Un fichier JSON qui met en danger des milliers de développeurs. Voilà en gros le pitch du jour, et franchement, il y a de quoi s’inquiéter un peu.

Vous connaissez Cursor ? C’est ce nouvel éditeur de code qui fait le buzz avec son IA intégrée, GPT-5 et Claude sous le capot. Et bien selon Oasis Security , cet outil de plus en plus populaire dans la communauté des développeurs, a une faille d’importance. En effet, l’équipe de développement a décidé de désactiver par défaut une fonction de sécurité cruciale de Visual Studio Code qui est le Workspace Trust.

Pourquoi ? Bah parce que ça gênait le fonctionnement de leur précieuse IA !

Alors qu’est-ce que ça change ce Workspace Trust ? Eh bien, imaginez que vous ouvrez tranquillement un projet GitHub pour jeter un œil au code. Pas pour l’exécuter, juste pour regarder. Avec VS Code de base, aucun souci, le Workspace Trust vous protège mais avec Cursor, c’est open bar pour les hackers.

Car il suffit qu’un petit malin glisse un fichier .vscode/tasks.json dans son repository avec la bonne configuration, et boom. Dès que vous ouvrez le dossier, le code s’exécute automatiquement sur votre machine avec "runOn": "folderOpen". Sans votre accord bien sûr. Sans même que vous vous en rendiez compte.

Les chercheurs d’Oasis Security ont créé une démo pour prouver le danger . Leur fichier tasks.json envoie discrètement le nom d’utilisateur de la victime vers un serveur externe. Sympa comme proof of concept, mais imaginez les dégâts avec du vrai code malveillant.

Avec ce genre de manip, un attaquant pourrait faire du vol de tokens d’authentification, de clés API planquées dans vos variables d’environnement, une modification silencieuse de vos fichiers de code, un connexion à un serveur de commande et contrôle… etc. Bref, le kit complet du cybercriminel moderne et vu que beaucoup de développeurs bossent sur des projets sensibles, ça peut vite devenir une porte d’entrée pour des attaques sur la chaîne d’approvisionnement logicielle.

Le truc énervant, c’est quand Oasis Security a alerté l’équipe de Cursor… leur réponse a été… comment dire… rafraîchissante car selon les chercheurs, l’équipe de Cursor a reconnu le problème mais a refusé de réactiver le Workspace Trust par défaut. Plus diplomatiquement, ils ont expliqué que cette fonction de sécurité casserait les fonctionnalités IA pour lesquelles les gens utilisent leur produit.

Leur conseil pour ceux qui s’inquiètent c’est donc d’ activer manuellement le Workspace Trust dans les paramètres ou d’utiliser un autre éditeur pour ouvrir les projets douteux. Autrement dit, démerdez-vous.

Pour activer cette protection vous-même, il faut donc aller dans les settings et modifier security.workspace.trust.enabled en le passant à true. Vous pouvez aussi complètement désactiver l’exécution automatique des tâches avec task.allowAutomaticTasks: "off".

Plusieurs experts en sécurité recommandent maintenant d’ouvrir les repositories inconnus uniquement dans des environnements isolés, genre machine virtuelle ou conteneur jetable. Pas très pratique pour du code review rapide.

En tout cas, je me souviens que ce n’est pas la première fois que Cursor fait parler de lui niveau sécurité. Récemment, deux autres vulnérabilités ont été découvertes : MCPoison (CVE-2025-54136) et CurXecute (CVE-2025-54135). Bref, visiblement, la sécurité n’est pas leur priorité numéro un.

Et pour détecter si vous êtes victime de cette faille, cherchez les fichiers .vscode/tasks.json contenant "runOn": "folderOpen" dans vos projets. Surveillez aussi les shells lancés par votre IDE et les connexions réseau inhabituelles juste après l’ouverture d’un projet.

