Bon, c'est vendredi aujourd'hui et vous êtes payé la misère alors on va trop forcer hein et se détendre un peu ! (et allez demander à votre boss une augmentation DE CE PAS !!)

Et pour cela, on va tous se mettre sur War.app , un jeu de conquête au tour par tour, gratuit, auquel on peut jouer directement depuis le navigateur (ou sur Android et iOS). Dans ce jeu, vous déployez des armées sur une carte du monde et vous grignotez petit à petit les territoires de vos adversaires, un peu comme dans le jeu Risk.

D'ailleurs, vous avez peut-être déjà croisé ce jeu avant sous le nom de Warzone...

Ce changement de nom fait suite en fait, à un accord avec Activision, l'éditeur de Call of Duty: Warzone , qui avait déposé ses marques WARZONE en 2020 alors que le jeu existait depuis novembre 2017 mais bon... David, Goliath, l'INPI... vous connaissez. Côté joueurs toutefois, rien d'autre ne change, assure Fizzer, le créateur, qui code son jeu tout seul comme un chef ! Le système de compte pour conserver votre progression et vos parties en cours n'a d'ailleurs pas bougé donc vous devrez tout retrouver.

Par contre, si vous aviez warzone.com dans vos favoris, pensez bien à le remplacer, même si l'adresse redirige encore vers war.app.

Maintenant, une partie, ça ressemble à ça : une carte du monde, un nombre d'armées sur chaque territoire, et tout le monde donne ses ordres en même temps. Du coup, personne ne poireaute pendant que les autres jouent, et comme les parties sont asynchrones, chacun joue son tour quand ça l'arrange.

Une partie solo contre l'ordinateur, au tour 2, avec 5 armées à déployer

Et surtout, il n'y a pas de dés. Hé oui, par défaut, chaque armée qui attaque en tue 0,6 en face, donc le résultat d'un combat se calcule à l'avance. Sur la capture, 5 armées parties d'Islande en tuent 3, de quoi balayer les 2 qui gardent le Groenland. Le créateur d'une partie peut quand même réactiver le hasard s'il y tient.

La fenêtre d'attaque : 5 armées d'Islande vers le Groenland, et "Kills 3" affiché sous le curseur

En solo, vous avez accès à des milliers de niveaux contre l'ordinateur, dont ceux créés par la communauté. Et en multijoueur, une même partie peut réunir jusqu'à 400 joueurs, sur des cartes qui dépassent large les 3 000 territoires.

Bref, ya de quoi vous occuper ce vendredi mais aussi ce week-end mais aussi pendant votre chômage puisque j'imagine que votre boss vient de vous virer pour avoir osé lui demander une augmentation. Désoléééé.

Après, gratuit, ça veut dire AVEC de la pub. Je sais que vous adorez ça !! loool L'abonnement qui la retire c'est 3,99 $ par mois ou 19,99 $ par an donc c'est pas très cher et ça débloque surtout l'usage illimité de l'appli native pour Windows, Mac et Linux. Mais Fizzer assure que ça ne rend pas plus fort dans le jeu, puisqu'il ne vend ni armées ni cartes. Seul vrai bémol pour moi c'est que l'App Store ne propose pour le moment le jeu qu'en anglais (et ici sur Korben.info je suis en multilingue maintenant, vous le saviez ??).

Bref, c'est à essayer directement sur war.app en commençant évidemment par une partie solo pour prendre le coup de main et après, peut-être qu'on ira tous en multi se foutre sur la gueule entre lecteurs de korben.info ! Allez savoir ?

Source : War.app

Si vous jouez sous Linux avec une carte ou une puce Intel Arc, alors forcément XeSS tourne chez vous dans Proton. Pour rappel, XeSS c'est la techno d'Intel qui fait tourner le jeu dans une définition plus basse. Ça reconstruit l'image à la définition de votre écran grâce à l'IA, et avec sa frame generation, ça invente carrément des images intermédiaires pour gonfler le nombre d'images par seconde. Mais sous Linux, ça le fait en empruntant la voie de secours DP4a, et pas sur les unités XMX du GPU, qui sont des cœurs matriciels prévus justement pour ça. Et ça c'est sacrément dommage car XeSS a été taillée POUR ces XMX, sauf que sous Proton, elle ne trouve pas de pilote Intel pour répondre à ses questions et se rabat donc sur sa version générique. Snif.

Cette version générique tourne ainsi sur n'importe quelle carte graphique récente mais via l'instruction DP4a des unités de calcul classiques. Résultat, les XMX se tournent les pouces et surtout, la frame generation reste bloquée en x2, soit une seule image générée par image calculée, alors que sous Windows, une Arc peut monter jusqu'au x4 ! C'est couillon non ?

Heureusement, le projet communautaire xess-xmx-linux change la donne puisqu'il permet de faire tourner la vraie XeSS d'Intel, super résolution et frame generation incluses sur les XMX dans les jeux Proton.

Pour y arriver, ce projet ne touche ni à Proton ni à vkd3d-proton mais glisse dans vos préfixes une DLL qui se fait passer pour le pilote Intel, igdext64.dll (le "shim"). Ensuite, un pilote Mesa ANV patché compile à la volée les kernels de XeSS avec le compilateur d'Intel. C'est hyper expérimental vous vous en doutez mais ça évolue très vite.

La fiche du dépôt sur GitHub, qui annonce XeSS sur XMX pour les Arc Xe-HPG, Xe2 et Xe3 (image : GitHub)

Avant de vous lancer, mesurez quand même vos attentes qui je le sais, sont grandes ^^. Sur le GPU Arc B390 de l'auteur, Cyberpunk 2077 gagne 28 % au benchmark intégré, avec 61,3 images par seconde, face à Mesa 26.1.2 en DP4a. Comment expliquer ce "saut" sachant que les XMX ne font qu'environ 5 % de mieux que DP4a. En fait, cela provient de Jay, le nouveau compilateur de Mesa 26.3, celui-là même que Mesa utilise par défaut sur Xe2 et Xe3.

Ce que le projet dont je vous parle aujourd'hui apporte vraiment, c'est surtout de la génération de frame de XeSS en x3 et x4 sur XMX (sans l'extension d'Intel, elle plafonne à x2), et Cyberpunk 2077 monte ainsi à 117 images par seconde en x3 dans le même test.

Et quand la frame generation est active, il ajoute un mode faible latence qui empêche les images de faire la queue devant le GPU comme vous à la caisse d'Auchan. Sur Wuthering Waves, à fréquence d'images égale, la latence passe également de 69 à 35 ms quand le jeu est limité par le GPU, comparé à la même frame generation sans ce mode.

Bref, encore une fois, c'est à prendre avec des pincettes car tout ça a été mesuré sur une seule machine, avec un seul passage par jeu, et la qualité d'image n'a pas encore été évaluée...

Avant de commencer

Il vous faut un GPU Intel avec des unités XMX, sur le pilote noyau xe ou i915. Ça couvre les Xe3 (Panther Lake, l'auteur développe également sur l'Arc B390 d'une ONEXPLAYER 3 sous SteamOS), les Xe2 et les Xe-HPG. Lunar Lake et Arrow Lake-H sont également détectés mais pas encore testés (si y'a des volontaires, hein...). Et Meteor Lake est totalement hors jeu puisque son GPU Xe-LPG n'a pas d'unités XMX.

Voilà... Et côté système, les pilotes livrés sont compilés sous Arch et exigent la glibc 2.38 et libwayland-client 1.24 au minimum. L'auteur a vérifié cependant qu'ils se chargaient bien sur SteamOS, Arch, openSUSE Tumbleweed, Void Linux, Fedora 43 et Ubuntu 25.10, mais hors SteamOS, c'est uniquement le chargement qui a été testé en conteneur, et pas dans des vrais jeux sur du vrai matos. Quant à Debian 13 et Ubuntu 24.04, ils n'ont pas cette version de libwayland-client et obligent donc à recompiler le pilote sur la machine (je ne couvre pas cette étape ici).

Il vous faudra aussi le client Steam natif, car la version Flatpak n'est pas supportée, ainsi qu'un Proton récent et des jeux en DirectX 12. Le script d'installation a aussi besoin de curl, ar (paquet binutils), tar, zstd et python3, plus unzip ou python3 pour récupérer le SDK XeSS.

Voilà, je pense que j'ai fait le tour des pré-requis.

Par contre, gaffe aux jeux en ligne car dans un jeu avec un anti-triche, cette DLL pourrait se faire spotter et vous pourriez être considéré comme un de ces affreux tricheurs et vous faire bannir...

On installe !

Téléchargez l'archive de la dernière release depuis la page Releases du dépôt, et décompressez-la dans un dossier où elle restera, car pour la déplacer ensuite, il faudra d'abord lancer uninstall.sh. Depuis ce dossier, une seule commande à lancer :

./install.sh

Le script téléchargera alors le compilateur d'Intel (environ 95 Mo), les bibliothèques du SDK XeSS (77 Mo) et les fichiers FidelityFX d'AMD (87 Mo), puis il faudra redémarrer ou fermer et rouvrir la session.

Ensuite, chaque jeu lancé depuis Steam passera par le pilote patché, sans option de lancement. C'est aussi simple que ça ! Notez bien que ça touche toute votre session puisque le pilote patché devient LE pilote Vulkan Intel 64 bits qui s'applique à tous les jeux.

Sachez aussi que si votre Steam a été installé via le APT de Debian ou d'Ubuntu, il se trouve dans ~/.steam/debian-installation, et il ne sera pas trouvé par le programme d'install. Ça devrait être corrigé dans une future release mais en attendant, l'auteur conseille de lancer la commande install comme ceci :

STEAM_DIR="$HOME/.steam/debian-installation" ./install.sh

Enfin, pour n'activer le projet que sur certains jeux, il est possible d'installer ça jeu par jeu. En gros, vous lancez enable.sh avec l'identifiant Steam du jeu, puis vous mettez le chemin de xmx-launch.sh devant %command% dans ses options de lancement et voilà...

XMX_APPID=<steam app id> ./enable.sh
/path/to/package/xmx-launch.sh %command%

En jeu

Maintenant, dans le jeu, choisissez bien XeSS, et sa frame generation si elle est proposée, sur le rendu DirectX 12. Comme le premier lancement compile les kernels XeSS du jeu, ça prendra une à deux minutes mais une seule fois, donc pas de panique si ça semble figé !! Ensuite ça ira plus vite.

