Autoblog de korben.info

Un truc franchement rageant remonte du côté de chez Google Cloud, et c'est The Register qui a mené l'enquête. Plusieurs développeurs ont vu leur facture Google Cloud exploser entre 3000 et 10000 dollars en quelques minutes, pour des services qu'ils n'ont jamais utilisés : génération vidéo Veo 3, tokens du modèle Gemini, le tout via leurs clés API Maps. Et le pire, c'est qu'ils avaient suivi à la lettre les recommandations officielles de Google.

La doc Google vous dit en effet de mettre votre clé Maps en clair côté client (dans le JavaScript de votre site, par exemple), parce qu'elle sert à afficher une carte dans un navigateur. Sauf que voilà, si vous activez sur votre projet Google Cloud d'autres APIs (comme Gemini ou Veo, l'outil de génération vidéo de Google), la même clé peut être utilisée pour appeler ces services.

Un bot malveillant trouve la clé sur n'importe quel site (le code source d'une page web est lisible par tout le monde), s'en sert pour générer des milliers de vidéos IA, et c'est le proprio du projet qui paie l'addition.

Le plus pénible, ce sont les spending caps, ces plafonds de dépenses que Google met en avant comme garde-fou. En pratique, ils ne déclenchent qu'une alerte par mail, pas une coupure réelle des services.

Vous recevez l'alerte alors que la facture grimpe déjà depuis dix minutes, et le temps de réagir, c'est déjà fini. Plusieurs devs disent avoir vu leur compte passer de quelques euros à plusieurs milliers en moins d'une heure. Ça pique.

Et Google ? La firme refuse les remboursements en parlant d'un problème "industrie-wide", autrement dit "tout le monde a ce souci, c'est pas notre faute". Pratique pour eux, moins pour les développeurs qui se retrouvent avec une note salée pour des services qu'ils n'ont jamais demandés.

Le vrai sujet, c'est le mélange clé Maps publique par design + accès Gemini activé par défaut sur le même projet. Ce n'est pas une faille au sens technique du terme, c'est une configuration que Google a choisie et qui transforme chaque clé Maps en bombe potentielle pour le portefeuille de celui qui l'utilise.

Si vous bossez sur Google Cloud, allez donc vérifier que Gemini et Veo ne sont pas activés sur les projets qui n'en ont pas besoin, et restreignez vos clés Maps à des domaines précis dans la console. C'est moche, mais visiblement c'est à vous de le faire.

Source : The Register

Le gang ransomware Nitrogen a balancé Foxconn sur son site de fuite avec 8 To de données et 11 millions de fichiers volés, selon The Register.

Schémas hardware, instructions d'assemblage, topologies de datacenters côté client. Et comme Foxconn assemble une bonne partie de ce que vous avez dans votre poche ou sur votre bureau (iPhones pour Apple, GPU pour Nvidia, serveurs pour Google, machines pour Intel et Dell), la liste des marques potentiellement exposées fait peur.

L'usine de Mount Pleasant dans le Wisconsin a été paralysée plusieurs jours. Foxconn a fini par confirmer l'incident après plusieurs semaines de silence, en assurant que la production avait été rétablie et que l'enquête se poursuivait avec les autorités.

Nitrogen, lui, est un gang ransomware connu depuis 2024. Un ransomware, pour les non-initiés, c'est un logiciel qui chiffre les fichiers d'une boîte puis demande une rançon pour les déchiffrer. Le mode opératoire classique de Nitrogen : voler les données avant de chiffrer, et menacer de tout publier si la victime refuse de payer.

Le détail croustillant qui devrait calmer toute envie de cracher au pot : Coveware, la société américaine spécialisée dans la négociation de ces affaires, a démontré dès février que le décrypteur de Nitrogen est buggé.

Pour dire ça plus simplement, vous payez la rançon, vous récupérez un outil censé déchiffrer vos fichiers, et il ne fonctionne pas correctement. Une bonne partie des données reste illisible après paiement. C'est documenté. Ce n'est pas la première fois qu'un gang livre un outil pourri, mais c'est rarement aussi évident.

Côté contenu dérobé, on parle de plans d'assemblage de cartes-mères et de schémas électroniques détaillés, mais surtout de topologies de datacenters. La topologie d'un datacenter, c'est en gros la carte qui montre comment toutes les machines, les baies et le réseau sont agencés.

C'est exactement le genre d'info qu'un attaquant cherche pour préparer une intrusion future. Apple et Nvidia n'ont pas commenté, ce qui ne veut pas dire grand-chose à ce stade, mais ça veut dire qu'il y a probablement quelques juristes qui n'ont pas beaucoup dormi cette semaine.

Source : The Register

La bidouilleuse Maddie Dreese a réussi un sacré exploit les amis ! Elle a fait tourner un vrai modèle IA sur une Game Boy Color tout ce qu'il y a de plus basique.. Pas besoin de PC ni d'appels à un service tiers en ligne, mais simplement avec un peu de code qu'elle a mis sur une cartouche.

