Piloter un fauteuil par la pensée, sans Musk ni chirurgie
Neuralink a mis en ligne cette semaine une vidéo où des participants paralysés font rouler un fauteuil électrique par la pensée. Vous allez voir, c'est assez bluffant.
L'implant décode l'intention de bouger et déplace un curseur sur un écran qui affiche la vue de la caméra devant le fauteuil. Curseur vers le haut, le fauteuil avance, vers le bas il recule, à gauche et à droite pour tourner. Le cerveau dirige un curseur, et ce sont ces mouvements qui dirigent le fauteuil.
Le matos utilisé ici, c'est l'implant N1. Un boîtier du diamètre d'une pièce de 1 euro, avec 1024 électrodes réparties sur 64 fils souples plus fins qu'un cheveu. Le boîtier vient se loger dans le crâne, et seuls les fils descendent dans le cortex moteur, la zone qui planifie vos mouvements.
Pour les poser, il est nécessaire d'utiliser un robot chirurgical. On retire un disque d'os du crâne ainsi que la dure-mère , le robot enfonce les fils un par un, puis la peau se referme par-dessus l'implant.
Aujourd'hui, 26 personnes dans le monde portent ce N1. Sept d'entre elles sont britanniques, opérées entre octobre et décembre 2025 à Londres dans le cadre de l' étude GB-PRIME . Et pour le moment, il n'y a eu aucune autorisation de mise sur le marché, mais uniquement des essais cliniques autorisés.
En 2019, je vous parlais déjà de Neuralink et de sa puce N1, avec son robot qui coud des fils dans le crâne et ses premiers essais humains annoncés pour l'année suivante. Le premier patient jouait à Civilization VI par la pensée. C'était impressionnant, mais ça se faisait à la vitesse d'un escargot sous Xanax.
Bon, et puis surtout, désolé hein, mais y'a Elon dans l'équation et pour moi c'est difficile de s'extasier devant cette démo quand on connaît ce personnage, le cirque permanent sur son réseau, les promesses balancées à la truelle et son appétence pour le fascisme .
Puis y'a un petit truc que personne ne soulève, c'est qu'on peut faire rouler un fauteuil par la pensée sans ouvrir le moindre crâne depuis novembre 2022. En effet, une équipe menée par José del R. Millán, prof à l'université du Texas à Austin, a sorti ça dans la revue iScience . On y apprend que 3 personnes tétraplégiques pilotent un fauteuil à l'aide d'un bonnet d'électrodes EEG posé sur le crâne. Celui-ci lit l'activité électrique du cerveau depuis l'extérieur et comme ça, y'a pas besoin d'opération, ni de robot qui perce l'os. Un peu de gel sur les électrodes, quelqu'un pour installer le bonnet, et ça peut s'enlever sans problème.
Le non-invasif n'est pas magique non plus puisque les trois participants se sont entraînés trois fois par semaine pendant deux à cinq mois. Ils ont démarré autour de 45 % de précision de décodage, et tout le monde n'a pas forcément atteint le même niveau de "pilotage".
Mais peu importe, on a d'un côté une entreprise qui vous ouvre la boîte crânienne et qui fait la une avec des vidéos bien calibrées pour le buzz et de l'autre des labos publics qui font rouler le même fauteuil 4 ans plus tôt sans opération, en publiant tout dans une revue en accès libre.
Et ça personne n'en parle.
Breeef... La recherche passe par différents chemins, et la plupart des équipes scientifiques n'ont pas de service com'. Des cellules souches qui réparent une moelle épinière , des chercheurs qui décodent la parole intérieure , tout ça sort en général sans teaser vidéo, ne l'oubliez pas...
Source : Interesting Engineering
Zimbra pas à jour ? Un APT russe lit peut-être déjà vos mails
Hier, le 23 juillet 2026, la CISA, la NSA et le FBI ont sorti une alerte conjointe avec une douzaine d'agences alliées, et pour une fois leur message est assez court : Si vous auto-hébergez un serveur de messagerie Zimbra pas à jour, considérez que des espions russes lisent peut-être déjà vos mails !!
Voilà, le groupe s'appelle Laundry Bear (aussi connu sous le nom Void Blizzard chez Microsoft, ou TA488 chez Proofpoint), il est lié à l'État russe, et il exploite une faille connue de Zimbra depuis juillet 2025.
La faille, c'est la CVE-2025-66376. Il s'agit d'une XSS stockée dans la vieille interface Classic de Zimbra Collaboration, déclenchée par des directives CSS @import planquées dans un email HTML piégé. Le truc vicieux c'est qu'il n'y a pas besoin de cliquer pour se faire infecter. Vous ouvrez le mail, le JavaScript s'exécute tout seul, et voilà !! NVD note cette vuln 6.1 (interaction requise) quand le MITRE la monte à 7.2 (aucune interaction).
