Je ne sais pas si vous connaissez David Catuhe, mais c'est le créateur de Babylon.js, un moteur de rendu 3D pour le Web qu'il pilote depuis chez Microsoft, et accessoirement une vielle connaissance. Ça faisait un bail qu'on ne s'était pas parlé alors quand il m'a écrit pour me présenter son jeu, avec en bonus une clé pour tester la version complète encore en bêta, j'ai sauté dessus. Donc voilà, vous êtes prévenus, c'est le test d'un copain... mais un test qui je l'espère sera honnête.

Ce jeu, c'est CottageCore , un jeu de construction cosy où vous construisez librement votre village dans une clairière avant de pouvoir ensuite le regarder prendre vie. Les villageoises s'installent, vous leur choisissez un métier parmi une quinzaine, les animaux y vivent leur meilleure vie et les saisons défilent jusqu'à l'hiver. Ça se joue en mode Créatif, sans aucune limite, ou en mode "Dieu de la clairière", où cette fois accueillir du monde coûte du mana.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Et franchement, c'est très chill. La musique est top (David précise que l'art et la musique sont faits par des humains, l'IA ne l'ayant aidé que pour le code) et les modèles 3D sont super jolis. On règle les proportions des maisons et des tours, leurs matériaux, leurs couleurs, la forme des toits, et on peut même les faire flotter sur des nuages.

La place du village, avec sa fontaine, ses villageoises et ses poules qui se baladent

Mais ce que j'ai préféré dans ce jeu, c'est que les bâtiments peuvent gagner une fonction. Par exemple, vous partez d'une simple maison, vous lui ajoutez des tours, et si vous remplissez les conditions de sa recette, elle deviendra alors un beau château ou une jolie église.

Mon château sur son rocher, et à droite la carte de recette avec ses conditions encore à faire

Par contre, ces conditions ne sont pas toujours claires, et construire n'est pas si simple. Pour le château par exemple, il faut surélever le terrain, et chez moi ça ne marchait pas bien, sans que je comprenne pourquoi. David a pourtant déjà retravaillé ces cartes fin octobre puisqu'un clic sur une condition non remplie la met en évidence et vous indique quoi faire. Donc si vous bloquez, cliquez sur la ligne qui coince.

Une alerte réclame plus de nourriture pour l'hiver pendant que je bataille avec le château (capture : Korben)

Après, c'est une bêta, donc faut être indulgent et je suis certain que David qui découvrira cet article en même temps que vous corrigera ces quelques derniers accrocs. Pendant le tuto, les alertes passaient aussi parfois devant les bulles d'explication. Le jeu m'a aussi un peu fait laguer, rien de grave, et m'a proposé de lui-même de quitter le mode haute qualité pour passer en mode performance.

En plein tuto, l'alerte de baisse d'images par seconde passe devant et propose la qualité Normal

Côté technique, le jeu est écrit en TypeScript, son rendu passe par Babylon Lite en WebGPU, et la version Steam emballe tout ça dans Electron. Et l'idée ne date pas d'hier puisque David m'a raconté que tout avait commencé en Silverlight 5, sous le nom de code de Worldmonger, auf qu'à l'époque, il ne savait pas encore dessiner, donc c'était, je cite, "moche comme un cul".

Mon petit village vu de haut, avec son rempart crénelé et le château au bord de la rivière (capture : Korben)

Voilà, si ça vous tente, la démo est gratuite sur Steam depuis le 3 novembre, dispo sous Windows, macOS et Linux, avec une petite clairière et cinq métiers seulement. Sur Mac, il vous faudra une puce M3 minimum sous macOS 14, et sur PC, Windows 10 avec une GTX 1660 ou une RX 5500 XT.

Et comme le jeu sortira en français le 14 avril 2027, d'ici là, il a laaarrrgeeemmment le temps de se bonifier et de voir ces petits défauts de jeunesse être corrigés !

Voilà, si vous avez envie de vous détendre une heure ou deux pour bichonner votre petit village, allez faire un tour dans la clairière de David !

Vous vivez au fin fond de la Creuse ? Dans un van aménagé ou sur un bateau ? Ou dans un village où la 4G arrive avec la grâce d'un escargot asthmatique ? Si c'est le cas, vous avez peut-être dégainé le porte-monnaie pour une antenne Starlink. Le résultat ? 150 Mbps tombés du ciel, littéralement, depuis des satellites qui filent à 27 000 km/h à plus de 500 km d'altitude. Votre terrasse est devenue une station de réception de signaux spatiaux. Le rêve. Sauf qu'il y a 3 trucs qu'on a oublié de vous dire au moment de l'achat.

Déjà, Starlink c'est un FAI américain comme un autre. Et comme tout FAI, il peut voir les sites que vous visitez. Même SpaceX. Ce qui laisse la possibilité que vos habitudes de navigation puissent être partagées avec les autorités US si un mandat pointe le bout de son nez.

Ensuite, le géant américain utilise du CGNAT (Carrier-Grade NAT) ce qui veut dire que vous partagez une IP publique avec une flopée d'inconnus. Votre antenne perso n'a donc pas son adresse IP personnelle. C'est de la mutualisation d'IP, en quelque sorte. Vous ne connaissez pas vos colocataires, par contre vous subissez leur réputation. Si l'un d'eux s'est fait griller en train de spammer ou de scraper, c'est l'IP entière qui se fait flagger. Ce que ça change vraiment ? Vous allez voir popper les CAPTCHAs qui vous demandent de cliquer sur les feux de circulation douze fois de suite, votre banque qui vous bloque "par sécurité" ou encore des sites de streaming qui vous balancent parce que votre IP partagée pue à plein nez. Et vous pouvez vous brosser pour du réacheminement de port si vous vouliez héberger quoi que ce soit.

Enfin, votre routeur Starlink tout neuf ne sait pas parler le VPN. Pas de client, pas de passthrough, que dalle. Elon vous a vendu l'internet de l'espace, sauf qu'il a oublié la couche chiffrée qui va avec.

Maintenant qu'on a établi le diagnostic, la solution n'est pas non plus la plus compliquée à trouver : un VPN. Sauf qu'à l'inverse d'un simple desktop ou laptop, on ne peut pas se tourner vers le premier venu. Parce qu'un satellite a quelques contraintes à prendre en compte.

Les 11000+ satellites Starlink. Source : https://satbeams.com/

Le satellite, c'est fantastique, sauf pour la latence

Dès le moment où votre antenne communique avec un satellite en orbite basse, vous partez déjà avec 25 à 60 ms de latence avant même d'avoir ouvert un onglet. Et très souvent la connexion saute d'un satellite à l'autre toutes les 4 à 15 minutes, comme une antenne de radio qui zappe entre deux fréquences. Si vous ajoutez un mauvais VPN par-dessus, c'est la catastrophe. Par exemple OpenVPN, c'est encore 30 à 50 ms en plus et une baisse de débit de 20 à 30%. Autant dire que votre visio va vite ressembler à une retransmission des premiers pas sur la Lune (1969 pour ceux qui ne savent pas).

Avec le protocole WireGuard c'est déjà un peu mieux. On parle de 10 à 20 ms seulement et d'une perte de débit de l'ordre de 10-15%. Après tous ces chiffres dépendent de plusieurs éléments comme le matériel, le serveur VPN, la charge, le protocole, le réseau et les conditions radio. Mais jusqu'à preuve du contraire c'est le protocole à choisir sur satellite.

Et c'est là que Surfshark tombe plutôt bien puisque leur implémentation du protocole est non seulement rapide et est désormais post-quantique de bout en bout (ML-KEM pour l'échange de clés et ML-DSA pour l'authentification). Ces certificats post-quantiques que même Apple et Microsoft n'ont pas encore activés dans leurs applis grand public. Vous allez me demander pourquoi c'est important dans le cas présent ? Et bien tout simplement parce que sur une connexion satellite, votre trafic passe littéralement par les airs, interceptable par n'importe quelle agence avec un budget. Ça sonne un peu science-fiction, mais c'est une réalité. Donc autant que les paquets qui vous sont volés aujourd'hui restent illisibles même dans 10 ans lorsque le quantique sera réalité (s'il l'est d'ici là).

Une autre fonctionnalité qui prend tout son sens sur Starlink : le kill switch. Chaque fois que votre antenne change de satellite, la connexion peut vaciller même juste une fraction de seconde. Sans l'option kill switch, votre trafic va alors transiter en clair pendant ce court laps de temps. Avec l'option activée, la fuite est fermée nette jusqu'au retour du tunnel chiffré. Sur une connexion qui saute d'une machine spatiale à une autre toutes les quelques minutes, ce n'est pas du luxe, c'est de la plomberie de base (rapport à la fuite).

Pourquoi Surfshark marche particulièrement bien sur Starlink

Alors oui, je sais, je vous entends d'ici : "Korben, tu nous vends Surfshark depuis le début de l'article". C'est pas faux, mais il faut dire aussi que pour ce cas d'usage précis, le requin coche des cases que les autres ratent parfois de loin :

• Il supporte un nombre d'appareils illimité. Et une connexion Starlink, c'est rarement un seul appareil. C'est le PC, le téléphone, la tablette, la smart TV, la console, le NAS et même très souvent toute une tribu ... ou un village entier. Chez Surfshark, vous connectez tout ça sans compter. De quoi faire tourner 7 appareils simultanés en 4K sans broncher.
• L'outil CleanWeb , leur bloqueur de pubs et trackers intégré. Dans des échanges avec un satellite, chaque méga compte (surtout que Starlink a des règles d'usage équitable). Si vous supprimez la couche publicitaire, c'est du débit récupéré gratuitement.
• 4500+ serveurs répartis dans plus de 100 pays, dont la France. On sait qu'un serveur proche cela va diminuer la latence. Et la latence c'est pas mal important comme on l'a vu plus haut. Disposer d'un serveur à moins de 500 km c'est quand même mieux que de devoir joindre l'autre bout du monde.
• Une politique no-logs qui a été auditée plusieurs fois au fil des années et des serveurs 100% RAM qui s'effacent régulièrement.

