Les news de Korben

Arnaque au bot crypto IA - Comment ils vident votre wallet

Korben ✨ — Sat, 16 May 2026 11:55:10 +0200

Je me baladais sur les réseaux sociaux (ouais, c'est pas bien, je sais) quand je suis tombé sur un post X en reco avec un tuto Youtube où un mec explique comment gagner un petit peu d'ethers chaque jour. Évidemment, je flaire l'arnaque parce que dans la vie y'a que 3 façons de devenir riche : 1/ Monter sa boite 2/ Être né dans une famille déjà fortunée 3/ Ou se faire adopter par un vieux riche sans enfant afin de faire une magnifique captation d'héritage.

Mais ce que je voulais surtout c'est comprendre comment cette arnaque fonctionnait. Alors j'ai épluché un peut tout ça et j'en profite pour vous expliquer.

La vidéo, je vous la résume parce que franchement elle ne mérite pas un clic. Un type qui se fait appeler Josh Alex, sourire ultra-bright, vous vend l'idée qu'un "outil IA" peut sortir 1700 à 2000 dollars par jour en mode pilote automatique.

Le pitch, c'est qu'il a demandé à ChatGPT de lui pondre le code d'un bot de "sniping" sur Ethereum (c'est de l'arbitrage... en gros, passer devant les autres au bon moment pour gratter quelques dollars sur le mouvement du cours de la cryptomonnaie). Vous copiez ce code dans Remix (un vrai éditeur de smart contracts, parfaitement légitime, et c'est tout le problème), vous compilez en Solidity, vous déployez avec MetaMask, et hop, vous "financez le contrat" avec vos propres ethers.

Et plus vous mettez, plus vous gagnez, qu'il nous explique... Faut savoir que dans ce type d'arnaques, on réclame souvent un demi-ether minimum, genre 1500 - 2000 balles selon le cours du moment, soi-disant pour couvrir les frais de gas. Vous lancez ensuite le bot, vous attendez 3 heures, et magie magie : +30% de profit affiché. Vous cliquez alors sur Withdraw pour retirer les sous et l'argent vous revient avec le bénéf. Ensuite, la vidéo se termine sur deux phrases qui puent l'arnaque, je trouve : "je vais bientôt supprimer cette vidéo, c'est une chaîne privée" et "contactez-moi sur Telegram".

Et voilà...

Mais alors du coup, qu'est-ce qui se passe réellement ?

Hé bien cette combine porte un nom, elle est documentée, et elle a fait très mal. Les chercheurs de SentinelLABS ont disséqué toute une famille de ces "drainers Ethereum" qui se font passer pour des bots d'arbitrage (les vrais bots MEV existent et sont légitime, justement ce qui rend l'arnaque crédible).

Par exemple, une autre vidéo de la même série, intitulée "How to Create Passive Income MEV Bot on Ethereum" (pas exactement celle que j'ai vue, mais le même mécanisme au détail près), a aspiré près de 245 ethers à des victimes. Au cours de l'époque, ça représentait environ 900 000 dollars. Pas mal hein, pour un "tuto gratuit" sur YouTube ! D'autres campagnes du même genre ont siphonné 7 ETH par-ci, 4 ETH par-là et ces vidéos sont souvent générée par IA, avec la voix robotique à 2 balles, les expressions faciales saccadées, les lèvres désynchronisées et j'en passe...

Maintenant, le cœur de cette arnaque c'est que le code que vous collez dans Remix contient en fait une adresse de portefeuille cachée / obfusquée, qui est celle de l'escroc. Elle n'est pas écrite en clair, sinon n'importe qui la verrait mais est reconstituée lors de l'exécution du code, soit en faisant un XOR entre deux constantes anodines (souvent nommées un truc rassurant genre DexRouter et factory), soit en recollant des morceaux de texte, soit en tronquant un énorme nombre. En clair, l'adresse du voleur est coupée en deux bouts d'apparence inoffensive, planqués à deux endroits différents du code, et recollée seulement au moment où le contrat tourne.

Alors quand le mec dans la vidéo vous dit "regardez les lignes 13 et 14, ce sont vos adresses pour recevoir les tokens WETH", c'est de la diversion pure. Il vous donne tout simplement un os à ronger pour que vous vous sentiez rassuré, pendant que la vraie adresse est planquée ailleurs dans le code.

Et là, le piège se referme car au moment où vous financez le contrat et cliquez sur Start, vos ethers partent directement dans le portefeuille de l'escroc. Pire, SentinelLABS a également relevé un mécanisme de secours qui permet à l'attaquant de vider le contrat même si vous ne cliquez jamais sur Start.

Le "+30% de profit" que vous voyez à l'écran ? Bah c'est du flan... de la poudre de perlimpinpin comme dirait l'autre.... Au mieux c'est un faux solde renvoyé par le contrat, au pire c'est carrément du montage vidéo. D'ailleurs, un contrat déployé tout seul ne peut même pas "sniper" la mempool donc techniquement, ça tient pas car ce genre de chose demande un bot externe qui surveille les transactions en attente. Le contrat seul ne fait rien d'autre que transférer votre argent en fait... C'est juste un siphon avec une jolie interface, rien de plus !

Ce qui rend ce truc redoutable, c'est la psychologie derrière. Remix est un outil réputé, donc votre cerveau associe "outil sérieux" à "code sérieux". Et comme vous déployez le contrat vous-même, il vous semble être le vôtre.

On vous donne aussi cette mini-tâche de "vérification" bidon pour endormir votre méfiance et surtout on vous répète "pas besoin de savoir coder", ce qui veut dire en réalité "surtout ne lisez pas ce que vous collez".

C'est ce genre de phrase-là qui devrait déclencher l'alerte rouge dans votre cerveau ! Sans oublier que le tout est saupoudré de hype IA pour faire moderne... Bref, c'est du grand n'importe quoi, mais ça marche à fond la casse. Si vous voulez voir comment des malwares se cachent carrément dans la blockchain elle-même, j'avais aussi décortiqué ce que fait la Corée du Nord avec la blockchain . Le mécanisme est différent, mais c'est le même esprit à savoir détourner une techno légitime pour piéger les gens.

Voilà, alors retenez les règles de base, parce qu'elles valent pour cette arnaque comme pour les mille autres qui sortiront demain. Argent facile et passif : si c'est automatique, sans effort et garanti, c'est une arnaque dans la totalité des cas. Et surtout, la vraie question à se poser est toujours la même : Si ce bot rapportait vraiment 2000 dollars par jour, pourquoi un inconnu vous le filerait gratuitement au lieu de s'enrichir tranquillement dans son coin ? Personne n'offre une machine à billets sans contrepartie !

Puis y'a l'urgence : "je supprime la vidéo bientôt", "offre gratuite aujourd'hui", "dépêchez-vous". Ce compte à rebours vise à court-circuiter votre sens critique pour vous empêcher de réfléchir ou de vérifier. C'est un peu ce que font aussi les escrocs au téléphone quand ils vous disent que votre compte bancaire va être bloqué dans 10 min et que vous allez tout perdre...

Et puis filer de l'argent avant de toucher le moindre gain c'est louche aussi ! Sans oublier le fait qu'on vous pousse vers Telegram ou des DM privés, histoire de laisser le moins de traces et de recours possible.

Quand au fameux "Pas besoin de coder", sur un truc qui touche à votre argent, c'est le drapeau rouge ultime !!! Ne déployez jamais, jamais, jamais du code financier sans le comprendre parfaitement ou le faire auditer par quelqu'un de confiance.

Et si vous vous êtes déjà fait avoir ?

À vrai dire, une fois la transaction confirmée sur la blockchain, récupérer l'argent est en pratique quasi impossible, sauf gel rapide côté plateforme ou intervention judiciaire. Mais bon, c'est pas une raison non plus pour rester les bras croisés.

Par exemple, si vous avez signé des autorisations (avec Metamask par exemple) que vous ne compreniez pas, considérez le portefeuille comme grillé et transférez rapidement ce qu'il vous reste vers un portefeuille tout neuf. Vérifiez et révoquez les approbations de tokens accordées au contrat (avec un outil de type revoke.cash), en sachant évidemment que ça ne récupèrera pas les ethers déjà partis. Ça coupe juste une éventuelle ponction qui arriverait plus tard.