Le modèle qu'elle utilise s'appelle TinyStories-260K , et c'est un mini-LLM signé Andrej Karpathy (l'ex-Tesla et OpenAI), conçu à l'origine pour générer des petites histoires pour gamins.

Maddie n'a pas créé un modèle from scratch, mais elle a écrit le moteur (le transformer) qui fait tourner un modèle existant (TinyStories) sur la Game Boy. Le projet est sur GitHub et si vous voulez vous lancer, il vous faudra une Game Boy Color, un EZ Flash Junior (lien affilié) et une microSD pour flasher la ROM.

Côté bidouille, c'est assez velu. Je vous rappelle que le processeur de la Game Boy date de 1998 et ne sait pas faire de calculs avec des virgules. C'est pourquoi Maddie a dû reconvertir tout le modèle en nombres entiers pour qu'il puisse tourner. Et comme la mémoire de la console est ridicule, le contexte de la conversation est stocké directement dans la cartouche durant la génération.

Pour vous donner une idée des proportions, TinyStories-260K, c'est 260 000 paramètres. ChatGPT, lui, en a plusieurs centaines de milliards. Et comme le contexte est plafonné à 16 mots maximum, vous pouvez oublier les longues conversations. Bref, on est à des années-lumière de ce que votre PC pourrait faire tourner .

Et puis c'est lent. Genre vraiment trèèèès lent. Sans parler ce qui est produit comme texte en sortie, qui est souvent du charabia parce qu'à force de compresser la précision du modèle pour le faire rentrer dans la cartouche, il finit par perdre les pédales. Mais ça marche, et c'est tout ce qui compte !

Faut dire que pour une console qui faisait tourner Pokémon Or en 1999, c'est miraculeux ! Maddie de son côté, explique avoir pas mal utilisé Codex pour pondre le code, et le résultat est plutôt chouette.

Voilà, la Game Boy n'a jamais eu vocation à devenir un PC, à part peut-être avec le WorkBoy , le PDA fantôme dont je vous parlais y'a pas longtemps mais là, avec ce projet, elle s'en rapproche encore un peu plus...

UnDUNE II , c'est Dune II qui tient en entier dans une PICO-8 , cette fameuse "fantasy console" dont je vous ai déjà parlé.

Ça a donc pris près de trois ans de boulot pour Paul Nicholas (alias Liquidream) afin de faire tenir le RTS culte de Westwood Studios dans 128x128 pixels et 16 couleurs. 3 factions, 21 unités, 19 bâtiments, neuf missions, et oui, c'est jouable depuis le navigateur.

Et si vous préférez faire tourner le binaire en local, des versions Windows, macOS, Linux et même Raspberry Pi sont dispos sur la page itch.io du projet . Le tout est distribué en freeware et jouable avec la souris / clavier ou avec la manette.

Petit rappel pour les plus jeunes quand même, Dune II - The Building of a Dynasty (de Westwood, sorti en 1992), c'est le jeu fondateur du RTS moderne. Command & Conquer est son successeur direct chez Westwood, et tous les RTS qui ont suivi (Warcraft, StarCraft, Age of Empires) lui doivent quelque chose.

Il faut construire sa base, récolter l'Epice, envoyer des unités combattre, gérer le brouillard de guerre... etc.

Mais alors comment a-t-il fait pour que UnDUNE II tienne dans cette minuscule machine qu'est le PICO-8. Hé bien le projet est splitté en 12 cartouches qui se chargent à la volée et se passent l'état du jeu entre elles. Tout Dune II tient dans environ 384 Ko de ROM totale, soit carrément moins qu'une photo JPEG moderne.

Et côté contenu, c'est dingue de voir ce qu'il a réussi à y caser. C'est loin d'être une version light ou amputée puisque les 3 maisons sont jouables (Atreides, Harkonnen, Ordos) + les Sardaukar en bonus au niveau 4, et on retrouve les trois Mentats classiques avec leurs briefings, plus 9 missions par faction avec carte animée et intro entre chaque niveau. Les armes de palais sont également spécifiques à chaque faction, et bien sûr les vers des sables peuvent gober une unité entière. Même les Carryalls font le taxi !

Bref, tout y est !

Et les détails de gameplay sont là aussi comme la capture de bâtiments ennemis (y compris les moissonneuses), le radar à deux résolutions selon les structures construites, la sauvegarde automatique entre missions, plusieurs niveaux d'IA, des stats de fin de mission avec ranking.

Sans oublier la musique et les SFX qui ont été refaits from scratch dans le tracker PICO-8 par Chris Donnelly (Gruber_Music).

C'est donc exactement comme en 1992, mais en 128x128.

Notez aussi que le sous-titre "The Demaking of a Dynasty" de ce portage a été suggéré par Tom Hall lui-même. Oui, ce Tom Hall, designer de Commander Keen chez id Software !

Et y'a même une communauté speedrun qui s'est formée autour du projet et côté propreté du code, c'est aussi clean que POOM , l'autre demake fou de PICO-8 qui fait tourner un FPS façon Doom (6 niveaux originaux) en 128x128.

Bref, si ça vous dit d'essayer, c'est par ici , c'est gratuit. Par contre, méfiez-vous des vers de sable !!