Et ce qu'ils récupèrent nos amis russes, là, c'est du lourd ! Une fois dedans, Laundry Bear siphonne vos 90 derniers jours d'emails, les adresses et mots de passe des comptes, l'annuaire complet de l'organisation (la Global Address List), et surtout vos jetons 2FA et codes de récupération. Autrement dit, même votre double authentification saute. Ils ont carrément développé un outil maison pour ça, baptisé "Ulej" (Улей, "ruche" en russe), qui exfiltre tranquillement les archives par requêtes DNS et HTTPS.
Zimbra a bien sûr corrigé la faille le 6 novembre 2025, dans les versions 10.0.18 et 10.1.13. Le patch existe donc depuis 8 mois ! Sauf que la campagne, elle, tournait déjà comme 0-day depuis juillet 2025, soit 4 mois avant le correctif. Résultat, entre les serveurs jamais mis à jour et ceux compromis avant le fix, on ne s'en sort plus. La CISA a même inscrit cette CVE à son catalogue KEV des failles activement exploitées. L'advisory conjoint des américains ne donne pas de décompte des victimes, mais le casting des cibles fait froid dans le dos puisque vous vous en doutez, l'Ukraine est en première ligne, ainsi qu'une tripotée de gouvernements sans parler des secteurs de la défense et l'énergie côté OTAN.
Si vous êtes concerné, et là je parle aux admins qui font tourner leur propre Zimbra, pas aux gens sur Gmail ou Outlook ^^, la marche à suivre est simple. Vous mettez à jour vers 10.0.18 ou 10.1.13 minimum, tout de suite. Et comme un serveur laissé sans patch durant des mois a de bonnes chances d'avoir déjà reçu de la visite, partez du principe que vous êtes compromis. Donc vous devez remettre à zéro tous les mots de passe, invalider les sessions actives, régénérer des codes 2FA, et jeter un coup d'œil dans les logs à la recherche de la commande CreateAppSpecificPasswordRequest ou de la chaîne "ZimbraWeb". Ce sont les traces que laisse le groupe Laundry Bear.
Ce genre d'attaque qui passe par un client mail, c'est devenu une spécialité des APT russes. Je vous en parlais quand APT28 transformait Outlook en backdoor avec NotDoor , et plus récemment quand des espions russes se faisaient piéger sur Signal . En général, la messagerie, c'est le coffre-fort d'une organisation, et ça ils le savent très bien.
Bref, si un Zimbra traîne quelque part sur votre infra, arrêtez de lire mon site et allez le patcher immédiatement !
Device Database - Savoir si un objet connecté a besoin du cloud
Avant d'acheter une ampoule connectée ou une serrure intelligente, vous aimeriez sans doute bien savoir si le truc vous oblige à créer un compte cloud et à prier pour que le serveur du fabricant reste allumé dans cinq ans, non ?
Hé bien l'Open Home Foundation, la fondation qui chapeaute Home Assistant, vient d'ouvrir en preview publique une Device Database qui répond pile à cette question. L'idée c'est de proposer un "Wikipedia de l'IoT".
Sauf que cette base n'est pas remplie à la main par une équipe marketing mais carbure à 100% grâce à de la télémétrie anonymisée remontée par des utilisateurs Home Assistant qui ont coché la case opt-in. Donc les données viennent du vrai monde, là où il y a des millions d'installations de Home Assistant et au moment où j'écris ces lignes, ça donne 19 237 appareils référencés et ça n'a de cesse d'augmenter.
La recherche fait remonter les appareils par marque, ici 209 résultats pour Aqara.
J'ai tapé " aqara " (lien affilié) dans la recherche pour tester, et j'ai obtenu 209 résultats. Je suis alors tombé sur la serrure Smart Lock U200 (lien affilié) et ce qu'on apprend, c'est que cette serrure propose une connexion locale, une intégration possible via Matter, et un badge vert "Fonctionne sans cloud". La base précise même combien d'installations ont remonté l'info et depuis quand l'appareil est repéré.
Comme ça, vous voyez immédiatement si l'objet dépend d'un serveur distant ou s'il tourne peinard sur votre réseau local, avant de sortir la carte bleue.
La fiche de la serrure Aqara U200 : connexion locale, intégration Matter et données réelles d'usage.