Et le reste se configure par les options de lancement de Steam (Propriétés, Général), devant %command%. Sachez également qu'un jeu dont la version de XeSS est plus ancienne que la 2.0.2.68 ne verra pas le GPU Intel, et rebasculera en DP4a. Il ne pourra donc pas proposer de frame generation XeSS. C'est le cas de Cyberpunk 2077, et le paramètre XESS=latest lui permettra quand même d'utiliser les bibliothèques du SDK d'Intel juste le temps de la partie, puis remettra les originales en place dès que vous quitterez le jeu. Ça permet à Steam de retrouver le jeu tel qu'il a été installé.

XESS=latest %command%
XESS_FG=4 %command%

XESS_FG, lui, force le multiplicateur de la frame generation, x3 ou x4, même quand le menu du jeu ne propose que du x2 comme dans Cyberpunk. Pour cela, la frame generation doit rester activée dans le jeu. Vous pouvez aussi, si vous êtes très très chaud, tenter le x5 à x8 mais là on est dans l'hyper expérimental car au-delà de ce qu'Intel supporte. Gardez donc un limiteur d'images, celui du jeu ou de gamescope , sinon les images générées arriveront à l'écran de façon très très irrégulière. Et ça on ne veut pas car vomir c'est pas cool !

Ah et oubliez le plein écran exclusif, car XeSS-FG le refusera. Le jeu ne pourra donc tourner qu'en version fenêtrée sans bordure.

Comment vérifier que ça passe bien par les XMX ?

Les images par seconde ne prouvent rien ici, puisqu'une bonne partie du gain vient de Mesa 26.3 et pas des XMX donc le signe le plus simple, c'est d'aller dans un des menus qui propose la frame generation et de voir si y'a du x3 ou x4 proposé car XeSS dans sa version générique plafonne uniquement à x2. L'inverse, en revanche, ne prouve rien, puisque certains jeux comme Cyberpunk ne proposent, comme je vous le disais, uniquement du x2 même sur XMX.

Et pour en avoir VRAIMENT le cœur net, ajoutez XESS_LOG=1 devant %command%. Le préfixe du jeu, dans ~/.local/share/Steam/steamapps/compatdata//pfx/drive_c/ (ou dans le dossier steamapps de la bibliothèque, pour un jeu sur un autre disque) reçoit alors un fichier igdext_trace.log qui liste le GPU détecté, chaque appel à l'extension et chaque kernel. Si y'a pas de fichier du tout créé, ça veut dire que le shim n'a pas été chargé et que c'est XESS=dp4a qui a fait tourner le même jeu sans les XMX.

Et si ça casse

Franchement, y'a des chances hein ! Mais si c'est le cas, suffit de relancer install.sh. Si un jeu se comporte mal uniquement avec Mesa 26.3 (qui est encore une release candidate), mettre MESA=26.1 avant %command% le renverra sur le pilote Mesa 26.1.2 du même paquet. Et si les XMX ont disparu après une mise à jour de SteamOS, sachez que l'utilitaire ~/.cache/xess-xmx/driver-status vous dira si les pilotes patchés se chargent encore, et le script tools/rebuild-driver.sh en reconstruira un tout frais tout beau pour votre nouvelle version de Mesa.

Et puis si vous voulez simplement revenir en arrière, et abandonner la luuuuttte finale , y'a toujours ./uninstall.sh qui lancé depuis le dossier du paquet annulera tout ce que l'installation a fait ! Ouf !

Source : PC Gamer

Je ne sais pas si vous connaissez David Catuhe, mais c'est le créateur de Babylon.js, un moteur de rendu 3D pour le Web qu'il pilote depuis chez Microsoft, et accessoirement une vieille connaissance. Ça faisait un bail qu'on ne s'était pas parlé alors quand il m'a écrit pour me présenter son jeu, avec en bonus une clé pour tester la version complète encore en bêta, j'ai sauté dessus. Donc voilà, vous êtes prévenus, c'est le test d'un copain... mais un test qui je l'espère sera honnête.

Ce jeu, c'est CottageCore , un jeu de construction cosy où vous construisez librement votre village dans une clairière avant de pouvoir ensuite le regarder prendre vie. Les villageoises s'installent, vous leur choisissez un métier parmi une quinzaine, les animaux y vivent leur meilleure vie et les saisons défilent jusqu'à l'hiver. Ça se joue en mode Créatif, sans aucune limite, ou en mode "Dieu de la clairière", où cette fois accueillir du monde coûte du mana.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Et franchement, c'est très chill. La musique est top (David précise que l'art et la musique sont faits par des humains, l'IA ne l'ayant aidé que pour le code) et les modèles 3D sont super jolis. On règle les proportions des maisons et des tours, leurs matériaux, leurs couleurs, la forme des toits, et on peut même les faire flotter sur des nuages.

La place du village, avec sa fontaine, ses villageoises et ses poules qui se baladent

Mais ce que j'ai préféré dans ce jeu, c'est que les bâtiments peuvent gagner une fonction. Par exemple, vous partez d'une simple maison, vous lui ajoutez des tours, et si vous remplissez les conditions de sa recette, elle deviendra alors un beau château ou une jolie église.

Mon château sur son rocher, et à droite la carte de recette avec ses conditions encore à faire

Par contre, ces conditions ne sont pas toujours claires, et construire n'est pas si simple. Pour le château par exemple, il faut surélever le terrain, et chez moi ça ne marchait pas bien, sans que je comprenne pourquoi. David a pourtant déjà retravaillé ces cartes fin octobre puisqu'un clic sur une condition non remplie la met en évidence et vous indique quoi faire. Donc si vous bloquez, cliquez sur la ligne qui coince.

Une alerte réclame plus de nourriture pour l'hiver pendant que je bataille avec le château (capture : Korben)

Après, c'est une bêta, donc faut être indulgent et je suis certain que David qui découvrira cet article en même temps que vous corrigera ces quelques derniers accrocs. Pendant le tuto, les alertes passaient aussi parfois devant les bulles d'explication. Le jeu m'a aussi un peu fait laguer, rien de grave, et m'a proposé de lui-même de quitter le mode haute qualité pour passer en mode performance.

En plein tuto, l'alerte de baisse d'images par seconde passe devant et propose la qualité Normal

Côté technique, le jeu est écrit en TypeScript, son rendu passe par Babylon Lite en WebGPU, et la version Steam emballe tout ça dans Electron. Et l'idée ne date pas d'hier puisque David m'a raconté que tout avait commencé en Silverlight 5, sous le nom de code de Worldmonger, auf qu'à l'époque, il ne savait pas encore dessiner, donc c'était, je cite, "moche comme un cul".

Mon petit village vu de haut, avec son rempart crénelé et le château au bord de la rivière (capture : Korben)

Voilà, si ça vous tente, la démo est gratuite sur Steam depuis le 3 novembre, dispo sous Windows, macOS et Linux, avec une petite clairière et cinq métiers seulement. Sur Mac, il vous faudra une puce M3 minimum sous macOS 14, et sur PC, Windows 10 avec une GTX 1660 ou une RX 5500 XT.

Et comme le jeu sortira en français le 14 avril 2027, d'ici là, il a laaarrrgeeemmment le temps de se bonifier et de voir ces petits défauts de jeunesse être corrigés !

Voilà, si vous avez envie de vous détendre une heure ou deux pour bichonner votre petit village, allez faire un tour dans la clairière de David !

Vous vivez au fin fond de la Creuse ? Dans un van aménagé ou sur un bateau ? Ou dans un village où la 4G arrive avec la grâce d'un escargot asthmatique ? Si c'est le cas, vous avez peut-être dégainé le porte-monnaie pour une antenne Starlink. Le résultat ? 150 Mbps tombés du ciel, littéralement, depuis des satellites qui filent à 27 000 km/h à plus de 500 km d'altitude. Votre terrasse est devenue une station de réception de signaux spatiaux. Le rêve. Sauf qu'il y a 3 trucs qu'on a oublié de vous dire au moment de l'achat.

Déjà, Starlink c'est un FAI américain comme un autre. Et comme tout FAI, il peut voir les sites que vous visitez. Même SpaceX. Ce qui laisse la possibilité que vos habitudes de navigation puissent être partagées avec les autorités US si un mandat pointe le bout de son nez.

Ensuite, le géant américain utilise du CGNAT (Carrier-Grade NAT) ce qui veut dire que vous partagez une IP publique avec une flopée d'inconnus. Votre antenne perso n'a donc pas son adresse IP personnelle. C'est de la mutualisation d'IP, en quelque sorte. Vous ne connaissez pas vos colocataires, par contre vous subissez leur réputation. Si l'un d'eux s'est fait griller en train de spammer ou de scraper, c'est l'IP entière qui se fait flagger. Ce que ça change vraiment ? Vous allez voir popper les CAPTCHAs qui vous demandent de cliquer sur les feux de circulation douze fois de suite, votre banque qui vous bloque "par sécurité" ou encore des sites de streaming qui vous balancent parce que votre IP partagée pue à plein nez. Et vous pouvez vous brosser pour du réacheminement de port si vous vouliez héberger quoi que ce soit.

Enfin, votre routeur Starlink tout neuf ne sait pas parler le VPN. Pas de client, pas de passthrough, que dalle. Elon vous a vendu l'internet de l'espace, sauf qu'il a oublié la couche chiffrée qui va avec.

Maintenant qu'on a établi le diagnostic, la solution n'est pas non plus la plus compliquée à trouver : un VPN. Sauf qu'à l'inverse d'un simple desktop ou laptop, on ne peut pas se tourner vers le premier venu. Parce qu'un satellite a quelques contraintes à prendre en compte.

Les 11000+ satellites Starlink. Source : https://satbeams.com/

Le satellite, c'est fantastique, sauf pour la latence

Dès le moment où votre antenne communique avec un satellite en orbite basse, vous partez déjà avec 25 à 60 ms de latence avant même d'avoir ouvert un onglet. Et très souvent la connexion saute d'un satellite à l'autre toutes les 4 à 15 minutes, comme une antenne de radio qui zappe entre deux fréquences. Si vous ajoutez un mauvais VPN par-dessus, c'est la catastrophe. Par exemple OpenVPN, c'est encore 30 à 50 ms en plus et une baisse de débit de 20 à 30%. Autant dire que votre visio va vite ressembler à une retransmission des premiers pas sur la Lune (1969 pour ceux qui ne savent pas).