Et si vous voulez ajouter une couche, vous pouvez faire changer votre IP toutes les cinq minutes (rotation d'IP), pour brouiller encore plus la corrélation entre vos sessions. Sur une IP partagée qui peut déjà partir en quarantaine régulièrement, disposer de sa propre IP VPN qui tourne, c'est plutôt sympa.

2 méthodes d'installation, facile et moins facile

N'importe qui peut utiliser la méthode classique puisqu'elle est faite pour 95% des gens et prend 5-10 minutes chrono. D'abord vous allez commencer par installer l'appli Surfshark sur chacun des appareils que vous voulez protéger (la base). Il n'y a pas de routeur à toucher, pas de bypass mode, rien. Ça marche immédiatement avec le routeur Starlink d'origine et c'est ce que fait la quasi-totalité des utilisateurs Starlink. Franchement, ça suffit pour la plupart.

Mais il y a aussi le style main dans le cambouis si vous voulez protéger automatiquement chaque appareil qui se connecte à votre réseau (y compris la TV du camping-car du beau-frère). Pour ça vous allez passer le routeur Starlink en mode bypass histoire de le transformer en simple modem. Puis vous allez brancher derrière celui-ci un routeur tiers compatible VPN. Par exemple un GLiNet qui fait très bien l'affaire, sinon un ASUS avec firmware adapté. Là, tout le trafic du foyer passe dans le tunnel par défaut. C'est plus propre et plus fun, mais ça demande un adaptateur Ethernet Starlink, un routeur supplémentaire et au moins une bonne tasse de café.

Et si ça rame ?

Avoir de 10 à 30% de perte de débit avec un VPN passant par satellite, c'est plutôt normal et vous allez devoir l'accepter. Par contre si vous avez des résultats plus mauvais que ça, essayez de trouver un serveur plus proche, activez le protocole WireGuard (si ce n'est pas déjà fait) et désactivez éventuellement le MultiHop. Et si le VPN décroche au moment des changements de satellite, c'est que le kill switch fait bien son boulot donc ne vous énervez pas.

Au final il faut se rendre compte que vos données suivent des satellites qui filent à toute vitesse, que vos paquets traversent l'atmosphère et que vous partagez votre IP avec des inconnus dont vous ignorez tout. Vous voyez donc assez vite que chiffrer le tout avec un VPN post-quantique ce n'est pas être complètement parano. C'est juste logique. Vous avez relié votre maison à l'espace, autant que l'espace ne sache pas ce que vous regardez le soir.

Et le tarif actuel ? Pour le Black Friday (et jusqu'au 30 novembre), l'abonnement Starter est à 2,49 € HT/mois sur 27 mois (incluant 3 mois offerts). Pour sécuriser un kit à 400 balles (prix moyen, un peu moins cher le Mini) et tout le foyer qui en dépend, c'est le prix de 2-3 croissants par mois. Même le banquier qui vous bloquait "par sécurité" il y a cinq minutes ne peut plus vous faire de reproche !

Profitez de l'offre Black Friday 2026 !

Le premier Wing Commander, celui qui tournait sous DOS, peut maintenant êtré joué en coop dans votre navigateur, chacun le cul posé dans son chasseur. Suffit simplement d'entrer un petit code pour rejoindre un salon et retrouver votre ailiers intergalactique pour une partie endiablée.. Et ce n'est pas un remake puisque c'est le jeu d'origine qui tourne dans un DOSBox compilé spécialement pour le web, avec donc ce mode multijoueur greffé dessus à force de rétro-ingénierie.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Si vous voulez tester, vous devrez donc vous rendre sur la page du jeu et y glisser-déposer l'installeur GOG de Wing Commander ou un zip de son dossier. Tout est ensuite décompressé localement dans le navigateur sans que vos fichiers ne soient téléversés nulle part, et surtout ils y restent pour la prochaine fois. Ensuite vous entrez le code de salon et un indicatif, vous envoyez le lien à votre pote, et le premier pilote arrivé lance la partie pour tout le monde ! Ça se joue à deux, ou à trois si l'hôte ouvre un siège de plus, soit au clavier, soit à la souris ou à la manette.

Cet exploit a été réalisé par 2 frères, Daniel et Patrick, qui gamins jouaient déjà à deux sur le même vaisseau, l'un aux commandes, l'autre aux lasers et à la postcombustion, en rêvant de voler côte à côte. Puis en octobre 2015, Daniel qui était en train de jouer dans DOSBox se dit que ce serait carrément possible de retrouver les coordonnées de son vaisseau et celui d'un allier dans les fameux 640 Ko de mémoire. Et s'il retrouve ça, il pourra piloter l'allier via le réseau...

Alors il se met au boulot, copie la mémoire vaisseau à l'arrêt, donne un petit coup d'accélérateur, et compare avec le résultat... Et voilà comment des années plus tard, à force de jouer avec le debugger de DOSBox et de reverser la mémoire, ils arrivent en 2017 à mettre au point un protocole réseau avec le meneur qui envoie la position de chaque vaisseau à chaque image.

Seulement, pour y jouer, il fallait retrouver le jeu, récupérer une version bricolée de DOSBox, s'échanger ses adresses IP et ouvrir des ports sur les firewalls... Bien relou donc... Et le projet s'est donc endormi sur GitHub.

Mais l'IA est arrivée et a permis à Daniel et son frère de ressortir le jeu avec une communication WebRTC, jouable directement dans le navigateur ! Comme quoi, il ne suffit pas de grand chose pour dépoussiérer de grandes idées ! Les frangins se sont même un peu enflammés et on ajouté dans le jeu un chat vocal !

Bref, le mieux c'est encore de tester ça avec vos amis. En plus comme c'est la GRÊVE GÉNÉRALE !!, vous aurez un peu de temps pour lancer ça sur Chrome (oui Firefox et Safari, ça n'a pas été testé donc je ne sais pas ce que ça donne).

Ah et notez aussi que le dépôt du projet annonce aussi Wing Commander II en multi, et les sources sont sur GitHub pour ceux qui voudraient héberger leur propre salon.

Ne vous reste plus qu'à trouver votre ailier !

Vous venez de télécharger un jeu de 180 Go compressé en ZIP ou en 7z (Merci FitGirl ! ^^), et une fois décompressé, il viendra squatter 200 Go. Logique... Sauf que comme le savez également, WinRAR, 7-Zip ou unzip ont besoin de conserver l'archive pour la décompresser jusqu'au bout. Du coup, au final, cette archive compressée + tous les fichiers extraits en même temps sur le disque, et bien vous vous retrouvez avec 380 Go au total.

Donc si comme moi vous êtes toujours à court de place parce que "les nouveaux modèles à tester sur Ollama, tu connais", voici peut-être LA solution du tur-fu !

C'est en tout cas la mission que s'est donné HatchZip , un extracteur gratuit et open source pour Windows, macOS et Linux, qui s'utilise en GUI (interface graphique) ou en ligne de commande. Lui en décompressant votre archive se contentera d'un peu plus de 200 Go et pas de 380 Go parce qu'avec lui, l'archive rétrécit au fur et à mesure que les fichiers en sortent. Et quand il a terminé, hé bien il ne reste plus que les fichiers extraits !

L'archive de 180 Go se vide par la fin pendant que le dossier du jeu se remplit

Comme un ZIP ou un 7z range son index tout à la fin du fichier, HatchZip commence par le mettre de côté dans un petit fichier, puis il extrait les morceaux en partant du dernier. Après chaque fournée, il ampute alors l'archive à l'endroit où commençait cette fournée, et la place libérée sert alors aux fichiers suivants.

Voici comment le lancer en ligne de commande (avec la phase de check pour voir si ça tiendra sur votre disque)

hatchzip check game.zip
hatchzip extract game.zip

Bien sûr, si vous faites Ctrl+C, HatchZip terminera de s'occuper des fichiers qu'il est en train d'écrire, enregistrera sa progression et s'arrêtera. Pareil après un plantage ou une coupure de courant. Mais il suffit alors de relancer la même commande pour qu'il reprenne là où il en était. Et si vous changez d'avis, hatchzip restore refera une archive "normale" avec ce qui n'a pas encore été extrait (ce sera donc ouvrable classiquement par 7-Zip, WinRAR ou unzip sauf pour un RAR ayant ses noms de fichiers chiffrés).

Côté formats, il lit le ZIP, le 7z, le RAR, le tar, le .tar.gz, le .tar.xz et les archives découpées en .001, .002, etc., dont il supprime chaque volume dès qu'il est vidé. Un .tar.gz ou un .tar.xz, lui, se décompresse depuis le début, et HatchZip n'en rend la place qu'en "poinçonnant" le fichier, ce qui n'est pas encore vérifié sous NTFS et APFS. Et un .tar.xz fait d'un seul bloc, lui, est carrément refusé dès le départ.

Par contre, un 7z lui aussi compressé en un seul gros bloc solide exigera de la place libre pour ce bloc entier, car il ne pourra être libéré qu'une fois complètement extrait. Et un RAR solide ne passe qu'avec --keep-archive, autrement dit en extraction classique qui conserve l'archive.

Après, n'oubliez pas que cet outil détruit ce qu'il lit, donc ayez toujous une copie récupérable de ce que vous décompressez. Et prenez la dernière version, uniquement sur hatchzip.dev ou sur GitHub (hatchzip.com n'a rien à voir avec le projet), et ajoutez y --verify-first quand l'archive ne peut pas être retéléchargée car ça lui permet de contrôler alors la somme de chaque fichier avant d'effacer quoi que ce soit.

HatchZip est sous licence MIT / Apache 2.0, et c'est, je pense à garder sous le coude pour le jour où votre SSD criera famine (ce qui le cas du mien tous les jours) !

Source : HatchZip sur GitHub

Google vient de publier un long rapport technique dans lequel il explique comment il vient de démanteler XCPE, un botnet de plus de 1,3 million d'appareils Android, contenant surtout des box TV, qui sous louaient en douce la connexion de leurs propriétaires à des services de proxys résidentiels et servaient à faire de la fraude publicitaire. Le pire c'est que ce malware n'a pas été ajouté par un pirate mais était implanté directement dans le firmware, posé là par Videostrong, un fabricant chinois qui revendait ensuite l'accès aux box à des affiliés.

