner lesquels, coucou la Chine, l'Iran, la Russie & co) les gouvernements utilisent des systèmes de Deep Packet Inspection (DPI) pour repérer et bloquer les connexions VPN en temps réel.

L'obfuscation, c'est une couche supplémentaire qui s'ajoute au-dessus du chiffrement VPN. Elle transforme l'apparence de vos paquets de données pour qu'ils ressemblent à du trafic HTTPS banal. Le FAI voit une connexion sécurisée tout ce qu'il y a de plus banale, donc il laisse passer et vous naviguez peinard. Tout le monde est content, sauf le régime autoritaire, mais bon, c'était un peu le but.

Chez Surfshark, cette fonctionnalité s'appelle le mode camouflage. Et le truc cool, c'est qu'elle s'active automatiquement dès que vous choisissez le protocole OpenVPN. Pas besoin de bidouiller quoi que ce soit. Vous sélectionnez OpenVPN (UDP ou TCP), et bim, Camouflage Mode est en route. Votre trafic ressemble à du HTTPS classique, votre FAI ferme sa bouche, et vous continuez à regarder vos séries en paix.

Surfshark Nexus : le réseau qui change tout

Mais Surfshark s'est pas arrêté là. En 2022, ils ont lancé Surfshark Nexus , une techno basée sur le Software-Defined Networking (SDN). En gros, au lieu de vous connecter à un serveur VPN isolé, vous vous connectez à tout le réseau Surfshark en même temps. Votre trafic est routé dynamiquement à travers les milliers de serveurs répartis dans 100 pays, sans coupure.

Ça permet des trucs de ouf :

Rotation d'IP : votre IP change toutes les 5 minutes sans déconnexion. Les sites vous voient comme un nouvel utilisateur à chaque fois.
Multi IP : une IP différente pour chaque site que vous visitez. Votre banque vous croit à Paris pendant que Netflix vous place à New York et Reddit à Tokyo, le tout en même temps. Ouais, c'est aussi perché que ça en a l'air.
Dynamic MultiHop : vous choisissez vous-même votre entrée et votre sortie dans le réseau. Vous voulez entrer par la Suisse et sortir par le Japon ? Pas de souci. La plupart des VPN vous imposent des paires prédéfinies, Surfshark vous laisse composer votre propre trajet.
Everlink : si le serveur auquel vous êtes connecté tombe, Nexus bascule automatiquement sur un autre serveur proche. Vous ne remarquez même pas la coupure.
Dausos : le nouveau protocole propriétaire de Surfshark, jusqu'à 30% plus rapide que les protocoles standards, avec du chiffrement AEGIS-256X2 résistant à l'informatique quantique. Oui, vous avez bien lu. Quantique.

Les autres fonctionnalités qui font de Surfshark un monstre

Bon, l'obfuscation et Nexus, c'est déjà énorme. Mais Surfshark en a encore pas mal en réserve :

CleanWeb : bloque les pubs, les trackers et les malwares au niveau DNS. Vous naviguez plus vite et moins de merdes vous suivent.
Kill Switch : si le VPN tombe, votre connexion internet est coupée instantanément. Pas de fuite d'IP, pas de "oops j'ai été démasqué".
Bypasser (split tunneling) : vous choisissez quelles apps passent par le VPN et lesquelles utilisent votre connexion normale. Votre banque reste en local, votre torrent passe par le VPN. Simple.
Alternative ID : Surfshark génère des identités complètes (nom, email, numéro de téléphone virtuel) pour vous inscrire sur des sites sans donner vos vraies infos. Bien vu.
Surfshark One : le pack tout-en-un qui inclut l'antivirus, un moteur de recherche sécurisé, et un service de monitoring d'identité. Le top tier ajoute même Incogni, l'outil qui demande automatiquement la suppression de vos données chez des centaines d'agrégateurs de données.
Connexions illimitées : un seul abonnement, tous vos appareils et ceux du reste de la famille. Vos téléphones, votre laptop, votre tablette, la Smart TV, la console, le frigo connecté si vous voulez. Pas de limite.

Pourquoi Surfshark est parmi les meilleurs du marché

Déjà, le prix. On parle de moins de 2,75€ par mois TTC si vous prenez un abonnement longue durée (2 ans + 3 mois offerts). Pour un VPN avec autant de fonctionnalités, c'est du vol. Les autres gros VPN du marché coûtent sensiblement plus cher pour des perfs équivalentes, voire inférieures sur certains points.

Ensuite, la politique no-logs auditée indépendamment par Deloitte et d'autres. Ils ne gardent pas votre historique de navigation, pas vos timestamps, pas votre bande passante utilisée. Ils retiennent juste votre IP pendant la session active (pour éviter les abus) et la suppriment dans les 15 minutes suivant la déconnexion. C'est vérifié, c'est clean.

Les serveurs sont 100% RAM-based, c'est-à-dire qu'ils ne stockent rien sur disque dur. Un reboot et tout est effacé. Même si le Efff Biii Aïe débarque avec un mandat, y'a rien à saisir.

Et puis y'a le PCMag Editor's Choice award qu'ils ont récemment reçu . Quand les mecs de PCMag, qui testent des VPN toute la journée, disent que t'es dans le top, c'est que t'as quelque chose de solide.

Quand est-ce que vous avez besoin d'un VPN obfusqué ?

Pas tout le temps, hein. Si vous êtes chez vous en France avec un FAI lambda, un VPN classique suffit amplement. L'obfuscation, c'est pour :

Les voyages en pays à forte censure (Chine, Iran, Russie, Émirats arabes unis...)
Les réseaux d'entreprise ou d'université qui bloquent les VPN
Les hôtels et aéroports qui filtrent le trafic VPN
Les journalistes, activistes, opposants politiques qui ne veulent pas attirer l'attention

Bref, quand vous avez besoin de passer inaperçu même dans le fait d'utiliser un VPN.

Cela dit il faut noter un léger bémol. L'obfuscation a un coût sur les perfs. Ajouter une couche de chiffrement par-dessus le chiffrement existant, ça ralentit un peu. On parle de 10 à 30% de perte de vitesse selon les tests. Sur un réseau fibre à 1 Gb/s, vous ne verrez rien. Sur une connexion 4G capricieuse dans un pays lointain, ça peut se sentir. Mais franchement, entre un peu moins de vitesse et pas de connexion du tout, le choix est vite fait.

Et puis, si vous êtes sur un réseau normal, vous désactivez Camouflage Mode, vous repassez sur WireGuard ou Dausos, et vous récupérez votre vitesse maximale. C'est pas un réglage figé. En voyage, sur un réseau d'entreprise verrouillé, ou juste pour que votre FAI ne devine pas que vous êtes sous VPN (le voisin de table au café avec son laptop non plus, d'ailleurs), Surfshark a ce qu'il faut. Dans le doute, vous chiffrez. Et le jour où il faut chiffrer sans que ça se remarque, vous obfusquez. Voilà.

Profitez de l'offre VPN du moment !

Cette mini liseuse sous Android fait tout tourner

Vincent Lautier — Wed, 22 Jul 2026 17:22:23 +0200

- Contient des liens affiliés Amazon -

Vous le savez, j'adore les liseuses de la marque Boox, et ils m'ont proposé de tester ce nouveau modèle. La Boox Go 6 Gen II tient sans problème dans une seule main, même petite, comme un vieux livre de poche corné, pèse à peine 160 grammes et se glisse dans une poche sans que vous la sentiez, ce qui en fait désormais la liseuse que je finis par emmener absolument partout, en vacances, sur mon canapé en passant par la salle d'attente du médecin.

Elle est plus petite qu'un iPad mini et plus légère qu'un roman papier, si bien que je la tiens d'une seule main pendant des heures sans jamais sentir mon poignet tirer, ce qu'aucune tablette classique ne m'avait vraiment permis de faire aussi longtemps.

Ce qui me plaît le plus avec ce modèle, c'est ce que j'en fais concrètement tous les jours, puisque j'y ai installé l'application Kindle d'Amazon et que je lis absolument tous mes bouquins dessus, exactement comme je le ferais sur une vraie Kindle posée sur ma table de nuit. Vous pouvez du coup installer n'importe quelle application de lecture, ou tout simplement utiliser l'application native installée sur la Boox, et y déposer vos ebooks, par exemple via Dropbox ou Google Drive.

