Cette horloge numérique est entièrement fabriquée à la main, avec du fil de laiton
Un maker connu sous le pseudo ALTco a construit une horloge numérique sans le moindre circuit imprimé. Six mètres de fil de laiton, des puces logiques des années 70 et des afficheurs sept segments : le résultat est une sculpture électronique franchement canon.
Six mètres de laiton et zéro circuit imprimé
Le projet est aussi simple à décrire que fou à réaliser. ALTco avait sous la main un kit d'horloge numérique avec ses circuits imprimés fournis, mais il a décidé de tout jeter pour reconstruire le circuit en freeform, c'est-à-dire en suspendant chaque composant dans les airs, reliés entre eux par du fil de laiton.
Six mètres de fil au total, pliés, soudés, entrelacés pièce par pièce. La structure tient grâce à des barres de bus qui servent de support aux sockets des afficheurs sept segments et de leurs modules. Le tout sans plan préétabli, en improvisant au fur et à mesure.
Des puces logiques comme en 1975
Alors que la plupart des horloges numériques actuelles tournent avec un simple microcontrôleur, ALTco a fait le choix d'utiliser une architecture des années 70.
On retrouve un oscillateur à quartz qui alimente une chaîne de diviseurs, et des compteurs qui pilotent les afficheurs. Quelques astuces de conception permettent de réduire le nombre de puces, des techniques que les ingénieurs de l'époque connaissaient bien. Il a aussi ajouté un encodeur rotatif pour régler l'heure, ce qui rajoute de la circuiterie mais rend l'objet utilisable au quotidien.
L'art du circuit sans filet
Ce type de création porte un nom : la sculpture de circuit. Le principe est de construire un appareil électronique fonctionnel où les composants et les fils deviennent eux-mêmes l'esthétique de l'objet.
Pas de boîtier, pas de carte, tout est visible. Mohit Bhoite, designer chez Particle, est l'un des noms les plus connus dans ce domaine, avec ses créations en fil de laiton qui vont de l'horloge de chevet au jeu Snake portable.
Difficile de ne pas être impressionné. On parle d'un objet entièrement fonctionnel, construit fil après fil sans schéma, avec une électronique qui date d'avant le premier Star Wars.
Le rendu est magnifique, et on imagine bien les heures de soudure et de patience que ça représente. Bon par contre, on ne va pas se mentir, c'est clairement un projet pour les fondus d'électronique.
Mais c'est aussi ce qui en fait tout le charme : à une époque où tout le monde colle un ESP32 sur un breadboard et appelle ça du bricolage, voir quelqu'un repartir de zéro avec du laiton et un fer à souder, ça fait du bien.
Source : Hackaday
Fraude bancaire : des smartphones fantômes dans le cloud dupent les banques
Les fraudeurs n'ont plus besoin de vrais téléphones pour vider des comptes bancaires. Des smartphones virtuels hébergés dans le cloud, louables quelques centimes de l'heure, imitent sans problème de vrais appareils et passent sous le radar des systèmes anti-fraude.
Un smartphone qui n'existe pas
Group-IB vient de publier un rapport qui fait froid dans le dos. Des plateformes comme GeeLark, Redfinger ou LDCloud proposent de louer des smartphones Android virtuels hébergés dans des datacenters, pour 0,10 à 0,50 dollar de l'heure. À la base, ils sont prévus pour tester des apps ou gérer plusieurs comptes.
Sauf que les fraudeurs ont très vite compris l'intérêt du truc. Ces téléphones fantômes reproduisent tout ce qui fait un vrai smartphone : identifiant unique, adresse IP locale, géolocalisation crédible, et même des données de capteurs comme l'accéléromètre ou le gyroscope.
Votre banque croit parler à un iPhone à Paris. En réalité, c'est un serveur quelque part en Asie. Et le pire, c'est que ça marche. Les systèmes anti-fraude qui se basent sur l'empreinte de l'appareil n'y voient que du feu.