Google a donc attaqué en justice les domaines et les serveurs qui pilotaient le botnet, avec la police nationale japonaise et plusieurs entreprises de sécurité, dont Plume, Synthient et TrendAI, puis il a banni Videostrong, ainsi que ses futures filiales, de la fabrication d'appareils Android certifiés. Pour passer les tests de certification, le fabricant avait masqué son code malicieux et attendu ensuite le premier démarrage de l'appareil pour le charger discrétos. La faille a été corrigée par Google depuis...

Mais et les box déjà vendues, alors ?

Hé bien le billet de TrendAI est cash patate, la coupure a privé l'opérateur de ses commandes, mais l'implant reste sur chaque box / TV, et son nettoyage passe par le fabricant, par la plateforme ou par le remplacement de l'appareil. Le propriétaire n'a pas la main !! D'après Google, x.cpe tourne avec les droits système depuis la partition firmware et, si on le désinstalle, il se réinstalle tout seul au redémarrage depuis la partition /oem, donc autant dire que les propriétaires de ces appareils l'ont dans l'os.

Car sans pilote au manettes, ça ne veut pas dire que le malware est devenu inoffensif. En effet, Plume a épluché le code et les ordres circulent en MQTT sans chiffrement, donc n'importe qui capable de publier une commande peut la faire exécuter par la box. Et comme le contrôle de mise à jour passe en HTTP avec un fichier XML non signé, celui qui détourne le DNS du serveur peut alors prendre la main sur l'appareil easy... Quand au module LinkFog présent sur les TV, celui-ci relance ses tâches tout seul au redémarrage, sans attendre le serveur. Puis surtout, ce genre d'opérateur mafieux est tout a fait capable de reconstruire son infra ailleurs sous une autre bannière et de récupérer son botnet quasiment intact...

Mais alors comment savoir si votre TV ou Box Android est impactée ? Car aucune marque spécifique n'a été citée comme étant à éviter, puisque Google a trouvé le malware intégré dans de nombreux modèles et marques. Cela représente tout de même 206 modèles répartis dans plus de 170 pays. La liste publiée par Synthient et le rapport de Plume citent par exemple des MECOOL, dont la KM2 et la KM9 Pro, et la Strong Leap-S1, et le parc mêle des appareils AOSP et des appareils certifiés Google, donc la certification ne suffit plus du coup à garantir une box saine.

Côté parade, Plume recommande un reset d'usine complet, parce que des modules ont pu déposer d'autres portes dérobées, alors que Synthient conseille de se débarrasser définitivement de ces box, jugées à haut risque de contenir d'autres malwares. À mon avis, le reset seul ne suffira pas, vu que x.cpe est dans le firmware et pas dans les données, donc l'option déchetterie, c'est aussi ce que je recommanderai malheureusement.

Et côté Google, les mesures annoncées sont la mise en place d'un bannissement du fabricant et des contrôles renforcés pour que ça ne se reproduise pas. On verra si ça a un impact ou si les escrocs trouvent une nouvelle faille dans leur processus de certification.

Breeef, en attendant, Synthient conseille de débrancher les appareils suspects et de changer le mot de passe du Wi-Fi. Si votre box est sur la liste, c'est le minimum, mais vu ce que ça peut faire, moi je ne la rebrancherais pas à votre place...

Source : Krebs on Security

La fintech britannique Revolut affirme avoir réduit d'environ 90 % sa facture d'IA de codage en moins d'un an, en remplaçant les outils commerciaux comme Claude Code, l'assistant de programmation d'Anthropic, par un modèle chinois hébergé sur ses propres serveurs.

David Abitbol, qui dirige l'infrastructure de la banque en ligne, a raconté la bascule lors d'une conférence à New York. Ses 2 000 ingénieurs sont passés de Gemini début 2025 à Claude Code début 2026, avant d'adopter GLM, un modèle ouvert développé par le chinois Z.ai et utilisé aujourd'hui en version 5.3.

Le calcul est vite fait. Auto-hébergé, GLM revient à 0,30 dollar le million de tokens, ces unités de texte que les fournisseurs d'IA facturent à la consommation, soit à peu près dix fois moins que Claude Code ou que Codex, son équivalent chez OpenAI. Certains développeurs coûtaient jusqu'à 10 000 dollars par mois, pour un retour jugé décevant en interne.

Le tout tourne sur 56 cartes graphiques Nvidia B200 installées chez Revolut. Plutôt que d'empiler les cartes, les équipes ont surtout gratté de la performance avec des réglages fins, comme la compression du modèle ou la séparation des différentes phases de calcul.

Côté performances, la première réponse tombe en moins de 3 secondes et le système sort environ 200 tokens par seconde, et même 800 le soir quand les bureaux se vident. Au-delà de 5 secondes d'attente, les plaintes pleuvent en interne.

La vraie surprise est ailleurs en fait. Les plus gros gains ne viennent pas de l'écriture de code mais du débogage et du traitement des tickets Jira et Confluence, ces outils de suivi de projet que tout le monde adore détester. Le temps de codage se serait quand même amélioré de 60 %.

Et puis il y a l'effet psychologique. Avec des tokens illimités en interne, les ingénieurs ne rationnent plus leurs requêtes pour tenir le budget du trimestre, et la facture ne réserve plus de mauvaise surprise en fin de mois. Les modèles commerciaux restent accessibles pour les cas particuliers, les tâches visuelles partent par exemple chez Gemini.

Un modèle chinois au coeur d'une banque, la question fâche forcément. Abitbol balaie. Hébergés en local ou sur un cloud régional, les poids du modèle ne font selon lui courir aucun risque, le danger serait plutôt de passer par des API hébergées on ne sait où.

Les fenêtres d'un million de tokens que vendent les gros acteurs du secteur sont à ses yeux "une arnaque", 256 000 suffisent largement à coder. Tout le marché vend exactement l'inverse depuis deux ans.

Source : Theregister

Google a annoncé mardi que Gemini, Gemini Notebook et même son moteur de recherche seront désactivés par défaut sur les comptes des élèves américains, de la maternelle au lycée, tant que les administrateurs scolaires ne les auront pas activés eux-mêmes. Les nouveaux réglages arriveront dans les prochains mois, pour une bascule prévue début 2027.

Présenté comme ça, le geste ressemble à une concession faite aux enseignants. Le détail qui fâche est sorti dans le New York Times, où Chris Phillips, le responsable de l'éducation chez Google, a confirmé qu'une école qui refuse l'IA perdra du coup l'accès à Search, parce que la recherche et l'IA sont maintenant profondément intégrées, selon ses propres mots. Les élèves verront simplement un message leur expliquant que le service n'est pas disponible.

Devant les critiques, Google a publié le soir même une mise au point sur X pour assurer que l'annonce donne aux écoles plus de choix, pas moins, et que chaque service peut être activé individuellement, un, deux ou les trois.

Sauf que cette réponse esquive le vrai sujet. Activer la recherche revient à accepter les résumés d'IA affichés en haut des résultats, puisque Google ne propose aucune version du moteur qui en serait débarrassée. La configuration que réclament beaucoup de profs, garder la recherche pour apprendre aux élèves à trouver des sources tout en bloquant les réponses toutes faites, n'existe tout simplement pas au catalogue.

Google sait pourtant ce que coûte la méthode forte. En août, des fonctions d'IA activées d'office dans Classroom avaient mis les enseignants américains en colère, et la firme avait fait machine arrière.

Les Chromebooks et les outils Google équipent une part énorme des écoles américaines, et un district scolaire ne remplace pas son moteur de recherche du jour au lendemain.

Pour les établissements qui diront oui, Google met en avant Guided Learning, un tuteur qui décompose les exercices étape par étape au lieu de donner la réponse, histoire de limiter la triche. Les enseignants pourront même consulter les transcriptions des conversations entre les élèves et le chatbot.

Le calendrier est quand même osé. New York et Los Angeles ont voté en septembre un moratoire d'un an sur l'IA générative dans leurs écoles publiques, et l'État de New York interdit depuis la semaine dernière certaines fonctions de chatbot aux mineurs.

Source : TechCrunch

Comme vous le savez, je m'amuse beaucoup avec l'IA en ce moment. Bon, j'en cause surtout sur mon Patreon parce que sinon, je vous saoulerai grave avec toutes mes expériences mais ça c'est un truc que je tenterai bien à l'occasion. Je vous explique...

Cette semaine, 4 chercheurs du MIT CSAIL, Rikiya Takehi, Jayden Teoh, Alex Zhang et Omar Khattab, ont expliqué sur leur site comment ils ont demandé à GPT-6 Astra, le modèle d'OpenAI, de rendre Qwen3.5-0.8B meilleur en maths en retouchant directement ses poids, sans la moindre descente de gradient.

Et non seulement, l'IA d'OpenAI y est parvenu, mais en plus, le chiffre claque puisque le score sur MATH-500 de ce Qwen est passé de 7,9 % à 48,1 % suite à une modification par Astra de seulement 131 072 poids sur 0,8 milliard, soit 0,016 % du modèle.

Pour ceux qui arrivent (en armure comme Diam's ^^), les poids d'un réseau de neurones, c'est l'IMMENSE liste des nombres que l'entraînement ajuste petit à petit, et que presque personne ne sait ensuite retoucher à la main. C'est d'une telle complexité ! Mais avec un petit budget et 50 passes pour regarder comment le modèle répond à ses retouches, Astra lui à réussi !

Le point de départ des chercheurs, c'est que Qwen tournait en rond sur les problèmes de maths. Ainsi sur ses 96 premières réponses d'entraînement, 85 pédalaient dans la semoule jusqu'à atteindre la limite des 32 768 tokens et donc sans livrer de solution... Snif... Astra a donc remonté ces boucles une par une jusqu'à une direction écrite par les couches 15 et 19 du modèle, puis il l'a soustraite des poids. Et voilà comment la part des réponses interrompues à cause de cette limite en token est tombée de 93 % à 33 %.