Dans mon cas, qui utilise une Kindle aussi, le vrai confort, c'est que tout reste synchronisé entre les deux appareils, la page où je me suis arrêté, mes surlignages et mes notes se retrouvant d'un côté comme de l'autre sans que j'aie le moindre réglage à faire.

Et c'est là que l'astuce Android prend tout son sens, parce que la Go 6 tourne sous Android avec le Google Play Store, ce qui veut dire que j'installe exactement l'application que je veux, tout comme je le ferais sur un téléphone.

Kindle, Kobo, ou même l'application de votre bibliothèque municipale pour emprunter des livres gratuitement, un lecteur de PDF pour les documents du boulot, tout cohabite sur le même petit écran, alors qu'une liseuse classique vous enferme dans le magasin de son seul fabricant sans vous laisser le choix.

Niveau écran, on retrouve une dalle e-ink de 6 pouces à 300 pixels par pouce, avec un texte aussi net qu'une impression laser qui se lit parfaitement en plein soleil sans le moindre reflet gênant.

L'éclairage frontal est réglable avec les classiques blanc froid et blanc chaud, selon l'heure, ce qui rend la lecture très confortable. La batterie tient tranquillement une bonne semaine en utilisation intensive, et bien plus si vous n'utilisez pas le rétro-éclairage.

Le reste suit sans faire d'histoires. Elle a 3 Go de mémoire pour faire tourner l'ensemble de vos applications sans ralentissement, 32 Go de stockage qu'une carte microSD peut aussi étendre, et un dos texturé vraiment très agréable à tenir, le tout pour environ 200 euros en noir ou en blanc.

Pour lire partout sans trimballer une tablette et sans renoncer à mes livres Kindle, c'est très exactement la liseuse que j'attendais. C'est complètement validé ! Et disponible ici sur Amazon en noir , ou en blanc .

Si vous cherchez un modèle un peu plus grand, j'avais aussi testé ce modèle , et même celui-ci en couleur !

7-Zip : un simple fichier piégé peut faire tourner du code sur votre PC

Vincent Lautier — Wed, 22 Jul 2026 12:40:18 +0200

7-Zip, le logiciel de compression gratuit installé sur des centaines de millions de PC pour ouvrir un zip ou un 7z, traîne une faille par laquelle une archive piégée peut lancer du code sur votre machine à la seconde où vous l'ouvrez.

La faille porte le doux nom de CVE-2025-14266 et se niche dans la façon dont 7-Zip décompresse les archives au format XZ, très courant sous Linux mais qu'on croise un peu partout.

Dans le détail, c'est ce que les spécialistes appellent un débordement de mémoire tampon, un heap buffer overflow. En décompressant, le logiciel écrit des données au-delà de la petite zone mémoire qui lui était réservée, et c'est dans ce dépassement qu'un pirate parvient à glisser ses propres instructions pour les faire exécuter à votre place.

Encore faut-il qu'on réussisse à vous faire ouvrir l'archive piégée, glissée dans une pièce jointe ou récupérée sur un faux site de téléchargement.

Bonne nouvelle quand même. Le code hostile s'exécute avec vos droits d'utilisateur classiques et pas ceux d'un administrateur, ce qui limite déjà les dégâts, et la faille est notée 7 sur 10, sérieuse sans être catastrophique.

Elle touche toutes les versions de 7-Zip de la 21.07 à la 26.01, et c'est la 26.02, publiée le 25 juin, qui vient colmater la brèche.

Sauf que voilà le vrai piège. Là où votre navigateur ou Windows se mettent à jour tout seuls dans leur coin, 7-Zip n'a jamais rien automatisé du tout, donc si vous ne l'avez pas réinstallé depuis des lustres, vous faites très probablement tourner une version trouée sans vous en douter une seule seconde.

La faille a été repérée début juin par le chercheur Landon Peng, et au 20 juillet aucun code d'attaque public ne circulait encore, ce qui vous laisse une fenêtre confortable pour vous mettre à l'abri avant que quelqu'un ne s'en serve pour de bon.

Rien ne sert d'attendre. Un passage par le site officiel de 7-Zip pour attraper la 26.02, et l'affaire est réglée en deux minutes.

Source : PCMag

Portable et cancer du cerveau - L'OMS a fini de chercher

Korben ✨ — Wed, 22 Jul 2026 11:56:57 +0200

Depuis 30 ans, vous vous demandez peut-être si coller un téléphone contre votre oreille peut finir par vous refiler une tumeur au cerveau ?

Hé bien l'OMS a voulu en avoir le cœur net et a commandé 13 grandes enquêtes sur la question. Et youpiiii, elles viennent toutes d'aboutir et de sortir, et le bilan vient d'être publié dans le New Zealand Medical Journal.

Et accrochez-vous bien les complotistes : Les gens qui utilisent un portable n'ont pas plus de tumeurs au cerveau que les autres. Une de ces études, pilotée par Ken Karipidis de l'agence australienne de radioprotection, a même passé au crible 63 autres études précédentes menées dans 22 pays, sur des données qui remontent à 1994, et même là, RIEN !

Alors oui, chez les rats mâles exposés en labo, on trouve bien des tumeurs, sauf que les bestioles encaissaient 9 heures d'ondes par jour, 7 jours sur 7, à des doses des dizaines de fois supérieures à ce que la loi autorise pour vous. Difficile donc d'en tirer quoi que ce soit pour votre iPhone.

Puis surtout, en Nouvelle-Zélande, les tumeurs du cerveau les plus courantes ont même légèrement baissé entre 1995 et 2020, pile la période où le portable est devenu universel. Donc si les ondes rendaient vraiment malade, ça se verrait dans ces courbes.

En France, l'ANSES est arrivée à la même conclusion en octobre 2025, après avoir épluché un millier d'études. Il n'y a aucun lien de causalité entre le cancer et le smartphone, mis à part le cancer de la connerie qui ronge beaucoup de monde ^^. L'agence garde quand même ses conseils de prudence pour les enfants, genre usage modéré et kit mains libres, mais c'est plus une précaution qu'autre chose.

Du coup, le vrai risque documenté pour les gamins, il n'est pas dans le crâne mais dans l'aspect psychologique. Je vous parlais y'a pas longtemps des études sur les smartphones avant 13 ans , et là les signaux sont autrement plus solides. Et si les ondes vous angoissent malgré tout, allez lire mon article sur Green Bank , la ville américaine où le Wi-Fi est interdit !

Bref, rassurez-vous, votre portable ne vous ronge pas le crâne. Il vous bouffe surtout votre temps de cerveau disponible, et ça c'est un autre débat...

Source

Une puce à quelques euros fait tourner la NES à 60 images par seconde

Vincent Lautier — Wed, 22 Jul 2026 11:55:50 +0200

Faire tourner une console Nintendo de 1983 sur une puce qui coûte moins cher qu'un sandwich, c'est le genre de défi qui plaît aux bricoleurs, et un développeur vient de le réussir plutôt bien.

Le projet s'appelle Anemoia-ESP32 et il émule la NES sur un ESP32, ce petit microcontrôleur programmable à quelques euros qu'on trouve dans une tonne d'objets connectés, avec le wifi et le Bluetooth intégrés.

Le tour de force, c'est la fluidité. La plupart des jeux tournent à 60 images par seconde, exactement comme sur la vraie console, avec en prime le son entièrement reproduit.

Pour y arriver, le développeur, un certain Shim06, exploite les deux cœurs de la puce. Il s'appuie sur FreeRTOS, un mini système d'exploitation qui répartit les tâches, pour émuler d'un côté le processeur de la console et de l'autre sa partie audio, sans que l'un ralentisse l'autre.

Le plus impressionnant c'est la sobriété du truc. Là où on s'attendrait à avoir besoin de mémoire supplémentaire, l'émulateur se contente d'un ESP32 à deux cœurs avec un seul mégaoctet de stockage, et aucune PSRAM n'est nécessaire.