Et surtout, gardez les preuves comme les hash de transaction et les adresses, signalez la chaîne YouTube et le compte Telegram, puis déposez un signalement sur cybermalveillance.gouv.fr ou Pharos. Et prévenez les gens autour de vous... c'est exactement le même réflexe à avoir que face à l'arnaque au QR code piégé , une fois le mécanisme compris, on devient beaucoup plus dur à berner.

Bref, ce genre d'escroquerie ne meurt jamais vraiment... elle change juste de costume. Hier l'arbitrage secret, aujourd'hui c'est l'IA qui va vous rendre riche... Le plus important c'est de garder votre cerveau allumé... ça c'est gratuit et ça rapporte vraiment.

Source

La folle histoire de la 3DO Blaster, ressuscitée dans un musée

Vincent Lautier — Sat, 16 May 2026 11:25:50 +0200

En 1994, Creative Labs, le fabricant des fameuses cartes son Sound Blaster, a sorti un truc complètement fou : la 3DO Blaster, une carte ISA (le format d'extension standard des PC de l'époque) qui contenait littéralement une console 3DO entière, prête à être greffée dans un PC 386 ou 486.

Tous les composants graphiques et audio de la machine y étaient embarqués. Le PC servait juste d'écran et de boîtier. Le prix à l'époque : 399,95 dollars, soit exactement le tarif d'une vraie console 3DO chez Panasonic. L'idée commerciale était géniale.

The Retro Collective, un musée britannique dédié au matériel rétro, vient d'en recevoir une pour sa collection. Petit problème, la carte ne marchait que si on appuyait sur l'un de ses coins. C'est le genre de symptôme qui sent le faux contact, autrement dit des broches qui ne touchent plus le circuit imprimé. Un peu de fer à souder plus tard, plus quelques autres petites réparations, et la 3DO Blaster a retrouvé l'usage de la parole.

Pour rappel, la 3DO n'était pas exactement une console comme la PlayStation ou la Nintendo 64. C'était une spécification technique que les fabricants pouvaient utiliser pour construire leur propre machine.

Panasonic, Sanyo et Goldstar s'y sont collés. Sur le papier, le matériel tenait la route face à la première PlayStation. En pratique, le succès commercial n'a jamais suivi, faute de jeux marquants et avec un prix de lancement perché trop haut. La plateforme a végété puis disparu.

La Blaster avait en plus une bizarrerie qui n'a pas aidé à son adoption. Creative imposait un lecteur CD-ROM précis pour fonctionner, le CR-563, une variante maison d'un modèle Panasonic. Vous aviez la carte, le bon PC, mais le mauvais lecteur ? Tant pis. Mariage forcé pour qu'un produit déjà bancal trouve son public. Et comme il fallait aussi une Sound Blaster pour le son, la facture montait vite.

La carte est sortie aux États-Unis, au Royaume-Uni et en quelques marchés asiatiques, puis a quasiment disparu des radars. Aujourd'hui, en voir une en état de marche est rare.

Quand le musée fera tourner Shock Wave ou Gridders ce week-end devant les visiteurs, ce sera l'un des seuls endroits au monde où une 3DO Blaster sera de nouveau opérationnelle.

Bref, un produit absurde, un tarif absurde, un montage absurde. J'adore. D'ailleurs ça me donne envie de relancer des jeux 3DO sur ma Recalbox !

Source : Hackaday

Ne jetez pas votre vieux PC : le noyau Linux s'apprête à booster ses performances en jeu

Vincent Lautier — Sat, 16 May 2026 11:01:12 +0200

Sur un PC, l'ordonnanceur du système (le scheduler en anglais), c'est ce petit bout du noyau qui décide quelle tâche tourne sur quel cœur du processeur, et pendant combien de temps. Plus il est malin, plus la machine est fluide.

Peter Zijlstra, l'un des développeurs historiques du noyau Linux, vient de proposer un patch baptisé "sched: Flatten the pick" qui réorganise la façon dont l'ordonnanceur attribue les priorités. Et les résultats sur le gaming, surtout sur du vieux matériel, sont étonnants.

Pour le test, le développeur a sorti un PC d'époque : un Intel Core i7-2600K, processeur de 2011, accompagné d'une carte graphique AMD Radeon RX 580. Le tout fait tourner Shadows: Awakening, un jeu disponible sur la boutique GOG, lancé via Lutris et Proton, l'écosystème qui permet de faire tourner les jeux Windows sous Linux. Et là, surprise.

Avant le patch, le jeu pédalait à environ 4 images par seconde au minimum et 48 en moyenne. Après application, on monte à 20 images par seconde au minimum et 57 en moyenne. Le temps maximum entre deux images, l'autre indicateur clé pour la fluidité, passe de 107 millisecondes à 37. On passe d'injouable à correct. Sur une machine de 2011, c'est presque un miracle.

Le patch touche à la gestion des cgroups, des conteneurs de processus qui regroupent et hiérarchisent les tâches, sur les systèmes multi-cœurs. Plusieurs niveaux de sélection étaient empilés, et le patch les "aplatit" pour gagner en réactivité.

Les vieux processeurs ont moins de cœurs et moins de marge, donc chaque mauvaise décision de l'ordonnanceur coûte cher. Sur un processeur récent avec dix ou douze cœurs, on ne le remarque presque pas. Sur un quadri-cœur d'il y a quinze ans, ça se voit immédiatement à l'écran.

Attention quand même, on n'est pas encore au point d'être intégré dans le noyau Linux officiel. Il reste des relectures et des validations avant que le code finisse en production. C'est la version 2 du patch, donc la discussion technique a déjà bien avancé.

Pour les distributions Linux orientées jeu, qui chassent la moindre milliseconde gagnée, ce genre de patch est exactement le type d'amélioration qu'on suit de près.

Bref, si vous traînez un vieux PC qui peine, un futur noyau Linux pourrait bien lui offrir une deuxième jeunesse pour le jeu.

Source : Itsfoss

GitLike - Le GitHub décentralisé sur IPFS

Korben ✨ — Sat, 16 May 2026 09:42:57 +0200

Branislav Đalić, un dev serbe basé à Belgrade, vient de balancer un projet plutôt original baptisé GitLike . Il s'agit d'un GitHub décentralisé qui stocke vos repos sur IPFS et remplace le mot de passe par votre clé Ethereum (votre wallet quoi...).

Vous connectez votre wallet via SIWE (le standard EIP-4361, signature dans MetaMask ou WalletConnect), vous créez un repo, et hop, chaque commit, chaque fichier, chaque arbre devient un objet IPFS adressé par son CID. Tout pareil que Git côté usage, sauf que derrière y'a pas de serveur GitHub mais un simple Worker Cloudflare qui orchestre Pinata ou Filebase pour pinner vos données.

Côté install, la doc propose tout simplement de faire un npm install -g gitlike avec ensuite l'utiliser avec les commandes Git habituelles (init, clone, push, pull, branch), sauf que le package n'est pas encore publié sur npm public pour l'instant. Du coup, faudra patienter ou aller chercher le code directement dans le repo GitHub si vous voulez bricoler dès aujourd'hui.

La doc officielle mais l'install npm marche pas.

L'architecture tient en 3 étages bien séparés. Votre navigateur s'occupe de l'interface et de la signature avec le wallet, un petit serveur Cloudflare joue les videurs en backend (qui a le droit d'écrire, dans quel ordre, à quelle vitesse), et IPFS stocke tout le code en mode décentralisé via Pinata ou Filebase.

Et si vos repos doivent rester privés, vous pouvez activer un chiffrement qui se fait directement dans votre navigateur, comme ça personne d'autre ne lit vos fichiers en clair. En gros, votre onglet de navigateur fait office de vitrine, le Worker joue le mec de la sécu, et IPFS sert de coffre-fort distribué.