Alors, Qwen est-il vraiment devenu bon en maths grâce à Astra ?

Hé bien pas vraiment, et ce sont les auteurs eux-mêmes qui le disent dans leur papier. En fait, réparer des boucles permet surtout au modèle de finir des réponses qu'il savait déjà trouver. Ils ont d'ailleurs refait l'essai sur Gemma 3 270M, un modèle qui boucle rarement, et là, aucune des retouches d'Astra n'a fait bougé le score MATH-500 de plus d'un point. Voilà, donc contrairement aux grandes annonces que j'ai pu lire de ci, de là, retoucher les poids de Qwen a juste permis de lever un obstacle qui cachait une capacité existante, mais n'a en aucun cas ajouté une capacité qui manquait.

Cette expérience a ensuite été refaite par Jonathan Coletti, sur Hugging Face, qui a réévalué les poids publiés avec le prompt, les réglages et le correcteur des auteurs. Et il est passé d'un Qwen à 7,4 % à un Qwen à 50,2 % après, réflexion activée bien sûr (le mode "Thinking" quoi). Ça confirme donc bien le papier.

Mais Jonathan a aussi tenté le coup avec le mode réflexion coupé et là, la retrouche a fait perdre au modèle un peu plus de 2 points.

Quoiqu'il en soit, cette retouche peut se rapprocher de l'effacement d'une direction dans les poids, ce qui en gros est la recette de l'abliteration qu'utilisent déjà ces outils qui virent la censure des LLM . Astra serait donc potentiellement capable de lever des limites sur des modèles open source (dont les poids sont dispo)... Intéressant non ?

Voilà, donc si vous faites tourner ce petit Qwen chez vous et que vous optez pour cette version retouchée par Astra, activez bien ce mode Thinking car avec lui, le modèle aura la bosse des maths !

Source : Sparks of Weight-Space Programming

Les amis, insomnie depuis 3h du mat (ouais j'ai des soucis ^^), alors quoi de mieux que de bosser un peu ! J'avais cet article en brouillon depuis hier et comme j'ai trouvé ça super joli, je vous en parle ! Il s'agit de DiscImageStudio qui est un logiciel qui permet de transformer une image en données à graver sur un CD, un DVD ou encore un BD-R pour les plus riches d'entre vous, et une fois le disque écrit, hé bien votre dessin apparaît à l'œil nu sur sa surface.

Regardez-moi ça comme c'est beau :

Un dessin gravé par DiscImageStudio

L'idée n'est pas nouvelle puisqu'elle vient du projet CDImage , dont l'auteur avait jeté l'éponge en 2008 parce qu'il fallait calibrer l'image pour chaque marque et chaque type de disque. DiscImageStudio est donc reparti de ce code d'entrelacement pour les CD, et y a ajouté le DVD et le BD-R simple couche de 25 Go (ce dernier en mode expérimental...).

Sous Windows, vous importez donc votre image, vous faites vos petits réglages au niveau des calques, vous réglez le tramage, et puis vous exportez le tout ou vous gravez ça direct.

Pour un CD, ce qui est exporté c'est un WAV accompagné de son CUE (cdrecord ou ImgBurn savent le graver), et si c'est c'est un DVD ou un BD-R, ce que vous aurez à l'export c'est une ISO. Et vous pouvez même ajouter un dossier contenant quelques fichiers sur l'anneau intérieur ou extérieur du disque afin qu'il y ait quand même quelque chose de lisible dessus. Et dans ce cas, l'export CD sera là aussi une ISO de données.

L'onglet de conception, avec calques et tramage

Le vrai casse-tête étant la géométrie propre à chaque référence de disque (et c'est ça la raison de l'abandon de CDImage comme je vous le disais plus haut), DiscImageStudio embarque 5 préréglages calibré sur 3 modèles Verbatim, et 2 Ritek.

Pour un autre modèle de disque gravable, il faudra donc passer donc par une calibration assistée. En gros, vous gravez une mire, vous la photographiez, vous marquez une ligne à la main, et le programme cherche alors les paramètres qui la "redressent". Mais le résultat peut être hasardeux donc vérifiez bien la courbe prédite sur votre photo avant d'appliquer les paramètres.

Côté système, l'interface, calibration et gravure directe comprises, exige un Windows 10 2004 ou plus récent. Sur Mac et Linux, la version 1.3.6 sortie récemment dispose d'un mode expérimental en ligne de commande qui génère seulement les images disque, et c'est ensuite à vous de les graver, par exemple en ligne de commande ou avec le logiciel de votre choix.

Voilà, si vous avez des disques vierges dont vous ne faites rien et que vous n'avez pas peur d'en gâcher, ça peut vous faire de jolis éléments de déco.

Source : DiscImageStudio sur GitHub

Il m'aura fallu attendre un déménagement pour comprendre à quoi servait vraiment un télémètre laser , et depuis que celui de HOTO traîne à la maison, je mesure à peu près tout, y compris ce qui n'en a aucun besoin. La marque vient de l'écosystème Xiaomi, elle fabrique de l'outillage grand public plutôt joli, comme cette visseuse que je vous ai déjà montrée, et ce petit boîtier mesure tout ce qui passe entre 5 centimètres et 30 mètres, à 2 millimètres près.

36 grammes. Voilà ce que pèse l'engin, à peine 7 centimètres de long, rechargeable en USB-C (le câble est dans la boîte si vous n'en avez pas, mais je ne vous croirez pas), et il se glisse du coup dans une poche sans qu'on y pense.

Le fonctionnement est on ne peut plus simple, on cale l'appareil contre un mur, on appuie, et la distance jusqu'à la paroi d'en face s'affiche en une petite seconde sur un écran OLED qui se lit aussi bien en plein soleil que dans une cave.

Chez moi, il a servi à tout. Vérifier qu'un canapé de 2,40 mètres passait entre la fenêtre et le radiateur du salon, mesurer la hauteur sous plafond sans monter sur une chaise, recalculer la surface d'un couloir à repeindre parce que le pot de peinture promettait 10 mètres carrés et que je n'y croyais pas une seconde.

En visite d'appartement, vous relevez les cotes des pièces l'air de rien pendant que l'agent immobilier déroule son argumentaire, et vous savez avant de signer si l'armoire normande héritée de la mamie rentrera dans la chambre.

La mesure se prend au choix depuis l'avant ou l'arrière du boîtier, un détail qui n'en est pas un, puisqu'on plaque l'engin au fond de la niche du lave-linge et qu'on obtient la largeur exacte sans tordre quoi que ce soit dans l'angle. On peut aussi changer l'unité de mesure, mais a priori vous devriez rester sur le système métrique.

La batterie, je l'ai rechargée une fois en un mois, par acquit de conscience plus qu'autre chose.

Comptez une trentaine d'euros, parfois moins en promo, et à ce prix je ne vois pas bien ce qu'on peut lui reprocher, la visée est précise, la prise en main immédiate, et l'objet fait son petit effet quand vous le sortez devant un pote en plein montage de meuble.

La bête est disponible par ici sur Amazon , et croyez-moi, il va vous servir un paquet de fois.

Samedi, pendant que vous étiez tous en manif, Andrej Karpathy a demandé à Claude de lui fabriquer un YouTube à partir de toutes les merveilleuses vidéos que les gens se recommandent sur HackerNews et ça a donné naissance à HackerTube . Déjà rien que ça c'est top !

Mais moi ce qui m'a encore plus c'est que le lendemain Roansh a fait pareil avec les bouquins en laissant Claude coder HackerBooks .

Et voilà comment on se retrouve avec une bibliothèque de 15 766 livres tirés de 281 363 mentions HN publiées depuis 2007. Et un livre n'y figure que s'il a été cité par au moins 2 personnes différentes. Ensuite chaque fiche renvoie aux commentaires qui en parlent et il y a même des suggestions à la "For You" qui vous fait des propositions raccord avec vos goûts selon ce que vous avez ouvert comme fiche.

Ensuite, l'IA a fait un tri pour distinguer les citations des recommandations. Par exemple The Art of Computer Programming de Knuth cité par 1 125 personnes mais recommandé par 336, alors que How to Win Friends and Influence People de Dale Carnegie en compte 579.

Y'a même Mein Kampf, le livre préféré de ceux qui ont été bercés trop prêt du mur, qui a été cité (je pense pour la blague) par 535 personnes mais a été fièrement recommandé quand même par 15 personnes.

Bien sûr, on ne peut pas télécharger les livres gratuitement dessus. Ça renvoie vers Amazon et compagnie. Mais ça permet de prendre un petit peu la température sur les classiques, organisés dans différentes rubriques comme fiction, programmation, mathématiques, philosophie, fantaisie, etc.

Et si votre livre préféré manque à l'appel, ou si Claude l'a confondu avec un autre, n'hésitez pas à le signaler à roansh

Source : HackerBooks sur Hacker News

Je suis rentré de vacances hier et je pensais me remettre rapidement à écrire mais de l'administratif en retard en a décidé autrement... Mais peu importe, d'autres ont des soucis plus importants, vous allez voir...

En effet, ce 1er novembre, à 22 h 47 précisemment, l'appli ukrainienne Air Alert, utilisée pour alerter les Ukrainiens afin qu'ils se mettent à l'abri, s'est mise à envoyer n'importe quoi !! Alerte aérienne critique sur tout le pays, et pour les habitants de Kiev en cadeau bonus une menace radiologique, une attaque chimique et des combats de rue.

L'un des messages, écrit en russe, annonçait même une alerte nucléaire imminente en ajoutant que c'était l'Oreshnik, un missile russe, qui arrivait... brrrrr les gens ont du tellement flipper. D'après un communiqué ukrainien relayé par la BBC, le signal "radiation" s'est aussi déclenché sur des haut-parleurs de la région de Lviv au nord de l'Ukraine. Heureusement, très rapidement les développeurs ont coupé les notifications push et ont suspendu l'appli.