Screenshot

Côté affichage, vous avez le choix entre un petit écran TFT et une sortie vidéo composite, cette bonne vieille prise jaune qu'on branchait à l'arrière des télés cathodiques, et l'émulateur gère en plus les sauvegardes d'état qui figent la partie en cours pour la reprendre plus tard, tout en faisant tourner environ 79 pour cent de la ludothèque NES grâce à sa prise en charge des différents formats de cartouches. Autant dire presque tout.

Le projet est open source, publié sous licence GPLv3 sur GitHub. Et pour l'installer, pas besoin d'être un expert, il suffit de flasher le firmware sur la puce, une opération qu'on peut même lancer directement depuis son navigateur.

Du coup, on peut imaginer des consoles portables minuscules, bien plus compactes que ce qu'on bricole d'habitude avec un Raspberry Pi ou une carte plus imposante.

Voir une console mythique renaître sur un composant à moins de cinq euros, sans matériel exotique, c'est exactement le genre de bidouille qui rappelle pourquoi le rétrogaming est un terrain de jeu sans fin.

Source : Hackaday

Unitree - Le robot au modèle IA invisible

Korben ✨ — Wed, 22 Jul 2026 10:18:15 +0200

Un coussin qui traîne par terre, des boîtes de médicaments à compter dans un tiroir, du linge à balancer dans le panier, des assiettes à caler dans le lave-vaisselle et un lit médicalisé à remonter de quelques crans. Voilà le programme du robot G1 dans la vidéo qu'Unitree a mise en ligne lundi matin . Deux minutes quinze, en 4K, et ça a fait un million de vues en deux jours.

Et rassurez-vous, si vous lui dites d'arrêter en plein réglage du lit parce que ça vous pince la peau des fesses, il s'arrêtera net.

Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus

Le truc qui pilote tout ça s'appelle UnifoLM-OminiA-0.3. Unitree le décrit comme "un modèle unique qui prend en charge des tâches variées de soins à domicile et de bien-être, avec une compréhension interactive omni-modale, une exécution totalement autonome, stable et résistante aux perturbations".

En clair, un seul cerveau pour les oreilles, les yeux, les bras et les jambes, là où il fallait avant trois ou quatre systèmes qui se refilaient le bébé. Sauf que ce cerveau, vous ne pouvez pas y jeter un œil.

Les deux modèles précédents de la maison, vous pouviez les récupérer quand vous vouliez car unifolm-world-model-action et unifolm-vla sont sur GitHub avec le code d'entraînement, et les poids sont posés sur HuggingFace . Alors que celui-là, non.

Donc à l'heure où j'écris ces lignes, vous ne trouverez ni dépôt, ni checkpoint, ni fiche technique. Juste la vidéo ci-dessus que vous venez de regarder. Après on n'en sait rien, ça sortira peut-être la semaine prochaine, mais pour l'instant celui-ci reste au chaud chez Unitree.

Et on ne sait pas non plus combien d'essais il a fallu pour attraper la bonne boîte sur l'étagère, le taux de réussite sur le tri du linge ou combien de temps il a fallu pour remplir votre lave-vaisselle.

Mais même sans métrique, c'est quand même une belle vidéo démo. Après on connaît les chinois... Le mois dernier je m'énervais déjà parce qu' un G1 avait collé un coup de pied dans le ventre d'un gamin pendant une démo d'arts martiaux au jardin botanique d'Urumqi, et je trouve ça dommage qu'on doive continuer à juger ces bestioles sur des montages YouTube plutôt qu'à partir de vraies métriques.

Côté prix, comptez 13 500 dollars minimum pour le G1 sur le site d'Unitree , taxes et livraison en plus. Le tarif d'une petite citadine d'occasion, quoi ! En janvier je vous avais épluché les prix de tous les humanoïdes réellement commandables , et c'est bien Unitree qui casse le marché.

Sauf que la main à 3 doigts qui attrape les boîtes de médicaments dans la démo, c'est en option et vous vous en doutez, on ne connaît pas non plus son prix.

Par contre, avant d'acheter ce truc et de le mettre dans votre entreprise, sachez quand même que le 8 juin dernier, le Pentagone a ajouté Unitree à sa liste des entreprises militaires chinoises, sous son nom officiel de Hangzhou Yushu Technology et sur la même liste, vous trouverez aussi BYD, Alibaba et TP-Link. Ils ont fait cela car 5 jours plus tôt, trois représentants américains déposaient le GUARD Act, un texte qui obligerait les agences fédérales à passer au crible tous les robots humanoïdes et quadrupèdes chinois avant leur vente aux États-Unis, et visiblement ils ont trouvé des trucs.

Par contre, chez nous, c'est la fête du slip, il n'y a rien de tout ça. Aucune liste, aucun audit obligatoire ! Vous commandez la bestiole en ligne, et la seule doc publique sur son cerveau, c'est ce clip de 2 minutes.

Alors vous vous dites peut-être que j'exagère sauf qu'en mai, je vous racontais comment un robot-chien Unitree utilisé par la police se faisait pirater en une minute et renvoyait ses vidéos vers un cloud chinois . Du coup, quand la même entreprise sort un robot qui filme des chambres d'hosto, moi, ça me donne envie d'aller voir le code.

Bref, la démo est bluffante mais j'attends le dépôt GitHub pour voir si c'est du sérieux.

Source

Les IA d'OpenAI ont piraté Hugging Face pour tricher à un test

Korben ✨ — Wed, 22 Jul 2026 09:55:00 +0200

Le pirate qui a mis à genoux la prod de Hugging Face voulait juste tricher à son examen, voilà ce qu'OpenAI a reconnu hier. Les agents qui se sont promenés durant tout un week-end dans les clusters de la plateforme, c'étaient leurs modèles à eux, GPT-5.6 Sol et un modèle pré-release encore plus balèze, fonctionnant en mode "refus cyber réduits à des fins d'évaluation".

Le point de départ c'est ExploitGym , contenant 898 vraies vulnérabilités piochées dans des programmes userspace, dans le moteur JavaScript V8 de Google et dans le noyau Linux. On colle l'agent devant un input qui fait planter un programme, et on regarde s'il arrive à en tirer un exploit qui marche.

Dans ce document de recherche sorti en mai, GPT-5.5 sortait 120 exploits fonctionnels, derrière les 157 de Claude Mythos Preview. Mais le modèle testé ce week-end là, lui, a trouvé un "raccourci". Comme l'explique OpenAI "toutes les preuves suggèrent que les modèles étaient hyperfocalisés sur la recherche d'une solution pour ExploitGym, allant à des extrêmes considérables pour atteindre un objectif de test plutôt étroit".

Pour saisir l'ampleur du raccourci, regardez la pièce dans laquelle ils étaient enfermés. C'est un environnement hautement isolé, avec un seul trou dans le mur, un accès réseau "*restreint à la possibilité d'installer des paquets via un logiciel tiers hébergé en interne qui fait office de proxy et de cache pour les registres de paquets *". En clair, le seul truc qui pouvait parler à l'extérieur, c'était le machin qui allait chercher les dépendances !

ExploitGym, le benchmark que les modèles cherchaient à résoudre. 898 vulnérabilités réelles, et les scores de GPT-5.5 et Claude Mythos Preview.

Et vous devinez la suite... Les modèles ont cramé une grosse quantité de tokens à chercher la sortie pour finalement la trouver dans ce proxy, sous la forme d'un zero-day que personne ne connaissait (la faille a depuis été signalée à l'éditeur). Le seul tuyau autorisé était donc LE point faible. Ensuite, escalade de privilèges et déplacement latéral de machine en machine, jusqu'à en atteindre une avec un accès Internet et voilà...

Une fois dehors, ils en ont alors déduit tout seuls que Hugging Face hébergeait probablement les modèles, les datasets et les solutions d'ExploitGym.

Donc direction huggingface.co, avec credentials volés et zero-days enchaînés jusqu'à décrocher une exécution de code à distance sur les serveurs, puis lecture des solutions du test directement dans la base de production. Aucune destruction, aucune demande de rançon. Juste les corrigés des tests comme des bacheliers qui emploient mal leur intelligence !