A vous de décider maintenant… jusqu’où êtes-vous prêt à sacrifier votre sécurité pour un peu plus de confort ? Parce que là, on parle quand même d’exécution de code arbitraire sans consentement…

Marre de jongler entre votre terminal et 15 onglets pour gérer vos sessions Claude Code ? Et bien les amis, je suis tombé sur Opcode , et c’est un super outil pour créer des checkpoints dans vos conversations IA comme vous faites des branches Git, pouvoir revenir en arrière quand Claude part en vrille mais également avoir une vraie vue d’ensemble de tous vos projets et agents…

Développé par Asterisk , une startup passée par Y Combinator, Opcode c’est l’interface graphique qui manquait cruellement à Claude Code. Au lieu de vous battre avec la ligne de commande, vous avez maintenant une vraie application desktop, native, rapide, qui tourne sur macOS, Linux et Windows. Ce truc est construit avec Tauri 2 , donc on parle de performances natives avec une UI moderne en React.

Claude Code est un outil génial pour coder avec de l’IA, et j’en sais quelque chose parce que je l’utilise tous les jours. Mais l’interface CLI peut vite devenir limitante quand vous jonglez avec plusieurs projets. Opcode transforme donc cette expérience en quelque chose de plus visuel et intuitif. Vous naviguez dans vos projets stockés dans ~/.claude/projects/ avec une interface graphique, vous voyez l’historique de vos sessions, et surtout, vous pouvez créer des agents personnalisés avec leurs propres prompts système.

Le système de time-travel m’a particulièrement plu car il permet de créer des checkpoints pendant vos conversations avec Claude. Comme ça, si l’IA part dans une mauvaise direction, hop, vous revenez au checkpoint précédent. C’est comme Git mais pour vos interactions IA. Ça évite de tout recommencer quand Claude comprend de travers ce que vous voulez.

Côté sécurité, les mecs d’Asterisk ne rigolent pas. Opcode utilise du sandboxing au niveau OS (seccomp sur Linux, Seatbelt sur macOS) pour isoler complètement les processus. Chaque agent peut avoir des permissions granulaires et vous décidez exactement ce qu’il peut faire ou ne pas faire. Et le plus important : zéro télémétrie. Toutes vos données restent en local, pas de cloud, pas de tracking. Votre code reste donc votre code.

Pour les agents personnalisés, c’est vraiment bien pensé. Vous créez des agents spécialisés avec leurs propres instructions système. Un agent pour le debug, un autre pour la documentation, un pour les tests unitaires. Chaque agent garde son historique, ses préférences, ses permissions. Vous construisez progressivement votre bibliothèque d’agents spécialisés qui connaissent vos habitudes de travail.

L’interface de tracking des coûts API est super pratique aussi. Vous voyez en temps réel combien de tokens vous consommez, le coût associé, avec des graphiques détaillés. Fini les mauvaises surprises en fin de mois. Comme ça, vous savez exactement où part votre budget Claude.

Pour installer Opcode, vous pouvez télécharger les binaires pour macOS, Linux (Windows arrive bientôt…) directement sur le site d’opcode .

Le code est sur GitHub , propre et bien documenté si ça vous chauffe. Voilà, ça permet de garder toute la puissance de l’outil CLI Claude Code, mais avec une interface qui rend l’expérience bien plus agréable. Si vous êtes un vibe codeur qui passe ses journées avec Claude, vous allez gagner un temps fou.

Le bidouilleurs et leur capacité à détourner littéralement n’importe quoi pour y faire tourner DOOM, perso j’adore ! Et là, Aaron Christophel vient de franchir un nouveau cap en transformant une station de charge Anker Prime (lien affilié) en console de jeu. Oui, vous allez pouvoir joueur sur votre chargeur entre deux sessions de recharge.