Avec le protocole WireGuard c'est déjà un peu mieux. On parle de 10 à 20 ms seulement et d'une perte de débit de l'ordre de 10-15%. Après tous ces chiffres dépendent de plusieurs éléments comme le matériel, le serveur VPN, la charge, le protocole, le réseau et les conditions radio. Mais jusqu'à preuve du contraire c'est le protocole à choisir sur satellite.

Et c'est là que Surfshark tombe plutôt bien puisque leur implémentation du protocole est non seulement rapide et est désormais post-quantique de bout en bout (ML-KEM pour l'échange de clés et ML-DSA pour l'authentification). Ces certificats post-quantiques que même Apple et Microsoft n'ont pas encore activés dans leurs applis grand public. Vous allez me demander pourquoi c'est important dans le cas présent ? Et bien tout simplement parce que sur une connexion satellite, votre trafic passe littéralement par les airs, interceptable par n'importe quelle agence avec un budget. Ça sonne un peu science-fiction, mais c'est une réalité. Donc autant que les paquets qui vous sont volés aujourd'hui restent illisibles même dans 10 ans lorsque le quantique sera réalité (s'il l'est d'ici là).

Une autre fonctionnalité qui prend tout son sens sur Starlink : le kill switch. Chaque fois que votre antenne change de satellite, la connexion peut vaciller même juste une fraction de seconde. Sans l'option kill switch, votre trafic va alors transiter en clair pendant ce court laps de temps. Avec l'option activée, la fuite est fermée nette jusqu'au retour du tunnel chiffré. Sur une connexion qui saute d'une machine spatiale à une autre toutes les quelques minutes, ce n'est pas du luxe, c'est de la plomberie de base (rapport à la fuite).

Pourquoi Surfshark marche particulièrement bien sur Starlink

Alors oui, je sais, je vous entends d'ici : "Korben, tu nous vends Surfshark depuis le début de l'article". C'est pas faux, mais il faut dire aussi que pour ce cas d'usage précis, le requin coche des cases que les autres ratent parfois de loin :

• Il supporte un nombre d'appareils illimité. Et une connexion Starlink, c'est rarement un seul appareil. C'est le PC, le téléphone, la tablette, la smart TV, la console, le NAS et même très souvent toute une tribu ... ou un village entier. Chez Surfshark, vous connectez tout ça sans compter. De quoi faire tourner 7 appareils simultanés en 4K sans broncher.
• L'outil CleanWeb , leur bloqueur de pubs et trackers intégré. Dans des échanges avec un satellite, chaque méga compte (surtout que Starlink a des règles d'usage équitable). Si vous supprimez la couche publicitaire, c'est du débit récupéré gratuitement.
• 4500+ serveurs répartis dans plus de 100 pays, dont la France. On sait qu'un serveur proche cela va diminuer la latence. Et la latence c'est pas mal important comme on l'a vu plus haut. Disposer d'un serveur à moins de 500 km c'est quand même mieux que de devoir joindre l'autre bout du monde.
• Une politique no-logs qui a été auditée plusieurs fois au fil des années et des serveurs 100% RAM qui s'effacent régulièrement.

Et si vous voulez ajouter une couche, vous pouvez faire changer votre IP toutes les cinq minutes (rotation d'IP), pour brouiller encore plus la corrélation entre vos sessions. Sur une IP partagée qui peut déjà partir en quarantaine régulièrement, disposer de sa propre IP VPN qui tourne, c'est plutôt sympa.

2 méthodes d'installation, facile et moins facile

N'importe qui peut utiliser la méthode classique puisqu'elle est faite pour 95% des gens et prend 5-10 minutes chrono. D'abord vous allez commencer par installer l'appli Surfshark sur chacun des appareils que vous voulez protéger (la base). Il n'y a pas de routeur à toucher, pas de bypass mode, rien. Ça marche immédiatement avec le routeur Starlink d'origine et c'est ce que fait la quasi-totalité des utilisateurs Starlink. Franchement, ça suffit pour la plupart.

Mais il y a aussi le style main dans le cambouis si vous voulez protéger automatiquement chaque appareil qui se connecte à votre réseau (y compris la TV du camping-car du beau-frère). Pour ça vous allez passer le routeur Starlink en mode bypass histoire de le transformer en simple modem. Puis vous allez brancher derrière celui-ci un routeur tiers compatible VPN. Par exemple un GLiNet qui fait très bien l'affaire, sinon un ASUS avec firmware adapté. Là, tout le trafic du foyer passe dans le tunnel par défaut. C'est plus propre et plus fun, mais ça demande un adaptateur Ethernet Starlink, un routeur supplémentaire et au moins une bonne tasse de café.

Et si ça rame ?

Avoir de 10 à 30% de perte de débit avec un VPN passant par satellite, c'est plutôt normal et vous allez devoir l'accepter. Par contre si vous avez des résultats plus mauvais que ça, essayez de trouver un serveur plus proche, activez le protocole WireGuard (si ce n'est pas déjà fait) et désactivez éventuellement le MultiHop. Et si le VPN décroche au moment des changements de satellite, c'est que le kill switch fait bien son boulot donc ne vous énervez pas.

Au final il faut se rendre compte que vos données suivent des satellites qui filent à toute vitesse, que vos paquets traversent l'atmosphère et que vous partagez votre IP avec des inconnus dont vous ignorez tout. Vous voyez donc assez vite que chiffrer le tout avec un VPN post-quantique ce n'est pas être complètement parano. C'est juste logique. Vous avez relié votre maison à l'espace, autant que l'espace ne sache pas ce que vous regardez le soir.

Et le tarif actuel ? Pour le Black Friday (et jusqu'au 30 novembre), l'abonnement Starter est à 2,49 € HT/mois sur 27 mois (incluant 3 mois offerts). Pour sécuriser un kit à 400 balles (prix moyen, un peu moins cher le Mini) et tout le foyer qui en dépend, c'est le prix de 2-3 croissants par mois. Même le banquier qui vous bloquait "par sécurité" il y a cinq minutes ne peut plus vous faire de reproche !

Profitez de l'offre Black Friday 2026 !

Le premier Wing Commander, celui qui tournait sous DOS, peut maintenant êtré joué en coop dans votre navigateur, chacun le cul posé dans son chasseur. Suffit simplement d'entrer un petit code pour rejoindre un salon et retrouver votre ailiers intergalactique pour une partie endiablée.. Et ce n'est pas un remake puisque c'est le jeu d'origine qui tourne dans un DOSBox compilé spécialement pour le web, avec donc ce mode multijoueur greffé dessus à force de rétro-ingénierie.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Si vous voulez tester, vous devrez donc vous rendre sur la page du jeu et y glisser-déposer l'installeur GOG de Wing Commander ou un zip de son dossier. Tout est ensuite décompressé localement dans le navigateur sans que vos fichiers ne soient téléversés nulle part, et surtout ils y restent pour la prochaine fois. Ensuite vous entrez le code de salon et un indicatif, vous envoyez le lien à votre pote, et le premier pilote arrivé lance la partie pour tout le monde ! Ça se joue à deux, ou à trois si l'hôte ouvre un siège de plus, soit au clavier, soit à la souris ou à la manette.

Cet exploit a été réalisé par 2 frères, Daniel et Patrick, qui gamins jouaient déjà à deux sur le même vaisseau, l'un aux commandes, l'autre aux lasers et à la postcombustion, en rêvant de voler côte à côte. Puis en octobre 2015, Daniel qui était en train de jouer dans DOSBox se dit que ce serait carrément possible de retrouver les coordonnées de son vaisseau et celui d'un allier dans les fameux 640 Ko de mémoire. Et s'il retrouve ça, il pourra piloter l'allier via le réseau...

Alors il se met au boulot, copie la mémoire vaisseau à l'arrêt, donne un petit coup d'accélérateur, et compare avec le résultat... Et voilà comment des années plus tard, à force de jouer avec le debugger de DOSBox et de reverser la mémoire, ils arrivent en 2017 à mettre au point un protocole réseau avec le meneur qui envoie la position de chaque vaisseau à chaque image.

Seulement, pour y jouer, il fallait retrouver le jeu, récupérer une version bricolée de DOSBox, s'échanger ses adresses IP et ouvrir des ports sur les firewalls... Bien relou donc... Et le projet s'est donc endormi sur GitHub.

Mais l'IA est arrivée et a permis à Daniel et son frère de ressortir le jeu avec une communication WebRTC, jouable directement dans le navigateur ! Comme quoi, il ne suffit pas de grand chose pour dépoussiérer de grandes idées ! Les frangins se sont même un peu enflammés et on ajouté dans le jeu un chat vocal !

Bref, le mieux c'est encore de tester ça avec vos amis. En plus comme c'est la GRÊVE GÉNÉRALE !!, vous aurez un peu de temps pour lancer ça sur Chrome (oui Firefox et Safari, ça n'a pas été testé donc je ne sais pas ce que ça donne).

Ah et notez aussi que le dépôt du projet annonce aussi Wing Commander II en multi, et les sources sont sur GitHub pour ceux qui voudraient héberger leur propre salon.

Ne vous reste plus qu'à trouver votre ailier !

Vous venez de télécharger un jeu de 180 Go compressé en ZIP ou en 7z (Merci FitGirl ! ^^), et une fois décompressé, il viendra squatter 200 Go. Logique... Sauf que comme vous le savez également, WinRAR, 7-Zip ou unzip ont besoin de conserver l'archive pour la décompresser jusqu'au bout. Du coup, au final, cette archive compressée + tous les fichiers extraits en même temps sur le disque, et bien vous vous retrouvez avec 380 Go au total.

Donc si comme moi vous êtes toujours à court de place parce que "les nouveaux modèles à tester sur Ollama, tu connais", voici peut-être LA solution du tur-fu !

C'est en tout cas la mission que s'est donné HatchZip , un extracteur gratuit et open source pour Windows, macOS et Linux, qui s'utilise en GUI (interface graphique) ou en ligne de commande. Lui en décompressant votre archive se contentera d'un peu plus de 200 Go et pas de 380 Go parce qu'avec lui, l'archive rétrécit au fur et à mesure que les fichiers en sortent. Et quand il a terminé, hé bien il ne reste plus que les fichiers extraits !