Le truc cool, c'est que GitLike peut importer votre code directement depuis GitHub ou GitLab, donc migrer un projet existant ne prend que quelques clics ! Et vous retrouvez tout le confort moderne, à savoir les pull requests avec gestion des conflits, des règles de protection sur les branches sensibles, et même un système pour déléguer l'écriture à un agent IA avec un périmètre limité dans le temps et l'espace (genre, commit uniquement sur telle branche, et seulement pendant 24h).

Sympa, donc, pour vibe coder avec un agent 100% autonome sans pour autant lui filer toutes vos clés et qu'il ne détruise tout dans une apocalypse nucléaire (Quoi, j'en fais trop ?)

Après même si l'idée semble sympa, je trouve que ça déplace le risque plutôt que de le faire disparaître. Parce que si vous paumez votre wallet, vous perdez l'accès en écriture (et possiblement en lecture si c'est chiffré) à tous vos repos, et y'a plus qu'à recommencer. Donc sauvegarder votre seed phrase (les 12 ou 24 mots de récupération du wallet, vous savez) est donc critique !

Quand on voit le rythme auquel GitHub colle ses nouveautés derrière Copilot Pro, c'est peut-être une solution intéressante que de décentraliser tout ça. J'ai fait un article aussi sur Patreon pour tous ceux qui voudraient se barrer de Github.

Côté concurrence, vous trouverez également Radicle qui fonctionne en peer-to-peer pur (mais demande un daemon local) ou l'ancien Mango (Ethereum + IPFS, mais plus trop maintenu). GitLike, lui, mise tout sur le navigateur et votre wallet, donc c'est plus simple !

Après c'est jeune et faut voir ça plus comme un proof of concept solide qu'un GitHub-killer. Mais ça tient bien la route et je trouve l'idée d'un Git contrôlé par un wallet ethereum plutôt classe. C'est peut-être ça le vrai web3 ;)))

Allez donc jeter un œil à gitlike.dev !

Mythos, l'IA d'Anthropic, aide à percer le kernel d'un Mac M5 en cinq jours

Vincent Lautier — Fri, 15 May 2026 18:45:34 +0200

Cinq jours. C'est le temps qu'il a fallu à l'équipe de Calif, une boîte de sécurité informatique, pour faire tourner un exploit fonctionnel sur un Mac équipé de la dernière puce M5 d'Apple. Et pas n'importe quel exploit : c'est la toute première démonstration publique de contournement de MIE, la grande nouveauté sécurité d'Apple sur cette puce.

MIE, c'est pour Memory Integrity Enforcement, c'est une protection câblée directement dans le silicium du M5. L'objectif est simple : empêcher qu'un programme malveillant puisse écrire dans des zones mémoire qui ne lui appartiennent pas, ce qui est la base de la quasi-totalité des grosses failles depuis vingt ans.

Apple a vendu au monde entier cette protection comme un mur quasi infranchissable. Et c'est ce mur que Calif vient de fissurer en toute décontraction.

L'histoire commence le 25 avril. Bruce Dang, l'un des chercheurs de Calif, repère deux bugs dans le kernel (le coeur du système d'exploitation) de macOS 26.4.1. Deux jours plus tard, Dion Blazakis rejoint l'équipe. Josh Maine construit l'outillage.

Le 1er mai, l'exploit fonctionne : depuis un simple compte utilisateur, on obtient un shell root sur la machine, c'est-à-dire les pleins pouvoirs sur le Mac. Dans la boucle pendant tout ce sprint, Mythos Preview, une IA d'Anthropic (la boîte derrière Claude, mais vous connaissez forcément). Bref, cinq jours du début à la fin.

L'équipe explique que Mythos a surtout été utile pour repérer rapidement les bugs, parce qu'ils appartenaient à des familles déjà connues, et que l'IA généralise très bien dès qu'elle a appris une classe de problème particulière.

Par contre, contourner MIE de manière autonome est resté hors de portée, parce que la techno est trop neuve. C'est là que les humains ont fait la différence, en combinant les bugs entre eux pour passer la barrière.

Calif a choisi une approche assez marrante pour montrer le problème : aller poser l'exploit en main propre à Apple Park, plutôt que de passer par le formulaire officiel. Apple n'a pas encore communiqué sur le calendrier pour un correctif.

Pour les utilisateurs lambda, pas de panique : l'exploit demande déjà un accès à la machine, donc ce n'est pas le scénario du phishing classique. Mais pour l'image de MIE comme rempart imprenable, c'est très bof.

Source : Calif.io

Wikipedia File Explorer - L'encyclopédie en mode Windows XP

Korben ✨ — Fri, 15 May 2026 15:24:35 +0200

Wikipedia, vous connaissez ça par cœur j'imagine... Hé bien vous allez redécouvrir la plus connue des encyclopédies grâce à Sami Smith qui a lancé explorer.samismith.com , qui transforme quasiment toute l'encyclopédie en fenêtres d'explorateur de fichiers Windows XP. Les catégories sont présentées comme des dossiers, les articles s'ouvrent dans une fenêtre façon WordPad, et le menu Démarrer est là, fidèle à l'original.

Vous double-cliquez sur l'icône Wikipedia du bureau, et vous tombez sur les grandes catégories qui ont l'apparence des fameux petits dossiers jaunes : Art, Music, Sports, Academic disciplines, Economy...(oui c'est en anglais). Vous fouillez de dossier en dossier comme dans Mes Documents en 2003, et quand vous ouvrez un article, il s'affiche dans une fenêtre WordPad avec le petit lien "Open on Wikipedia" en bas. Tout Wikipedia est ainsi navigable de cette façon, sauf, d'après Sami, la centaine de pages qui n'ont encore aucune catégorie assignée.

Y'a aussi une icône Media, et là c'est Wikimedia Commons qui se transforme en explorateur d'images par catégorie. Vous voulez voir des bousiers ? Vous descendez dans commons/animals/insects_by_common_named_groups/dung_beetles et vous avez 47 objets, photos et vidéos comprises. Et un petit clic droit sur n'importe quelle image et vous pouvez la mettre en fond d'écran du faux bureau XP.

Et le projet ne s'arrête pas là puisqu'il y a aussi un Geofile Explorer, encore en chantier, pour explorer la Terre. Pour ce projet, Sami s'est inspiré des Wiki Files de Neal.fun , de Depths of Wikipedia , le nested d'Orteil , ou encore XP.css . Bref, c'est une déclaration d'amour pour le web chelou et les interfaces d'antan, comme je les aime !

Et si ce genre de capsule rétro vous parle, je vous avais aussi parlé des émulateurs DOS dans le navigateur ... c'est la même came nostalgique.

Voilà, c'est gratuit, ça tourne dans le navigateur, et c'est aussi inutile qu'indispensable (bisou à Jérôme Bonaldi, le GOAT !!). A découvrir ici : explorer.samismith.com !

Rocky - Le pote alien de Projet Dernière Chance débarque sur Raspberry Pi

Korben ✨ — Fri, 15 May 2026 14:52:48 +0200

J'sais pas si vous avez vu le film ou lu le livre mais Rocky, c'est l'araignée de roche extraterrestre de Projet Dernière Chance (Project Hail Mary) qui communique en chantant. Et Lahiru Maramba, un dev Firebase en poste chez Google, vient de le recréer en vrai avec un Raspberry Pi Zero 2W et un LLM local. Et voilà comme avoir un vrai pote Eridien posé sur votre bureau, qui vous répond en accords polyphoniques au lieu de parler.

L'architecture c'est ce que son concepteur appelle du "Voice Box & Brain". Le Pi Zero 2W tout seul est bien trop faiblard pour faire tourner un modèle de langage, du coup le Pi gère juste le hardware (micro, écran LCD, LED RGB, synthèse des accords) et balance l'audio brut à un Mac qui fait le gros du calcul. Le Mac transcrit ce que vous racontez avec mlx-whisper (un modèle Whisper-Tiny optimisé Apple Silicon), passe le texte à LM Studio qui fait tourner un Gemma 4 quantifié en local, et renvoie la réponse au Pi qui la joue en musique. Latence totale annoncée sur le repo, environ 2 secondes, soit, selon son propre benchmark, le même temps que via l'API Gemini dans le cloud, sauf que là, tout en local !