Petite précision qui compte, c'est bien l'équipe de Hugging Face qui a détecté et stoppé l'activité sur son infra, et qui avait déjà entamé le confinement et la reconstruction forensique avec ses propres modèles open source quand OpenAI l'a contactée. Je vous racontais l'histoire vue de leur côté il y a deux jours, relevant notamment que les modèles américains refusaient d'analyser leurs logs d'attaque.

C'est pas un peu de la science fiction tout ça ??? Maintenant si vous vous demandez ce que vous risquez en tant qu'utilisateur, sachez que côté public, rien n'a bougé sur les modèles, les datasets et les Spaces. L'incident a uniquement touché des datasets internes et des credentials de service et visiblement, rien n'a été altéré par les agents IA en vadrouille.

Côté mesures, OpenAI dit appliquer des contrôles stricts sur la configuration de son infra "au prix de la vélocité de recherche" pendant que les failles sont patchées, et a fait entrer Hugging Face dans son programme trusted access. Ce qui règle accessoirement le problème du refus que HF a rencontré lors de l'analyse des logs.

La veille de cette révélation, OpenAI publiait d'ailleurs un billet sur l'alignement des modèles à long horizon bourré d'anecdotes du même genre, avec un modèle qui contourne les restrictions de sa sandbox pour aller ouvrir une pull request sur GitHub alors qu'on lui demandait de poster sur Slack. Ou encore un autre qui, pour esquiver les détecteurs de secrets, a découpé le corps du token en deux fragments, les a obfusqués, puis a reconstruit le credential à l'exécution.

On dirait qu'ils n'avaient pas anticipé que ça aille aussi loin leurs petites expérimentations...

Après, OpenAI ne minimise pas et parle même d'un "incident cyber sans précédent, impliquant des capacités cyber à l'état de l'art". Ces modèles peuvent maintenant découvrir et exploiter des chemins d'attaque complètement inédits dans des systèmes en prod, sans avoir besoin d'un accès au code source. C'était théorique jusqu'à ce week-end.

Maintenant, si un modèle a lu les solutions dans la base de production, que valent encore les scores obtenus sur ExploitGym ? Ça on n'en sait rien.

Avant de sortir les violons, le contrepoint le plus juste que j'ai lu vient de Rich Mogull, analyste en chef de la Cloud Security Alliance qui explique que pour lui c'est un cas d'école en matière d'échec d'alignement, car le modèle n'était pas malveillant, il a fait précisément ce qu'on lui demandait, à savoir maximiser sa performance. Sauf qu'une fois les garde-fous retirés et assez de marge donnée, "résoudre le test" et "compromettre un tiers pour voler les réponses" sont devenus la même instruction.

Puis c'est aussi un problème de consentement, car un test de laboratoire qui se barre pour compromettre les systèmes en production, c'est quand même un risque qui est porté par quelqu'un qui n'a pas choisi de mener l'expérience. Alors bon, c'est tombé sur Hugging Face qui a géré ça comme un chef, mais ça aurait pu très bien tomber sur un hôpital.

Voilà les amis... On nous avait promis Skynet , on nous avait promis Matrix, et voilà que 15 ans plus tard, le vrai visage du soulèvement des machines c'est un putain de modèle qui passe son week-end à défoncer trois infrastructures d'affilée pour améliorer sa note à un contrôle.

Un ennemi qui vous hait, vous pouvez le raisonner ou lui envoyer Arnold Schwarzenegger. Mais un ennemi dont la seule mission c'est d'optimiser une métrique, vous ne pouvez que relire très attentivement le prompt que vous lui avez donné et croiser les doigts. La preuve quand une IA prend la première place du classement américain de HackerOne ou arrive à dénicher des milliers de zero-days pour Anthropic , c'est que l'instruction initiale ou le garde-fou était plus solide que ce que nous a pondu OpenAI ce week-end.

Source

late.sh - Le BBS ressuscité en SSH, avec NetHack dedans

Korben ✨ — Wed, 22 Jul 2026 09:21:11 +0200

Vous tapez dans votre terminal ssh late.sh et c'est tout. Votre clé SSH fait alors office de carte de membre et vous voilà dans un salon peuplé de gens qui tapent sur leur clavier depuis un peu partout sur la planète. C'est ce qu'a imaginé Mateusz Piórowski, un dev polonais, qui a passé ces derniers mois à ressusciter le BBS.

Vous atterrissez dans THE LATE BAR, un vrai décor en ASCII où vous marchez en utilisant les flèches du clavier ou les touches hjkl. Vous vous asseyez avec s, vous faites coucou avec w, et la touche i ouvre la ligne de saisie pour parler. Y'a un barman, un jukebox, un salon à côté, des habitués affalés aux tables et une porte mystérieuse marquée DOORS...

THE LATE BAR, vu depuis la démo web en lecture seule de late.sh

Le reste du club tient dans le même terminal avec une radio qui tourne en fond, un tableau ASCII collaboratif dont chaque case garde le nom de qui l'a peinte, des profils pour dire sur quoi vous bossez, un fil de news et une arcade avec 2048, sudoku, nonogrammes et solitaire. Il y a même un bonsaï qui pousse pendant que vous codez.

Mais je reviens un peu sur cette porte mystérieuse dont je vous parlais juste avant… Derrière se cachent ce qu'on appelle les door games. Pour les moins de 40 ans, dans les années 90, un "door" c'était le jeu externe qu'un BBS lançait pour vous, le temps de votre session. C'était le cœur social de ces machines, et si vous voulez goûter un peu à l'ambiance de l'époque, l'opération Sundevil vous en donnera un bon aperçu. Le bien inspiré Piórowski les a donc remis en ligne ! Et ce sont les vrais, hein, pas des remakes.

On y trouve par exemple NetHack, Dope Wars, Dungeon Crawl Stone Soup ou encore Usurper. Chaque jeu a sa crate Rust dédiée qui lance le vrai binaire Unix sur un PTY et vous le proxifie dans votre session SSH.

Vous pouvez également faire tout tourner chez vous en clonant le dépôt puis en faisant un make start, puis vous connecter en ssh localhost -p 2222. Un CLI compagnon gèrera alors la lecture audio en local avec un visualiseur synchronisé.

Côté vie privée, sachez que le serveur garde l'empreinte de votre clé, et pas la clé publique entière, et vos scores comme vos messages n'y sont rattachés que par cette empreinte. Il n'y a aucun log d'IP ni d'analytics mais si vous restez méfiant vous pouvez générer une clé jetable et vous connecter avec :

ssh-keygen -t ed25519 -f ~/.ssh/late_throwaway
ssh -o IdentitiesOnly=yes -i ~/.ssh/late_throwaway late.sh

Après c'est pas l'open, source, puisque le code est publié sous licence FSL-1.1-MIT. Vous pouvez donc lire, auditer, modifier, forker et contribuer, mais pas monter un service public concurrent. Quoi qu'il en soit, chaque version bascule ensuite sous licence MIT, 2 ans après sa sortie. Piórowski assume ça très bien et le documente dans son dépôt.

L'autre limite, c'est la taille car toute l'infra tourne sur un seul nœud Kubernetes plafonné à 1000 connexions simultanées, donc autant dire que le service va rapidement être victime de son succès

Mais moi j'ai trouvé ça super cool, c'est pour ça que je vous le partage. Je vous ai montré Soft Serve pour héberger son Git en SSH , The Lounge pour garder IRC en vie , Ascii Patrol pour jouer en caractères ... et voilà maintenant un salon complet qui revient !

Bref, ssh late.sh et vous verrez bien ce que ça donne !

Source

J'ai créé mon propre outil de stats sans tracking

Korben ✨ — Tue, 21 Jul 2026 17:34:34 +0200

Un site sans cookie de mesure d'audience et sans bandeau de consentement, c'est reposant je trouve... Sauf qu'à cause de ça, bah je ne savais plus trop combien de gens venaient me lire tous les jours. Relou hein ?

C'était ma situation depuis un moment déjà, vu que tout ce qui servait à mesurer l'audience a dégagé de korben.info il y a un bon bout de temps. Alors faute de mieux, je me suis rabattu sur AWStats, qui lit bêtement les logs Apache du serveur mais bon, c'est pas terrible, parce qu'avec le cache de Cloudflare, il y a une grosse partie de mon trafic qui n'est pas pris en compte.