Voilà, c'est juste ce que les données remontées disent et côté vie privée, la fondation insiste sur le fait que la télémétrie reste anonyme, sans compte ni traçage derrière. C'est donc parfaitement cohérent avec l'ADN de Home Assistant. Si vous bricolez déjà vos capteurs ESP32 sans dépendre du cloud , vous voyez très bien le tableau, et vous savez pourquoi virer un objet trop bavard vaut parfois de jailbreaker un Echo Show .
La collecte a démarré en février 2026, et l'Open Home Foundation prévient que le lancement complet arrivera plus tard dans l'année, avec la possibilité de contribuer directement aux fiches. Ils calment aussi les impatients en nous expliquant que c'est un marathon et pas un sprint, et préfèrent rendre ça public rapidement même si ce n'est pas encore parfait.
Donc je vous invite à être indulgents avec ce nouveau service et la prochaine fois qu'un objet connecté vous fait de l'œil, un tour par la Device Database vous évitera peut-être d'acheter un machin scotché uniquement au cloud du fabricant.
Sources : LWN et l' annonce officielle de l'Open Home Foundation .
Midscroll - Le clic-molette de Windows débarque sous Linux
Si vous ne connaissez pas Linux, il faut savoir que sur ce système d'exploitation, le clic milieu colle la sélection. Moi, c'est un truc que j'aime bien, mais c'est surtout un héritage de X11 qui se marche complètement dessus avec l'autoscroll . Du coup Firefox désactive le sien par défaut sur Linux, et Chromium ne l'active nativement que sous Windows. Mais c'était sans compter sur Grant Hendricks qui a décidé de faire autrement avec midscroll .
Midscroll ne s'accroche à aucun toolkit, et se branche sur l'entrée du noyau. Ensuite, il capte chaque souris en evdev , la re-émet dans un clone uinput , et glisse ses événements de molette au passage. Rien au-dessus n'a donc besoin de coopérer, donc Wayland et X11 s'en fichent, et vos applis Qt, GTK ou Electron ne voient qu'une molette ordinaire.
Les gens sous Windows qui utilisent l'autoscroll savent que la vitesse dépend de l'écart. Un centimètre sous le point d'appui et la page descend au ralenti, la moitié de l'écran ou plus bas et elle défile à toute berzingue. Et tant que la molette reste enfoncée, ça scroll sans s'arrêter. C'est super pratique quand on est face à des pages web ultra longues.
Alors pour Midscroll, la courbe d'accélération qu'a mise au point Grant, n'a pas été bricolée au feeling. En fait, c'est la même courbe que celle de Chromium, reprise telle quelle : 0,000008 × distance^2,2 en pixels par milliseconde, avec une zone morte de 15 px histoire de ne pas déclencher sur un clic simple...
Et comme le middle-drag, ça sert déjà dans un logiciel de CAO ou dans Minecraft, il y a une liste d'exclusion pour FreeCAD, OrcaSlicer et Minecraft dedans. Comme ça, tant que ces fenêtres sont au premier plan, midscroll se retire en silence.
Et si tenir le bouton vous gonfle parce que vous êtes trop faible, le mode toggle inverse la logique : le pointeur circule librement une fois le défilement lancé d'un clic, et le premier clic venu remet tout à l'arrêt. C'est le fonctionnement de l'explorateur Windows ET de Firefox, et c'est une fonctionnalité qui a été beaucoup réclamée, même si on perd la faculté de coller du texte qui a été surligné.
Bien sûr, toutes les valeurs sont paramétrables. On peut régler la vitesse à laquelle ça part, la cadence des événements et dans quel sens ça défile.
Côté installation, des paquets pour Arch, Debian/Ubuntu et Fedora sont dispo, plus un install.sh pour le reste. Le flatpak, lui, est hors jeu car son bac à sable ferme totalement l'accès à uinput.
Le projet est hyper jeune, donc traitez-le comme tel et n'hésitez pas à contribuer pour soutenir le dev. Dans le registre confort Windows sous Linux, j'avais parlé de Wubuntu qui va beaucoup plus loin dans le mimétisme, et côté Wayland je vous avais montré niri et son défilement infini de fenêtres.
À tester et si ça vous gonfle, un sudo systemctl stop midscroll et on n'en parle plus.
Odysseus - L'IA auto-hébergée de PewDiePie enfin rapide sur Mac
Odysseus, c'est le workspace IA que PewDiePie a balancé sur GitHub fin mai. Chat, agents, recherche web, email, calendrier, notes et documents, tout est réuni dans un superbe cockpit auto-hébergé dans lequel les modèles et l'historique peuvent rester sur VOTRE machine. Vous avez aussi un éditeur Markdown avec historique de versions, une génération d'images intégrée, et un mode Compare pour opposer deux modèles côte à côte en aveugle (exclusion faite des services tiers liés à la recherche web, l'email et le calendrier, évidemment...).