Le langage Eridien, lui, est fidèle au bouquin d'Andy Weir puisque chaque réponse est synthétisée en accords. Certains mots sont mappés sur des accords émotionnels précis, par exemple "amaze" sort en Mi majeur bien lumineux. Et pour les mots inconnus, ils sont hashés mathématiquement vers une signature de 3 fréquences, déterministe et permanente. Autrement dit, le même mot bizarre produira toujours exactement le même accord, comme un vrai vocabulaire qui se construit. C'est ce genre de petit détail qui fait la diff...

Côté matériel, il faut un Raspberry Pi Zero 2W et un PiSugar Whisplay HAT, un module tout-en-un qui apporte l'écran LCD, le bouton, la LED RGB et l'audio. De son côté, le repo propose 2 chemins d'install : la méthode "It Just Works" avec les drivers système précompilés (apt-get et c'est parti), ou la méthode isolée avec uv pour ceux qui veulent un environnement propre. Côté Mac, vous lancez LM Studio avec le modèle 4-bit quantifié sur le port 1234 et Y'a même un mode cloud avec une clé API Gemini si vous n'avez pas de Mac sous la main, ainsi qu'une fonctionnalité expérimentale planquée avec un générateur de sons façon R2-D2.

Pour la petite histoire, le film Projet Dernière Chance réalisé par Phil Lord et Christopher Miller est sorti en mars, avec Ryan Gosling en Ryland Grace et pour donner une voix à Rocky, les sound designers d'Hollywood ont tout simplement bossé avec un ocarina pour les aigus, une jarre pour les graves, et des chants de baleine, après avoir consulté Andy Weir sur l'anatomie du bestiau.

Je l'ai vu, et franchement, j'ai bien aimé. Je suis bien rentré dedans, même si j'aurais préféré que ce soit un peu plus "hard science" et un peu plus bidouille DIY comme l'était "Seul Sur Mars"... mais bon, il en faut pour tous les goûts.

Après si l'idée d'un compagnon IA DIY vous branche mais que vous voulez un truc plus généraliste et pas un Eridien qui chante, jetez un œil à Adeus , l'assistant IA personnel open source que j'avais couvert.

Quoiqu'il en soit, voici la vidéo complète où Lahiru montre tout le process, du câblage à Rocky qui prend vie :

Bref, c'est gratuit, c'est sous licence MIT, et le repo est juste ici .

Amusez-vous bien à construire votre petit pote Eridien !

Une faille présente depuis 18 ans découverte dans nginx, le serveur qui fait tourner un tiers du web

Vincent Lautier — Fri, 15 May 2026 10:54:03 +0200

Nginx, c'est ce logiciel discret qui sert les pages d'environ un site populaire sur trois sur la planète. Quand vous chargez une page web, il y a une bonne chance que ce soit lui qui vous l'envoie.

La société DepthFirst AI, spécialisée dans la recherche de failles assistée par intelligence artificielle, vient d'y trouver un trou de sécurité, et il est plutôt balèze : présent dans le code depuis 2008. Soit environ 18 ans de service sans que personne ne le remarque.

La faille (référencée CVE-2026-42945, le système de numérotation officiel des vulnérabilités) est notée 9,2/10 sur l'échelle de gravité, ce qui la classe en critique. Concrètement, elle vit dans un module précis de nginx qui gère la réécriture d'URL, et elle se déclenche quand deux instructions de configuration ("rewrite" et "set") sont utilisées en même temps.

C'est un débordement de mémoire tampon, c'est-à-dire que des données débordent dans une zone qu'elles ne devraient pas occuper. Quand on contrôle ce débordement, on peut faire planter le serveur, voire dans certains cas exécuter son propre code à distance sur la machine.

Pour le déni de service (DoS), c'est-à-dire faire tomber le serveur, l'exploitation est démontrée et fonctionne. Pour l'exécution de code à distance, c'est plus délicat : les chercheurs y arrivent uniquement quand une protection mémoire appelée ASLR est désactivée, ce qui n'est pas le cas par défaut sur les systèmes modernes. Bonne nouvelle relative, donc, mais ça reste à prendre très au sérieux.

Côté correctifs, les versions à installer sont nginx Open Source 1.31.0 ou 1.30.1, et NGINX Plus R36 P4 pour les clients commerciaux. Toutes les versions précédentes depuis 0.6.27 sont vulnérables, donc autant dire à peu près tout ce qui tourne en production aujourd'hui.

Si vous administrez un serveur, c'est le moment de regarder ce qui tourne dessus et de patcher rapidement. Les exploits publics ont une fâcheuse tendance à apparaître quelques jours après les divulgations de ce genre.

Le détail qui pique, c'est la méthode de découverte. DepthFirst AI utilise l'intelligence artificielle pour faire de l'analyse de code à grande échelle, en cherchant des motifs suspects que des outils classiques ne repèrent pas. Le fait qu'une faille planquée dans nginx depuis dix-huit ans soit sortie comme ça donne une idée de ce qui dort encore dans tout le code qu'on utilise au quotidien.

Source : Bleeping Computer

Une faille permet d'ouvrir un disque BitLocker avec quelques fichiers sur une clé USB

Vincent Lautier — Fri, 15 May 2026 09:46:26 +0200

BitLocker, c'est le système de chiffrement intégré à Windows qui protège vos disques contre quelqu'un qui mettrait la main sur votre machine. Activé par défaut sur Windows 11 et installé sur des millions d'ordinateurs, il est censé garantir que sans votre mot de passe ou votre code de récupération, personne ne lit ce qu'il y a dessus.

Sauf qu'un chercheur en sécurité, Chaotic Eclipse, vient de publier une démonstration qui réduit cette promesse en miettes.

L'exploit s'appelle YellowKey et c'est une faille zero-day, c'est-à-dire une vulnérabilité connue avant que Microsoft ne sorte de correctif. La méthode est presque insultante de simplicité. Vous copiez un dossier nommé "FsTx", planqué dans le répertoire système "System Volume Information", sur une clé USB.

Vous redémarrez la machine en appuyant sur les bonnes touches. Et là, surprise. Windows vous propose un accès en ligne de commande avec les pleins pouvoirs, et le chiffrement BitLocker est contourné comme s'il n'avait jamais existé.

Pire encore, les fichiers utilisés pour l'attaque disparaissent après usage, ce qui ne laisse quasi aucune trace. Pour Chaotic Eclipse, ce comportement ressemble plus à une porte dérobée laissée par Microsoft qu'à une faille classique. C'est-à-dire un accès secret délibérément intégré au système, plutôt qu'un bug malheureux.

Le chercheur précise au passage que ses précédents rapports de sécurité ont été "apparemment rejetés" par les équipes de Microsoft. Bref, nous ne sommes pas dans de la collaboration sereine.

Côté machines concernées : Windows 11, Windows Server 2022 et 2025. Windows 10 passe entre les gouttes. Microsoft, pour l'instant, n'a fait aucune déclaration publique sur le sujet. Si BitLocker était le seul rempart entre vous et un voleur d'ordinateur, c'est le moment de revoir votre stratégie.

Les entreprises qui s'appuient sur BitLocker pour leurs flottes de portables vont devoir se poser sérieusement la question d'un complément ou d'une alternative, en attendant un patch officiel qui n'arrive visiblement pas.

La théorie de la porte dérobée volontaire est évidemment difficile à prouver. Il faudrait soit un aveu de Microsoft, soit une analyse approfondie du code source qui n'est pas public.

Mais le profil de la faille (mécanisme trop propre, comportement trop spécifique, fichiers qui s'auto-nettoient) interpelle. D'autant que la fonction utilisée n'a pas de raison technique évidente d'exister dans un système destiné à empêcher l'accès au disque sans authentification.

Vous l'avez compris, une faille à laquelle on accède avec une clé USB et trois touches au démarrage, ça fait beaucoup pour un outil censé protéger des secrets industriels.

Source : Tom's Hardware

TUIStudio - Pour désigner vos applications terminal

Korben ✨ — Fri, 15 May 2026 09:35:00 +0200

Vous avez déjà essayé de dessiner une TUI (Interface utilisateur pour le Terminal) à la main dans votre IDE ?