L'archive de 180 Go se vide par la fin pendant que le dossier du jeu se remplit

Comme un ZIP ou un 7z range son index tout à la fin du fichier, HatchZip commence par le mettre de côté dans un petit fichier, puis il extrait les morceaux en partant du dernier. Après chaque fournée, il ampute alors l'archive à l'endroit où commençait cette fournée, et la place libérée sert alors aux fichiers suivants.

Voici comment le lancer en ligne de commande (avec la phase de check pour voir si ça tiendra sur votre disque)

hatchzip check game.zip
hatchzip extract game.zip

Bien sûr, si vous faites Ctrl+C, HatchZip terminera de s'occuper des fichiers qu'il est en train d'écrire, enregistrera sa progression et s'arrêtera. Pareil après un plantage ou une coupure de courant. Mais il suffit alors de relancer la même commande pour qu'il reprenne là où il en était. Et si vous changez d'avis, hatchzip restore refera une archive "normale" avec ce qui n'a pas encore été extrait (ce sera donc ouvrable classiquement par 7-Zip, WinRAR ou unzip sauf pour un RAR ayant ses noms de fichiers chiffrés).

Côté formats, il lit le ZIP, le 7z, le RAR, le tar, le .tar.gz, le .tar.xz et les archives découpées en .001, .002, etc., dont il supprime chaque volume dès qu'il est vidé. Un .tar.gz ou un .tar.xz, lui, se décompresse depuis le début, et HatchZip n'en rend la place qu'en "poinçonnant" le fichier, ce qui n'est pas encore vérifié sous NTFS et APFS. Et un .tar.xz fait d'un seul bloc, lui, est carrément refusé dès le départ.

Par contre, un 7z lui aussi compressé en un seul gros bloc solide exigera de la place libre pour ce bloc entier, car il ne pourra être libéré qu'une fois complètement extrait. Et un RAR solide ne passe qu'avec --keep-archive, autrement dit en extraction classique qui conserve l'archive.

Après, n'oubliez pas que cet outil détruit ce qu'il lit, donc ayez toujours une copie récupérable de ce que vous décompressez. Et prenez la dernière version, uniquement sur hatchzip.dev ou sur GitHub (hatchzip.com n'a rien à voir avec le projet), et ajoutez-y --verify-first quand l'archive ne peut pas être retéléchargée car ça lui permet de contrôler alors la somme de chaque fichier avant d'effacer quoi que ce soit.

HatchZip est sous licence MIT / Apache 2.0, et c'est, je pense à garder sous le coude pour le jour où votre SSD criera famine (ce qui est le cas du mien tous les jours) !

Source : HatchZip sur GitHub

Google vient de publier un long rapport technique dans lequel il explique comment il vient de démanteler XCPE, un botnet de plus de 1,3 million d'appareils Android, contenant surtout des box TV, qui sous louaient en douce la connexion de leurs propriétaires à des services de proxys résidentiels et servaient à faire de la fraude publicitaire. Le pire c'est que ce malware n'a pas été ajouté par un pirate mais était implanté directement dans le firmware, posé là par Videostrong, un fabricant chinois qui revendait ensuite l'accès aux box à des affiliés.

Google a donc attaqué en justice les domaines et les serveurs qui pilotaient le botnet, avec la police nationale japonaise et plusieurs entreprises de sécurité, dont Plume, Synthient et TrendAI, puis il a banni Videostrong, ainsi que ses futures filiales, de la fabrication d'appareils Android certifiés. Pour passer les tests de certification, le fabricant avait masqué son code malicieux et attendu ensuite le premier démarrage de l'appareil pour le charger discrétos. La faille a été corrigée par Google depuis...

Mais et les box déjà vendues, alors ?

Hé bien le billet de TrendAI est cash patate, la coupure a privé l'opérateur de ses commandes, mais l'implant reste sur chaque box / TV, et son nettoyage passe par le fabricant, par la plateforme ou par le remplacement de l'appareil. Le propriétaire n'a pas la main !! D'après Google, x.cpe tourne avec les droits système depuis la partition firmware et, si on le désinstalle, il se réinstalle tout seul au redémarrage depuis la partition /oem, donc autant dire que les propriétaires de ces appareils l'ont dans l'os.

Car sans pilote au manettes, ça ne veut pas dire que le malware est devenu inoffensif. En effet, Plume a épluché le code et les ordres circulent en MQTT sans chiffrement, donc n'importe qui capable de publier une commande peut la faire exécuter par la box. Et comme le contrôle de mise à jour passe en HTTP avec un fichier XML non signé, celui qui détourne le DNS du serveur peut alors prendre la main sur l'appareil easy... Quand au module LinkFog présent sur les TV, celui-ci relance ses tâches tout seul au redémarrage, sans attendre le serveur. Puis surtout, ce genre d'opérateur mafieux est tout a fait capable de reconstruire son infra ailleurs sous une autre bannière et de récupérer son botnet quasiment intact...

Mais alors comment savoir si votre TV ou Box Android est impactée ? Car aucune marque spécifique n'a été citée comme étant à éviter, puisque Google a trouvé le malware intégré dans de nombreux modèles et marques. Cela représente tout de même 206 modèles répartis dans plus de 170 pays. La liste publiée par Synthient et le rapport de Plume citent par exemple des MECOOL, dont la KM2 et la KM9 Pro, et la Strong Leap-S1, et le parc mêle des appareils AOSP et des appareils certifiés Google, donc la certification ne suffit plus du coup à garantir une box saine.

Côté parade, Plume recommande un reset d'usine complet, parce que des modules ont pu déposer d'autres portes dérobées, alors que Synthient conseille de se débarrasser définitivement de ces box, jugées à haut risque de contenir d'autres malwares. À mon avis, le reset seul ne suffira pas, vu que x.cpe est dans le firmware et pas dans les données, donc l'option déchetterie, c'est aussi ce que je recommanderai malheureusement.

Et côté Google, les mesures annoncées sont la mise en place d'un bannissement du fabricant et des contrôles renforcés pour que ça ne se reproduise pas. On verra si ça a un impact ou si les escrocs trouvent une nouvelle faille dans leur processus de certification.

Breeef, en attendant, Synthient conseille de débrancher les appareils suspects et de changer le mot de passe du Wi-Fi. Si votre box est sur la liste, c'est le minimum, mais vu ce que ça peut faire, moi je ne la rebrancherais pas à votre place...

Source : Krebs on Security

La fintech britannique Revolut affirme avoir réduit d'environ 90 % sa facture d'IA de codage en moins d'un an, en remplaçant les outils commerciaux comme Claude Code, l'assistant de programmation d'Anthropic, par un modèle chinois hébergé sur ses propres serveurs.

David Abitbol, qui dirige l'infrastructure de la banque en ligne, a raconté la bascule lors d'une conférence à New York. Ses 2 000 ingénieurs sont passés de Gemini début 2025 à Claude Code début 2026, avant d'adopter GLM, un modèle ouvert développé par le chinois Z.ai et utilisé aujourd'hui en version 5.3.

Le calcul est vite fait. Auto-hébergé, GLM revient à 0,30 dollar le million de tokens, ces unités de texte que les fournisseurs d'IA facturent à la consommation, soit à peu près dix fois moins que Claude Code ou que Codex, son équivalent chez OpenAI. Certains développeurs coûtaient jusqu'à 10 000 dollars par mois, pour un retour jugé décevant en interne.

Le tout tourne sur 56 cartes graphiques Nvidia B200 installées chez Revolut. Plutôt que d'empiler les cartes, les équipes ont surtout gratté de la performance avec des réglages fins, comme la compression du modèle ou la séparation des différentes phases de calcul.

Côté performances, la première réponse tombe en moins de 3 secondes et le système sort environ 200 tokens par seconde, et même 800 le soir quand les bureaux se vident. Au-delà de 5 secondes d'attente, les plaintes pleuvent en interne.

La vraie surprise est ailleurs en fait. Les plus gros gains ne viennent pas de l'écriture de code mais du débogage et du traitement des tickets Jira et Confluence, ces outils de suivi de projet que tout le monde adore détester. Le temps de codage se serait quand même amélioré de 60 %.

Et puis il y a l'effet psychologique. Avec des tokens illimités en interne, les ingénieurs ne rationnent plus leurs requêtes pour tenir le budget du trimestre, et la facture ne réserve plus de mauvaise surprise en fin de mois. Les modèles commerciaux restent accessibles pour les cas particuliers, les tâches visuelles partent par exemple chez Gemini.

Un modèle chinois au coeur d'une banque, la question fâche forcément. Abitbol balaie. Hébergés en local ou sur un cloud régional, les poids du modèle ne font selon lui courir aucun risque, le danger serait plutôt de passer par des API hébergées on ne sait où.

Les fenêtres d'un million de tokens que vendent les gros acteurs du secteur sont à ses yeux "une arnaque", 256 000 suffisent largement à coder. Tout le marché vend exactement l'inverse depuis deux ans.

Source : Theregister

Google a annoncé mardi que Gemini, Gemini Notebook et même son moteur de recherche seront désactivés par défaut sur les comptes des élèves américains, de la maternelle au lycée, tant que les administrateurs scolaires ne les auront pas activés eux-mêmes. Les nouveaux réglages arriveront dans les prochains mois, pour une bascule prévue début 2027.

Présenté comme ça, le geste ressemble à une concession faite aux enseignants. Le détail qui fâche est sorti dans le New York Times, où Chris Phillips, le responsable de l'éducation chez Google, a confirmé qu'une école qui refuse l'IA perdra du coup l'accès à Search, parce que la recherche et l'IA sont maintenant profondément intégrées, selon ses propres mots. Les élèves verront simplement un message leur expliquant que le service n'est pas disponible.

Devant les critiques, Google a publié le soir même une mise au point sur X pour assurer que l'annonce donne aux écoles plus de choix, pas moins, et que chaque service peut être activé individuellement, un, deux ou les trois.

Sauf que cette réponse esquive le vrai sujet. Activer la recherche revient à accepter les résumés d'IA affichés en haut des résultats, puisque Google ne propose aucune version du moteur qui en serait débarrassée. La configuration que réclament beaucoup de profs, garder la recherche pour apprendre aux élèves à trouver des sources tout en bloquant les réponses toutes faites, n'existe tout simplement pas au catalogue.

Google sait pourtant ce que coûte la méthode forte. En août, des fonctions d'IA activées d'office dans Classroom avaient mis les enseignants américains en colère, et la firme avait fait machine arrière.