En effet, quand Cloudflare possède une copie valide de la page dans son cache, il peut la renvoyer directement sans contacter le serveur d'origine. Vous êtes donc bien un visiteur réel, mais Apache ne voit aucune requête et AWStats ne vous comptabilise pas. Du coup, tous les outils fondés exclusivement sur les logs d'origine sous-estiment la part du trafic absorbée par le cache.

Après il y a bien le classique Google Analytics, mais bon même configuré en mode full RGPD, ça reste Google et ça appelle quand même un service tiers aux US... Vous connaissez aussi déjà des alternatives propres, puisque je vous ai parlé de Matomo, Plausible et de Vince Analytics , mais elles ajoutent toutes une mesure côté navigateur, avec un script, un pixel ou un stockage local (le localstorage) et moi, je ne voulais aucun outil d'audience de plus dans vos pages !

De son côté, Cloudflare lui, voit chaque requête HTTP qui atteint son réseau, y compris celles auxquelles son cache répond. Ses chiffres couvrent donc beaucoup mieux le trafic HTTP que mes logs d'origine. Le souci, c'est que son dashboard, je ne l'aime pas. Je le trouve incomplet, mal foutu, chiant à utiliser, et il ne montre pas ce que j'ai envie de voir.

Donc, histoire d'avoir ce que je voulais, j'ai fini par coder le mien. Enfin, entièrement vibe codé et ça tourne aussi bien sur un serveur qu'en local sur une machine de bureau.

Petite parenthèse pendant que j'y suis, vous ne le savez peut-être pas mais depuis que ChatGPT a débarqué dans nos vies fin 2022, tout ce que je développe moi-même sur ce site et l'ensemble de mes outils internes sont vibes codés avec des LLMs comme ceux d'OpenAI et d'Anthropic. C'était une purge au tout début et maintenant ça s'est tellement amélioré et je me suis tellement spécialisé là-dedans, que le code n'est devenu qu'une formalité. Ne hurlez pas, mon site est statique et j'envoie pas de fusée dans l'espace !

Mon collecteur s'exécute en local, cause à une API, et il n'envoie pas une seule ligne de mesure dans votre navigateur. Bref, que mon backend soit écrit avec un LLM, à la main ou en Brainfuck, vous chargez exactement la même chose de mon outil de stats, c'est-à-dire rien du tout. La garantie est donc architecturale et pas une question de talent.

Et surtout, mon outil de stats n'ajoute aucune mesure dans votre navigateur. Aucun JavaScript ni cookie supplémentaire n'est posé par mon outil. À la place, il lit l'API GraphQL Analytics de Cloudflare, en lecture seule et récupère des compteurs déjà agrégés par jour et par dimension. Cela veut dire par exemple, que quand je récupère le nombre "nombre d'IP distinctes par jour", je ne récupère pas les IPs en tant que telles mais juste un total que Cloudflare me communique et qu'il a déjà traité en amont.

Et vous n'êtes pas obligés de me croire sur parole, parce que c'est vérifiable en 10 secondes... Ouvrez l'inspecteur de votre navigateur, onglet Réseau, et rechargez cette page. Vous ne verrez aucun script de mesure d'audience, aucun appel vers un domaine tiers et aucune iframe. Même les vidéos YouTube ne se chargent qu'au moment où vous cliquez sur la vignette. Le seul truc qui bouge, c'est le compteur du footer qui télécharge un nombre, sans rien renvoyer derrière.

Attention, ce n'est pas à confondre avec Cloudflare Web Analytics et ses mesures RUM (Real User Monitoring) puisque cette fonctionnalité injecte un bout de JavaScript pour mesurer les performances ressenties dans le navigateur. Chez moi, c'est désactivé tout ça.

Maintenant soyons clairs sur un point, parce que c'est l'objection évidente et qu'elle est parfaitement légitime... Cloudflare, lui, voit bien votre adresse IP. Pas à cause de mon outil de stats, mais parce que c'est un reverse proxy et que c'est mécaniquement ce qui se passe dès qu'un site est derrière un CDN. Votre requête arrive chez eux avant d'arriver chez moi, sinon ils ne pourraient ni router, ni mettre en cache, ni bloquer une attaque. Mon outil ne change rien à ça, il se contente de lire des totaux déjà calculés et je ne récupère jamais la moindre IP. Tout est détaillé dans mes CGU, avec les bases légales, les durées et la liste des cookies de sécurité, si vous voulez le détail complet.

Mon outil et le compteur que vous pouvez retrouver dans le footer de mon site reposent sur les requêtes collectées côté serveur chez Cloudflare et sans l'analyse web, je ne peux juste pas suivre par exemple un parcours utilisateur, connaitre un taux de rebond ou évaluer les temps de chargement mesurés chez les lecteurs. Rien de grave donc...

Maintenant, il y a un souci chez Cloudflare, c'est que selon le jeu de données et le forfait que vous payez ou non, le détail ne reste interrogeable que durant une fenêtre limitée de temps. Mon outil doit donc passer chaque jour récupérer les agrégats encore disponibles et les stocker dans une base SQLite sur mon serveur ou en local, selon la façon dont on l'a déployé.

Ça me permet de garder mon propre historique agrégé. J'ai aussi activé le Super Bot Fight Mode de Cloudflare, qui réduit une large partie du trafic automatisé, mais attention, ça ne me donne pas pour autant des stats sans aucun bot. Les crawlers autorisés comme Googlebot et ceux qui passent entre les mailles du filet restent comptabilisés dans mes chiffres, exactement comme avec tous les autres outils de mesure web. Et je préfère le dire clairement plutôt que de vous vendre des chiffres "propres" qui ne le sont jamais totalement, vu qu'un filtre anti-bot ne peut retirer que les bots qu'il a détectés.

À côté de ça, j'ai aussi branché ma Google Search Console, et là non plus sans installer la moindre bibliothèque tierce... Je signe moi-même un JWT en RS256 avec le module crypto natif de Node, je l'échange contre un jeton d'accès chez Google, et le compte de service que j'utilise est restreint au scope lecture seule. Ça m'apporte des statistiques agrégées sur les impressions, les positions, les requêtes de recherche et surtout Discover !!

Si je devais résumer ça, je dirais que Cloudflare estime le volume de trafic et que Search Console montre quelles recherches produisent des impressions et des clics, même si sans aucun tracking en place, ça n'explique évidemment pas la motivation de chaque lecteur. Mais osef ! Et comme Cloudflare embarque aussi son pare-feu, j'en profite pour rapatrier des statistiques sur les événements de sécurité et les routes attaquées, comme ça, je peux tout voir au même endroit.

Maintenant, le vrai plaisir, c'est de pouvoir afficher ce que je veux dans mon propre dashboard. Par exemple, la répartition par langue, les navigateurs, d'où provient le trafic avec un joli petit camembert, les pays, l'état de mon cache, la bande passante, etc. Et quand j'ai un nouveau besoin qui me pête dans le cerveau, je peux ajouter une vue rapidement et je ne m'encombre pas de ce qui ne me sert pas.

Sans traceur placé chez vous, je ne connais donc pas les sessions, le taux de rebond, le parcours de lecture, les entonnoirs de conversion, donc impossible de savoir si vous êtes revenu hier, ni dans quel ordre vous avez lu 3 articles. Mais je m'en tape complètement puisque ces métriques ne m'ont jamais servi à rien.

Ce que je veux connaitre, c'est surtout l'ordre de grandeur de l'audience et le nombre de pages demandées. Le parcours individuel et les entonnoirs de conversion, c'est surtout un besoin de régie publicitaire ou de site e-commerce, et pas d'un site comme le mien. Quand on sait que les bandeaux de cookies nous coûtent 575 millions d'heures perdues collectivement, et que l'Europe réfléchit enfin à les alléger , s'en passer n'est pas vraiment une punition.