Genre, calculer les paddings d'une Box ANSI à la mano et compter les caractères Unicode pour aligner trois colonnes ? Pffff quelle galère !! Hé bien cette mauvaise expérience, Javier Alonso Gómez, Staff Design Technologist chez Docker, vient de la transformer en simple drag-and-drop avec son outil TUIStudio .

En gros, c'est comme Figma mais pour vos applis terminal.

Vous lancez l'éditeur, vous balancez des composants sur un canvas, et un aperçu ANSI temps réel vous montre ce que ça donnera dans un vrai terminal. Il y a 21 composants prêts à l'emploi (Box, Button, TextInput, Table, Tree, Modal, Tabs, Spinner...), avec un moteur de layout qui supporte Absolute, Flexbox et Grid.

C'est du CSS pour le terminal si vous préférez et le truc cool, c'est que ça reste fidèle au rendu final, donc fini les tableaux qui débordent sans raison !

J'suis pas encore super doué !

Côté thèmes, vous avez également le droit à 8 palettes intégrées (Dracula, Nord, Solarized, Monokai, Gruvbox, Tokyo Night, Nightfox et Sonokai), et le canvas se met à jour live quand vous changez. Sympa, hein !

Niveau export, TUIStudio cible les frameworks Ink (TypeScript), BubbleTea (Go), Blessed (JavaScript), Textual (Python), OpenTUI (TypeScript) et Tview (Go) mais d'après ce que j'ai lu sur le site officiel, la fonction d'export vers tout ça n'est pas encore opérationnelle. Mais ça m'étonne car lors de mes tests, j'ai quand même pu voir que ça fonctionnait... Donc j'sais pas, peut-être que le site web n'a pas été mis à jour et que l'export est bien opérationnel ?

L'export

Ça tourne sur macOS Apple Silicon, Windows et Linux (.deb) et le code est sous licence MIT sur le repo GitHub .

Amusez-vous bien !

Fragnesia - Une nouvelle faille Linux dans la lignée de Dirty Frag

Korben ✨ — Fri, 15 May 2026 09:33:31 +0200

Bon, accrochez vous les amis, car ça enchaine sec sur le kernel Linux en ce moment... Le chercheur William Bowling de l'équipe V12 security vient de lâcher Fragnesia (CVE-2026-46300, CVSS 7.8), un nouvel exploit kernel Linux qui permet d'obtenir un accès root sur toutes les distros majeures, et ce, 8 jours seulement après le patch de Dirty Frag.

Et la mauvaise nouvelle, en fait, c'est que Fragnesia tape dans la même surface d'attaque que Dirty Frag , mais via un bug logique différent qui n'est pas fixé par le patch initial. Donc si vous aviez sagement mis à jour votre noyau le 8 mai dernier en pensant être tranquille, hé bah désolé, vous êtes toujours à poil !

La lignée "Dirty" continue donc tout simplement de s'allonger... Dirty COW en 2016, Dirty Pipe en 2022, Copy Fail le 1er mai 2026, Dirty Frag le 8 mai, et maintenant Fragnesia le 14 mai. Quatre LPE (local privilege escalation) kernel Linux en deux semaines, c'est un record je crois !

Alors comment ça marche ?

Le bug se planque dans la partie du kernel qui gère le chiffrement réseau IPsec. C'est le truc qu'on utilise pour faire du VPN d'entreprise et l'attaque détourne le moteur de chiffrement pour qu'il écrive là où il ne devrait surtout pas écrire.

Le déroulé ensuite est assez simple à comprendre. Il prend un fichier sensible déjà ouvert en lecture (genre /usr/bin/su, le programme qui fait passer en root), il le balance dans une connexion réseau, et il dit au kernel "tiens, chiffre-moi tout ça en IPsec". Le kernel obéit gentiment, sauf qu'au lieu d'envoyer le résultat chiffré sur le réseau, il vient écraser la version du fichier qui est en mémoire avec les octets chiffrés. Du coup /usr/bin/su contient maintenant du code choisi par l'attaquant. Suffit ensuite de taper su pour devenir root.

Et là c'est le drame !

Le pire, c'est qu'il n'y a aucun "tirage au sort" dans tout ça. Pas besoin de gagner une condition de course une fois sur mille comme à l'époque de Dirty COW. Là, c'est 100% reproductible à chaque exécution, ça marche du premier coup.

La cause profonde, c'est une fonction kernel qui assemble des morceaux de paquets réseau et qui oublie au passage que certains morceaux pointent vers de la mémoire qui ne lui appartient pas vraiment (genre la mémoire d'un fichier qu'un autre process est en train de lire). Bowling appelle ça la "famille Dirty Frag" parce que c'est exactement le même genre d'amnésie qui avait permis Dirty Frag la semaine dernière.

Et le patch du 8 mai n'a pas suffi parce qu'il a juste rebouché un trou particulier, sans toucher à la fonction d'origine. D'où la sortie immédiate du PoC le 14 mai, parce qu'autant prévenir tout le monde, plutôt que de laisser un 0-day silencieux circuler dans les milieux moins recommandables d'Internet.

Testez sur votre Linux

Si vous voulez reproduire ça dans un environnement isolé (genre une VM Ubuntu 24.04 avec un kernel 6.8.0-111-generic), c'est simple :

git clone https://github.com/v12-security/pocs.git
cd pocs/fragnesia
gcc -o exp fragnesia.c && ./exp

Petite subtilité à connaître sur Ubuntu, AppArmor restreint les "user namespaces" (les bacs à sable du kernel) pour les utilisateurs non-privilégiés depuis Ubuntu 24.04. Du coup, avant de lancer l'exploit, faut faire sauter ce verrou de sécurité :

sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0

Et là vous récupérez un shell root sans crasher le kernel... vous allez voir, c'est presque magique !

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/fragnesia/fragnesia-1.mp4">lien vers la vidéo</a>.

⚠️ Attention, après le test, le /usr/bin/su en mémoire est toujours pété (il contient encore le code de l'attaquant). Donc avant de continuer à utiliser la machine, faut nettoyer ce cache mémoire :

echo 3 > /proc/sys/vm/drop_caches

Ou plus simple, vous rebootez la VM puisque la corruption est uniquement en RAM.

Alors on fait quoi maintenant ?

D'abord, du côté patch, AlmaLinux a déjà sorti des kernels corrigés (kernel-4.18.0-553.124.3.el8_10 pour AL8, kernel-5.14.0-611.54.5.el9_7 pour AL9, et kernel-6.12.0-124.56.3.el10_1 pour AL10). Ensuite, pour les autres distros (Ubuntu, Debian, RHEL, SUSE, Fedora, Gentoo, Amazon Linux, CloudLinux), c'est en cours, mais pas encore disponible partout à l'heure où j'écris ces lignes.

En attendant, la mitigation est exactement la même que pour Dirty Frag, ce qui est plutôt cool, et même pratique, si vous l'aviez déjà appliquée la semaine dernière (rien à refaire, vous êtes déjà protégé contre la nouvelle bête, c'est cadeau). Si ce n'est pas le cas, voici la commande à coller en root, à exécuter sur chaque machine concernée :

sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/fragnesia.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"

Cette ligne bloque les trois modules vulnérables (esp4, esp6 et rxrpc) pour qu'ils ne se rechargent pas au reboot, les décharge s'ils tournent déjà, et nettoie le cache mémoire au cas où il serait déjà corrompu.

Pour rappel, ces trois modules ne servent qu'à du VPN IPsec en mode transport et à un protocole réseau exotique d'Andrew File System. Du coup, 99% des desktops et serveurs classiques ne perdent rien à les désactiver. Si vous opérez du VPN IPsec en prod par contre, là attention, faudra attendre le patch officiel de votre distro et bricoler une rotation de modules en attendant.

Une fois que votre distro pousse le patch officiel (espérons que ce sera très bientôt côté Ubuntu et Debian), vous mettez à jour le noyau, vous rebootez la bécane, et vous retirez tranquillement la conf de modprobe.