Revolut et Wise en vitrine sur le darknet
Là où ça devient concret, c'est quand on regarde ce qui se vend sur les forums criminels. Des comptes bancaires pré-vérifiés sur Revolut ou Wise, créés via ces cloud phones, s'échangent entre 50 et 200 dollars.
On parle de comptes mules utilisés pour recevoir et faire transiter de l'argent volé. Le tout à échelle industrielle. Côté chiffres, c'est vertigineux : 485 millions de livres de pertes liées à la fraude au Royaume-Uni en 2022.
Aux États-Unis, Deloitte projette 14,9 milliards de dollars d'ici 2028, contre 8,3 milliards en 2024. Et la France n'est pas épargnée, avec 618 millions d'euros de fraude bancaire au premier semestre 2025, en hausse de 7 % par rapport à 2024.
Comment les détecter ?
Group-IB a quand même identifié quelques indices. Un cloud phone n'a en général aucune application par défaut installée. Sa batterie reste bloquée à 100 %. Et surtout, les capteurs de mouvement ne bougent jamais, ce qui est impossible avec un vrai téléphone que quelqu'un tient dans la main.
Le problème, c'est que ces indices sont marginaux face à l'ampleur du phénomène. Les solutions proposées passent par de l'analyse comportementale, de la modélisation par graphes et une meilleure corrélation entre l'appareil et son environnement réseau.
Les banques vont devoir arrêter de se fier uniquement à l'empreinte du téléphone pour vérifier que vous êtes bien vous.
Le modèle de sécurité des banques basé sur l'identification de l'appareil est en train de prendre l'eau. Ces cloud phones sont en location libre, parfaitement légaux, et n'importe qui peut en louer un.
Et puis il faut le dire, les néobanques qui ont misé à fond sur la fluidité d'ouverture de compte se retrouvent avec le revers de la médaille. Quand ouvrir un compte prend deux minutes depuis un téléphone virtuel à 50 dollars, on imagine bien que les fraudeurs ne se privent pas.
Source : Info Security
Sortie VGA sur un PIC18 : quand l'optimisation hardware devient un art
Générer un signal VGA avec un microcontrôleur 8 bits PIC18 est un défi technique de taille. Ce projet Hackaday montre comment détourner les ressources limitées d'un processeur rudimentaire pour produire une image stable. Une petite plongée dans le bit-banging pur et dur.
Le défi du timing analogique
Le standard VGA impose une rigueur chronométrique absolue à celui qui s'y frotte. Pour obtenir une image stable, typiquement en 640x480 à 60 Hz, le contrôleur doit générer des signaux de synchronisation horizontale (H-sync) et verticale (V-sync) avec une précision de l'ordre de la microseconde. Sur une architecture PIC18 cadencée à quelques dizaines de mégahertz, chaque cycle d'instruction est précieux. L'astuce réside ici dans l'utilisation intelligente des timers internes et des interruptions prioritaires pour maintenir cette cadence sans aucune dérive temporelle, sous peine de voir l'image se désynchroniser immédiatement.
Un DAC rudimentaire pour les couleurs
Côté matériel, la solution retenue est ultra simple (si on peut dire). Pour transformer les sorties numériques binaires du microcontrôleur en signaux analogiques exploitables par un moniteur CRT ou LCD, l'auteur a implémenté une échelle de résistances, aussi appelée DAC R-2R. Ce montage passif permet de convertir des combinaisons de bits en niveaux de tension spécifiques pour les canaux Rouge, Vert et Bleu. C'est une approche classique en électronique "low-cost" qui permet d'obtenir une palette de couleurs certes limitée, mais parfaitement fonctionnelle pour de l'affichage de texte ou de graphismes simples.