Bref, mes stats sont maintenant plus digestes que celles d'AWStats, sans avoir à vous tracker ou vous faire charger quoi que ce soit. Ça me va donc très bien. Et si vous voulez un avant-goût de la technique derrière l'outil, j'ai montré récemment comment vous faire un compteur de fréquentation gratuit , donc n'hésitez pas à y jeter un œil...

Bornes de recharge - Un SSH root au bout du câble CCS2

Korben ✨ — Tue, 21 Jul 2026 13:47:40 +0200

Le gros câble que vous branchez sur votre voiture électrique, celui qu'il faut soulever à deux mains et qui pèse le poids d'un âne mort, dispose de 2 choses : Du courant, et un réseau. Lionel Richard Saposnik, chercheur chez SaiFlow, a eu la curiosité d'aller voir ce qui traîne sur ce réseau-là et vous allez voir, c'est pas triste...

Quand vous clipsez le pistolet dans la trappe, votre bagnole et la borne montent une liaison IPv6 entre elles, par courant porteur, sur deux broches du connecteur CCS2. Elles se causent en respectant la norme ISO 15118 pour négocier vos ampères, votre tension, le prix de votre kWh.

Le simulateur de véhicule se branche sur la prise et atteint la carte de la borne. Schéma SaiFlow.

Lors de ses tests, sur une borne rapide XCharge C6, il a trouvé un service SSH (Dropbear) qui écoute sur le port 22 et un Telnet (BusyBox) sur le port 23. Et sans surprise, le login c'est root et le mot de passe... bah c'est "root" aussi !! Mdrrrr ! Donc vous branchez votre voiture, vous vous connectez en SSH et vous êtes root !!

La raison c'est que les services d'administration de la borne écoutent sur 0.0.0.0, autrement dit sur toutes les interfaces réseau de la machine. Sauf que parmi ces interfaces, y'a can0 pour le bus CAN interne, eth0 pour le réseau de management... et surtout qca0 et qca1, les deux modems courant porteur des deux pistolets de charge. Écouter partout, ça veut donc dire aussi écouter du côté de votre voiture.

SSH et Telnet à l'écoute sur toutes les interfaces, celles du câble comprises. Capture SaiFlow.

Pour aller taper dessus, il lui a donc fallu seulement 130 $ de matos. De quoi tirer le Control Pilot à 9 V (5 à 10 $) pour faire croire à la borne qu'une voiture est connectée, un modem HomePlug Green PHY genre QCA7000 ou QCA7005 à 70 $, un Raspberry Pi à 50 $, et deux fils à mettre en contact avec le connecteur.

Et hop, avec tout ça, n'importe qui peut se retrouver sur le réseau interne de la borne. Et là, avec l'accès root, un attaquant peut faire tout un tas de choses comme voler le certificat SECC pour se faire passer pour la borne au moment où votre voiture s'authentifie en Plug & Charge, trafiquer le comptage de l'énergie, poser une backdoor dans un cron, rebondir vers le réseau de l'opérateur par le VPN de la borne, ou couper le refroidissement et la protection contre les surintensités.

Ça craint hein ?

Je vous avais raconté comment Charlie Miller a pris le contrôle d'une Jeep sur l'autoroute , ou encore comment une faille d'API permettait d'en déverrouiller à distance mais l'idée que la prise cause du réseau n'est pas neuve puisqu'en 2022 déjà, des chercheurs d'Oxford et d'Armasuisse avaient monté Brokenwire, une attaque qui coupait les charges à distance en brouillant ce même canal courant porteur, avec une radio logicielle LimeSDR et un ampli de 1 W. Ils ont tué des sessions jusqu'à 47 mètres, sur 8 voitures et 20 bornes rapides.

Ce qui change ici, c'est pas le canal, c'est ce qu'on trouve à écouter dessus car personne n'avait pensé à scanner la prise comme vous scanneriez un réseau d'entreprise.

L'avis publié par la CISA à ce sujet liste bien 3 failles sur la borne C6, mais une seule est notée 9,8 sur 10, et c'est celle du firmware qui s'installe sans vérification de signature. Les deux autres qui concernent la prise sont à 7,6, avec accès physique obligatoire. Je tiens à le préciser parce que j'ai vu passer des actus qui annoncent 3 failles à 9,8 partout et je n'y comprenais plus rien.

En tout cas, c'est corrigé. XCharge a poussé la mise à jour sur toutes les bornes concernées, et la CISA n'a constaté aucune exploitation dans la nature. Rassurez-vous donc, votre prochaine charge sur l'autoroute ne va pas transformer votre voiture en bagnole zombie explosive !

La France compte près de 200 000 points de recharge ouverts au public, et XCharge revendique une équipe sur place et plus de 2500 bornes rapides posées en Europe. C'est donc un modèle qui est touché mondialement et surtout, SaiFlow pense que le motif de cette faille se retrouve probablement chez d'autres fabricants, toutefois sans l'avoir démontré.

Bref, la prochaine fois qu'on vous dit qu'une borne c'est "juste" de la grosse électricité, vous saurez maintenant que c'est surtout un ordinateur avec une prise réseau dehors.

Merci à DjeDje pour l'info !

Source

Ce drone tourne si vite sur lui-même qu'il devient presque invisible

Vincent Lautier — Tue, 21 Jul 2026 13:20:33 +0200

Des ingénieurs de l'université Northwestern, près de Chicago, ont construit un petit drone qui disparaît presque à l'œil nu. Pas grâce à un camouflage, mais parce qu'il tourne sur lui-même à toute vitesse.

Le principe s'appelle le flou de mouvement. C'est ce qui fait qu'on ne voit plus les pales d'un ventilateur quand il tourne vite. L'œil n'arrive plus à suivre, alors il mélange l'objet avec ce qu'il y a derrière.

Le drone s'appelle Phantom Twist. Il tourne sur lui-même entre 15 et 25 fois par seconde. À pleine vitesse, on ne voit plus qu'une légère brume, une sorte d'ombre floue posée dans l'air.

Son corps est déjà presque transparent. Les quelques pièces opaques qui restent, le moteur ou la batterie, se noient dans le décor dès que la rotation démarre.

La forme n'a rien à voir avec un drone habituel. Un quadricoptère porte quatre hélices. Là, il y a un seul moteur et une seule hélice. L'hélice tourne d'un côté, tout le reste du drone tourne de l'autre.

Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus

Faire voler un truc pareil sans qu'il parte en vrille n'a rien d'évident. L'équipe a donc laissé un ordinateur imaginer près de 20 000 versions du drone, puis a utilisé des algorithmes et de l'IA pour ranger chaque pièce au bon endroit, du circuit imprimé au petit contrepoids qui équilibre l'ensemble.

Au bout du compte, les chercheurs le donnent pour dix fois plus difficile à repérer qu'un quadricoptère classique. Le but est d'observer des animaux, de surveiller des marais ou de contrôler des ponts et des lignes électriques sans faire fuir ce qu'on veut filmer.

Il y a encore des trous dans la raquette. Le prototype a besoin d'un système de caméras installé tout autour pour se repérer. Ses fils et ses tiges de support restent visibles. Et surtout, l'hélice fait du bruit.

Un drone qu'on ne voit pas mais qu'on entend arriver, ça limite quand même sérieusement l'effet de surprise.

Le travail a été montré à Sydney, lors d'une grande conférence de robotique. L'équipe veut maintenant des matériaux plus transparents et une hélice plus silencieuse.

Se cacher en tournant sur soi plutôt qu'en se peignant, l'idée est maligne. Mais tant que l'engin vrombit comme un ventilateur, l'invisibilité reste à moitié ratée.

Source : Techspot

Brancher un écran LG suffit à vous coller une pub McAfee

Korben ✨ — Tue, 21 Jul 2026 11:17:48 +0200

32 redémarrages d'affilée, 31 pubs pour McAfee, c'est le résultat du test mené par la chaîne Youtube Gamers Nexus sur un écran LG UltraGear 34GX900A-B branché à un PC tournant sous Windows. Puis au 32e démarrage, l'écran a eu la délicatesse de faire la promo d'un autre utilitaire LG, histoire de varier les plaisirs.