L’histoire commence par une découverte intéressante… En bon hacker, Christophel analyse la station Anker Prime qu’il vient d’acheter et réalise que le hardware embarqué est bien plus costaud que prévu. Sous le capot, on trouve un ESP32-C3 pour le Bluetooth, mais surtout un microcontrôleur ARM Synwit SWM341RET7 cadencé à 150 MHz, accompagné de 16 Mo de flash et 8 Mo de RAM. Pour un simple chargeur, c’est du luxe !

Et puis il y a l’écran ! Et quel écran puisqu’il fait 200×480 pixels. C’est pas énorme, c’est vrai mais LARGEMENT suffisant pour afficher les couloirs de la base Martienne et les affreux démons pixelisés. Et le meilleur dans tout ça c’est qu’A’aucune modification hardware n’est nécessaire. Christophel a simplement chargé son code et hop, DOOM tourne.

Mais comment on joue sur un chargeur, me direz-vous ? Eh bien, c’est tout l’art de cette prouesse. Pour cela, le développeur utilise la molette rotative de la station comme contrôleur principal. On pousse pour avancer, on tourne pour se diriger, et on appuie pour tirer. C’est pas le summum de l’ergonomie, mais ça fonctionne ! Les contrôles sont surprenamment jouables, même si naviguer dans les niveaux demande un certain temps d’adaptation.

Techniquement, le jeu tourne de manière fluide, mais Christophel a dû faire quelques compromis. Le mode plein écran s’avère trop gourmand pour le processeur, et globalement l’expérience reste “un peu bancale” selon ses propres mots. Mais franchement, quand on voit DOOM tourner sur une station de charge, on va pas chipoter sur la fluidité.

Bref, un appareil de plus dans la longue liste des portages de DOOM sur des bidoules improbables. Christophel n’en est d’ailleurs pas à son coup d’essai puisqu’il avait déjà fait tourner le jeu sur une brosse à dents électrique. Entre les calculatrices, les réfrigérateurs connectés, les PDF et maintenant les chargeurs, on se demande s’il existe encore un appareil électronique incapable de faire tourner ce chef-d’œuvre de 1993.

Et ce qu’on découvre aussi c’est que cette station Anker n’est pas qu’un bête chargeur… c’est un petit ordinateur déguisé, avec suffisamment de ressources pour faire tourner des applications complexes. Christophel l’explique d’ailleurs très bien sur Mastodon : “Le MCU interne SWM34S est juste excellent ! 8 Mo de RAM + 16 Mo de flash directement mappés en mémoire, ça déchire.”

Alors si un simple chargeur peut faire tourner DOOM, qu’est-ce qui nous empêche d’imaginer des fonctionnalités plus poussées ? Par exemple, un chargeur qui affiche vos mails, votre météo, qui sert de hub domotique ? Ou qui se fait infecter par un virus dont l’objectif est de le faire exploser ?

Une fois encore, la seule limite des hackers c’est l’imagination. Et visiblement, Aaron Christophel n’en manque pas. Maintenant, reste à savoir quel sera le prochain appareil à rejoindre la grande famille des supports DOOM ???

Source

Il y a des moments où on tombe sur une approche si simple et efficace qu’on se demande pourquoi on n’y avait pas pensé avant. C’est exactement ce que j’ai ressenti en découvrant la technique d’Armin Ronacher pour donner à Claude Code le contrôle total d’une session de debugging.

Le principe c’est de combiner GNU Screen, ce vieux multiplexeur de terminal que certains considèrent comme dépassé, avec LLDB, le debugger de LLVM, pour créer un environnement où Claude peut littéralement piloter votre terminal comme s’il était assis devant votre clavier.

Comme ça, au lieu d’implémenter des serveurs MCP complexes ou des intégrations cheloues, Ronacher s’appuie sur des outils qui existent depuis des décennies. GNU Screen permet de multiplexer un terminal physique entre plusieurs processus, créant des sessions persistantes qui survivent aux déconnexions SSH. C’est cette persistance qui devient la clé de voûte du système.