L'art du bit-banging et des périphériques détournés
L'envoi des données de pixels vers l'écran nécessite une bande passante que le CPU seul peinerait à fournir en mode pur "bit-banging". Pour optimiser le processus, le développeur détourne souvent le module SPI ou le port série synchrone (MSSP) du PIC pour envoyer les octets de données à la vitesse de l'horloge système. Cela permet de déléguer une partie de la charge de travail au hardware interne et de libérer quelques cycles processeur pour gérer la logique d'affichage. C'est un équilibre précaire où la moindre latence logicielle se traduit par des pixels décalés ou des lignes de travers. Chaud donc.
Ce projet illustre bien l'adage selon lequel la contrainte stimule la créativité. Là où nous utilisons aujourd'hui des processeurs multi-cœurs pour la moindre interface, ce hack prouve qu'un vieux microcontrôleur 8 bits peut encore faire le job. C’est une leçon d'architecture informatique qui permet de comprendre concrètement comment l'information devient image. C'est aussi une forme de résistance face à la démesure logicielle actuelle.
Source : Hackaday
Le piratage par IA n'a plus besoin de malware : une simple doc suffit
Une nouvelle méthode d'attaque cible les IA de développement comme Copilot. En publiant de la documentation empoisonnée, des hackers trompent les modèles pour qu'ils recommandent des bibliothèques malveillantes. Cette menace invisible pour la sécurité est indétectable par les outils classiques.
Le concept est d'une simplicité désarmante. Plus besoin d'injecter du code malicieux dans un dépôt GitHub ou de trouver une faille zero-day complexe. Il suffit désormais de publier de la documentation technique faussée sur des forums, des wikis ou des fichiers README publics. Ces textes, une fois ingérés par les grands modèles de langage (LLM), deviennent une source de vérité pour l'IA qui assiste les développeurs au quotidien.
Le mécanisme de l'injection indirecte
Le problème est en fait dans la confiance aveugle que les modèles accordent aux données d'entraînement. En décrivant une solution technique qui utilise un paquet spécifique — mais malveillant — l'attaquant s'assure que l'IA proposera ce nom lors d'une requête de génération de code. C'est ce qu'on appelle l'injection de prompt indirecte. Le développeur, pensant gagner du temps, valide la suggestion et installe un composant compromis sans vérification préalable.
Le typosquatting passe au niveau supérieur
Cette technique facilite grandement le typosquatting. Auparavant, un attaquant devait espérer qu'un humain fasse une faute de frappe en saisissant une commande. Aujourd'hui, c'est l'IA qui commet l'erreur pour lui, influencée par des références empoisonnées trouvées sur le web. Comme l'IA présente la solution avec une assurance pédagogique, le sens critique de l'utilisateur baisse d'un cran. Le malware n'est plus dans la documentation, il arrive dans la machine au moment où le développeur exécute la suggestion générée.
Un défi pour la cybersécurité logicielle
La difficulté majeure est que cette attaque est purement textuelle. Les outils de scan de vulnérabilités cherchent du code dangereux, pas des explications trompeuses en langage naturel. Tant que les modèles d'IA ne sauront pas distinguer une documentation légitime d'une tentative de manipulation sémantique, la chaîne d'approvisionnement logicielle restera vulnérable à cette forme de gaslighting numérique. La sécurité repose désormais sur la véracité de l'information ingérée par les machines.
On atteint ici les limites de l'automatisation du développement. Faire confiance à un LLM pour choisir ses dépendances est devenu un risque de sécurité majeur. Cette faille montre que le maillon faible n'est plus seulement l'humain qui tape du code, mais l'outil qui lui souffle les réponses. On risque de voir apparaître des systèmes de vérification de réputation de documentation.
Source : The Register
Un drone sans aucune pièce mobile : la fin des moteurs et des hélices ?
Des chercheurs de l’université Rutgers ont mis au point un concept de drone ornithoptère à état solide. Sans moteur ni engrenages, cet engin utilise la piézoélectricité pour battre des ailes.
Une avancée majeure pour la fiabilité et la miniaturisation des robots volants, même si les matériaux doivent encore progresser.