J'ai voulu l'installer sur mon Mac, mais j'ai quand même rencontré un petit piège qui a failli transformer l'expérience en échec... Voici donc comment le faire tourner correctement sous Mac + quelques idées de ce que vous allez pouvoir faire avec ce truc.
Avant de commencer
Odysseus évolue vite. La branche main est stable et testée, mais la branche dev peut casser n'importe quand. Privilégiez la branche stable en la clonant explicitement :
git clone https://github.com/odysseus-dev/odysseus.git
cd odysseus
git checkout main
Étape 1 : Oubliez Docker sur Mac
Sur Apple Silicon, Docker ne peut pas accéder au GPU Metal. Les modèles tournent sur le CPU, et ça rame comme pas permis. Du coup, sur Mac, on est obligé d'installer ça en natif.
Étape 2 : Installer Odysseus en 2 commandes
Ouvrez un terminal et lancez ça :
git clone https://github.com/odysseus-dev/odysseus.git
cd odysseus
./start-macos.sh
Le script installe alors les dépendances et démarre le serveur. Sur mon Mac, AirPlay squattait le port 7000, donc l'interface s'est ouverte automatiquement sur http://127.0.0.1:7860. Ensuite, au premier lancement, il faut renseigner un nouveau mot de passe pour le compte admin.
Si vous accédez à Odysseus depuis une autre machine (VPS ou serveur distant), ouvrez un tunnel SSH plutôt que d'exposer le port directement sur Internet :
ssh -L 7860:127.0.0.1:7860 user@votre-serveur.com
Ensuite, accédez simplement à http://127.0.0.1:7860 en local. C'est plus sécurisé que d'ouvrir le port sur le public.
Étape 3 : Un modèle rapide, genre Qwen
Pour du rapidos sans que ça devienne stupidos, j'ai choisi pour mes tests Qwen3-30B-A3B. Ce modèle n'active qu'une partie de ses paramètres à chaque réponse, ce qui colle bien à la RAM unifiée d'un gros Mac.
La première fonctionnalité assez cool dans cet outil, c'est le Cookbook qui permet de télécharger des modèles adaptés à notre config. Ce dernier a correctement reconnu mon M4 Max et ses 128 Go mais s'est ensuite planté comme une merde sur llama.cpp avec cette option --flash-attn auto invalide. Après avoir retiré le paramètre, le serveur restait aux abonnés absents tandis que l'interface l'affichait toujours comme actif. Bref, j'ai laissé tombé llama.cpp.
Le Cookbook reconnaît bien le M4 Max et propose des modèles adaptés. Le lancement, lui, a planté.
L'autre option qui s'est offerte à moi, ça a été Ollama ( je vous ai montré comment l'installer par ici ). Vous récupérez le modèle qui vous intéresse avec et vous lancez le serveur ouvert sur le réseau local :
ollama pull qwen3:30b-a3b
OLLAMA_HOST=0.0.0.0:11434 ollama serve
Dans les réglages d'Odysseus, ajoutez ensuite http://localhost:11434/v1. Et hop, ça fonctionne !! La version 1.0.2 propose aussi maintenant MLX dans le Cookbook, mais Ollama reste le chemin qui a vraiment tenu bon durant mes tests. Vous aurez peut-être plus de chances que moi.
L'ajout manuel de l'endpoint Ollama a été le chemin le plus fiable.
Bonus : Si vous n'avez pas de GPU ou que vous préférez la fiabilité, vous pouvez aussi connecter une API externe comme OpenAI ou OpenRouter. Dans les réglages, ajoutez simplement votre clé API et Odysseus basculera sur ces modèles cloud. C'est moins gratuit que du local, mais ça marche sans galère.
3 cas d'usages
Alors, cet outil fait plein de choses et on peut l'utiliser vraiment pour ce qu'on veut, mais pour ma part, je vous ai isolé trois cas d'usage compatibles avec mon activité.
Premier scénario, la tournée de veille du matin. Je lui donne les liens reçus durant la nuit, il les classe par sujet, repère les doublons et propose trois angles courts. Je garde les sources dans un document local, avec les objections et les points à vérifier. Et comme vous l'avez vu sur mes captures d'écran, le chat sait déjà faire du brainstorming puisqu'il m'a sorti trois angles exploitables en quelques secondes...
Trois angles d'articles en 29 secondes, avec un brouillon versionné ouvert à droite.