Dans sa démonstration vidéo, Ronacher montre donc comment il configure Claude Code pour automatiser complètement une session de debugging. Le secret tient dans quelques lignes ajoutées au fichier CLAUDE.md : “définir un nom de session Screen spécifique pour le debugging, utiliser la syntaxe “dollar string” pour envoyer des commandes, et fermer proprement la session une fois terminé”.

Claude peut alors créer la session, lancer LLDB, identifier un bug de type segfault, le corriger, recompiler le code et vérifier que tout fonctionne. Le tout sans intervention humaine.

Comme le souligne Ronacher dans ses recommandations, Claude Code excelle quand on lui donne accès à des outils bien documentés qu’il connaît déjà. Screen et LLDB font partie de ces outils sur lesquels il existe une montagne de documentation et d’exemples donc Claude peut les manipuler avec aisance. En tout cas, beaucoup plus que moi, c’est certain !

Mais au-delà du debugging, cette technique ouvre des perspectives fascinantes pour l’automatisation. On pourrait imaginer un Claude gérant vos sessions tmux pour orchestrer des déploiements multi-serveurs, surveillant des logs en temps réel via Screen pour détecter des anomalies, ou même maintenant des connexions SSH persistantes vers des serveurs pour des interventions d’urgence. J’avoue c’est toujours prendre un risque donc à éviter sur de la prod, mais c’est très cool quand même.

Surtout que les sessions Screen continuent de fonctionner même quand la fenêtre n’est pas visible. C’est ça qui permet à Claude de maintenir des processus longs sans monopoliser votre terminal.

Si vous faites du DevOps, vous pourriez configurer Claude pour qu’il lance automatiquement des sessions Screen lors de debugging de containers Docker, maintienne des tunnels SSH persistants pour du debugging à distance de Kubernetes, ou même gère des sessions de monitoring avec des dashboards textuels comme htop ou glances. La combinaison de la persistance de Screen et de l’intelligence de Claude crée un assistant capable de gérer des workflows complexes de manière autonome.

C’est vrai que Screen est souvent considéré comme obsolète face à tmux, mais dans ce cas précis, sa simplicité devient un avantage car Claude a probablement plus de données d’entraînement sur Screen, qui existe depuis 1987, que sur des alternatives plus modernes. Donc c’est smooooth pour lui…

Un autre cas d’usage intéressant serait la gestion de sessions de développement complexes durant lesquelles Claude pourrait maintenir plusieurs fenêtres Screen avec différents environnements : une pour les tests, une pour le serveur de développement, une pour les logs, et naviguer entre elles selon les besoins. Vous pourriez ainsi demander à Claude de lancer les tests et de vous montrer les logs en cas d’échec, et il orchestrerait tout via Screen.

Pour les équipes, cette technique pourrait vraiment renforcer le pair programming à distance…. Vous partagez une session Screen avec Claude et un collègue simultanément et Claude pourrait vous assister en temps réel, suggérer des corrections, exécuter des commandes de diagnostic, pendant que vous discutez de l’architecture avec votre collègue avec un petit kawa. C’est comme avoir un 3e collègue expert toujours dispo.

Pas besoin d’API, de webhooks, ou de services cloud… Juste des outils Unix standard que tout développeur a déjà sur sa machine et un bon prompt et hop ça fait des chocapics (ou plus de bugs…^^) !

Bref, parfois les solutions les plus belles sont aussi les plus simples. Pas besoin de réinventer la roue…

Pourquoi prendre des vacances d’été et glander sur une plage, alors qu’on pourrait pondre projet open source qui résout un vrai problème ?

Adrien Revel a fait exactement ça avec Microfolio, et le plus rigolo c’est qu’il s’est fait assister par Claude Code pour développer son bébé. Une fois installé, vous lui balancez vos fichiers dans des dossiers, vous ajoutez du Markdown pour les descriptions, et paf, vous avez un portfolio statique qui a la classe.