Imaginez un drone dépourvu de rotors, de pistons ou de roulements. Pas de mécanique qui s'use, pas de bruit de crécelle. C’est le pari de l’équipe d’Onur Bilgen à Rutgers. Ils ont conçu un ornithoptère, un appareil à ailes battantes, totalement "solid-state".
L'absence de pièces en mouvement promet de révolutionner l'aérospatiale en limitant les points de défaillance critiques. C'est une approche imitant la biologie sans ses contraintes mécaniques habituelles.
La piézoélectricité comme muscle artificiel
Pour supprimer la mécanique, les ingénieurs utilisent des Macro Fiber Composites. Ce sont des lamelles piézoélectriques collées sur des ailes en fibre de carbone.
Lorsqu'une tension électrique est appliquée, le matériau se déforme, forçant l'aile à se courber. Cette structure biphasée permet de contrôler précisément la cambrure pour une efficacité aérodynamique maximale.
L'ensemble fonctionne sans aucun frottement, éliminant le besoin de lubrification ou de maintenance sur les parties mobiles classiques. Cette architecture simplifiée permet une réactivité accrue face aux turbulences de l'air environnant.
Une simulation pour préparer le futur
Si le concept est mathématiquement solide, la réalisation physique se heurte aux limites actuelles de la science des matériaux. Les composants piézoélectriques ne sont pas encore assez performants pour soulever un drone complet de manière autonome.
C'est une feuille de route technologique qui définit les besoins pour la prochaine génération de polymères actifs. L'équipe a donc développé un modèle computationnel complexe pour optimiser le design en attendant que la chimie franchisse un nouveau palier.
Vers des machines robustes et des applications industrielles
L'intérêt est quand même là : moins de pièces signifie mathématiquement moins de pannes potentielles. En supprimant les engrenages, on gagne en légèreté, en discrétion et en robustesse. Cette technologie pourrait aussi s'appliquer aux pales d'éoliennes. En modifiant leur profil en temps réel, on optimise le flux d'air sans ajouter de complexité mécanique lourde, augmentant ainsi l'efficacité énergétique du système.
Bref, vous l’avez compris, c’est une rupture technologique majeure. On passe de la mécanique pure à l’électronique solide, un peu comme pour la transition des disques durs vers les SSD. L'enjeu reste le ratio poids/puissance des polymères.
Si la recherche aboutit, la maintenance des drones deviendra dérisoire.
Source : TechXplore
Surfshark VPN : la couche réseau qui manque à votre stratégie de sécurité
Vous avez probablement déjà un gestionnaire de mots de passe. Vous avez activé la double authentification partout où c'est possible. Peut-être même que vous hébergez vos propres services sur un NAS, avec un pare-feu correctement configuré.
C'est excellent. Mais il manque encore une pièce au puzzle : la protection de votre trafic réseau. C'est exactement là qu'intervient un VPN comme Surfshark. Pas comme solution miracle, plutôt comme couche complémentaire dans une approche de défense en profondeur.
Je vous explique pourquoi cette couche compte et comment Surfshark s'intègre concrètement dans une infrastructure personnelle ou professionnelle.
La défense en profondeur, rappelée simplement
Le principe est connu de tous les survivalistes numériques : ne jamais compter sur une seule barrière de protection. 1 c'est 0, 2 c'est 1, toussa. Si votre mot de passe fuit, le 2FA bloque l'intrusion. Si votre 2FA est contournée, le pare-feu limite l'accès. Si le pare-feu est franchi, la segmentation réseau contient les dégâts.
Mais dans cette chaîne, un maillon reste souvent négligé. Le trafic entre votre appareil et le reste d'internet. Sans VPN, votre FAI voit tout ce que vous faites. Sur un réseau public, un attaquant peut intercepter vos données non chiffrées. Même chez vous, des applications peuvent communiquer en clair avec des serveurs tiers. Un VPN chiffre l'intégralité de ce trafic et le fait transiter par un tunnel sécurisé. Ce n'est pas une protection supplémentaire au même niveau que les autres, c'est une protection à un niveau différent, réseau plutôt qu'application.