Les alertes (écrites en russe !!) reçues par les Ukrainiens (source : BBC)

Quelques heures plus tard, tôt ce matin, c'était au tour du ministère russe des Situations d'urgence d'annoncer une "cyberattaque massive" sur sa propre appli. D'après le Kyiv Post , ces fausses alertes parlaient d'ogives nucléaires lancées vers toutes les régions de Russie. Elles sont aussi apparues sur des canaux régionaux du ministère sur Max, la messagerie soutenue par l'État .

Donc voilà, grosse nuit de frayeurs pour tous les civils russes et ukrainiens...

Alors qui se trouve derrière ces hacks ?

Hé bien d'après l' Associated Press , un des faux messages ukrainiens citait un groupe baptisé Hitcore, et Mash, une chaîne Telegram russe liée aux services de sécurité. L'AP a échangé avec l'un de ses représentants, qui a revendiqué l'attaque. Côté russe, la BBC rapporte que le média ukrainien UNN cite Atesh, un groupe de partisans ukrainiens qui serait à l'origine de l'opération mais rien de tout ça n'a pu être vérifié.

Quant au "comment", on n'en sait pas plus...

Les dev d'Air Alert parlent de personnes non autorisées , le ministère russe d'une vulnérabilité de son appli mais chacun assure par contre que l'essentiel a tenu... Heureusement, en Ukraine, l'appli est séparée des systèmes de commandement militaire, et pour le ministère russe, ce n'est qu'un service annexe à côté des sirènes et des SMS.

Du coup, je me suis demandé : Et en France, ça se passe comment ?

Ici, FR-Alert fonctionne depuis juin 2022 et vous n'avez rien à installer. C'est le ministère de l'Intérieur ou une préfecture qui déclenche l'alerte via un système dont le partenaire technologique est Intersec , et ce sont ensuite les antennes des opérateurs qui la diffusent sur un canal radio dédié, avec au besoin des SMS géolocalisés en complément. Le message s'affiche alors en quelques secondes, même sur votre téléphone verrouillé, sauf s'il est éteint ou en mode avion.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Comme ce n'est pas une application, il n'y a donc pas de notifications push à détourner. Mais le système n'est pas infaillible pour autant... le Brésil, qui a un système similaire au notre, s'est fait hacker en juin et une dizaine de fausses alertes sonores sont parties mentionnant entre autre une "invasion extraterrestre"... L'alerte a réveillé plusieurs villes soit environ 30 millions d'habitants, d'après l' Agência Brasil .

Putain, j'imagine pas ma tête à 3h du mat avec une alerte comme ça sur mon téléphone qui me dit que les aliens ont débarqué...

D'après des documents de la Défense civile transmis à la police fédérale et publiés par Metrópoles , les messages sont partis de la plateforme officielle, l'Idap, avec les identifiants de deux agents de la Défense civile du Pará, et avec des indices que la plateforme les a laissés viser des villes hors de leur zone. Ensuite, fin juin, le gouvernement Brésilien a alors coupé l'accès externe à la plateforme et imposé un second facteur d'authentification. Ouf !! J'espère que chez nous, y'a une 2FA en place aussi là dessus... CE SERAIT BIEN, HEIN !

Le canal radio à l'ancienne a aussi sa faiblesse, mais elle reste locale puisqu'en 2019, des chercheurs de l' université du Colorado ont montré en labo qu'une fausse antenne pouvait diffuser une fausse alerte présidentielle américaine. Selon eux, avec des émetteurs du commerce, ça toucherait environ 90 % des téléphones à portée de la surface d'un stade.

Donc voilà... je ne dis pas que ça n'arrivera jamais, ça peut arriver. En plus, comme ces alertes peuvent embarquer un lien, vaut mieux vérifier avant de cliquer.

Source : BBC

Vous cherchez sur Google (ouais à l'ancienne) comment faire un peu de place sur votre ordi parce que votre disque est déjà plein. Et bizarrement, le premier résultat de recherche c'est une conversation partagée de ChatGPT hébergée sur le vrai site d'OpenAI, avec des étapes bien propres et une commande à coller dans le Terminal afin de libérer un peu d'espace disque.

Sauf que ce tuto, hé bien c'est pas un vrai tuto made in korben.info, non, c'est une conversation avec une IA sur un domaine légitime (chatgpt.com) qui va vous pousser à installer un affreux malware. Et n'allez pas croire que c'est de la science-fiction, c'est exactement ce qu'a vécu une victime dont les analystes de Huntress ont traité l'infection début décembre 2025. La commande présente dans ce tuto a installé AMOS, un voleur de données qui a dérobé son mot de passe admin, les droits root, et s'est incrusté sur l'ordi pour ensuite tout capter.

Source de l'image : Huntress

C'est l'attaquant lui-même qui a créé cette conversation, l'a partagée en mode public et ensuite l'a fait remonter dans Google avec un peu de SEO pour que ça ressorte dans les premiers résultats de recherche. Et la même combine a également été observée sur Grok.

Voilà, donc l'arnaque ici c'est que l'interface est authentique (c'est une vraie conversation), mais ce qu'elle raconte a été forgé par un cyber-escroc.

Et ça ce n'est qu'un exemple de toutes ces attaques boostées à l'IA qui commencent à se multiplier et qui sont très créatives !

Le piège de la commande à copier coller

Autre exemple, entre avril et juin 2026, dans ce rapport de TrendAI on découvre une campagne de pubs Google qui a d'abord mené vers de fausses pages de téléchargement, puis vers des conversations Claude partagées (dont l'une s'intitulait "Clearing disk space on macOS") et qui aurait fait +2000 victimes. Le scénario est à peu près le même avec un Terminal à lancer, une commande à coller, et le malware MacSync qui s'installe pour voler les "secrets" de l'utilisateur. Heureusement, Anthropic a banni les comptes et désactivé ces conversations dès que l'affaire a été découverte.

Source de l'image : TrendAI

De son côté, ESET , qui surveille énormément toutes ces attaques d'un nouveau genre, regroupe sous le nom d'AI-fix ces pages publiées sur le domaine d'un service d'IA, permettant de diffuser des virus. L'entreprise slovaque est même tombée sur une fausse pub Google Ads pour Homebrew menant à la catastrophe pour tous ceux qui s'aventuraient à recopier les commandes sur leur ordinateur. Apple a heureusement bien réagi de son côté puisque depuis macOS 26.4, le système analyse les commandes collées dans le Terminal avant de les exécuter. Ouf !

Toutefois, Jamf Threat Labs a documenté en avril une variante qui contourne le Terminal à l'aide d'une fausse page "pour récupérer de l'espace disque" (toujours le même sujet "appât") qui ouvre, quand on clique sur un bouton, l'Éditeur de scripts de macOS avec un script vérolé déjà chargé. Comme ça y'a rien à copier, mais juste à lancer... Argh !

Source de l'image : Jamf Threat Labs

Donc le réflexe ne change pas, hein... Si une commande ou un script sort d'une conversation, d'un forum ou d'une page web, même si ça vient de chez ChatGPT (SURTOUT si ça vient de ChatGPT), on ne l'exécute pas sans savoir ce qu'il fait !!

L'arnaque ClickFix

Sous Windows, c'est à peu près le même piège mais via une autre porte d'entrée. Quand vous avez un OS de Microsoft, la page vous demande également de copier et de coller une commande mais cette fois, au choix, dans la fenêtre Exécuter (Windows + R), dans Windows Terminal ou dans PowerShell. Microsoft décrit cette technique, baptisée ClickFix, dans un billet de son blog sécurité . Cette "arnaque" simule même parfois de faux captchas vous incitant à lancer des lignes de commande pour accéder au contenu. Et c'est sûr que quand on a l'habitude de zapper des captchas à la vitesse de l'éclair et qu'on ne connait rien en ligne de commande, la manip est vite faite malheureusement ! Bref, parlez-en autour de vous.

Source : BleepingComputer

Les pages d'IA servent donc de décor là à tout ça. Push Security a même décrit en mai 2026 une fausse panne de ChatGPT, conçue à l'aide de la fonction de rendu de code et donc hébergée sur chatgpt.com. On n'y voit que du feu et ça renvoyait vers un faux site de téléchargement avec des boutons macOS et Windows histoire de récupérer les bonnes lignes de commande. Parfois, c'est même un GPT personnalisé avec lequel on peut discuter, hébergé sur ChatGPT.com et dont chaque réponse mène à une page qui sert un ClickFix.

Des liens et du code piégés

Pour les liens renvoyés par les IA, même si c'est moins spectaculaire, ça peut aussi faire des dégâts. Dans ce billet de juillet 2025 , Netcraft raconte par exemple avoir testé un modèle de la famille GPT-4.1 en lui demandant l'adresse des pages de connexion de 50 marques, avec des phrases toutes bêtes du genre "j'ai perdu mon marque-page, où ce que je me connecte sur tel ou tel site".

Et sur les 97 domaines proposés, 34 % n'appartenaient pas à la marque, dont près de 30 % des domaines libres, parqués ou inactifs. Donc forcément récupérables par un escroc...

Et chez Perplexity, une attaque similaire a même été mise en place. Ainsi, quand on lui demandait l'adresse de connexion de Wells Fargo (c'est une banque), le premier lien menait à un faux site sur Google Sites qui captait les identifiants des brebis égarées. Bref, un lien de connexion, soit vous le tapez vous-même, soit vous le gardez au chaud dans vos marque-pages.

Et c'est la même histoire avec le code... Hé oui, par exemple, Netcraft a repéré une fausse API Solana, glissée dans des tutoriels et des dizaines de dépôts GitHub, qui a fini par atterrir dans les suggestions des assistants de code. Du coup, une fois l'API implémentée dans un vrai projet, les transactions partaient vers le portefeuille de l'attaquant. Au moins 5 victimes l'ont copiée dans leurs projets publics, dont certains développés avec des outils d'IA... Donc si votre assistant IA vous propose une API que vous ne connaissez pas, je vous recommande chaudement de la chercher dans la doc officielle avant de l'intégrer.