Sauf que personne n'a installé quoi que ce soit. L'app s'appelle "LG Monitor App Installer", elle débarque toute seule quand vous branchez le moniteur, et sa fiche technique sur le Microsoft Store réclame deux permissions qui piquent un peu : "toutes les ressources système" et "l'accès à votre connexion Internet". Pour un truc censé régler la luminosité de votre écran, on repassera donc sur la discrétion...

Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus

La vraie question que je me suis posée en découvrant cette histoire, c'est comment diable un câble HDMI arrive à faire atterrir un programme sur la machine ? Eh bien la réponse va vous plaire, parce que ce n'est ni un virus, ni un piratage, ni une faille mais bien une fonctionnalité de Windows (spéciale dédicace à l'Autorun, lool) !! Elle s'appelle device metadata, et elle traîne dans le système depuis Windows 7, à l'époque où il s'agissait surtout d'afficher proprement l'icône et le nom de votre imprimante.

L'astuce de LG fonctionne ainsi en 4 temps. Vous branchez le périphérique. Windows part interroger un service maison, Windows Metadata and Internet Services, pour récupérer les métadonnées du matériel. Ces métadonnées contiennent un identifiant qui pointe vers une app précise du Microsoft Store. Windows télécharge les pilotes si besoin + l'app, qu'il installe dans votre menu Démarrer. Et voilà, c'est fini comme dit Jean-Louis ! Vous n'avez cliqué sur rien du tout et vous récupérez leur Adware... Elle n'est pas belle la vie ???

Les conditions pour que ça se déclenche c'est simplement d'avoir accepté les "paramètres recommandés" à l'installation de Windows, être connecté au Microsoft Store, et être en ligne. Autrement dit, la configuration par défaut de la quasi-totalité des PC grand public. Si vous êtes hors ligne au moment du branchement, pas de souci, Windows patiente et retente plus tard.

Le meilleur, c'est ce que Microsoft explique lui-même dans sa propre doc à destination des dev, que "*La fonctionnalité d'installation automatique ne prévient pas l'utilisateur quand l'app est installée. Certains utilisateurs pourraient trouver cette expérience déroutante et frustrante, et mettre une mauvaise note à votre app. *". Tu m'étonnes John !

Ça veut surtout dire que le SEUL risque que Microsoft identifie, c'est la note qu'aura l'app sur le store. Ce n'est ni notre absence de consentement, ni ce que ça pourrait impliquer pour notre ordi. La note de cette app LG est d'ailleurs merdique... La prophétie s'est réalisée !!! lol

Cerise sur le gâteau, cette techno est officiellement dépréciée. Microsoft annonce son remplacement par un autre système, mais en attendant elle tourne toujours et elle installe toujours des merdouilles, par-ci par-là...

Mais alors qu'est-ce qu'elle pousse exactement, cette app LG ?

Hé bien un truc dont personne sur cette planète n'a jamais eu besoin, à savoir un essai gratuit de 30 jours pour McAfee Scam Detector, qui bascule ensuite sur un abonnement McAfee Plus Premium, à partir de 39,99 $ l'année (!!).

Actuellement, personne ne sait combien de machines sont touchées mais par contre, ce qu'on sait, c'est que les plaintes remontent à au moins 2024 sur les forums Microsoft, et que ça ne concerne pas que les modèles récents. Un LG UltraFine 32UN880-B acheté il y a 3 ans se comporte pareil. Et ni LG ni Microsoft n'ont publié le moindre communiqué à l'heure où j'écris ces lignes... (depuis, LG m'a répondu, voir la mise à jour en fin d'article)

Aussi, vous vous dites peut-être que c'est nouveau comme pratique mais pas du tout ! Y'a que le tuyau de diffusion qui s'est modernisé car il y a plus de 10 ans déjà, en 2015, Lenovo se faisait démonter pour Superfish , un adware préinstallé qui cassait le HTTPS avec son propre certificat racine. La même année, Dell se prenait le retour de flamme d' eDellRoot , un certificat livré avec sa clé privée dans la boîte. En 2017, on découvrait qu'un pilote audio Conexant livré chez HP enregistrait gentiment les frappes clavier. Alors bien sûr, à l'époque il fallait un PC entier pour se faire refourguer toute cette camelote et c'est vrai qu'aujourd'hui, suffit d'un écran et ensuite c'est Windows Update qui vous livre le bloatware.

Petite précision au passage, parce que j'ai vu plusieurs articles qui se sont emmêlés les pinceaux. De ce que moi j'ai compris, c'est que ce mécanisme n'a rien à voir avec l'ACR de LG, cette techno qui analyse ce que vous regardez sur les TV pour cibler la pub. Ce sont bien 2 sujets distincts puisque l'ACR, c'est du tracking de contenu sur les téléviseurs alors que le sujet dont je vous parle c'est de l'installation d'application via les métadonnées de périphérique sous Windows.

Alors si vous avez un écran LG, comment se protéger de ça ?

Le plus simple s'appelle Win11Debloat , un script PowerShell qui dispose depuis peu d'une option baptisée DisableDeviceAutoAppDownload qui coupe le robinet, et qui a ajouté LGElectronics.LGMonitorApp à sa liste d'apps supprimables. Ça permet de régler les deux problèmes d'un coup.

Après si vous préférez comprendre ce que vous faites plutôt que lancer un script, sachez qu'il écrit en réalité une seule valeur dans la base de registre :

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Device Metadata
"PreventDeviceMetadataFromNetwork"=dword:00000001

Microsoft documente officiellement ce réglage pour les éditions Pro, Entreprise et Education, où vous le retrouvez en version cliquable via gpedit.msc, dans Configuration ordinateur > Modèles d'administration > Système > Installation de périphériques, au paramètre que Microsoft appelle "Prevent automatic download of applications associated with device metadata", que vous verrez traduit dans les Windows français. Après sur Windows Home il n'y a pas d'éditeur de stratégies, et rien ne garantit noir sur blanc que la clé y soit lue. Votre repli sûr, c'est donc le bouton planqué dans Panneau de configuration > Système > Paramètres système avancés > onglet Matériel.

Ce bouton, tiens. Je vous montrais déjà comment le désactiver en 2019 , quand Windows vous demandait poliment si vous vouliez continuer à télécharger automatiquement les applications des fabricants de matériel. La question s'était donc déjà posée à l'époque et je l'avais complètement oublié...

Après, si vous voulez faire le ménage plus large sur une machine fraîchement installée, SuperMSConfig fait très bien le job, et FlyOOBE vous permet de reprendre la main dès l'écran de première configuration, là où ces fameux "paramètres recommandés" se cochent tout seuls. Parce qu'au fond, les logiciels de merde installés d'office par les constructeurs , c'est un sport qui n'a jamais vraiment pris sa retraite.

Voilà, moi je pense qu'un écran ou n'importe quel périphérique ne devrait pas avoir le droit d'installer des trucs chez vous, qui est le pire pour nous balancer de la pub !

Mise à jour du 21 juillet 2026 - LG m'a fait parvenir une réponse par l'intermédiaire de son agence de communication. Je vous la mets telle quelle :

"LG Electronics réaffirme que McAfee n'est pas installé automatiquement et n'est jamais installé sans le consentement explicite de l'utilisateur. Le programme d'installation de l'application LG Monitor est distribué via le processus officiel de distribution Windows de Microsoft, qui incluait McAfee en option. McAfee ne sera installé que si l'utilisateur choisit activement de poursuivre l'installation et donne son consentement."

Alors sur ce point précis, LG a raison, et je n'ai jamais écrit le contraire. Ce que Gamers Nexus a filmé, c'est une pop-up qui vous propose l'essai McAfee 31 fois sur 32 démarrages, pas un antivirus qui s'installe en douce dans votre dos. Il faut cliquer pour l'avoir.

Sauf que le reproche n'a jamais porté là-dessus. Le truc qui coince, c'est l'app LG Monitor elle-même, celle qui atterrit sur votre machine sans vous demander votre avis et qui réclame "toutes les ressources système". Et ça, LG ne le conteste pas du tout, LG le confirme même : "distribué via le processus officiel de distribution Windows de Microsoft", c'est exactement le mécanisme device metadata que je décris plus haut. Le consentement dont ils parlent, c'est celui pour McAfee, une fois que l'app est déjà chez vous. Je note aussi le "incluait" au passé, sans que LG précise si l'app propose encore McAfee aujourd'hui.