Deuxième scénario, un dossier par article. J'y range le brief, les liens primaires, les citations, les captures et les versions du texte. L'éditeur Markdown récupère le titre depuis le premier H1 et conserve l'historique. Avec deux modèles configurés, le mode Compare permet d'opposer deux intros ou deux plans côte à côte sans envoyer le brouillon chez un fournisseur.
Troisième scénario, le secrétaire de rédaction local. Il surveillerait une boîte dédiée aux alertes de sécurité, préparerait la liste des sujets urgents et poserait des rappels dans le calendrier. Sur le papier, c'est exactement le type de corvées chiantes qu'un agent devrait pouvoir absorber mais en pratique, jamais de la vie, je ne lui laisse faire des actions automatiques comme envoyer des mails, ou gérer mon calendrier. Pour moi, c'est pas encore assez safe.
J'ai demandé à l'agent de retrouver un document et de le résumer. Il a dépensé près de 1 800 jetons à deviner comment appeler manage_documents, sans jamais lancer l'outil de recherche. De son côté, le calendrier a terminé sur un Could not extract JSON puis la recherche web a trouvé le bon dépôt GitHub, mais le modèle en a choisi un faux.
Le pompon, c'est la fonctionnalité Deep Research. Après 4 minutes de boulot, ça m'a généré 13 pages issues de 6 sources retenues. L'outil a donné la bonne conclusion au document, mais ensuite, a totalement inventé une vidéo, un numéro de marque et plusieurs statistiques. Donc pour l'utiliser dans un cadre journalistique, sans contre-vérification intégrale, ça ne sera pas possible.
Le rapport affirme que le site est vide alors qu'il contient un guide complet. Jolie hallucination, présentée comme une preuve.
Bon, je suis content de l'avoir testé mais Odysseus ressemble encore à un super cockpit dont plusieurs boutons ne sont pas encore reliés au moteur. Le chat via Ollama et les documents sont utilisables, mais le Cookbook, les agents, le calendrier et la recherche factuelle restent trop fragiles. Mais attention, n'allez pas croire que je critique le travail de PewDiePie, car le projet est encore très jeune, donc tous ces petits défauts sont normaux. Le potentiel d'Odysseus est énorme, mais pour le moment, je ne suis pas prêt de lui confier la gestion de mes sources, ou la rédaction d'un brouillon d'article sans perdre des heures à tout vérifier.
Voilà, le code est sur GitHub sous licence AGPL . Je vous laisse découvrir ça !
Merci à Remouk pour le partage et pour finir, je vous laisse avec cette vidéo de Renaud Dékode qui a aussi testé Odysseus :
uhubctl - Couper le courant d'un port USB en une commande
Votre clé 4G ou Wifi que vous avez connectée en USB sur un vieux serveur situé au fond du garage, plante une fois ou deux fois par semaine et à chaque fois faut aller débrancher la clé et la rebrancher pour la réveiller / ressusciter ? Et bien c'est fini la galère les amis, puisque uhubctl règle ça en une commande. Cet outil coupe puis rallume le courant d'un port USB précis, sans que vous n'ayez à toucher au moindre câble.
C'est donc un petit utilitaire en ligne de commande, écrit en C par Vadim Mikhailov, qui pilote l'alimentation électrique de vos ports USB un par un. uhubctl -a off -p 2 éteint le port 2, -a on le rallume, et -a cycle enchaîne les deux avec une petite pause au milieu. C'est pile-poil ce qu'il faut pour rebooter par exemple un modem 4G figé ou une webcam qui ne répond plus.
Par contre, désolé mais ça ne fonctionne pas sur n'importe quel hub USB. Il vous faut un hub intelligent qui gère le per-port power switching, autrement dit capable de couper le jus d'un seul port sans toucher aux autres. Rassurez-vous, si vous ne savez pas quoi acheter, le projet maintient une liste de modèles compatibles que vous pouvez consulter ici .
Après y'a certains hubs qui coupent bien la connexion data mais laissent passer le courant (le fameux VBUS). Du coup vous croyez avoir éteint le port, et le téléphone branché dessus continue tranquillement de charger. Alors pour vérifier, branchez un ventilo ou une petite lampe USB et lancez la coupure. Si ça s'arrête vraiment, votre hub est bon. Sinon il sait uniquement couper la data, et pas l'alim.
Mais en tout cas, une fois le bon matériel entre les mains, les usages deviennent vraiment sympas ! Par exemple, avoir un disque dur USB alimenté seulement quand vous en avez besoin, histoire de tuer le phantom load qui bouffe du courant pour rien (pensez juste à bien le démonter avant de couper le jus, sinon bonjour la corruption ^^).