Les Chromebooks et les outils Google équipent une part énorme des écoles américaines, et un district scolaire ne remplace pas son moteur de recherche du jour au lendemain.

Pour les établissements qui diront oui, Google met en avant Guided Learning, un tuteur qui décompose les exercices étape par étape au lieu de donner la réponse, histoire de limiter la triche. Les enseignants pourront même consulter les transcriptions des conversations entre les élèves et le chatbot.

Le calendrier est quand même osé. New York et Los Angeles ont voté en septembre un moratoire d'un an sur l'IA générative dans leurs écoles publiques, et l'État de New York interdit depuis la semaine dernière certaines fonctions de chatbot aux mineurs.

Source : TechCrunch

Comme vous le savez, je m'amuse beaucoup avec l'IA en ce moment. Bon, j'en cause surtout sur mon Patreon parce que sinon, je vous saoulerai grave avec toutes mes expériences mais ça c'est un truc que je tenterai bien à l'occasion. Je vous explique...

Cette semaine, 4 chercheurs du MIT CSAIL, Rikiya Takehi, Jayden Teoh, Alex Zhang et Omar Khattab, ont expliqué sur leur site comment ils ont demandé à GPT-6 Astra, le modèle d'OpenAI, de rendre Qwen3.5-0.8B meilleur en maths en retouchant directement ses poids, sans la moindre descente de gradient.

Et non seulement, l'IA d'OpenAI y est parvenu, mais en plus, le chiffre claque puisque le score sur MATH-500 de ce Qwen est passé de 7,9 % à 48,1 % suite à une modification par Astra de seulement 131 072 poids sur 0,8 milliard, soit 0,016 % du modèle.

Pour ceux qui arrivent (en armure comme Diam's ^^), les poids d'un réseau de neurones, c'est l'IMMENSE liste des nombres que l'entraînement ajuste petit à petit, et que presque personne ne sait ensuite retoucher à la main. C'est d'une telle complexité ! Mais avec un petit budget et 50 passes pour regarder comment le modèle répond à ses retouches, Astra lui à réussi !

Le point de départ des chercheurs, c'est que Qwen tournait en rond sur les problèmes de maths. Ainsi sur ses 96 premières réponses d'entraînement, 85 pédalaient dans la semoule jusqu'à atteindre la limite des 32 768 tokens et donc sans livrer de solution... Snif... Astra a donc remonté ces boucles une par une jusqu'à une direction écrite par les couches 15 et 19 du modèle, puis il l'a soustraite des poids. Et voilà comment la part des réponses interrompues à cause de cette limite en token est tombée de 93 % à 33 %.

Alors, Qwen est-il vraiment devenu bon en maths grâce à Astra ?

Hé bien pas vraiment, et ce sont les auteurs eux-mêmes qui le disent dans leur papier. En fait, réparer des boucles permet surtout au modèle de finir des réponses qu'il savait déjà trouver. Ils ont d'ailleurs refait l'essai sur Gemma 3 270M, un modèle qui boucle rarement, et là, aucune des retouches d'Astra n'a fait bougé le score MATH-500 de plus d'un point. Voilà, donc contrairement aux grandes annonces que j'ai pu lire de ci, de là, retoucher les poids de Qwen a juste permis de lever un obstacle qui cachait une capacité existante, mais n'a en aucun cas ajouté une capacité qui manquait.

Cette expérience a ensuite été refaite par Jonathan Coletti, sur Hugging Face, qui a réévalué les poids publiés avec le prompt, les réglages et le correcteur des auteurs. Et il est passé d'un Qwen à 7,4 % à un Qwen à 50,2 % après, réflexion activée bien sûr (le mode "Thinking" quoi). Ça confirme donc bien le papier.

Mais Jonathan a aussi tenté le coup avec le mode réflexion coupé et là, la retrouche a fait perdre au modèle un peu plus de 2 points.

Quoiqu'il en soit, cette retouche peut se rapprocher de l'effacement d'une direction dans les poids, ce qui en gros est la recette de l'abliteration qu'utilisent déjà ces outils qui virent la censure des LLM . Astra serait donc potentiellement capable de lever des limites sur des modèles open source (dont les poids sont dispo)... Intéressant non ?

Voilà, donc si vous faites tourner ce petit Qwen chez vous et que vous optez pour cette version retouchée par Astra, activez bien ce mode Thinking car avec lui, le modèle aura la bosse des maths !

Source : Sparks of Weight-Space Programming

Les amis, insomnie depuis 3h du mat (ouais j'ai des soucis ^^), alors quoi de mieux que de bosser un peu ! J'avais cet article en brouillon depuis hier et comme j'ai trouvé ça super joli, je vous en parle ! Il s'agit de DiscImageStudio qui est un logiciel qui permet de transformer une image en données à graver sur un CD, un DVD ou encore un BD-R pour les plus riches d'entre vous, et une fois le disque écrit, hé bien votre dessin apparaît à l'œil nu sur sa surface.

Regardez-moi ça comme c'est beau :

Un dessin gravé par DiscImageStudio

L'idée n'est pas nouvelle puisqu'elle vient du projet CDImage , dont l'auteur avait jeté l'éponge en 2008 parce qu'il fallait calibrer l'image pour chaque marque et chaque type de disque. DiscImageStudio est donc reparti de ce code d'entrelacement pour les CD, et y a ajouté le DVD et le BD-R simple couche de 25 Go (ce dernier en mode expérimental...).

Sous Windows, vous importez donc votre image, vous faites vos petits réglages au niveau des calques, vous réglez le tramage, et puis vous exportez le tout ou vous gravez ça direct.

Pour un CD, ce qui est exporté c'est un WAV accompagné de son CUE (cdrecord ou ImgBurn savent le graver), et si c'est c'est un DVD ou un BD-R, ce que vous aurez à l'export c'est une ISO. Et vous pouvez même ajouter un dossier contenant quelques fichiers sur l'anneau intérieur ou extérieur du disque afin qu'il y ait quand même quelque chose de lisible dessus. Et dans ce cas, l'export CD sera là aussi une ISO de données.

L'onglet de conception, avec calques et tramage

Le vrai casse-tête étant la géométrie propre à chaque référence de disque (et c'est ça la raison de l'abandon de CDImage comme je vous le disais plus haut), DiscImageStudio embarque 5 préréglages calibré sur 3 modèles Verbatim, et 2 Ritek.

Pour un autre modèle de disque gravable, il faudra donc passer donc par une calibration assistée. En gros, vous gravez une mire, vous la photographiez, vous marquez une ligne à la main, et le programme cherche alors les paramètres qui la "redressent". Mais le résultat peut être hasardeux donc vérifiez bien la courbe prédite sur votre photo avant d'appliquer les paramètres.

Côté système, l'interface, calibration et gravure directe comprises, exige un Windows 10 2004 ou plus récent. Sur Mac et Linux, la version 1.3.6 sortie récemment dispose d'un mode expérimental en ligne de commande qui génère seulement les images disque, et c'est ensuite à vous de les graver, par exemple en ligne de commande ou avec le logiciel de votre choix.

Voilà, si vous avez des disques vierges dont vous ne faites rien et que vous n'avez pas peur d'en gâcher, ça peut vous faire de jolis éléments de déco.

Source : DiscImageStudio sur GitHub

Il m'aura fallu attendre un déménagement pour comprendre à quoi servait vraiment un télémètre laser , et depuis que celui de HOTO traîne à la maison, je mesure à peu près tout, y compris ce qui n'en a aucun besoin. La marque vient de l'écosystème Xiaomi, elle fabrique de l'outillage grand public plutôt joli, comme cette visseuse que je vous ai déjà montrée, et ce petit boîtier mesure tout ce qui passe entre 5 centimètres et 30 mètres, à 2 millimètres près.

36 grammes. Voilà ce que pèse l'engin, à peine 7 centimètres de long, rechargeable en USB-C (le câble est dans la boîte si vous n'en avez pas, mais je ne vous croirez pas), et il se glisse du coup dans une poche sans qu'on y pense.

Le fonctionnement est on ne peut plus simple, on cale l'appareil contre un mur, on appuie, et la distance jusqu'à la paroi d'en face s'affiche en une petite seconde sur un écran OLED qui se lit aussi bien en plein soleil que dans une cave.

Chez moi, il a servi à tout. Vérifier qu'un canapé de 2,40 mètres passait entre la fenêtre et le radiateur du salon, mesurer la hauteur sous plafond sans monter sur une chaise, recalculer la surface d'un couloir à repeindre parce que le pot de peinture promettait 10 mètres carrés et que je n'y croyais pas une seconde.

En visite d'appartement, vous relevez les cotes des pièces l'air de rien pendant que l'agent immobilier déroule son argumentaire, et vous savez avant de signer si l'armoire normande héritée de la mamie rentrera dans la chambre.

La mesure se prend au choix depuis l'avant ou l'arrière du boîtier, un détail qui n'en est pas un, puisqu'on plaque l'engin au fond de la niche du lave-linge et qu'on obtient la largeur exacte sans tordre quoi que ce soit dans l'angle. On peut aussi changer l'unité de mesure, mais a priori vous devriez rester sur le système métrique.

La batterie, je l'ai rechargée une fois en un mois, par acquit de conscience plus qu'autre chose.

Comptez une trentaine d'euros, parfois moins en promo, et à ce prix je ne vois pas bien ce qu'on peut lui reprocher, la visée est précise, la prise en main immédiate, et l'objet fait son petit effet quand vous le sortez devant un pote en plein montage de meuble.

La bête est disponible par ici sur Amazon , et croyez-moi, il va vous servir un paquet de fois.

Samedi, pendant que vous étiez tous en manif, Andrej Karpathy a demandé à Claude de lui fabriquer un YouTube à partir de toutes les merveilleuses vidéos que les gens se recommandent sur HackerNews et ça a donné naissance à HackerTube . Déjà rien que ça c'est top !

Mais moi ce qui m'a encore plus c'est que le lendemain Roansh a fait pareil avec les bouquins en laissant Claude coder HackerBooks .

Et voilà comment on se retrouve avec une bibliothèque de 15 766 livres tirés de 281 363 mentions HN publiées depuis 2007. Et un livre n'y figure que s'il a été cité par au moins 2 personnes différentes. Ensuite chaque fiche renvoie aux commentaires qui en parlent et il y a même des suggestions à la "For You" qui vous fait des propositions raccord avec vos goûts selon ce que vous avez ouvert comme fiche.