Source : github.com/v12-security/pocs

Mullvad - Votre clé WireGuard vous trahit malgré le VPN

Korben ✨ — Fri, 15 May 2026 09:19:51 +0200

Je me sors 5 min de mon weekend en amoureux les amis, pour avertir ceux parmi vous qui sont des utilisateurs de Mullvad, peu importe que vous soyez sur macOS, Windows ou un Linux Ubuntu/Debian... Si vous jonglez entre les serveurs en pensant brouiller votre piste, j'ai une mauvaise nouvelle pour vous.

Tmctmt vient de publier une analyse qui montre que vos IPs de sortie sont beaucoup moins aléatoires qu'on ne l'imagine. En fait, votre clé WireGuard agit comme une empreinte qui survit aux changements de pays.

Le mécanisme est un peu tordu, mais vous allez vite capter. En fait votre IP de sortie n'est pas tirée au hasard à chaque connexion, mais est calculée de façon déterministe à partir de votre clé WireGuard. Ou plutôt, à partir d'un float dérivé de cette clé, qui sert ensuite à vous positionner dans les plages d'IPs de Mullvad. Cette clé change tous les 1 à 30 jours, sauf si vous utilisez un client tiers (genre le driver WireGuard intégré au kernel Linux), et dans ce cas là, y'a pas de rotation.

Le chercheur a testé 3650 clés publiques, et il n'a obtenu que 284 combinaisons d'IPs distinctes alors que théoriquement, ça devrait donner des milliards. Bref, c'est moins varié qu'une plaque d'immat de votre département.

Imaginez maintenant un modérateur de forum qui voit débarquer un nouveau compte le lendemain d'un ban. Il croise les IPs Mullvad des deux comptes et tombe sur des plages flottantes qui se chevauchent, genre 0.4334 à 0.4428 d'un côté, 0.4358 à 0.4423 de l'autre. Hé bien ça veut dire qu'il y a plus de 99% de chances que ce soit la même personne. Et cela même si les deux IPs viennent de pays différents... argh !

Mais bonne nouvelle, pour fixer ce bug, c'est l'affaire de 5 secondes. Il suffit d'éviter de jongler entre 12 serveurs avec la même clé et voilà ! Et n'oubliez pas non plus de vous déconnecter de l'app Mullvad de temps en temps pour forcer la rotation de votre pubkey. Enfin, si vous êtes du genre puriste à utiliser WireGuard en direct via le client kernel, là c'est à vous de re-générer la clé manuellement, sinon vous gardez la même empreinte ad vitam.

Voili voilou...

Mullvad reste quand même un des rares VPN à avoir prouvé en justice, après le raid de la police suédoise en avril 2023, qu'il n'avait aucun log à fournir. Mais ce genre de problème mérite, je trouve, un petit patch côté Mullvad. Un petit seed aléatoire à chaque renouvellement de clé suffirait par exemple...

Et si le sujet VPN vous intéresse plus globalement, j'avais fait un guide complet qui peut compléter.

Source : tmctmt.com

Il retrouve 400 000 $ de Bitcoin oubliés depuis 11 ans grâce à Claude

Vincent Lautier — Fri, 15 May 2026 09:18:46 +0200

L'histoire est partie d'un changement de mot de passe fait pendant une cuite en 2014. Onze ans plus tard, le malheureux (" cprkrn " sur X) avait toujours ses 5 bitcoins coincés dans un portefeuille numérique dont la clé d'accès s'était totalement évaporée de sa mémoire.

À l'époque, ça valait quelques milliers de dollars. Aujourd'hui, c'est environ 400 000 $. De quoi avoir un peu mal au cœur.

Pour récupérer un portefeuille Bitcoin chiffré, il existe des outils comme btcrecover, un logiciel libre qui essaie des combinaisons de mots de passe en masse. Le problème, c'est qu'il faut une idée précise des variantes à tester, sinon on tape dans le vide pendant des années.

Notre trader avait justement passé des années à essayer sans succès. Et puis il a demandé un coup de main à Claude, l'assistant IA d'Anthropic, l'un des principaux concurrents d'OpenAI.

Claude a fait trois choses concrètes. D'abord, il a fouillé dans les archives d'un vieux disque de fac pour y dénicher une sauvegarde du portefeuille datant de décembre 2019, qui était passée inaperçue. Ensuite, il a repéré un bug de configuration dans btcrecover qui empêchait l'outil de combiner correctement les variantes de mot de passe. Et une fois le bug corrigé, la machine s'est lancée pour de bon.

Résultat : 3 500 milliards de mots de passe testés avant de tomber sur le bon. Le portefeuille s'est ouvert, les 5 bitcoins sont apparus, et notre type a récupéré un pactole oublié.

Cette histoire n'est pas anecdotique en fait. Un nombre énorme de bitcoins sont aujourd'hui considérés comme perdus à jamais, parce que les propriétaires ont oublié leur mot de passe, perdu leur disque dur, ou jeté la mauvaise clé USB.

On parle de plusieurs millions de Bitcoins immobilisés pour rien. Si l'IA peut aider à en récupérer une partie, c'est tout benef, même si la méthode ne marche pas dans tous les cas. Il fallait quand même la sauvegarde du wallet pour que ça fonctionne.

À noter que ce genre d'usage commence à devenir une tendance. Les services de récupération de portefeuilles crypto, comme Wallet Recovery Services, intègrent désormais des modèles d'IA dans leur process pour orienter les attaques par force brute.

Là où une machine essayait bêtement toutes les combinaisons possibles, l'IA peut deviner les habitudes du propriétaire et tester en priorité les variantes les plus probables. Ce qui change tout, parce que le nombre total de combinaisons possibles est en général astronomique.

Bref, ne changez jamais un mot de passe à 3h du matin après quelques verres. Et si c'est déjà fait, gardez l'espoir, Claude a peut-être une idée.

Source : Tom's Hardware

Pour activer ce nouveau pilote graphique libre, il faut littéralement réclamer un pilote cassé

Vincent Lautier — Thu, 14 May 2026 17:01:59 +0200

Je ne vous apprends rien, un GPU, c'est la puce qui calcule l'image que vous voyez à l'écran. Pour qu'elle fonctionne, il lui faut un pilote, le logiciel qui fait le lien entre le matériel et le système d'exploitation.

Sur les puces Arm Mali, qu'on retrouve dans des tas de smartphones et de cartes type Raspberry Pi, Arm ne fournit pas de pilote libre. Du coup une bande de développeurs a monté Panfrost, un pilote libre reconstruit en grande partie par reverse-engineering, c'est-à-dire en observant le comportement du matériel pour deviner comment il marche.

Panfrost et son cousin PanVK, la version dédiée à Vulkan (l'interface graphique moderne pour les jeux et les applications 3D), viennent de prendre en charge le Mali G1 Pro. C'est le GPU le plus récent d'Arm, basé sur l'architecture maison baptisée "v14". Jusqu'ici, le haut du panier supporté s'arrêtait au Mali-G725 sorti en 2024. Le support arrivera officiellement avec Mesa 26.2, la prochaine grosse version de la bibliothèque graphique libre, attendue le trimestre prochain.

Pour comprendre pourquoi c'est un gros sujet, il faut savoir qui utilise Panfrost. Tous ceux qui font tourner Linux sur du matériel Arm, des cartes de bricolage aux ordinateurs portables ou aux téléphones reconvertis, en dépendent pour avoir une accélération graphique digne de ce nom.

Sans ces pilotes libres, ce matériel reste à moitié aveugle côté affichage. Que le projet suive d'aussi près les puces les plus récentes d'Arm, c'est donc tout sauf un détail.

Attention quand même, on est très loin d'un truc fini. Les tests sont encore limités, des morceaux peuvent manquer ou être carrément cassés. Et les développeurs ne s'en cachent pas : pour activer le pilote Vulkan sur ces nouvelles puces, il faut passer par une variable d'environnement nommée, je vous jure que c'est vrai, PAN_I_WANT_A_BROKEN_VULKAN_DRIVER=1. Soit "je veux un pilote Vulkan cassé" en français. Difficile d'être plus honnête.