Y'a aussi le cluster de Raspberry Pi que vous allumez et éteignez nœud par nœud. Ou encore un plugin OctoPrint qui coupe l'alim USB de l'imprimante 3D une fois l'impression finie. Y'a même des bidouilleurs qui pilotent un ventilo ou une guirlande LED avec.
Côté installation, rien de méchant : apt install uhubctl sur Debian, Ubuntu et Raspbian, brew install uhubctl sur Mac. Sous Linux il faudra passer par sudo ou poser une règle udev pour les permissions, sinon l'outil râlera. Sur Windows par contre, laissez tomber pour la coupure d'alim. Le driver USB de Microsoft ne laisse pas passer la commande, donc uhubctl compile mais n'éteint rien du tout.
Et si vous visez le Raspberry Pi, gardez un œil sur ses bizarreries car sur pas mal de modèles, tous les ports sont liés. Si vous en coupez un, vous les coupez tous. La parade classique, c'est donc de brancher un vrai hub compatible sur le Pi et de piloter ses ports à lui.
Et si vous cherchez quoi en faire côté DIY de votre Pi, j'avais listé 130 idées pour votre Raspberry Pi qui se marient bien avec ce genre de contrôle à distance.
Bref, si vous bricolez de la domotique ou un rack de Raspberry Pi, vérifiez d'abord votre hub, puis foncez. C'est gratuit, open source et ça évite pas mal d'allers-retours vers la multiprise.
Windows 11 - La restauration qui embarque aussi vos fichiers
Depuis le 23 juin, Microsoft déploie sur Windows 11 une nouvelle fonction de récupération baptisée point-in-time restore, et il y a de bonnes chances qu'elle tourne déjà sur votre PC sans que vous l'ayez demandé. En effet, sur les éditions Home et les Pro non gérées en entreprise, elle est allumée par défaut dès que votre disque système dépasse 200 Go.
Le principe ressemble à ce que fait ce bon vieux point de restauration, sauf qu'il va beaucoup plus loin ! Toutes les 24 heures environ, Windows capture en arrière-plan un instantané complet de la machine via le service VSS (Volume Shadow Copy). Le système, les applications, les réglages... et cette fois vos fichiers locaux aussi !! Woohoo ! Et oui, aussi bizarre que cela puisse paraître, l'ancien System Restore ne touchait jamais vos documents.
Celui-là embarque enfin absolument tout !
Comme ça, en cas de mise à jour foireuse ou de PC qui part en vrille (ça n'arrive JAMAIS sous Windows, c'est bien connu ^^), vous redémarrez dans l'environnement de récupération, vous choisissez un instantané, et la machine revient à son état d'il y a quelques heures en quelques minutes.
Et c'est là qu'il faut faire gaffe car si vous restaurez un instantané d'il y a 48 heures, ça ne remontera pas que le système. Tout ce que vous avez créé depuis disparaîtra... Vos fichiers, vos applications installées, vos mots de passe enregistrés, les certificats, les clés... TOUT ce qui est postérieur à votre date de restauration sera balayé. Il n'y a que vos données OneDrive dans le cloud qui seront épargnées, mais tout ce qui vit en local repartira à la version de l'instantané.
Donc, autrement dit, ce truc peut vous sauver après un update raté mais il peut aussi vous faire perdre une journée de boulot si vous cliquez sans réfléchir.
Autre point à garder en tête, ce n'est pas une sauvegarde. La rétention plafonne à 72 heures, et passé ce délai les vieux instantanés sont supprimés automatiquement, en commençant par les plus anciens. Donc oubliez l'idée de récupérer un fichier effacé la semaine dernière, on est sur du rollback court terme pour se sortir d'un mauvais pas, et pas sur un coffre-fort de vos archives.
Côté stockage, la fonction se réserve par défaut 2% de votre disque, jusqu'à 50 Go maximum, en la jouant maligne puisque l'espace n'est pas bloqué à l'avance. En effet, VSS pioche dedans quand il en a besoin et rend la place quand ça devient tendu. Et si vous passez sous 20 Go de libre, les instantanés dégageront dans la joie et la bonne humeur pour laisser respirer le système.
Voilà, si vous êtes super chaud et dans la panade et que vous voulez restaurer votre Windows, tout se passe en local depuis WinRE, dans Troubleshoot puis Point-in-time restore, et si votre disque est chiffré il faudra que vous ayez la fameuse clé de récupération BitLocker sous la main sinon vous restez à la porte de votre propre machine.