Deuxième partie de la réponse, LG tient à préciser que ses téléviseurs "ne collectent, n'enregistrent ni ne stockent les conversations ambiantes", et que la reconnaissance vocale est une fonctionnalité optionnelle, lancée par l'utilisateur, qu'on peut ne jamais activer. Ce qui tombe plutôt bien vu que je disais justement plus haut que la TV et l'écran PC, ce sont deux sujets différents. Je relève quand même que ce démenti parle du micro, pas de l'ACR.

Et à l'heure où j'écris cette mise à jour, LG n'a toujours rien publié de public sur le sujet. La réponse est arrivée dans ma boîte mail.

Source

Le Siri caché de votre Mac se réveille en une commande

Korben ✨ — Tue, 21 Jul 2026 09:08:48 +0200

Si vous avez installé la beta de macOS 27 Golden Gate, apparemment, vous avez déjà sur votre Mac une interface Siri complète qu'Apple a pris soin de désactiver avant de vous la livrer. Un membre du subreddit r/MacOSBeta l'a débusquée, et elle peut être rallumée rapidement grâce à une seule commande dans le Terminal.

Le principe de cette interface c'est que vous sélectionnez du texte, n'importe où, et une petite icône flottante apparaît en haut à gauche de votre sélection. Vous mettez le pointeur de votre souris dessus, et hop, elle se déplie pour vous proposer des trucs en rapport avec Siri.

Dedans, vous avez donc les outils d'écriture maison (Rewrite, Proofread, "How does this sound?" et "Edit with Siri"), plus la génération de points clés et le résumé. Le reste s'adapte à ce que vous avez sélectionné comme ajouter des coordonnées à vos contacts, écrire un message ou un mail, créer un événement dans le calendrier, afficher un lieu dans Maps, suivre un colis ou un vol.

Pour la réveiller, une ligne dans le Terminal puis un redémarrage :

sudo mkdir -p /Library/Preferences/FeatureFlags/Domain && sudo defaults write /Library/Preferences/FeatureFlags/Domain/WritingTools LightweightUI_macOS -dict Enabled -bool true

Et si ça vous saoule, vous repassez le flag à false, toujours suivi d'un redémarrage :

sudo defaults write /Library/Preferences/FeatureFlags/Domain/WritingTools LightweightUI_macOS -dict Enabled -bool false

Sauf que vous n'allez pas y trouver un truc fini. Le flag est privé, désactivé par défaut dans la beta développeur 3 et la beta publique 1, et une bonne partie du machin ne répond tout simplement pas. Rien ne garantit non plus que cette interface arrive dans la version finale de macOS 27 cet automne. Vous bidouillez un truc encore en chantier, quoi. Cette beta a d'ailleurs déjà fait sauter le support d'Asahi Linux sur les Mac , comme Vincent vous l'a montré.

Un utilisateur note au passage que les Writing Tools ont disparu du menu contextuel classique, donc si c'est bien le cas, ce popover serait leur nouvelle maison plutôt qu'un ajout, mais Apple n'a rien confirmé là-dessus.

Le vrai truc à savoir, si vous êtes en France, c'est que vous avez le droit d'y toucher. Apple a confirmé le 8 juin que les utilisateurs européens auraient bien accès à Siri AI sur macOS 27 et visionOS 27, alors que le nouvel assistant reste bloqué sur iOS 27, iPadOS 27 et watchOS 27 au nom du DMA. Vincent nous racontait le renvoi de balle entre Bruxelles et Cupertino sur ce blocage, du coup, votre iPhone européen n'y aura pas droit à la sortie, votre Mac si. Allez comprendre !

En tout cas, je trouve l'idée de ce menu plutôt bonne. J'espère que ça se concrétisera. Bref, si vous avez une machine de test sur la version beta, amusez-vous bien !

Source : MacRumors

Empreintes et ADN - Le vrai prix de votre ESTA

Korben ✨ — Mon, 20 Jul 2026 17:16:51 +0200

Vos empreintes digitales, votre photo et jusqu'à votre ADN, voilà ce que les États-Unis aimeraient consulter directement dans les fichiers de police européens. Le deal s'appelle Enhanced Border Security Partnership (EBSP), et la monnaie d'échange, vous la connaissez bien si vous avez déjà voyagé aux États-Unis. C'est ce petit formulaire ESTA que vous remplissez avant de filer à New York ou ailleurs (celui qui vous évite le visa).

Le projet d'accord, vous n'étiez pas censé le lire, mais l'ONG Statewatch l'a publié en avril dernier et son article 3 range dans les données biométriques vos empreintes, vos photos et vos données génétiques (oui, votre ADN). Washington réclame cet accès depuis février 2022 à tous les pays dont les citoyens, comme vous, voyagent sans visa, et le Conseil de l'UE a autorisé la Commission à négocier le 16 décembre 2025.

Bruxelles jure vouloir un système de requête ponctuelle (c'est-à-dire un tuyau d'accès), avec ce que le mandat du Conseil appelle "une limitation claire des finalités des données échangées, avec des déclencheurs très spécifiques". Sauf que la demande américaine d'origine, elle, parle de cribler "de façon routinière" les bases biométriques des pays partenaires.

Entre les deux il y a donc un gouffre !

Et le texte ne s'arrête d'ailleurs pas à la biométrie puisqu'il prévoit de faire circuler des "indications de risque" pour déterminer si votre entrée "poserait un risque réel pour la sécurité publique ou l'ordre public". Traduisez : votre profil, vos fréquentations, vos opinions. Vous vous souvenez de ce touriste refoulé à cause d'un mème sur JD Vance ? Ou toutes ces histoires de douaniers qui fouillent votre téléphone à l'arrivée ? Bah je vous laisse imaginer la cata...

Statewatch pointe surtout la contradiction avec le droit européen lui-même. L'article 9 du RGPD interdit en principe de traiter les données génétiques, et le projet se contente de "garanties appropriées". En effet, la Charte protège les Européens contre la discrimination fondée sur les opinions politiques mais ça, le texte qui cadre ce Enhanced Border Security Partnership, n'en dit rien.

La Cour de justice de l'UE avait retoqué en 2022, dans son arrêt sur le PNR (Passenger Name Record), les traitements automatisés qui décident sans humain dans la boucle, et voilà que ça revient sur le devant de la scène d'une autre manière.

Franchement, c'est relou. On nous impose des bandeaux cookies sur chaque site de recettes de cuisine, on fait tenir un registre de traitement au moindre club de pétanque et pendant ce temps-là, le Conseil européen négocie tranquillou un accès que j'estime abusif pour une administration étrangère à des fichiers d'empreintes (biométriques) nationaux. Ça fait un peu mal au cul vous ne trouvez pas ???

Alors, certes, on voyage sans visa, même si, quelque part, l'ESTA c'est un peu un visa qui ne dit pas son nom. Enfin, moi, je vois pas trop la différence sur le fond... Et puis dans cette Europe à deux vitesses, on a quand même la Bulgarie, Chypre et la Roumanie qui, eux, ont besoin d'un visa. Donc on n'est pas très solidaire sur le coup.

Puis je vous rappelle que les fichiers d'identité français ne sont pas franchement des coffres-forts quand on pense par exemple à l'ANTS qui s'est fait siphonner 19 millions de dossiers via une faille basique . Et sur le sérieux de nos amis américains, je repense à cette grand-mère américaine qui a passé six mois en prison à cause d'un faux positif de reconnaissance faciale, et je me dis que si on y ajoute un croisement transatlantique automatisé des données, ça va pas être joli joli en termes de bourdes...

Bref, pour le moment rien n'est signé et les États membres se déchirent encore sur la portée et les durées de conservation de NOS données qu'ils vont offrir aux États-Unis. Et on verra bien si le Parlement va donner son feu vert, mais en tout cas c'est maintenant que tout se joue.

Voilà, surveillez ce dossier de près et je vous invite à aller lire l'analyse de Statewatch parce qu'elle est plutôt salée.