Ensuite, l'IA a fait un tri pour distinguer les citations des recommandations. Par exemple The Art of Computer Programming de Knuth cité par 1 125 personnes mais recommandé par 336, alors que How to Win Friends and Influence People de Dale Carnegie en compte 579.

Y'a même Mein Kampf, le livre préféré de ceux qui ont été bercés trop prêt du mur, qui a été cité (je pense pour la blague) par 535 personnes mais a été fièrement recommandé quand même par 15 personnes.

Bien sûr, on ne peut pas télécharger les livres gratuitement dessus. Ça renvoie vers Amazon et compagnie. Mais ça permet de prendre un petit peu la température sur les classiques, organisés dans différentes rubriques comme fiction, programmation, mathématiques, philosophie, fantaisie, etc.

Et si votre livre préféré manque à l'appel, ou si Claude l'a confondu avec un autre, n'hésitez pas à le signaler à roansh

Source : HackerBooks sur Hacker News

Je suis rentré de vacances hier et je pensais me remettre rapidement à écrire mais de l'administratif en retard en a décidé autrement... Mais peu importe, d'autres ont des soucis plus importants, vous allez voir...

En effet, ce 1er novembre, à 22 h 47 précisemment, l'appli ukrainienne Air Alert, utilisée pour alerter les Ukrainiens afin qu'ils se mettent à l'abri, s'est mise à envoyer n'importe quoi !! Alerte aérienne critique sur tout le pays, et pour les habitants de Kiev en cadeau bonus une menace radiologique, une attaque chimique et des combats de rue.

L'un des messages, écrit en russe, annonçait même une alerte nucléaire imminente en ajoutant que c'était l'Oreshnik, un missile russe, qui arrivait... brrrrr les gens ont du tellement flipper. D'après un communiqué ukrainien relayé par la BBC, le signal "radiation" s'est aussi déclenché sur des haut-parleurs de la région de Lviv au nord de l'Ukraine. Heureusement, très rapidement les développeurs ont coupé les notifications push et ont suspendu l'appli.

Les alertes (écrites en russe !!) reçues par les Ukrainiens (source : BBC)

Quelques heures plus tard, tôt ce matin, c'était au tour du ministère russe des Situations d'urgence d'annoncer une "cyberattaque massive" sur sa propre appli. D'après le Kyiv Post , ces fausses alertes parlaient d'ogives nucléaires lancées vers toutes les régions de Russie. Elles sont aussi apparues sur des canaux régionaux du ministère sur Max, la messagerie soutenue par l'État .

Donc voilà, grosse nuit de frayeurs pour tous les civils russes et ukrainiens...

Alors qui se trouve derrière ces hacks ?

Hé bien d'après l' Associated Press , un des faux messages ukrainiens citait un groupe baptisé Hitcore, et Mash, une chaîne Telegram russe liée aux services de sécurité. L'AP a échangé avec l'un de ses représentants, qui a revendiqué l'attaque. Côté russe, la BBC rapporte que le média ukrainien UNN cite Atesh, un groupe de partisans ukrainiens qui serait à l'origine de l'opération mais rien de tout ça n'a pu être vérifié.

Quant au "comment", on n'en sait pas plus...

Les dev d'Air Alert parlent de personnes non autorisées , le ministère russe d'une vulnérabilité de son appli mais chacun assure par contre que l'essentiel a tenu... Heureusement, en Ukraine, l'appli est séparée des systèmes de commandement militaire, et pour le ministère russe, ce n'est qu'un service annexe à côté des sirènes et des SMS.

Du coup, je me suis demandé : Et en France, ça se passe comment ?

Ici, FR-Alert fonctionne depuis juin 2022 et vous n'avez rien à installer. C'est le ministère de l'Intérieur ou une préfecture qui déclenche l'alerte via un système dont le partenaire technologique est Intersec , et ce sont ensuite les antennes des opérateurs qui la diffusent sur un canal radio dédié, avec au besoin des SMS géolocalisés en complément. Le message s'affiche alors en quelques secondes, même sur votre téléphone verrouillé, sauf s'il est éteint ou en mode avion.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Comme ce n'est pas une application, il n'y a donc pas de notifications push à détourner. Mais le système n'est pas infaillible pour autant... le Brésil, qui a un système similaire au notre, s'est fait hacker en juin et une dizaine de fausses alertes sonores sont parties mentionnant entre autre une "invasion extraterrestre"... L'alerte a réveillé plusieurs villes soit environ 30 millions d'habitants, d'après l' Agência Brasil .

Putain, j'imagine pas ma tête à 3h du mat avec une alerte comme ça sur mon téléphone qui me dit que les aliens ont débarqué...

D'après des documents de la Défense civile transmis à la police fédérale et publiés par Metrópoles , les messages sont partis de la plateforme officielle, l'Idap, avec les identifiants de deux agents de la Défense civile du Pará, et avec des indices que la plateforme les a laissés viser des villes hors de leur zone. Ensuite, fin juin, le gouvernement Brésilien a alors coupé l'accès externe à la plateforme et imposé un second facteur d'authentification. Ouf !! J'espère que chez nous, y'a une 2FA en place aussi là dessus... CE SERAIT BIEN, HEIN !

Le canal radio à l'ancienne a aussi sa faiblesse, mais elle reste locale puisqu'en 2019, des chercheurs de l' université du Colorado ont montré en labo qu'une fausse antenne pouvait diffuser une fausse alerte présidentielle américaine. Selon eux, avec des émetteurs du commerce, ça toucherait environ 90 % des téléphones à portée de la surface d'un stade.

Donc voilà... je ne dis pas que ça n'arrivera jamais, ça peut arriver. En plus, comme ces alertes peuvent embarquer un lien, vaut mieux vérifier avant de cliquer.

Source : BBC

Vous cherchez sur Google (ouais à l'ancienne) comment faire un peu de place sur votre ordi parce que votre disque est déjà plein. Et bizarrement, le premier résultat de recherche c'est une conversation partagée de ChatGPT hébergée sur le vrai site d'OpenAI, avec des étapes bien propres et une commande à coller dans le Terminal afin de libérer un peu d'espace disque.

Sauf que ce tuto, hé bien c'est pas un vrai tuto made in korben.info, non, c'est une conversation avec une IA sur un domaine légitime (chatgpt.com) qui va vous pousser à installer un affreux malware. Et n'allez pas croire que c'est de la science-fiction, c'est exactement ce qu'a vécu une victime dont les analystes de Huntress ont traité l'infection début décembre 2025. La commande présente dans ce tuto a installé AMOS, un voleur de données qui a dérobé son mot de passe admin, les droits root, et s'est incrusté sur l'ordi pour ensuite tout capter.

Source de l'image : Huntress

C'est l'attaquant lui-même qui a créé cette conversation, l'a partagée en mode public et ensuite l'a fait remonter dans Google avec un peu de SEO pour que ça ressorte dans les premiers résultats de recherche. Et la même combine a également été observée sur Grok.

Voilà, donc l'arnaque ici c'est que l'interface est authentique (c'est une vraie conversation), mais ce qu'elle raconte a été forgé par un cyber-escroc.

Et ça ce n'est qu'un exemple de toutes ces attaques boostées à l'IA qui commencent à se multiplier et qui sont très créatives !

Le piège de la commande à copier coller

Autre exemple, entre avril et juin 2026, dans ce rapport de TrendAI on découvre une campagne de pubs Google qui a d'abord mené vers de fausses pages de téléchargement, puis vers des conversations Claude partagées (dont l'une s'intitulait "Clearing disk space on macOS") et qui aurait fait +2000 victimes. Le scénario est à peu près le même avec un Terminal à lancer, une commande à coller, et le malware MacSync qui s'installe pour voler les "secrets" de l'utilisateur. Heureusement, Anthropic a banni les comptes et désactivé ces conversations dès que l'affaire a été découverte.

Source de l'image : TrendAI

De son côté, ESET , qui surveille énormément toutes ces attaques d'un nouveau genre, regroupe sous le nom d'AI-fix ces pages publiées sur le domaine d'un service d'IA, permettant de diffuser des virus. L'entreprise slovaque est même tombée sur une fausse pub Google Ads pour Homebrew menant à la catastrophe pour tous ceux qui s'aventuraient à recopier les commandes sur leur ordinateur. Apple a heureusement bien réagi de son côté puisque depuis macOS 26.4, le système analyse les commandes collées dans le Terminal avant de les exécuter. Ouf !

Toutefois, Jamf Threat Labs a documenté en avril une variante qui contourne le Terminal à l'aide d'une fausse page "pour récupérer de l'espace disque" (toujours le même sujet "appât") qui ouvre, quand on clique sur un bouton, l'Éditeur de scripts de macOS avec un script vérolé déjà chargé. Comme ça y'a rien à copier, mais juste à lancer... Argh !

Source de l'image : Jamf Threat Labs

Donc le réflexe ne change pas, hein... Si une commande ou un script sort d'une conversation, d'un forum ou d'une page web, même si ça vient de chez ChatGPT (SURTOUT si ça vient de ChatGPT), on ne l'exécute pas sans savoir ce qu'il fait !!

L'arnaque ClickFix

Sous Windows, c'est à peu près le même piège mais via une autre porte d'entrée. Quand vous avez un OS de Microsoft, la page vous demande également de copier et de coller une commande mais cette fois, au choix, dans la fenêtre Exécuter (Windows + R), dans Windows Terminal ou dans PowerShell. Microsoft décrit cette technique, baptisée ClickFix, dans un billet de son blog sécurité . Cette "arnaque" simule même parfois de faux captchas vous incitant à lancer des lignes de commande pour accéder au contenu. Et c'est sûr que quand on a l'habitude de zapper des captchas à la vitesse de l'éclair et qu'on ne connait rien en ligne de commande, la manip est vite faite malheureusement ! Bref, parlez-en autour de vous.

Source : BleepingComputer

Les pages d'IA servent donc de décor là à tout ça. Push Security a même décrit en mai 2026 une fausse panne de ChatGPT, conçue à l'aide de la fonction de rendu de code et donc hébergée sur chatgpt.com. On n'y voit que du feu et ça renvoyait vers un faux site de téléchargement avec des boutons macOS et Windows histoire de récupérer les bonnes lignes de commande. Parfois, c'est même un GPT personnalisé avec lequel on peut discuter, hébergé sur ChatGPT.com et dont chaque réponse mène à une page qui sert un ClickFix.