Ce que Surfshark apporte techniquement
Surfshark ne se contente pas de proposer un bouton "se connecter". Plusieurs fonctionnalités techniques méritent l'attention si vous construisez une stratégie de sécurité sérieuse. Le chiffrement AES-256-GCM est le standard, mais le choix du protocole compte tout autant. Surfshark privilégie WireGuard, qui offre de meilleures performances avec un audit de code plus simple que les solutions historiques. Pour les utilisateurs avancés, l'application permet de forcer le protocole, de configurer des règles de split-tunneling, ou d'activer le kill switch en mode strict.
La politique no-logs a été auditée à deux reprises par Deloitte, en 2024 et 2025, par SecuRing en 2026, etc. Les rapports sont publics et détaillent les méthodes de vérification. Ce n'est pas une déclaration d'intention, mais une preuve vérifiable.
Autre point important : l'infrastructure. Surfshark opère plus de 4 500 serveurs (dont une majorité en mode RAM-only) et certains serveurs, notamment aux Pays-Bas, tournent déjà à 100 Gbps. Aucune donnée ne peut persister sur disque, ce qui réduit drastiquement les risques en cas de compromission physique d'un nœud. Enfin, les fonctionnalités désormais habituelles comme le MultiHop (double saut VPN) ou le mode Camouflage (obfuscation du trafic VPN) permettent d'adapter le niveau de protection au contexte d'usage, sans complexifier l'expérience pour les utilisateurs non techniques (ça ne vous concerne pas je sais, vous êtes les plus forts, vous lisez mon site).
Intégrer Surfshark dans votre setup existant
Ajouter un VPN à une infrastructure déjà en place ne doit pas être une usine à gaz. Voici comment procéder de manière pragmatique. Si vous utilisez déjà un gestionnaire de mots de passe, commencez par y stocker vos identifiants Surfshark avec une entrée dédiée. Activez la 2FA sur votre compte VPN, en privilégiant une application d'authentification plutôt que les SMS.
Pour le déploiement, privilégiez l'installation sur le routeur si vous voulez protéger tous les appareils du réseau domestique. Sinon, installez l'application sur chaque endpoint critique (ordinateur principal, téléphone professionnel, tablette de voyage & co). Configurez le kill switch en mode strict pour éviter toute fuite d'IP en cas de déconnexion. Activez ensuite CleanWeb pour bloquer les trackers et les domaines malveillants au niveau DNS. Et si vous travaillez avec des données sensibles, envisagez MultiHop pour ajouter une couche de routage supplémentaire.
Enfin, documentez votre configuration. Notez les serveurs que vous utilisez habituellement, les règles de split-tunneling et la procédure de secours en cas de problème. La sécurité ne vaut que si elle est reproductible et compréhensible par ceux qui doivent l'utiliser.
Mon avis sur l'approche
Ce qui distingue Surfshark dans le paysage des VPN, ce n'est pas une fonctionnalité isolée, mais la cohérence d'ensemble. L'outil ne cherche pas à tout faire, par contre il fait bien ce qui compte (chiffrer le trafic, protéger les identifiants, limiter l'exposition aux trackers, etc.).
Pour un particulier exigeant, un freelance ou une petite structure, c'est un compromis pertinent entre simplicité et robustesse. Est-ce que cela remplace une infrastructure professionnelle ? Non. Mais en combinant protection réseau et contrôle des données personnelles, Surfshark propose une brique de sécurité plus complète que la moyenne.
L'offre actuelle
En ce moment Surfshark casse un peu les prix et propose un engagement sur 27 mois (dont 3 supplémentaires) qui revient à 61€ TTC au total (2.26€/mois, moins cher qu'un café), et une garantie satisfait ou remboursé de 30 jours. L'abonnement couvre un nombre illimité d'appareils, ce qui facilite le déploiement sur l'ensemble de votre parc personnel/familial.