Notez aussi qu'après une restauration, Recall se coupe et vous redemandera votre accord avant de reprendre ses captures. De plus, sur une machine à plusieurs volumes, seul le disque système est restauré, et le reste ne bougera pas. Donc, ça peut être pas mal de garder le système sur un disque et vos données sur l'autre. Comme ça, vous pouvez restaurer votre système quand vous voulez sans perdre vos données. Et ces données, il faudra les sauvegarder par un autre moyen, évidemment.
Ah et si vous êtes passé de Home à Pro entre-temps, les instantanés créés sous l'ancienne édition ne sont plus utilisables.
Enfin, seule l'édition Enterprise peut ajuster la fréquence et la durée de rétention. Sur Home et Pro, vous subirez donc les valeurs par défaut rikiki, à prendre ou à laisser, même si vous pouvez toujours couper la fonction dans Paramètres > Système > Récupération.
Voilà, cette restauration express s'inscrit dans le grand chantier de Microsoft pour rendre Windows plus solide et plus facile à réparer après le fiasco CrowdStrike. L'intention est bonne, et l'approche 100% locale, sans passer par le cloud, est plutôt rassurante je trouve. Reste juste à ne pas confondre filet de sécurité et sauvegarde, et à garder en tête que ça travaille en silence chez vous.
Bref, faites un tour dans Paramètres > Système > Récupération pour voir si c'est actif et combien de place ça grignote.
Et pour tout ce qui compte vraiment, gardez une vraie sauvegarde à côté.
Merci à Tijer pour le lien !
Source : Microsoft Learn
Quelle est mon ip ? Le retour !
Ma page "Quelle est mon adresse IP" traînait sur korben.info depuis presque 15 ans, à peu près dans son jus d'origine. Hé bien, bonne nouvelle, je viens de la refaire entièrement, et elle est là : korben.info/ip .
Vous arrivez dessus, votre IP publique s'affiche en gros, IPv4 et IPv6 séparées avec un bouton copier, et juste en dessous une grille de cartes déballe tout ce que votre connexion raconte sur vous sans que vous ayez rien demandé. La localisation estimée d'abord, sauf que c'est pas du GPS, juste la ville que les bases GeoIP collent à votre IP (sur mobile ça part parfois à 200 km à côté) mais aussi votre opérateur et son numéro d'AS, de datacenter Cloudflare par lequel vous passez, la latence jusqu'à lui, le protocole, le chiffrement.
Y'a une carte que je trouve bien pratique aussi c'est la carte "VPN ou pas ?". Elle compare le fuseau horaire vu depuis votre IP avec celui réglé sur votre appareil, et repère si vous sortez par une IP de datacenter, le signe quasi certain d'un VPN ou d'un proxy.
J'ai ajouté aussi un petit test de débit maison (descendant, montant, latence, gigue), tout comme le fameux leak WebRTC, ce truc qui balançait votre IP locale à n'importe quel site avant que les navigateurs ne finissent par la masquer. Ça peut encore fonctionner sur de vieux browser alors je l'ai laissé.
Le point important, parce que je sais que vous allez me poser la question, c'est que de mon côté, rien n'est stocké, rien n'est tracé, rien n'est revendu. Tout est lu à la volée entre votre navigateur et mon CDN, qui se contente de faire transiter vos requêtes comme n'importe quel hébergeur. Votre IP en dit déjà bien assez long sur vous comme ça, pas la peine d'en remettre une couche.
Bref, un bon coup de bouc-marque (bookmark, pour les intimes ^^) sur korben.info/ip et vous aurez votre IP et l'état de votre connexion sous la main en un clic.
Pentest sauvage à base d'IA, que dit la loi ?
Benjamin Code , le développeur préféré de votre développeur préféré, a reçu ce week-end un e-mail d'achat bidon avec le mot pentester dedans. En grattant un petit peu, il a découvert que quelqu'un s'amusait à trifouiller l'un de ses SaaS sans le prévenir.
Visiblement, c'est un autre créateur, Melvyn (melvynx), qui lui propose des formations autour de l'IA, qui pour les besoins d'une vidéo a fait tourner Kimi K3 en mode "hack" pour poutrer certains sites et montrer, vidéo à l'appui, que l'IA trouvait les failles toute seule.
Depuis, X s'écharpe. D'un côté, ceux pour qui la faille est corrigée et tout le monde y gagne, zéro dégât. De l'autre, ceux qui parlent d'accès illégal, pur et simple.
Alors qu'en est-il exactement ?
Eh bien, parlons de la loi d'abord, parce qu'en France, elle est limpide. L'article 323-1 du Code pénal punit "le fait d'accéder ou de se maintenir, frauduleusement" dans un système informatique de "trois ans d'emprisonnement et de 100 000 € d'amende". Créer un faux compte, simuler un paiement avec de faux numéros de CB, toucher aux données, ça aggrave les choses et on passe rapidement à cinq ans et 150 000 € (article 323-3).