Les agents IA et leurs skills

Reste maintenant le cas des agents, ces IA qui lisent des pages et font des trucs à votre place. En août 2025, Brave a montré , via un proof of concept, qu'un commentaire Reddit, avec des instructions cachées derrière une balise "spoiler", suffisait à retourner la veste de Comet, le navigateur à agent de Perplexity . Dès que l'utilisateur demandait le résumé de la page, il récupérait son adresse e-mail sur Perplexity, déclenchait l'envoi d'un code de login 2FA, le lisait ensuite via Gmail et publiait le tout (email + code) en réponse au commentaire.

Source : Brave

Voilà, donc le réflexe, c'est de ne pas confier votre messagerie à un agent qui lit n'importe quelle page.

Et pour les skills, ces petits modules qu'on greffe à un agent, ESET dit en avoir analysé 900 000, dont 25 000 suspectes et plus de 3 000 clairement malveillantes. C'est pourquoi ils proposent un outil gratuit, l' AI Skills Checker , pour les passer au crible avant leur installation. Après, le minimum avec une skill, c'est au moins de regarder les permissions qu'elle demande et qui l'a écrite.

Et le phishing ça donne quoi ?

Quant au bon vieux phishing, hé bien il est juste devenu beaucoup moins cher à fabriquer. Dans une étude sortie fin 2024 , sur 101 participants répartis en quatre groupes, des e-mails de spear phishing entièrement rédigés par IA ont réussi à obtenir 54 % de clics, contre 12 % pour du phishing traditionnel fait par des humains. En fait l'IA permet de viser plus de monde à moindre coût et surtout de personnaliser à grande échelle les contenus de phishing.

Donc dans le doute, si on vous demande de l'argent ou un code, même dans un message impeccable, renseignez-vous avant de cliquer ou de saisir des infos car après, c'est toujours trop tard.

Le filet de sécurité d'ESET

Voilà comme d'hab quand il s'agit de cybersécurité, tout se joue d'abord sur des réflexes à adopter... Mais quand le réflexe est absent, un logiciel peut venir à notre secours et nous servir de filet de sécurité. C'est pour cela qu'ESET propose dans ESET Internet Security une "AI Conversation Security" qui analyse chaque réponse de ChatGPT pour détecter si elle contient des sources douteuses et du code malveillant. Et si elle en trouve, elle vous prévient immédiatement.

Ça passe par une extension pour Chrome, Firefox, Edge et Brave et ça ne fonctionne qu'avec ChatGPT.

La page "Confidentialité et sécurité du navigateur" d'ESET affiche les quatre navigateurs pris en charge : Chrome, Firefox, Edge et Brave.

Je l'ai testé sous Windows 11 avec ESET Smart Security Premium 19 et Edge. La fonctionnalité s'appelle précisément "Sécurité des conversations IA" et pour voir si c'est efficace, j'ai demandé à ChatGPT de me sortir les liens vers un fichier de test EICAR et sa chaîne de caractères dans un bloc de code. Si vous ne connaissez pas EICAR, c'est une suite de caractères inoffensive qu'on utilise pour tester le bon fonctionnement des softs d'antivirus.

Et bien sûr, dans ma conversation, le bloc est passé en rouge avec une icône d'alerte, me disant que, je cite, "Cette réponse contient du code dangereux. Son exécution pourrait mettre votre système ou vos données en danger."

Montage de deux zones d'une même capture : l'infobulle d'ESET et le bloc de code marqué d'une icône d'alerte.

Reste qu'EICAR est un motif que tous les antivirus reconnaissent donc ça prouve que l'alerte fonctionne, mais pas qu'elle est infaillible, donc voyez ça comme un "deuxième regard" sur ce qui se passe dans votre chatbot préféré et pas comme un gilet pare-balles.

Le réglage "Analyse des conversations" dans l'extension d'ESET, ici activé.

Notez que cette fonction arrive aussi dans ESET HOME Security Premium et Ultimate , et dans ESET Small Business Security pour les TPE et les indépendants. Côté agents IA, ces offres d'ESET sont aussi capables de jeter un œil sur ce que l'agent s'apprête à faire, pour repérer ce qui serait louche avant que ça parte définitivement dans vos process. Ouf !

Bref, l'usage de l'IA par les cybercriminels n'aura jamais fini de m'étonner donc soyez très prudents et vigilants. Et n'hésitez pas à vous équiper d' outils comme ceux d'ESET pour assurer vos arrières.

Après tout, nous ne sommes pas infaillibles.

Découvrir les offres de sécurité ESET

UGREEN vend depuis quelques semaines un chargeur un peu particulier, le Nexode Pro 160W , dont l'argument principal n'est pas la puissance (pourtant bien là) mais le câble USB-C rétractable intégré au boîtier, un enrouleur qui se déroule sur 70 cm avec huit crans d'arrêt et qui revient se loger dans le bloc tout aussi simplement.

L'idée est toute bête. Le câble est donc en permanence dans le chargeur, donc plus rien à transporter ni à oublier.

Ce câble délivre jusqu'à 140 W, tout comme le premier port USB-C du bloc, alors que le deuxième s'arrête à 100 W et que l'USB-A de service dépasse à peine les 20 W, le tout dans la limite des 160 W que le chargeur répartit de lui-même entre les prises occupées quand vous branchez plusieurs appareils.

La densité de l'appareil, comme toujours désormais, vient du nitrure de gallium, ce semi-conducteur qui a remplacé le silicium dans les chargeurs puissants de ces dernières années et qui permet de caser tout ça, écran compris, dans un format tour d'un peu plus de 300 grammes.

Parce qu'il y a un écran, oui. La petite dalle couleur de la face avant affiche en continu la puissance, la tension et la température de chaque port, de quoi voir d'un coup d'oeil si l'iPhone tire bien ses watts ou si un vieux câble bride la charge, et l'application Ugreen Connect ajoute le suivi à distance en Bluetooth ou en Wi-Fi, la coupure d'un port et la mise à jour du logiciel interne. Pour le coup ça n'est pas indispensable, mais on va dire que ça fait partie du jeu en 2026.

Je n'ai relevé aucune surchauffe avec quatre appareils branchés, et mon MacBook Pro 14 pouces récupère plus de la moitié de sa batterie en à peu près 20-25 minutes minutes sur le câble intégré.

Pour le tarif, UGREEN demandait 130 euros au lancement et affiche une centaine d'euros en ce moment. C'est cher, mais pas tant que ça si on considère la puissance et le servie rendu. Si vos journées se partagent entre un Mac, un iPhone et une tablette, je ne vois pas de chargeur de bureau mieux pensé en ce moment. Il est disponible par ici sur Amazon .

UGREEN m'a envoyé sa station de charge Nexode Pro 300W il y a quelques semaines, et elle n'a plus quitté mon bureau depuis. Le bloc remplace à lui seul le chargeur du MacBook, celui du téléphone et les alimentations qui traînaient derrière l'écran, avec 300W à répartir sur huit sorties.

Dans le détail, la bête aligne six ports USB-C, un port USB-A pour dépanner et une sortie DC de 240W, cette prise ronde qui alimente certains PC portables gourmands. Les trois premiers ports USB-C montent chacun à 140W grâce au PD 3.1, la norme de charge rapide la plus musclée du moment, les deux suivants plafonnent à 100W et le dernier à 30W.

Tout ça tient dans un boîtier raisonnable grâce au GaN, le nitrure de gallium qui remplace le silicium dans les chargeurs récents et qui chauffe beaucoup moins à puissance égale. UGREEN annonce un rendement de 93 %, et après des semaines à charger un MacBook Pro, un iPhone et une tablette en même temps, le bloc est à peine tiède.

Côté vitesse, le constructeur annonce un MacBook Pro M5 rechargé à 56 % en 30 minutes, un iPhone 17 Pro Max à 65 % dans le même temps, et même deux MacBook Pro à 50 % en moins d'une demi-heure. En pratique, mon portable reprend des couleurs le temps d'un thé, et je n'ai jamais vu la station broncher avec cinq appareils branchés.

Le petit écran TFT affiche en temps réel la puissance tirée par chaque port, et une appli en WiFi permet de suivre tout ça à distance, de régler chaque sortie et de choisir entre cinq modes de charge. Gadget ? Peut-être. Mais je passe mon temps à regarder les watts défiler, c'est plus fort que moi.

Attention quand même, il vous faudra aussi lui réserver une vraie place, ce n'est pas un chargeur qu'on glisse dans un sac, il est fait pour rester posé là.

Niveau prix justement, la station est affichée en ce moment à 126 euros au lieu de 170 sur Amazon , environ un quart de remise, alors qu'elle était lancée cet été autour de 200 dollars. Du coup, la facture devient nettement plus digeste pour qui veut faire le ménage dans ses chargeurs.

Il est disponible par ici sur Amazon , et je vous le recommande vivement.

Est-ce que vous faites partie de ceux qui pensent qu'un VPN, bah, ça chiffre, ça tourne et tout va bien ? Parce qu'en 2027, les questions à se poser sont un peu différentes (2027 oui, je suis déjà dans le turfu). Même si aujourd'hui vos données sont protégées, est-ce que ce sera encore le cas face à un ordinateur quantique ? (qui n'existe pas encore, mais ça semble vite se rapprocher). Et est ce que vous scannez parfois des QR codes (sur des parcmètres, des tables de restaurant pour charger un menu, etc.) sans réfléchir ?

Si oui, ce que Surfshark vient d'annoncer ces dernières semaines va peut-être intéresser et on va voir ça ensemble.

WireGuard post-quantique : parce que "voler maintenant, déchiffrer plus tard" ça existe déjà

Le premier point est plutôt important : Surfshark vient de déployer une version de WireGuard entièrement post-quantique. Ils seraient même les premiers au monde à avoir implémenté ça.