🔗 Profiter de l'offre Surfshark VPN ici
Note : ce lien est affilié. Cela ne change rien pour vous, mais cela me permet de continuer à produire ce type de contenu sans dépendre de la publicité intrusive.
La sécurité numérique ne se résume pas à empiler des outils. Il s'agit de comprendre ce que chacun protège, et comment ces protections s'articulent. Un VPN comme Surfshark n'est pas une fin en soi. Mais dans une stratégie de défense en profondeur, il représente la couche réseau qui manquait peut-être à votre dispositif. C'est pragmatique, efficace, et ça ne demande pas de devenir expert en cryptographie pour en tirer parti.
Questions fréquentes :
- Le VPN remplace-t-il un pare-feu ? Non, il le complète en protégeant le trafic hors du réseau local.
- Puis-je utiliser Surfshark sur mon routeur ? Oui, des tutoriels sont disponibles pour les modèles compatibles.
- La politique no-logs est-elle vérifiable ? Oui, les audits Deloitte et SecuRing sont publics.
Comment j'ai rendu mon serveur Plex surpuissant et silencieux grâce à un Mac Mini et des SSD Lexar
Après des années de galère avec un NAS bruyant puis un miniPC pas beaucoup mieux, j'ai fini par trouver la configuration Plex idéale. Un Mac Mini M4 , deux SSD Lexar SL500 , et le silence absolu. Retour d'expérience.
Le bruit, l'ennemi numéro un
J'ai un serveur Plex depuis des années. Un serveur que je partage avec ma famille et mes amis les plus proches, et qui me sert à stocker des films et des séries souvent introuvables sur les plateformes légales, ou des versions numérisées de DVD et Blu-Ray que j'ai achetés, mais que je veux pouvoir streamer sur mon Apple TV. Vous voyez l'idée. Pendant longtemps, tout ça tournait sur un NAS Synology d'entrée de gamme. Ça marchait, mais dès que je voulais transcoder un film pour le regarder à distance, c'était mort. Lecture directe obligatoire, avec les problèmes de débit que ça implique, surtout à l'époque où j'étais encore en ADSL. Il y a trois ou quatre ans, j'ai décidé de monter d'un cran en déportant le serveur Plex sur un miniPC Beelink. Plus de puissance, transcodage enfin possible, bien pratique pour moi à distance ou pour mes proches qui n'ont pas forcément la fibre.
Sauf que toutes ces solutions avaient le même défaut. Le bruit. Entre les disques durs mécaniques, le ventilateur du NAS Synology qui ronronnait en permanence et celui du miniPC Beelink qui se mettait à souffler dès qu'on lui demandait un peu d'effort, c'était toujours pénible. Et comme je n'ai jamais eu la place de planquer tout ça dans un bureau ou un placard technique, le serveur a toujours tourné dans mon salon. Autant dire que les soirs de film, l'ambiance était moyennement au rendez-vous.
Le Mac Mini M4, une bête silencieuse
Et puis il y a quelques semaines, j'ai tout changé. Adios le miniPC, filé à un ami, et place au Mac Mini M4. Ce petit machin tout mignon, complètement silencieux, est une vraie bête de course pour Plex. On parle de quatre à cinq transcodages simultanés sans broncher, avec une sollicitation processeur qui reste sous les 3 à 4%. C'est presque absurde. Le tout en restant frais, sans ventilateur qui se déclenche, sans bruit parasite. Rien. Le silence total.
Pour l'administration, pas besoin d'écran ni de clavier. Tout se fait à distance via l'application Partage d'écran de macOS. Le Mac Mini est branché directement sur ma Livebox, et ça tourne comme une horloge. Et comme bonus, ça me fait un second Mac pour faire des tests quand j'en ai besoin. Pas mal pour une machine qui fait à peine la taille d'une main.