Des liens et du code piégés

Pour les liens renvoyés par les IA, même si c'est moins spectaculaire, ça peut aussi faire des dégâts. Dans ce billet de juillet 2025 , Netcraft raconte par exemple avoir testé un modèle de la famille GPT-4.1 en lui demandant l'adresse des pages de connexion de 50 marques, avec des phrases toutes bêtes du genre "j'ai perdu mon marque-page, où ce que je me connecte sur tel ou tel site".

Et sur les 97 domaines proposés, 34 % n'appartenaient pas à la marque, dont près de 30 % des domaines libres, parqués ou inactifs. Donc forcément récupérables par un escroc...

Et chez Perplexity, une attaque similaire a même été mise en place. Ainsi, quand on lui demandait l'adresse de connexion de Wells Fargo (c'est une banque), le premier lien menait à un faux site sur Google Sites qui captait les identifiants des brebis égarées. Bref, un lien de connexion, soit vous le tapez vous-même, soit vous le gardez au chaud dans vos marque-pages.

Et c'est la même histoire avec le code... Hé oui, par exemple, Netcraft a repéré une fausse API Solana, glissée dans des tutoriels et des dizaines de dépôts GitHub, qui a fini par atterrir dans les suggestions des assistants de code. Du coup, une fois l'API implémentée dans un vrai projet, les transactions partaient vers le portefeuille de l'attaquant. Au moins 5 victimes l'ont copiée dans leurs projets publics, dont certains développés avec des outils d'IA... Donc si votre assistant IA vous propose une API que vous ne connaissez pas, je vous recommande chaudement de la chercher dans la doc officielle avant de l'intégrer.

Les agents IA et leurs skills

Reste maintenant le cas des agents, ces IA qui lisent des pages et font des trucs à votre place. En août 2025, Brave a montré , via un proof of concept, qu'un commentaire Reddit, avec des instructions cachées derrière une balise "spoiler", suffisait à retourner la veste de Comet, le navigateur à agent de Perplexity . Dès que l'utilisateur demandait le résumé de la page, il récupérait son adresse e-mail sur Perplexity, déclenchait l'envoi d'un code de login 2FA, le lisait ensuite via Gmail et publiait le tout (email + code) en réponse au commentaire.

Source : Brave

Voilà, donc le réflexe, c'est de ne pas confier votre messagerie à un agent qui lit n'importe quelle page.

Et pour les skills, ces petits modules qu'on greffe à un agent, ESET dit en avoir analysé 900 000, dont 25 000 suspectes et plus de 3 000 clairement malveillantes. C'est pourquoi ils proposent un outil gratuit, l' AI Skills Checker , pour les passer au crible avant leur installation. Après, le minimum avec une skill, c'est au moins de regarder les permissions qu'elle demande et qui l'a écrite.

Et le phishing ça donne quoi ?

Quant au bon vieux phishing, hé bien il est juste devenu beaucoup moins cher à fabriquer. Dans une étude sortie fin 2024 , sur 101 participants répartis en quatre groupes, des e-mails de spear phishing entièrement rédigés par IA ont réussi à obtenir 54 % de clics, contre 12 % pour du phishing traditionnel fait par des humains. En fait l'IA permet de viser plus de monde à moindre coût et surtout de personnaliser à grande échelle les contenus de phishing.

Donc dans le doute, si on vous demande de l'argent ou un code, même dans un message impeccable, renseignez-vous avant de cliquer ou de saisir des infos car après, c'est toujours trop tard.

Le filet de sécurité d'ESET

Voilà comme d'hab quand il s'agit de cybersécurité, tout se joue d'abord sur des réflexes à adopter... Mais quand le réflexe est absent, un logiciel peut venir à notre secours et nous servir de filet de sécurité. C'est pour cela qu'ESET propose dans ESET Internet Security une "AI Conversation Security" qui analyse chaque réponse de ChatGPT pour détecter si elle contient des sources douteuses et du code malveillant. Et si elle en trouve, elle vous prévient immédiatement.

Ça passe par une extension pour Chrome, Firefox, Edge et Brave et ça ne fonctionne qu'avec ChatGPT.

La page "Confidentialité et sécurité du navigateur" d'ESET affiche les quatre navigateurs pris en charge : Chrome, Firefox, Edge et Brave.

Je l'ai testé sous Windows 11 avec ESET Smart Security Premium 19 et Edge. La fonctionnalité s'appelle précisément "Sécurité des conversations IA" et pour voir si c'est efficace, j'ai demandé à ChatGPT de me sortir les liens vers un fichier de test EICAR et sa chaîne de caractères dans un bloc de code. Si vous ne connaissez pas EICAR, c'est une suite de caractères inoffensive qu'on utilise pour tester le bon fonctionnement des softs d'antivirus.

Et bien sûr, dans ma conversation, le bloc est passé en rouge avec une icône d'alerte, me disant que, je cite, "Cette réponse contient du code dangereux. Son exécution pourrait mettre votre système ou vos données en danger."

Montage de deux zones d'une même capture : l'infobulle d'ESET et le bloc de code marqué d'une icône d'alerte.

Reste qu'EICAR est un motif que tous les antivirus reconnaissent donc ça prouve que l'alerte fonctionne, mais pas qu'elle est infaillible, donc voyez ça comme un "deuxième regard" sur ce qui se passe dans votre chatbot préféré et pas comme un gilet pare-balles.

Le réglage "Analyse des conversations" dans l'extension d'ESET, ici activé.

Notez que cette fonction arrive aussi dans ESET HOME Security Premium et Ultimate , et dans ESET Small Business Security pour les TPE et les indépendants. Côté agents IA, ces offres d'ESET sont aussi capables de jeter un œil sur ce que l'agent s'apprête à faire, pour repérer ce qui serait louche avant que ça parte définitivement dans vos process. Ouf !

Bref, l'usage de l'IA par les cybercriminels n'aura jamais fini de m'étonner donc soyez très prudents et vigilants. Et n'hésitez pas à vous équiper d' outils comme ceux d'ESET pour assurer vos arrières.

Après tout, nous ne sommes pas infaillibles.

Découvrir les offres de sécurité ESET

UGREEN vend depuis quelques semaines un chargeur un peu particulier, le Nexode Pro 160W , dont l'argument principal n'est pas la puissance (pourtant bien là) mais le câble USB-C rétractable intégré au boîtier, un enrouleur qui se déroule sur 70 cm avec huit crans d'arrêt et qui revient se loger dans le bloc tout aussi simplement.

L'idée est toute bête. Le câble est donc en permanence dans le chargeur, donc plus rien à transporter ni à oublier.

Ce câble délivre jusqu'à 140 W, tout comme le premier port USB-C du bloc, alors que le deuxième s'arrête à 100 W et que l'USB-A de service dépasse à peine les 20 W, le tout dans la limite des 160 W que le chargeur répartit de lui-même entre les prises occupées quand vous branchez plusieurs appareils.

La densité de l'appareil, comme toujours désormais, vient du nitrure de gallium, ce semi-conducteur qui a remplacé le silicium dans les chargeurs puissants de ces dernières années et qui permet de caser tout ça, écran compris, dans un format tour d'un peu plus de 300 grammes.

Parce qu'il y a un écran, oui. La petite dalle couleur de la face avant affiche en continu la puissance, la tension et la température de chaque port, de quoi voir d'un coup d'oeil si l'iPhone tire bien ses watts ou si un vieux câble bride la charge, et l'application Ugreen Connect ajoute le suivi à distance en Bluetooth ou en Wi-Fi, la coupure d'un port et la mise à jour du logiciel interne. Pour le coup ça n'est pas indispensable, mais on va dire que ça fait partie du jeu en 2026.

Je n'ai relevé aucune surchauffe avec quatre appareils branchés, et mon MacBook Pro 14 pouces récupère plus de la moitié de sa batterie en à peu près 20-25 minutes minutes sur le câble intégré.

Pour le tarif, UGREEN demandait 130 euros au lancement et affiche une centaine d'euros en ce moment. C'est cher, mais pas tant que ça si on considère la puissance et le servie rendu. Si vos journées se partagent entre un Mac, un iPhone et une tablette, je ne vois pas de chargeur de bureau mieux pensé en ce moment. Il est disponible par ici sur Amazon .

UGREEN m'a envoyé sa station de charge Nexode Pro 300W il y a quelques semaines, et elle n'a plus quitté mon bureau depuis. Le bloc remplace à lui seul le chargeur du MacBook, celui du téléphone et les alimentations qui traînaient derrière l'écran, avec 300W à répartir sur huit sorties.

Dans le détail, la bête aligne six ports USB-C, un port USB-A pour dépanner et une sortie DC de 240W, cette prise ronde qui alimente certains PC portables gourmands. Les trois premiers ports USB-C montent chacun à 140W grâce au PD 3.1, la norme de charge rapide la plus musclée du moment, les deux suivants plafonnent à 100W et le dernier à 30W.

Tout ça tient dans un boîtier raisonnable grâce au GaN, le nitrure de gallium qui remplace le silicium dans les chargeurs récents et qui chauffe beaucoup moins à puissance égale. UGREEN annonce un rendement de 93 %, et après des semaines à charger un MacBook Pro, un iPhone et une tablette en même temps, le bloc est à peine tiède.

Côté vitesse, le constructeur annonce un MacBook Pro M5 rechargé à 56 % en 30 minutes, un iPhone 17 Pro Max à 65 % dans le même temps, et même deux MacBook Pro à 50 % en moins d'une demi-heure. En pratique, mon portable reprend des couleurs le temps d'un thé, et je n'ai jamais vu la station broncher avec cinq appareils branchés.

Le petit écran TFT affiche en temps réel la puissance tirée par chaque port, et une appli en WiFi permet de suivre tout ça à distance, de régler chaque sortie et de choisir entre cinq modes de charge. Gadget ? Peut-être. Mais je passe mon temps à regarder les watts défiler, c'est plus fort que moi.

Attention quand même, il vous faudra aussi lui réserver une vraie place, ce n'est pas un chargeur qu'on glisse dans un sac, il est fait pour rester posé là.

Niveau prix justement, la station est affichée en ce moment à 126 euros au lieu de 170 sur Amazon , environ un quart de remise, alors qu'elle était lancée cet été autour de 200 dollars. Du coup, la facture devient nettement plus digeste pour qui veut faire le ménage dans ses chargeurs.