Comme c'est important de comprendre pourquoi, je vous remets un peu de contexte. On commence à devoir faire à des attaques que l'on appelle "steal now, decrypt later". À l'heure actuelle des acteurs gouvernementaux (ou autres) interceptent et stockent déjà massivement du trafic chiffré. Et quand arriveront les ordinateurs quantiques capables de casser les algorithmes actuels, on pourra remonter et lire vos données partagées depuis hier. Sympa, non ? Alors oui vous allez me dire que ce ne seront pas des données récentes. Sauf que certaines ne changent pas au cours du temps. Vous aurez toujours le même nom, les mêmes antécédents de santé, très souvent la même adresse physique, le même mail, etc.

Pour lutter contre ce type d'attaque, il faut 3 éléments. D'abord le chiffrement, ensuite l'échange de clés et enfin l'authentification. Le problème, c'est que les 3 sont rarement couplés. Le chiffrement est quelque chose d'assez commun maintenant, le ML-KEM (échange de clés post-quantique) commence à se diffuser, mais le ML-DSA (certificats d'authentification post-quantiques) est un autre niveau de galère. Car il demande de revoir tout le système de confiance et cela derrière chaque connexion sécurisée.

Si l'on regarde du côté des grosses plateformes cloud de gestion de clés (AWS KMS, Google Cloud KMS et les autres mammouths du marché), la moitié seulement a déjà intégré ML-KEM et moins d'une sur 10 dispose du ML-DSA. Et l'on parle de géants, pas des applis de petite échelle qui sont encore moins bien préparées. Ni Apple ni Microsoft ne l'ont activé dans leurs logiciels utilisateurs pour l'instant. Quand les ordinateurs quantiques arriveront, un VPN sans authentification post-quantique sera la porte ouverte au session takeover. La machine quantique se fera passer pour le serveur au moment même où vous vous connecterez.

Surfshark combine donc déjà le duo ML-KEM + certificats ML-DSA dans WireGuard. Ce n'est disponible pour l'instant que sur iOS et macOS, mais les autres plateformes sont prévues dans les prochains mois. Et pour rappel, ils avaient déjà lancé Dausos , leur protocole maison conçu post-quantique depuis la première ligne de code. Ils ne rigolent pas sur le sujet.

Changer d'IP toutes les cinq minutes, sans couper

Lorsque vous êtes connecté à un VPN, vous avez une adresse IP (Captain Obvious a pris possession de ce corps). Elle ne change pas tant que vous ne vous déconnectez pas. Or une IP fixe, même si ce n'est pas la vraie, c'est toujours un élément qui permet aux annonceurs et aux data brokers de vous recouper entre les sites et de construire votre profil.

La rotation d'IP de Surfshark change votre adresse automatiquement après quelques minutes (5 à 10 minutes selon la région choisie). Et sans couper votre connexion VPN. Pas de microcoupure, pas de "ah bah mon app a planté pendant que l'IP switchait".

L'outil va même encore plus loin en proposant la fonctionnalité Multi IP, qui s'appuie sur leur technologie Nexus. Au lieu d'avoir une seule IP de sortie pour tout votre trafic, chaque site que vous visitez passe par une IP différente, pendant la même session VPN. Concrètement cela veut dire que le site A vous voit avec l'IP n°1, le site B avec l'IP n°2, etc. Les deux sites ne peuvent plus vous corréler. Vous pouvez choisir de limiter cette rotation à un pays, une zone ou le monde entier. Pour l'instant, cette dernière option est encore une fois dispo sur macOS uniquement, dans les paramètres avancés. J'entends les pleurs des windosiens et linuxiens jusqu'ici.

Alors il faut tout de même mentionner que l'option monde (global) peut parfois faire capoter certains sites ou applications qui détestent voir votre IP changer toutes les cinq minutes. C'est une fonctionnalité adaptée pour les gens paranos qui veulent le niveau de vie privée maximum, moins pour binge-watcher tranquillement.

Une petite info rapide supplémentaire pour ceux qui ont (ou prendront) un abonnement One ou One+ et qui bénéficient donc de l'antivirus. Dorénavant la moindre ligne de code passe par plusieurs étapes : peer review (humains + IA), tests internes, analyses de vulnérabilité & co et sont certifiés via le processus de signature Microsoft. Ça ne parait pas flamboyant dit comme ça, mais un driver ou une mise à jour, non signé ou mal testé, reste une porte d'entrée pour pas mal de bouses numériques. Un fournisseur qui documente ses pratiques de déploiement, c'est encore trop rare dans l'industrie alors que ça devrait être la base. Ici tout le processus est écrit noir sur blanc et ça va avec la politique d'ouverture de la firme (audits indépendants, politique de non-conservation des logs, etc.)

Le quishing c'est quoi ?

Maintenant, parlons d'une menace qui trouve sa source dans notre vie quotidienne. Le quishing (contraction de QR code et phishing) fait référence aux QR codes malveillants qui redirigent vers de fausses pages de connexion. Ou déclenchent de manière automatique un téléchargement de malware dès qu'il a été scanné. Pourquoi c'est en train de devenir le vecteur à la mode ? Il y a 3 raisons principales et elles sont assez faciles à comprendre :

• Déjà vos yeux ne peuvent pas lire un QR code. Si c'est le cas faites-le-moi savoir lol. Un lien de phishing, vous pouvez le survoler pour voir ou il mène avant de cliquer. Un QR code c'est beaucoup moins simple. Le contenu est invisible jusqu'à ce que les dégâts soient faits.
• Les filtres de votre fournisseur d'email sont prévus pour scanner du texte, pas des images. Une URL en clair dans un mail se fait flagger tout de suite alors que la même URL encodée dans un QR code passe comme une lettre à la poste.
• Le scan est dans 99% des cas effectué via un mobile, hors des protections de votre PC perso ou d'entreprise : pas de filtre DNS, pas d'EDR, rien.

Les chiffres avancés sont probablement bien plus élevés que vous ne le pensez. Les QR codes représentaient déjà plus de 10% de toutes les attaques de phishing en 2025. Leur but est le vol d'identifiants, récupérer vos numéros de CB, de vous faire vous connecter à un fax site bancaire, etc. Et beaucoup de personnes scannent sans même imaginer qu'une arnaque de la sorte est possible. Il faut dire que ce n'est pas très difficile à mettre en place. Il suffit de placer des dizaines/centaines de stickers par-dessus de vrais codes (parcmètres, bornes de recharge, tables de restaurant, dépliants de musée, distributeurs de billets, etc) et le tour est joué.

Les QR Code c'est l'enfer

Les réflexes à avoir ? Penser à lire l'aperçu d'URL avant d'ouvrir (votre caméra la montre parfois) ou installez une appli de lecture de QR qui propose la prévisualisation avant ouverture, se méfier de tous QR code dans un mail (surtout non désiré), vérifier qu'un sticker n'a pas été collé par-dessus un autre. Et passer par l'application officielle plutôt que par le QR code pour tout paiement. La prudence, ça marche souvent.

D'un côté on a un ordinateur quantique (qui n'existe pas encore, mais qui va changer beaucoup de choses en termes de cybersécurité) et de l'autre des QR code malveillants qui se propagent déjà. La menace a plusieurs visages. Entre les deux, disposer d'une suite d'outils qui s'adaptent en continu et qui anticipent le futur, c'est toujours bon à prendre.

L'offre du moment

Les tarifs restent les mêmes et font de la firme au requin l'un des meilleurs rapport qualité/prix depuis de nombreuses années (mon comparatif des meilleurs VPN du moment pour plus d'infos). Sur un engagement 24 mois (+3 mois offerts) l'offre :

• Starter (VPN seul) revient à 2,49 € HT/mois
• One à 2,99 € HT/mois (VPN + antivirus, Alert, Alternative ID, la protection anti-scam et le web content blocker)
• et One+ à 4,49 € HT/mois (avec Incogni en plus de tout ce qui est compris dans One)

Profite de l'offre du moment !

Il y a quelques jours, durant la conférence Hexacon à Paris, un chercheur nommé Quentin Kaiser a rendu publique une faille de sécurité qui traîne depuis au moins 2010 dans la fonction WPS de Broadcom. Je dis "qui traine" au présent parce qu'elle n'est toujours pas patchée évidemment. Alors si vous ne savez pas ce qu'est WPS, c'est une fonctionnalité qui permet de connecter un appareil au WiFi sans avoir taper la clé.

Cela veut dire que quelqu'un à portée du réseau sans fil peut faire exécuter son propre code à une box ou à un point d'accès, sans avoir à connaître la clé du réseau et sans même mener un enrôlement WPS jusqu'au bout.

Son exploit, il l'a filmé sur deux box belges. Chez Orange Belgium (une Askey TCG3000), où son code lit la clé Wi-Fi dans la mémoire de la box et la renvoie via les ondes, ce qui lui permet ensuite de rejoindre le réseau. Chez l'opérateur Proximus (une BBOX3V+), il ouvre un shell à distance au travers des trames Wi-Fi, donc sans avoir recours à un serveur extérieur. L'antenne qu'on voit sur la vidéo ci-dessous ne doit d'ailleurs pas faire croire qu'il faut être collé à la box puisque d'après Kaiser, ça marche de loin !!

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/faille-wps-broadcom-routeurs-wifi/faille-wps-broadcom-routeurs-wifi-1.mp4">lien vers la vidéo</a>.

La Disquette , j'sais pas si vous êtes déjà tombés dessus, mais c'est un site qui propose chaque semaine un ancien jeu PC Windows jouable gratuitement durant sept jours, sans rien installer. Et cette semaine, et jusqu'au lundi 26 octobre, c'est Grand Theft Auto 2, le Rockstar de 1999. Et ensuite, ce sera Counter-Strike 1.6 à partir du 26, puis Crimson Skies le 2 novembre.

Vous l'aurez compris, le jeu ne tourne pas chez vous puisqu'il s'exécute sur les serveurs du site et déboule en streaming vidéo H.264 avec le son via WebSocket, tout ça décodé par votre navigateur. Du cloud gaming quoi mais pour les vieux jeux. Même GoG n'y avait pas pensé !!

Votre clavier AZERTY est bien sûr pris en charge, la souris peut se verrouiller pour les jeux de tir, et le plein écran capture même les touches Échap, Ctrl+W et la touche Windows (Chrome et Edge) pour éviter les sorties intempestives du jeu.