Les SSD Lexar SL500 en remplacement du NAS
Pour compléter le tableau, j'ai déplacé mes données les plus consultées, les films et les séries que ma famille et moi regardons le plus souvent, sur deux SSD SL500 de chez Lexar. Et là, c'est le coup de grâce pour le bruit. Non seulement les ventilateurs ont disparu avec le Mac Mini, mais les vibrations et le ronronnement des disques mécaniques du NAS aussi. Le silence est total. J'ai quand même gardé un NAS Synology en arrière-plan pour stocker les données froides, mon Time Machine et les films que personne ne regarde jamais. Il reste accessible à Plex au cas où, mais il est si peu sollicité qu'on l'entend à peine.
Le résultat, c'est une configuration compacte, silencieuse, et qui gère sans effort tout ce que je lui demande. Le Mac Mini fait tourner Plex comme si de rien n'était, les SSD Lexar offrent des temps d'accès instantanés, et le NAS se contente de dormir dans son coin.
Franchement, si vous êtes du genre à soigner votre setup multimédia à la maison, ce genre de configuration change la vie. Ça a un coût, on ne va pas se mentir, un Mac Mini M4 plus deux SSD externes ce n'est pas donné. Mais le confort au quotidien est incomparable. Plus de bruit, des performances de dingue pour le transcodage, et une machine qui ne chauffe même pas. Si vous avez la possibilité de basculer votre serveur Plex sur un Mac Mini, n'hésitez pas trop longtemps. Moi en tout cas, je ne reviendrais pas en arrière.
Si vous voulez vous équiper, voilà ma config :
Quand 10 000 bots volent 8 millions aux artistes sur Spotify
Un mec de 54 ans vient de plaider coupable pour avoir siphonné 8 millions de dollars aux artistes musicaux en utilisant 10 000 bots et de la musique générée par IA. Michael Smith, résident de Cornelius en Caroline du Nord, a monté pendant des années une ferme à streams qui écoutait en boucle des centaines de milliers de fausses chansons sur Spotify et Apple Music.
Le truc, c'est que ces plateformes ne paient pas un tarif fixe par écoute. Elles fonctionnent avec un pot commun mensuel qu'elles redistribuent proportionnellement au nombre de streams. Du coup, chaque fausse écoute générée par les bots de Smith grignotait directement la part des vrais artistes. En gros, c'est pas Spotify qui se faisait voler, c'est les musiciens qui galèrent déjà à vivre de leur art !
Pour le contenu, Smith avait en fait trouvé un deal avec le CEO d'une boîte de musique IA qui lui pondait des milliers de morceaux par semaine. Les fichiers WAV arrivaient sous forme de chaînes aléatoires de lettres et de chiffres, et il les renommait avec des noms d'artistes fictifs du genre "Calorie Event", "Calms Scorching" ou encore "Calypso Xored" (on sent le générateur de noms random). Les titres, pareil... "Zygotes", "Zyme Bedewing"... si vous tombez là-dessus dans votre discover, y'a de quoi tiquer quand même mais bon...
Et ce problème, ça pose une question que Spotify connaît bien : comment distinguer les vrais streams des faux quand les bots sont suffisamment dispersés sur des milliers de morceaux ? Smith avait justement calibré ses 10 000 bots pour ne pas déclencher les alertes anti-fraude, en répartissant les écoutes sur un catalogue énorme plutôt que de matraquer un seul titre. Pas con.
Mais le bonhomme s'est quand même fait choper. Il a accepté de rendre la totalité des 8 091 843 dollars et risque jusqu'à 5 ans de prison lors de son procès qui aura lieu le 29 juillet prochain. Pas sûr que le ratio risque/récompense en valait la chandelle, en fait.
Le problème de fond, c'est que cette affaire n'est probablement que la partie émergée de l'iceberg. Et je suis sûr que y'en a en France qui font la même... bah sachez que c'est pas cool et que vous risquez d'avoir de GROS ennuis... Avec les outils de génération musicale par IA qui se démocratisent, n'importe qui peut inonder les plateformes de contenu synthétique pour gratter des royalties.