Pour moi, l'argument du "il n'a rien cassé" ne tient pas une seconde en droit. Dans l'affaire Bluetouff, la Cour de cassation a validé une condamnation pour maintien frauduleux alors que les fichiers étaient accessibles sans mot de passe, tout simplement parce que Bluetouff avait continué en sachant l'accès anormal. Je trouve que ce qui est arrivé à Bluetouff, c'était abusé, mais peu importe mon avis, cela montre bien qu'aux yeux de la loi, zéro dégât ne veut pas dire qu'il n'y a pas d'infraction.
Ce qui fait basculer un pentest légal en délit, ce n'est ni la compétence, ni la bonne intention de la personne derrière, ni même ce que j'en pense. C'est UNE seule chose : L'autorisation préalable du propriétaire du système. Et je ne crois pas que Benjamin Code pratique le bug bounty sur ses systèmes...
Si on parle d'un point de vue hacking éthique, voire tout simplement en matière de nétiquette, la règle (et le bon sens, et la courtoisie) c'est d'abord d'avoir l'accord écrit avant de faire le test, et puis bien sûr de signaler la faille en privé à l'éditeur, tout en lui laissant assez de temps pour la corriger avant de communiquer dessus publiquement.
Par exemple, un bug bounty, c'est ça... C'est un périmètre défini, un canal de signalement, une protection pour le chercheur qui reste bien dans ce cadre. En dehors, il n'y a aucune protection. Et le dispositif français qui couvre les lanceurs d'alerte (article L2321-4 du Code de la défense) ne protège que le signalement de bonne foi à l'ANSSI, jamais l'intrusion elle-même.
Melvyn a reconnu lui-même juste après son "exploit" que "certains tests sur des SaaS tiers n'ont pas été précédés d'une autorisation écrite". Tu m'étonnes...
Alors les kikoulol de X.com peuvent bien jouer les spécialistes en long en large ou en travers, ça ne change rien. Kimi K3 ou pas, dégâts ou pas, tester le système d'un autre sans son feu vert, même avec une IA autonome, ça a un nom dans le Code pénal...
Maintenant, je ne pense pas que ça ait besoin d'aller plus loin que ça... Dans un monde idéal, ce qui serait super, c'est que Melvyn fasse des excuses publiques à Benjamin Code et aux autres créateurs de SaaS qu'il a "poutrés", et puis qu'il évite de refaire ce genre de conneries dans le futur.
Source : le billet de Melvyn sur Codelynx
Test d’un câble USB-C magnétique moderne, tout simple et bien pratique
Les câbles magnétiques, ce n'est pas nouveau, ça fait bien une dizaine d'années qu'on en trouve. L'idée a toujours été la même, vous laissez un petit embout aimanté planté en permanence dans le port de votre appareil, et le câble vient s'y coller tout seul quand vous en avez besoin.
Sauf que pendant longtemps, ces câbles ne servaient qu'à recharger doucement, ils plafonnaient vite et laissaient tomber la charge rapide. C'est justement ça qui a changé ces dernières années.
Le modèle que j'utilise en ce moment, un MOSHOU tressé en nylon violet vendu autour de 17 euros , encaisse en théorie jusqu'à 240W, soit du 48V et 5A. Autant dire qu'on est très loin du petit câble aimanté poussif d'avant.
Aucun de mes appareils ne réclame autant de watts, évidemment, mais du coup la charge n'est plus jamais ralentie à cause du câble. Il y a une puce E-Marker planquée dedans qui règle le courant et la tension toute seule selon ce que vous collez au bout, donc a priori pas de risque d'envoyer trop de jus dans vos écouteurs.
Moi je m'en sers surtout pour mes écouteurs, mon petit modem 5G et les manettes qui traînent sur mon bureau. J'ai laissé un embout aimanté planté dans chacun, et ça facilite clairement ma recharge au quotidien.
L'aimant est assez costaud pour tenir, et l'embout se décroche simplement en tirant dessus. L'autre avantage c'est le port USB-C qui s'use beaucoup moins vite qu'à force de brancher et de débrancher.
Le pack en livre trois, donc vous en plantez un dans chaque appareil et un seul câble circule pour tout le monde. Il y a même une petite LED qui s'allume en violet pendant la charge.
Bon, ça ne change pas une vie, mais pour 17 euros et le plaisir de ne plus jamais chercher le port à l'aveugle, je l'ai adopté sans trop me poser de questions. Pour les petites recharges du quotidien c'est bien sympa. Si vous voulez tester, c'est par ici sur Amazon .