Côté modèles, le G1 Pro est pris en charge mais ses grands frères, les G1-Premium et G1-Ultra, ne sont pas encore de la partie. Ça viendra sûrement, c'est souvent comme ça que le projet avance : une puce après l'autre, à mesure que le reverse-engineering progresse et que les développeurs comprennent les entrailles de chaque nouvelle architecture.

Source : Phoronix

Un capteur LiDAR matriciel pour donner la vue en relief à un petit robot

Vincent Lautier — Thu, 14 May 2026 16:30:42 +0200

Le LiDAR, c'est cette techno qui mesure des distances en envoyant des impulsions laser et en chronométrant leur retour, un peu comme un sonar, mais avec de la lumière. On en entend parler surtout pour les voitures autonomes ou les robots aspirateurs.

Mellow Labs , une chaîne qui bidouille du hardware, s'est procuré un capteur LiDAR un peu particulier : un modèle matriciel. C'est-à-dire un capteur qui ne mesure pas une seule distance droit devant lui, mais toute une grille de points d'un coup.

Concrètement, ce capteur fonctionne comme une grille de 64 capteurs (8 sur 8) qui sort une carte des distances comprises entre 2 cm et 3,5 m. Au lieu de savoir juste "il y a un obstacle à un mètre", le robot récupère une vraie image en relief de ce qu'il a devant lui.

La différence est énorme : un capteur classique vous dit qu'il y a quelque chose, un capteur matriciel vous dit quoi, où, et à quelle hauteur. C'est tout de suite plus exploitable pour un engin qui doit se débrouiller seul, parce qu'il peut distinguer un mur d'une marche, ou un obstacle au sol d'un truc suspendu.

Mellow Labs a greffé ce capteur sur Zippy, son petit robot à chenilles imprimé en 3D et piloté par un ESP32, la puce bon marché qu'on retrouve dans la moitié des projets de bricolage électronique de la planète. L'objectif : faire passer Zippy du mode télécommandé à un vrai mode autonome. Avec sa grille de points, le robot peut enfin voir le sol devant lui et décider tout seul où aller. Enfin, en théorie.

Sauf que voilà, ça ne s'est pas fait en claquant des doigts. Premier souci, la moitié des données du capteur ne servait à rien, parce que la grille captait aussi le sol juste sous le robot. Du coup il a fallu trier, ne garder que la partie utile, et réduire encore le volume de données à traiter.

Mellow Labs a fait plusieurs allers-retours, avec, comme souvent désormais, un coup de main d'un modèle d'IA pour générer le code, avant que l'ensemble tourne enfin correctement !

Source : Hackaday

Ces fléchettes incendiaires géantes du XVIe siècle viennent enfin d'être testées

Vincent Lautier — Thu, 14 May 2026 16:12:59 +0200

La Mary Rose, c'était le navire de guerre préféré d'Henri VIII. Il a coulé en 1545 au large de Portsmouth, son épave a été retrouvée en 1971 puis remontée en 1982, et depuis, tout ce qu'elle contenait fascine les historiens.

Parmi les objets sortis de la coque, il y avait des armes assez mystérieuses : d'énormes fléchettes qui semblaient conçues pour transporter une charge incendiaire. Personne ne savait vraiment comment elles fonctionnaient. Tod's Workshop, une chaîne YouTube spécialisée dans la reconstitution historique « testée pour de vrai », vient de s'attaquer à la question avec d'autres passionnés.

Le principe de ces fléchettes, une fois reconstituées à partir des fragments d'époque, est plutôt vicieux. À l'intérieur d'un revêtement en tissu enduit de poix, on trouvait un mélange incendiaire. Des mèches en bois mettaient le feu au contenu après un délai, et le résultat donnait des flammes quasiment impossibles à éteindre. Sur un navire en bois bourré de cordages et de voiles, vous imaginez les dégâts. Un cauchemar.

Restait à comprendre comment on envoyait ce truc sur le bateau ennemi. L'équipe a testé trois pistes. Le lancer à la main, d'abord, depuis le nid de pie (en haut du mat), ce qui semblait jouable pour atteindre un navire collé au vôtre. Ensuite un canon retrouvé juste à côté des fléchettes sur l'épave, un canon mal coulé et pointé vers le haut, ce qui n'est sûrement pas un hasard. Et faute de canon à poudre noire grandeur nature, ils ont reproduit un modèle réduit propulsé à l'air comprimé pour mesurer ce qui se passait vraiment.

Et c'est là que ça se complique. À pleine charge, la fléchette ne survit pas : l'accélération brutale la fait carrément se désintégrer avant même de partir. Par contre, avec une charge réduite, elle tient le coup et peut frapper une cible proche.

Une fois plantée dans la structure du navire adverse, les tests montrent qu'elle fait de gros dégâts. Donc l'arme n'était pas faite pour tirer loin, mais pour cramer le bateau d'en face dans un combat rapproché. Ce qui colle plutôt bien, d'ailleurs, avec la façon dont on se battait en mer à l'époque : on s'approchait, on s'accrochait, et on essayait de mettre le feu avant l'abordage.

Bref, une arme de 1545 qu'on ne comprenait pas, élucidée avec un peu d'air comprimé et beaucoup de patience, c'est improbable mais passionnant.

Source : Hackaday

Saracroche - L'app qui bloque le démarchage téléphonique

Korben ✨ — Thu, 14 May 2026 09:51:00 +0200

J'sais pas vous, mais en ce moment, moi ça n'arrête pas ! De quoi je parle ? Hé bien des putains d'appels commerciaux / arnaques que je reçois sur mon téléphone. C'est simple, je ne décroche plus aucun numéro que je ne connais pas.

Je crois qu'on peut tous dire collectivement qu'on en peut plus. Et c'est aussi le cas de Camille Bouvat, un développeur toulousain qui en a eu tellement marre qu'il a pondu Saracroche , une app gratuite et open source qui bloque environ 90% du démarchage téléphonique. Y'a déjà 1 million de Français qui l'ont adoptée donc y'a des chances que vous connaissiez déjà, mais dans le doute, je repartage ! Je sais, on est à quelques mois de l'arrivée de la loi anti-démarchage qui devrait normalement nous sauver même si j'y crois moyen... Ça va peut-être empêcher des sociétés françaises qui ont pignon sur rue de nous casser les couilles mais pour les arnaqueurs de tout poil, je ne suis pas sûr que cette loi suffise.

Alors comment ça marche Saracroche ? Hé bien vous installez l'app sur iOS (App Store) ou Android (Google Play, et un build F-Droid annoncé), vous activez les permissions de blocage d'appels, et hop, l'app fait correspondre chaque appel entrant grâce à une base locale de plus de 15 millions de numéros préchargés. Hé oui c'est 100% en local !

La base s'appuie sur les préfixes ARCEP (l'autorité des télécoms qu'on ne présente plus) réservés au démarchage téléphonique (les fameux 01 62, 04 24 et compagnie) ce qui permet de bloquer ces préfixes en bloc. Ça permet de se couper mécaniquement d'une grosse partie du démarchage légal en un seul coup

Et pour les arnaques qui usurpent des numéros mobiles ou ordinaires (faux colis, fausses banques, ping calls surtaxés), Saracroche complète ça avec les signalements communautaires, que vous pouvez nourrir vous-même depuis l'app.

Après j'sais pas si vous savez, mais à partir du 11 août prochain, le démarchage téléphonique sans consentement préalable sera légalement interdit en France, et Bloctel va prendre sa retraite. Mais ce ne sera pas suffisant...

J'avais déjà parlé de WinCalls y'a quelques mois ici mais c'était uniquement pour Android alors que Saracroche, pousse l'idée aussi jusqu'à iOS. Par contre, ça ne bloque que les appels entrants, et pas les arnaques par SMS ni par mail. Mais pour le démarchage classique, c'est probablement ce qu'il y a de plus efficace sur le marché français aujourd'hui.

Après côté business model, c'est comme d'hab en France... Camille Bouvat confiait à France Info que seulement 0,5% de ses utilisateurs sont donateurs. Donc sur 1 million de personnes ça fait peut-être 5 000 mecs qui mettent la main au portefeuille, soit à peine de quoi en vivre pour Camille ! Nous sommes vraiment un pays de crevards ^^ .