Et tant que le modèle de rémunération repose sur un pot commun plutôt que sur un paiement direct par utilisateur, il sera vulnérable. Encore une fois, les vrais perdants, c'est pas les plateformes (elles prennent leur commission quoi qu'il arrive), mais ce sont les artistes indépendants qui voient leur part du gâteau fondre à chaque bot supplémentaire.
Moche...
Bref, la prochaine fois que votre playlist de découvertes vous propose un artiste nommé "Calypso Xored" ou un connerie de ce style... méfiance !
Reverse-SynthID - Le filigrane de Gemini mis à nu
SynthID, le filigrane invisible que Google injecte dans chaque image Gemini, c'était censé être incassable. Sauf qu'un dev a eu l'idée toute bête de générer des images noires et blanches avec Gemini, puis de regarder ce qui restait dans le domaine fréquentiel. Et là, surprise... le watermark est apparu en clair avec toutes ses fréquences porteuses !
Le projet reverse-SynthID documente le truc de A à Z où on comprend en gros, que le marquage IA de Google fonctionne en injectant de l'énergie à des fréquences bien précises dans le spectre de l'image via une transformation de Fourier . Le chercheur a identifié 6 fréquences porteuses principales, toutes avec une cohérence de phase supérieure à 99,9% et la blague, c'est que ce pattern est fixe. Donc pas de message unique par image, pas de clé qui change... c'est juste la même empreinte spectrale sur toutes les images sorties du modèle Gemini.
Spectre FFT du watermark SynthID - les pics lumineux correspondent aux fréquences porteuses identifiées
Du coup, une fois que vous avez profilé cette empreinte avec une cinquantaine d'images PNG de référence (25 noires, 25 blanches, générées via l'API Gemini), vous pouvez faire deux trucs. D'abord, détecter le filigrane avec 90% de précision, sans avoir le moindre accès au code source de Google. Et ensuite le retirer en soustrayant les composantes spectrales identifiées, fréquence par fréquence, tout en préservant la qualité de l'image à plus de 40 dB PSNR. Visuellement identique à l'original !
Et c'est là que la différence avec UnMarker (dont je vous avais parlé) saute aux yeux car ce dernier "secoue" l'image en aveugle pour casser le watermark. Alors que Reverse-SynthID, c'est plutôt scruté à la loupe et hyper ciblé. Résultat, y'a clairement moins de dégradation et un drop de confiance du détecteur.
Les fréquences porteuses reconstruites - la structure diagonale du watermark SynthID
Par contre, je l'ai implémenté en Rust et j'ai essayé de voir si ça marchait vraiment sur mes propres images générée avec Gemini. Hé bien non, car le bypass ne fait PAS chuter la confiance du détecteur de 100 à 0, mais juste de quelques pourcents.
Le watermark est atténué, mais pas effacé. Ce n'est donc pas un outil clé en main pour faire disparaître tous les filigranes SynthID en un clic. Mais le fait qu'une seule personne, avec du Python et du traitement de signal classique (FFT, filtres notch, soustraction spectrale), ait pu reverse-engineerer un système que Google présente comme LA solution anti-deepfakes...
Ça confirme ce que les chercheurs de l'Université de Waterloo avaient déjà démontré : le watermarking d'images IA, c'est pété by design.
D'ailleurs, Google le sait très bien et ils pourraient changer le pattern demain et tout serait à refaire, mais ça confirme surtout que le principe même du watermarking spectral a une date de péremption. Après, ça arrange tout le monde d'avoir un truc à montrer quand les gouvernements demandent "et contre les deepfakes, vous faites quoi ?"
Et si c'est la petite étoile visible en bas à droite des images Gemini qui vous gêne (pas le watermark spectral invisible, juste le marqueur visuel), j'ai développé un outil pour mes Patreons qui s'en occupe.
Bref, tout est sur le repo si le reverse-engineering de watermarks IA, ça vous branche !