Pas de base de données qui rame, pas de CMS à maintenir, pas de plugins WordPress qui vous lâchent au pire moment. Juste des fichiers, du contenu, et un site qui booste.

Microfolio tourne sur SvelteKit 2, l’un des générateurs de sites statiques les plus utilisés, couplé à Tailwind CSS 4. Pour ceux qui ne suivent pas l’actu dev, SvelteKit est un framework qui compile votre code en vanilla JavaScript ultra-optimisé. Du coup, les sites chargent à la vitesse de l’éclair même sur une connexion 3G pourrie.

Maintenant, l’installation, c’est du velours. Par exemple, sous macOS, une ligne de Homebrew et c’est parti :

brew install aker-dev/tap/microfolio
microfolio new mon-portfolio
cd mon-portfolio
microfolio dev

Pour les autres OS, un bon vieux clone Git et pnpm font l’affaire. Le projet est pensé pour les designers, architectes, photographes, bref tous les créatifs qui veulent montrer leur travail sans se prendre la tête avec du code.

Ce qui est intéressant dans l’histoire, c’est qu’Adrien a développé Microfolio avec Claude Code, ce nouvel assistant IA d’Anthropic qui cartonne chez les développeurs. Claude Code est d’ailleurs particulièrement doué pour bosser avec Svelte 5 et sa nouvelle syntaxe de runes. L’IA l’a visiblement bien aidé sur la doc et le code, ce qui montre qu’on peut faire de l’open source de qualité en duo avec une IA.

La démo en ligne montre déjà ce que ça donne à savoir une interface épurée, une navigation fluide entre les projets, une vue carte pour les projets géolocalisés (pratique pour les architectes), et un système de tags pour filtrer le contenu. Le tout responsive évidemment, c’est la base aujourd’hui.

Moi j’en ai fait un site de chat pour rigoler…

Pour le déploiement, GitHub Pages est supporté d’office avec possibilité de mettre un domaine custom. Adrien cherche également des beta-testeurs pour peaufiner le projet avant de sortir la v1.0 à la rentrée. Donc si vous avez un portfolio à refaire ou si vous voulez juste tester un outil moderne, c’est le moment.

Bref, du bon “file-based CMS” comme on les aime. Comme ça, au lieu de stocker vos contenus dans une base de données qui peut foirer, tout est dans des fichiers que vous pouvez versionner avec Git. Vous gardez le contrôle total sur vos données, vous pouvez tout éditer offline, et surtout vous n’êtes pas prisonnier d’un système.

Puis ce combo SvelteKit + Tailwind CSS est vraiment pertinent, je trouve. SvelteKit permet de générer des sites statiques en automatique, ce qui veut dire que votre site est servi en HTML statique pour le SEO, puis devient interactif côté client. C’est le meilleur des deux mondes.

Pour les devs qui veulent contribuer, le code est sur GitHub sous licence MIT. Le projet utilise les dernières versions de tout (SvelteKit 2, Tailwind CSS 4, Node.js 20+), donc c’est aussi l’occasion de jouer avec les dernières technos du moment.

A découvrir ici !

Merci à Adrien Revel pour avoir partagé son projet !

Apprenez à désactiver l’auto-démarrage des conteneurs Docker au boot de la machine physique et à gérer leur redémarrage automatique selon vos besoins.

The post Comment gérer et désactiver le démarrage automatique des conteneurs Docker ? first appeared on IT-Connect.

Moi, j’adore quand quelqu’un fabrique un truc juste parce qu’il en a envie, sans business plan, sans pitch deck, sans lever de fonds. Juste un dev, son clavier, et l’envie de créer.

Et bien c’est exactement ce qui s’est passé avec MkEditor, et ça fait du bien !

Le créateur de MkEditor (qui se décrit lui-même comme “un peu timide pour partager ses créations”) a passé plusieurs années à maintenir cet éditeur Markdown qui respecte les specs CommonMark.