Bref, n'oubliez pas, si vous trouvez l'app utile, c'est le moment de cliquer sur le bouton "Soutenir" !!

Unitree lance son robot mecha à 500 000 dollars

Vincent Lautier — Wed, 13 May 2026 16:40:23 +0200

500 000 dollars. C'est le prix d'entrée annoncé pour le GD01 d'Unitree, un robot mecha de 2,7 mètres de haut que vous pouvez littéralement piloter depuis son torse, façon Pacific Rim version chinoise. Unitree, le fabricant chinois déjà connu pour ses chiens-robots quadrupèdes, passe au stade de la production en série pour son engin transformable.

Le robot pèse 500 kilos avec son pilote à bord, soit clairement plus qu'un quad de loisir. Sa particularité, et c'est là qu'on bascule dans le délire science-fiction, c'est qu'il peut passer de la marche bipède à un mode quadrupède pour les terrains plus accidentés.

La vidéo de démonstration montre le patron Wang Xingxing en train de piloter l'engin, qui défonce un mur de briques d'un coup de poing métallique. Voilà voilà.

Côté chinois, ce n'est pas vraiment une surprise. Les fabricants locaux pèsent déjà environ 90% des ventes mondiales de robots humanoïdes en 2025, et Unitree fait partie des leaders du secteur. La boîte a même déposé son dossier d'introduction en bourse à Shanghai en mars dernier, avec 4,2 milliards de yuans à lever (environ 530 millions d'euros), dont 85% fléchés vers la recherche et développement. Le business des robots commence à devenir sérieux.

Au passage, ça marque une vraie différence d'approche avec les humanoïdes plus classiques, type Optimus chez Tesla ou Atlas chez Boston Dynamics (le fabricant américain de robots quadrupèdes et humanoïdes).

Eux visent un robot de taille humaine, autonome, destiné à assister ou remplacer des tâches du quotidien. Unitree, à l'inverse, propose un engin que vous habitez de l'intérieur, plus proche d'un exosquelette géant que d'un assistant compagnon. Pas le même produit, pas le même marché.

Unitree positionne le GD01 sur des usages assez spécifiques : parcs d'attractions, tournages de films, opérations de sauvetage en milieu hostile, expériences immersives. Pas franchement le genre de robot que vous garez dans le garage en rentrant du boulot. Le constructeur prévient d'ailleurs que le prix est "préliminaire" et qu'il bougera selon les optimisations à venir.

Bon, avant de rêver à votre propre mecha, quelques bémols quand même. Les experts pointent des soucis assez basiques : c'est galère d'entrer et de sortir du cockpit, l'autonomie batterie est limitée, le confort est minimal, et personne ne sait encore comment encadrer ce genre d'engin côté réglementation. Sans parler de la maintenance d'une bête mécanique de 500 kilos. Alors, vous sortez la carte bleue ?

Source : Gagadget

Valve a planqué un Wilhelm Scream dans le nouveau Steam Controller

Vincent Lautier — Wed, 13 May 2026 16:23:24 +0200

Un utilisateur de Reddit a découvert cette semaine que le nouveau Steam Controller de Valve, vendu 100 euros en pré-commande sur le site de Steam, contient un easter egg complètement absurde : si vous lâchez la manette en mode Big Picture (l'interface plein écran de Steam, pensée pour être affichée sur une télé), elle pousse un Wilhelm Scream.

Pour ceux qui n'auraient jamais entendu ce nom, le Wilhelm Scream est un cri d'agonie enregistré en 1951 pour le film Distant Drums, et samplé depuis dans plus de 400 films d'Hollywood (Star Wars, Indiana Jones, Toy Story, et à peu près tout ce que Spielberg ou Lucas ont touché). C'est devenu une blague d'initiés de l'industrie du son.

Le truc, c'est que la manette ne contient pas de haut-parleur. C'est l'un de ses moteurs haptiques (les petits vibreurs qui font la vibration immersive sous les doigts) qui joue le son. Un moteur de vibration peut en effet être piloté avec un signal très fin pour reproduire à peu près n'importe quel son audible, comme un petit haut-parleur planqué dans le boîtier. C'est le même principe que sur la Switch ou la DualSense de la PS5, juste poussé à l'extrême pour cracher un cri reconnaissable.

Pour le déclencher, branchez la manette, lancez Steam en Big Picture, et lâchez le bidule sur quelque chose de mou. Coussin, canapé, oreiller. Ne jetez pas votre Steam Controller à 100 euros contre un mur pour tester, ce serait quand même un peu balot. Et ça n'arrive pas systématiquement : le Redditor qui a déterré l'easter egg a relevé une attented'environ une minute entre deux cris, histoire d'éviter que les gens en fassent une boucle audio en saccageant leur manette.

Au-delà de la blague, le nouveau Steam Controller affiche une bonne fiche technique. Deux trackpads pour un contrôle souris au pad, gyroscope complet pour la visée fine dans les FPS, et de nouveaux sticks magnétiques censés résister au stick drift (ce phénomène pénible où le stick croit qu'on le pousse alors que personne ne le touche). La manette est pensée pour fonctionner avec le PC, la Steam Deck, et la prochaine Steam Machine, la console salon de Valve qui doit débarquer plus tard cette année.

C'est typiquement le genre de détail qui montre qu'il y a encore des gens chez Valve qui font les choses pour le plaisir. Un easter egg sonore caché dans un accessoire à 100 euros, ça n'apporte rien commercialement, mais c'est franchement chouette.

Bref, ne lâchez pas votre Steam Controller pour le plaisir. Ou si.

Source : PC Gamer

OpenZFS 2.4.2 sort avec le support du noyau Linux 7.0

Vincent Lautier — Wed, 13 May 2026 14:15:01 +0200

OpenZFS 2.4.2 est sortie ce 12 mai, et c'est une mise à jour qu'attendaient pas mal de gens qui font tourner du Linux 7.0 (le tout dernier noyau Linux stable). OpenZFS, pour ceux qui ne suivent pas, c'est le portage libre du célèbre système de fichiers ZFS originellement développé par Sun Microsystems, et désormais maintenu par une communauté autour de FreeBSD et Linux.

ZFS, en gros, c'est ce qui permet de gérer des pools de disques de plusieurs téraoctets avec snapshots, compression, déduplication et auto-réparation des données. Le genre d'outil qu'on retrouve dans les NAS sérieux et les serveurs de stockage.

La grosse nouveauté de cette 2.4.2, c'est le support du noyau Linux 7.0 stable. La version précédente 2.4.1 plafonnait à Linux 6.19, et beaucoup d'admins qui ont mis à jour leur distribution se retrouvaient avec un système qui refusait de charger le module ZFS.

C'est résolu. La compatibilité historique est aussi maintenue jusqu'à Linux 4.18, ce qui permet aux serveurs un peu anciens de continuer à profiter des dernières corrections. Côté BSD, FreeBSD 13.3 et plus restent supportés.

Dans le détail des changements, on trouve des corrections sur initramfs (le système qui charge le noyau au démarrage), le support de l'appel système POSIX_FADV_DONTNEED qui permet à une application de dire au noyau qu'elle n'a plus besoin d'un fichier en cache (ce qui libère de la RAM), les premiers patchs préparatoires pour Linux 7.1, et un durcissement des en-têtes SPDX (les balises de licence en tête de chaque fichier). Rien de spectaculaire, mais c'est ce genre de maintenance discrète qui fait tenir un projet sur la durée.

Pour ceux qui ne veulent pas passer sur la branche 2.4, l'équipe a aussi publié OpenZFS 2.3.7 en parallèle. Mêmes corrections de stabilité, kernels supportés un peu plus anciens. Ça permet aux infrastructures conservatrices de rester sur leur branche sans rater les fixes importants.

Si vous tournez sur Proxmox, TrueNAS, ou un Linux avec ZFS en racine, allez donc vérifier la version dispo dans vos dépôts. La 2.4.2 va probablement arriver sous quelques jours.

Source : Phoronix