Il est disponible par ici sur Amazon , et je vous le recommande vivement.

Est-ce que vous faites partie de ceux qui pensent qu'un VPN, bah, ça chiffre, ça tourne et tout va bien ? Parce qu'en 2027, les questions à se poser sont un peu différentes (2027 oui, je suis déjà dans le turfu). Même si aujourd'hui vos données sont protégées, est-ce que ce sera encore le cas face à un ordinateur quantique ? (qui n'existe pas encore, mais ça semble vite se rapprocher). Et est ce que vous scannez parfois des QR codes (sur des parcmètres, des tables de restaurant pour charger un menu, etc.) sans réfléchir ?

Si oui, ce que Surfshark vient d'annoncer ces dernières semaines va peut-être intéresser et on va voir ça ensemble.

WireGuard post-quantique : parce que "voler maintenant, déchiffrer plus tard" ça existe déjà

Le premier point est plutôt important : Surfshark vient de déployer une version de WireGuard entièrement post-quantique. Ils seraient même les premiers au monde à avoir implémenté ça.

Comme c'est important de comprendre pourquoi, je vous remets un peu de contexte. On commence à devoir faire à des attaques que l'on appelle "steal now, decrypt later". À l'heure actuelle des acteurs gouvernementaux (ou autres) interceptent et stockent déjà massivement du trafic chiffré. Et quand arriveront les ordinateurs quantiques capables de casser les algorithmes actuels, on pourra remonter et lire vos données partagées depuis hier. Sympa, non ? Alors oui vous allez me dire que ce ne seront pas des données récentes. Sauf que certaines ne changent pas au cours du temps. Vous aurez toujours le même nom, les mêmes antécédents de santé, très souvent la même adresse physique, le même mail, etc.

Pour lutter contre ce type d'attaque, il faut 3 éléments. D'abord le chiffrement, ensuite l'échange de clés et enfin l'authentification. Le problème, c'est que les 3 sont rarement couplés. Le chiffrement est quelque chose d'assez commun maintenant, le ML-KEM (échange de clés post-quantique) commence à se diffuser, mais le ML-DSA (certificats d'authentification post-quantiques) est un autre niveau de galère. Car il demande de revoir tout le système de confiance et cela derrière chaque connexion sécurisée.

Si l'on regarde du côté des grosses plateformes cloud de gestion de clés (AWS KMS, Google Cloud KMS et les autres mammouths du marché), la moitié seulement a déjà intégré ML-KEM et moins d'une sur 10 dispose du ML-DSA. Et l'on parle de géants, pas des applis de petite échelle qui sont encore moins bien préparées. Ni Apple ni Microsoft ne l'ont activé dans leurs logiciels utilisateurs pour l'instant. Quand les ordinateurs quantiques arriveront, un VPN sans authentification post-quantique sera la porte ouverte au session takeover. La machine quantique se fera passer pour le serveur au moment même où vous vous connecterez.

Surfshark combine donc déjà le duo ML-KEM + certificats ML-DSA dans WireGuard. Ce n'est disponible pour l'instant que sur iOS et macOS, mais les autres plateformes sont prévues dans les prochains mois. Et pour rappel, ils avaient déjà lancé Dausos , leur protocole maison conçu post-quantique depuis la première ligne de code. Ils ne rigolent pas sur le sujet.

Changer d'IP toutes les cinq minutes, sans couper

Lorsque vous êtes connecté à un VPN, vous avez une adresse IP (Captain Obvious a pris possession de ce corps). Elle ne change pas tant que vous ne vous déconnectez pas. Or une IP fixe, même si ce n'est pas la vraie, c'est toujours un élément qui permet aux annonceurs et aux data brokers de vous recouper entre les sites et de construire votre profil.

La rotation d'IP de Surfshark change votre adresse automatiquement après quelques minutes (5 à 10 minutes selon la région choisie). Et sans couper votre connexion VPN. Pas de microcoupure, pas de "ah bah mon app a planté pendant que l'IP switchait".

L'outil va même encore plus loin en proposant la fonctionnalité Multi IP, qui s'appuie sur leur technologie Nexus. Au lieu d'avoir une seule IP de sortie pour tout votre trafic, chaque site que vous visitez passe par une IP différente, pendant la même session VPN. Concrètement cela veut dire que le site A vous voit avec l'IP n°1, le site B avec l'IP n°2, etc. Les deux sites ne peuvent plus vous corréler. Vous pouvez choisir de limiter cette rotation à un pays, une zone ou le monde entier. Pour l'instant, cette dernière option est encore une fois dispo sur macOS uniquement, dans les paramètres avancés. J'entends les pleurs des windosiens et linuxiens jusqu'ici.

Alors il faut tout de même mentionner que l'option monde (global) peut parfois faire capoter certains sites ou applications qui détestent voir votre IP changer toutes les cinq minutes. C'est une fonctionnalité adaptée pour les gens paranos qui veulent le niveau de vie privée maximum, moins pour binge-watcher tranquillement.

Une petite info rapide supplémentaire pour ceux qui ont (ou prendront) un abonnement One ou One+ et qui bénéficient donc de l'antivirus. Dorénavant la moindre ligne de code passe par plusieurs étapes : peer review (humains + IA), tests internes, analyses de vulnérabilité & co et sont certifiés via le processus de signature Microsoft. Ça ne parait pas flamboyant dit comme ça, mais un driver ou une mise à jour, non signé ou mal testé, reste une porte d'entrée pour pas mal de bouses numériques. Un fournisseur qui documente ses pratiques de déploiement, c'est encore trop rare dans l'industrie alors que ça devrait être la base. Ici tout le processus est écrit noir sur blanc et ça va avec la politique d'ouverture de la firme (audits indépendants, politique de non-conservation des logs, etc.)

Le quishing c'est quoi ?

Maintenant, parlons d'une menace qui trouve sa source dans notre vie quotidienne. Le quishing (contraction de QR code et phishing) fait référence aux QR codes malveillants qui redirigent vers de fausses pages de connexion. Ou déclenchent de manière automatique un téléchargement de malware dès qu'il a été scanné. Pourquoi c'est en train de devenir le vecteur à la mode ? Il y a 3 raisons principales et elles sont assez faciles à comprendre :

• Déjà vos yeux ne peuvent pas lire un QR code. Si c'est le cas faites-le-moi savoir lol. Un lien de phishing, vous pouvez le survoler pour voir ou il mène avant de cliquer. Un QR code c'est beaucoup moins simple. Le contenu est invisible jusqu'à ce que les dégâts soient faits.
• Les filtres de votre fournisseur d'email sont prévus pour scanner du texte, pas des images. Une URL en clair dans un mail se fait flagger tout de suite alors que la même URL encodée dans un QR code passe comme une lettre à la poste.
• Le scan est dans 99% des cas effectué via un mobile, hors des protections de votre PC perso ou d'entreprise : pas de filtre DNS, pas d'EDR, rien.

Les chiffres avancés sont probablement bien plus élevés que vous ne le pensez. Les QR codes représentaient déjà plus de 10% de toutes les attaques de phishing en 2025. Leur but est le vol d'identifiants, récupérer vos numéros de CB, de vous faire vous connecter à un fax site bancaire, etc. Et beaucoup de personnes scannent sans même imaginer qu'une arnaque de la sorte est possible. Il faut dire que ce n'est pas très difficile à mettre en place. Il suffit de placer des dizaines/centaines de stickers par-dessus de vrais codes (parcmètres, bornes de recharge, tables de restaurant, dépliants de musée, distributeurs de billets, etc) et le tour est joué.

Les QR Code c'est l'enfer

Les réflexes à avoir ? Penser à lire l'aperçu d'URL avant d'ouvrir (votre caméra la montre parfois) ou installez une appli de lecture de QR qui propose la prévisualisation avant ouverture, se méfier de tous QR code dans un mail (surtout non désiré), vérifier qu'un sticker n'a pas été collé par-dessus un autre. Et passer par l'application officielle plutôt que par le QR code pour tout paiement. La prudence, ça marche souvent.

D'un côté on a un ordinateur quantique (qui n'existe pas encore, mais qui va changer beaucoup de choses en termes de cybersécurité) et de l'autre des QR code malveillants qui se propagent déjà. La menace a plusieurs visages. Entre les deux, disposer d'une suite d'outils qui s'adaptent en continu et qui anticipent le futur, c'est toujours bon à prendre.

L'offre du moment

Les tarifs restent les mêmes et font de la firme au requin l'un des meilleurs rapport qualité/prix depuis de nombreuses années (mon comparatif des meilleurs VPN du moment pour plus d'infos). Sur un engagement 24 mois (+3 mois offerts) l'offre :

• Starter (VPN seul) revient à 2,49 € HT/mois
• One à 2,99 € HT/mois (VPN + antivirus, Alert, Alternative ID, la protection anti-scam et le web content blocker)
• et One+ à 4,49 € HT/mois (avec Incogni en plus de tout ce qui est compris dans One)

Profite de l'offre du moment !

Il y a quelques jours, durant la conférence Hexacon à Paris, un chercheur nommé Quentin Kaiser a rendu publique une faille de sécurité qui traîne depuis au moins 2010 dans la fonction WPS de Broadcom. Je dis "qui traine" au présent parce qu'elle n'est toujours pas patchée évidemment. Alors si vous ne savez pas ce qu'est WPS, c'est une fonctionnalité qui permet de connecter un appareil au WiFi sans avoir taper la clé.

Cela veut dire que quelqu'un à portée du réseau sans fil peut faire exécuter son propre code à une box ou à un point d'accès, sans avoir à connaître la clé du réseau et sans même mener un enrôlement WPS jusqu'au bout.

Son exploit, il l'a filmé sur deux box belges. Chez Orange Belgium (une Askey TCG3000), où son code lit la clé Wi-Fi dans la mémoire de la box et la renvoie via les ondes, ce qui lui permet ensuite de rejoindre le réseau. Chez l'opérateur Proximus (une BBOX3V+), il ouvre un shell à distance au travers des trames Wi-Fi, donc sans avoir recours à un serveur extérieur. L'antenne qu'on voit sur la vidéo ci-dessous ne doit d'ailleurs pas faire croire qu'il faut être collé à la box puisque d'après Kaiser, ça marche de loin !!

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/faille-wps-broadcom-routeurs-wifi/faille-wps-broadcom-routeurs-wifi-1.mp4">lien vers la vidéo</a>.