Pourquoi ?

Et bien pas pour concurrencer Obsidian ou Typora. Pas pour devenir la prochaine licorne de la tech. Non, non, juste parce qu’il voulait comprendre comment VSCode fonctionnait en détail. Et ce qu’il nous a pondu, c’est un éditeur qui utilise Monaco Editor de Microsoft, le même moteur qui fait tourner VSCode.

Alors oui, on va me dire “mais Korben, il existe déjà 50 éditeurs Markdown”. C’est vrai et ces éditeurs ont su se rendre incontournables pour les développeurs et les équipes. Obsidian cartonne avec son graph view, Typora fait toujours rêver avec son rendu en temps réel. Mais MkEditor a quelque chose de différent : Il ne cherche pas à révolutionner quoi que ce soit. Il fait juste très bien ce qu’il fait.

L’outil embarque des fonctionnalités plutôt sympas. D’abord, vous avez un split screen redimensionnable avec synchronisation du scroll entre l’éditeur et la preview. Ensuite, des raccourcis clavier personnalisables pour formater votre texte ou insérer des blocs de code. Et il y a même de l’autocomplétion pour les langages dans les code blocks, exactement comme dans VSCode.

Ce qui est bien pensé aussi, c’est l’export HTML. Vous pouvez comme ça générer du HTML brut ou une version stylée avec Bootstrap et FontAwesome directement injectés dans le <head>. Pratique quand vous voulez partager un document qui a de la gueule sans vous prendre la tête avec le CSS. Les paramètres sont configurables soit via l’interface, soit directement dans un fichier settings.json pour les puristes du terminal.

Le truc cool aussi, c’est qu’il y a la palette de commandes de VSCode. Vous tapez Ctrl+Shift+P (ou Cmd+Shift+P sur Mac) et boom, vous avez accès à toutes les commandes. Pour ceux qui vivent dans VSCode, c’est comme retrouver ses pantoufles.

Et si vous ne voulez pas installer l’application desktop (disponible en Electron pour Windows, Linux et macOS), vous pouvez tester directement la version web en cliquant ici. Pas de compte à créer, pas de données à fournir, vous arrivez et vous écrivez. C’est chouette non, à une époque où chaque app veut votre mail, votre 06 et votre groupe sanguin.

Le développeur l’avoue lui-même dans son post… il a créé MkEditor juste parce qu’il en avait envie, sans cas d’usage particulier, juste pour le plaisir de construire quelque chose. C’est cette philosophie qui résume tout ce que j’aime dans l’open source.

Le projet est donc sur GitHub si vous voulez contribuer ou juste jeter un œil au code. Le dev accepte les feedbacks et les rapports de bugs, toujours avec cette modestie qui caractérise les vrais artisans du code.

Alors non, MkEditor ne va pas détrôner les géants du Markdown et il ne va pas lever 10 millions (enfin, quoique, on ne sait jamais dans la vie…). Il n’aura peut-être même pas sa propre conférence annuelle, mais il existe, il fonctionne bien, et il est gratuit.

Découvrez 3 méthodes simples pour transférer vos fichiers depuis votre machine hôte vers un conteneur Docker. Tutoriel avec des exemples concrets.

The post Docker : 3 méthodes pour copier des fichiers de l’hôte vers un conteneur first appeared on IT-Connect.

Source

Dans un communiqué publié le 31 juillet, le FBI met en garde contre un nouveau type d'arnaque particulièrement vicieux. Le mode opératoire repose sur deux arnaques déjà en vogue : le « brushing scam » et le « quishing ».

Source

Source

Source

Découvrez GOAD, un lab open source pour s'entraîner aux attaques et à la défense Active Directory. Idéal pour pentesters et admins système.

The post GOAD : un lab d’entraînement complet pour maîtriser la sécurité de l’Active Directory first appeared on IT-Connect.

Source

Source