Le menu de GTA 2 dans sa fenêtre, lancé en invité

Et tout ça s'affiche dans un faux bureau Windows XP bien kitsch comme je l'aime avec ses collines vertes, son bouton démarrer et une fenêtre façon Internet Explorer pour la fiche.

J'ai donc lancé GTA 2 en invité depuis Chrome pour voir ce que ça donne et après un petit son de lecteur de disquette que j'ai adoré, le jeu s'est lancé.

Côté sauvegardes, en mode invité, votre progression ne sera pas conservée à la fermeture de la fenêtre donc pour vraiment vous y mettre, il vous faudra un compte joueur, et cliquer sur le bouton "Garder ma progression" de la fenêtre de jeu. Aucune adresse email n'est demandée, ce qui est cool pour nos data, mais faudra pas oublier votre mot de passe.

Avec un compte, le site enregistrera alors tout seul votre partie, jeu par jeu, et vous la retrouvez le jour où le titre repasse dans la rotation. Sachez juste qu'une session de gaming s'arrête également au bout 15 minutes d'inactivité donc ne vous absentez pas trop longtemps.

Et un grand merci à Bastien, qui développe ce projet sur son temps libre, pour le kiff !

J'ai pas mal de déplacements pro en ce moment, et comme je suis sur plein de projets en même temps, c'est un peu relou. Parce que tout ne tourne pas uniquement sur mon ordi portable. J'ai des traitements un peu plus lourds qui tournent par exemple sur mon Mac Studio et faut dire que je lui en fais vraiment voir de toutes les couleurs à celui-là...

La plupart du temps, j'arrive heureusement à tout gérer à distance en me connectant en SSH à l'ordinateur via mon VPN privé (ça me permet d'avoir toutes mes machines sur le même réseau local virtuel comme ça c'est chiffré et sécurisé) mais il arrive parfois que je doive cliquer sur un bouton ou taper un mot de passe via l'interface de macOS.

Jusqu'à présent pour ce genre de choses, j'utilisais donc l'application Partage d'Écran fournie par Apple, mais je ne sais pas vous, chez moi ça lag furieusement et c'est vraiment pas pratique à utiliser. Bref, j'aime pas.

Je me suis donc rabattu sur des Real VNC et compagnie, mais pareil, ce n'est pas un protocole et des clients que je trouve très efficaces. Et j'avais pas envie non plus de payer un peu au pif une app présentée comme meilleure comme celle-ci d'Apple pour voir ce que ça donne :

Du coup, je me suis créé à l'aide d'agent IA, ma propre application de prise de contrôle à distance en y mettant toutes les fonctionnalités dont j'avais besoin.

Ça s'appelle Korben Remote Desktop et ça fonctionne en deux parties. On a d'un côté un petit agent sur l'ordi à contrôler, qui demande juste les autorisations système "Enregistrement de l'écran" et "Accessibilité" (sans oublier la fonctionnalité de Session à distance activée dans Partage, pour le tunnel SSH au niveau des réglages de macOS), et de l'autre côté le client sur le Mac que vous avez sous les yeux. Les deux se parlent ensuite à travers un tunnel SSH chiffré, sur votre réseau local ou votre VPN privé, sans passer par aucun serveur chez moi ni ailleurs puisque l'appli refuse carrément les adresses IP publiques pour des questions de sécurité.

Voici tout ce que j'ai mis en place dans cette application :

• Une image fluide, jusqu'en 4K. Capture ScreenCaptureKit, encodage HEVC ou H.264 par la puce du Mac, transport UDP chiffré avec de la parité Reed-Solomon pour encaisser les paquets perdus. Qualité au choix (Automatique, 720p, 1080p, 4K ou Native) et cadence de 30, 60 ou 120 images par seconde.
• Un Wi-Fi qui coupe n'est plus un drame. Une micro-coupure est traitée comme un retard et pas comme une perte, et trois priorités de présentation (Réactif, Équilibré, Fluide) règlent le tampon selon que vous voulez la latence la plus basse ou aucun gel d'image.
• Le son aussi. Le son système du Mac distant arrive au format Opus, et si y'a pas de son, aucune bande passante n'est consommée pour ça.
• Souris, clavier et raccourcis. Défilement précis, boutons latéraux compris, et les raccourcis partent au Mac distant tant qu'il a le clavier (⌘C copie là-bas, pas chez vous). Ceux du client sont donc basculés en ⌃⌥⌘ pour ne pas leur marcher dessus.
• Un mode jeu. Capturer la souris (⌃⌥⌘G) cache le curseur, envoie le mouvement brut sans le bloquer aux bords de l'image et passe le clavier en touches physiques, donc W reste la touche W quelle que soit la disposition. Les manettes passent aussi, en expérimental.
• Tous les écrans. Vous passez d'un écran à l'autre, ou vous les affichez tous à la fois (⌃⌥⌘A), rangés comme sur le Mac distant, le pointeur passe de l'un à l'autre et une fenêtre se tire d'un écran à l'autre. Un écran branché ou débranché pendant la session apparaît ou disparaît tout seul.
• Zoom et plein écran. Un zoom comme celui de macOS (pincement à partir du curseur, déplacement à deux doigts, double toucher) et un plein écran système dont la barre d'outils se range.
• Les fenêtres des apps distantes, chez vous. Une fenêtre d'une application du Mac distant (un Terminal du Studio, par exemple) peut s'ouvrir comme une fenêtre indépendant sur votre Mac. Vous la déplacez, la redimensionnez, vous tapez et cliquez dedans, et c'est l'application distante qui répond. Quand elle a accès au clavier, la barre des menus de votre Mac affiche même les menus de cette application distante, et un clic droit y ouvre le vrai menu contextuel du Mac distant.
• Fichiers et presse-papiers. Presse-papiers texte partagé, transfert de fichiers dans les deux sens, y compris en glisser-déposer vers et depuis le Finder distant. Un transfert interrompu peut également reprendre sans tout recommencer. Les fichiers reçus sont ensuite mis en quarantaine, comme n'importe quel téléchargement.
• Reconnexion automatique. Si le lien tombe, l'image se grise et le client réessaie jusqu'à ce que vous l'arrêtiez, en gardant vos fenêtres déportées. Et si aucune session n'est ouverte sur le Mac distant (après un redémarrage, par exemple), l'appli vous propose alors d'ouvrir le Partage d'écran d'Apple pour taper votre mot de passe, puis reprend la main dès que l'agent est prêt (J'ai pas d'autre choix que de faire comme ça).
• Un Mac qui ne montre rien pendant que vous bossez dessus. Durant une session, l'écran du Mac distant est noir pour quelqu'un qui passerait devant, son clavier et sa souris sont bloqués et ses haut-parleurs sont coupés (le son, lui, continue d'arriver chez vous). À la déconnexion, l'agent demande au lecteur multimédia de se mettre en pause (s'il peut le faire) et verrouille la session, par défaut.
• Un accès depuis un simple navigateur. L'agent peut aussi ouvrir un accès web, à démarrer explicitement dans sa fenêtre. Vous copiez un lien à usage unique valable quinze minutes, vous l'ouvrez dans Safari ou Chrome sur votre réseau privé, vous comparez l'empreinte du certificat avec celle affichée par l'agent, et vous retrouvez l'écran, le son, le zoom et le contrôle sans rien installer. Les fichiers et les fenêtres séparées restent réservés au client Mac.
• Sécurisé par défaut. Tunnel SSH obligatoire pour le client natif (votre compte SSH est la clé, aucun compte à créer nulle part), TLS avec échange de clés ECDHE et ChaCha20-Poly1305 pour le lien de contrôle, AES-256-GCM pour l'image et le son, adresses publiques refusées, et un seul viewer à la fois (le deuxième doit demander la place au premier, qui répond oui ou non).
• Une vraie app Mac. Barre latérale avec vos Macs, barre d'outils native, fenêtre Réglages, menus complets, mode sombre, français ou anglais selon la langue du système, et les Macs du réseau qui ont la session à distance activée sont trouvés tout seuls par Bonjour. Les statistiques du flux (⌃⌥⌘I) donnent la latence, la gigue, le tampon et les pertes, et une "liaison économe" allège tout d'un coup pour un réseau lent ou compté.

Ce que ça ne fait pas encore par contre, c'est pas de réveil à distance, pas de déverrouillage FileVault après un redémarrage à froid (prévu sur macOS 26, mais pas encore validé), les gestes du trackpad comme la rotation ou le balayage à trois doigts ne passent pas, et le verrouillage des majuscules reste celui du Mac distant. Il faut macOS 14 minimum des deux côtés, et les deux applications sont universelles, Apple Silicon comme Intel (testées sur Apple Silicon, l'Intel et macOS 14 restent à valider).

Maintenant pour pour l'utiliser tous les jours, ce que je peux vous dire c'est que ça marche très bien. Maintenant, j'ai pas eu d'autres testeurs que moi-même pour le moment mais ça fait tout ce dont j'ai besoin.

Et je me suis payé le luxe également d'adapter le code (en version ultra alpha, j'ai pas encore assez testé ça) pour Windows et Linux. Et l'application iOS est également sur les rails.

Maintenant, comme d'hab, j'ai essayé de la mettre sur l'App Store d'Apple mais ils sont tellement casse couilles que je ne sais pas si j'y arriverai. Mais peu importe, je me suis dit que ça vous servirait alors je vous ai fait un petit site ici pour télécharger mon app : remotedesktop.korben.info .

C'est 100% gratuit, y'a aucune télémétrie ni pub dedans et je n'ai pas de plan de carrière avec ce logiciel si ce n'est de l'améliorer par petites touches au fil du temps. Je l'ai créé pour mes besoins et je me suis dit que ce serait dommage de ne pas vous en faire profiter, c'est tout.

Voilà, donc n'hésitez pas à tester. C'est conçu pour macOS mais j'ai décliné ça pour Windows et Linux (je le redis, c'est de l'alpha pour Win et Linux) afin que chaque client puisse prendre le contrôle de n'importe quelle machine peu importe son système d'exploitation.

Enjoy !