Votre PC Windows rame ? Vous ouvrez Chrome et il met 10 secondes à afficher une page vide ? Sans parler de Windows Update qui mouline en arrière-plan et qui transforme votre PC en radiateur ?

Et bien il existe quelques astuces simples pour regagner en fluidité, améliorer la vitesse et la réactivité de votre système, le tout sans avoir à tout réinstaller ou à acheter du nouveau matos.

Je vais vous montrer 9 manipulations concrètes qui peuvent vraiment faire la différence, surtout si votre PC commence à prendre de l'âge ou si vous avez peu de RAM. Rien de révolutionnaire, juste des réglages qui marchent.

Ce qu'il faut savoir avant de commencer

Ces astuces fonctionnent sur Windows 10 et Windows 11. Certaines désactivent des fonctionnalités visuelles ou des services en arrière-plan, donc vous allez gagner en performances mais perdre quelques animations ou fonctions que vous n'utilisez peut-être jamais. C'est un compromis.

• Prérequis : avoir un compte administrateur sur votre PC.
• Temps estimé : 15-20 minutes pour tout appliquer.
• Et surtout, créez un point de restauration avant de commencer (cherchez "Créer un point de restauration" dans le menu Démarrer).

Comme ça, si quelque chose se passe mal, vous pourrez revenir en arrière.

J'avoue que faire tourner un agent IA en mode YOLO sur votre machine, y'a de quoi flipper un peu. Un mauvais prompt et hop, votre répertoire home part en fumée.

Mais heureusement, pour ça y'a Yolobox , un outil en Go qui fait tourner vos agents IA dans un conteneur Docker isolé. En gros, l'agent a les pleins pouvoirs dans son bac à sable par défaut comme ça, votre répertoire home reste intouchable. Claude Code, Codex, Gemini CLI, GitHub Copilot, tout est compatible, préconfiguré et prêt à l'emploi.

En fait avec Yolobox, seul votre dossier projet est monté en lecture-écriture avec le même chemin que sur votre machine et comme ça, l'agent bosse comme si de rien n'était. Sauf que tout le reste (vos clés SSH, vos credentials, vos photos de vacances à la plage naturiste et j'en passe...) est inaccessible depuis le conteneur. L'agent peut faire sudo, installer ce qu'il veut, déglinguer sa config... en fait RIEN ne s'échappe.

L'installation tient en une ligne :

brew install finbarr/tap/yolobox

Par contre, faut Docker Desktop qui tourne derrière, car sans ça, rien ne démarre. Ensuite c'est yolobox claude pour lancer Claude Code, yolobox codex pour Codex, yolobox gemini pour le CLI Google. Ou yolobox run suivi de n'importe quelle commande si vous avez un agent custom...

Côté sécu, y'a 4 niveaux qui vont du basique au parano. Le mode par défaut avec isolation conteneur standard. Un cran au-dessus avec --no-network et --readonly-project pour couper le réseau et passer le projet en lecture seule. Ensuite du Podman rootless. Et le niveau max avec isolation VM complète, parce que des fois faut pas déconner. Ça supporte aussi le runtime Apple Container pour ceux qui veulent rester full macOS.

Et les outils de dev sont déjà embarqués dans l'image : Node.js 22, Python 3, Go, Bun, ripgrep, fzf, jq... Les volumes persistants gardent également vos installations entre les sessions, donc pas besoin de tout réinstaller à chaque lancement.

Attention quand même, ça ne marche pas contre un escape de conteneur délibéré car hé, Docker reste Docker. Mais si vous utilisez Claude Code en mode autonome et que vous faites du vibe coding, c'est le minimum vital pour éviter qu'un agent aille fouiller là où il faut pas .

Bref, allez voir ça et merci à Lorenper pour le partage !

Découvert au détour d'un post reddit, intrigué par le concept et le fait que le jeu ait été réalisé par une seule personne, j'ai demandé une clef au développeur, qui s'avère être français. Il a gentiment accepté, et comme j'ai sincèrement (spoiler) adoooooré l'aventure proposée, je vous en parle ! Il s'agit de Chronoquartz .

Dès le début, c'est le bordel : les méchants volent le chronoquartz et blabla y a rien qui va, y a le feu partout c'est la catastrophe. Résultat : on se retrouve en prison. Bah super. Ça commence bien.

Shuffle , c'est un outil qui vous propose de redesigner votre site web avec 4 modèles d'IA différents. Vous collez votre URL, vous décrivez ce que vous voulez... et boom, Claude Opus 4.6, GPT-5.2, Gemini 3 Pro et Kimi K2.5 vous pondent chacun leur version. J'ai testé sur ma home. Verdict : c'est moche de fou !

Vous arrivez sur la page, vous entrez l'adresse de votre site, vous tapez un petit prompt du genre "modernise mon blog tech" et vous lancez la machine. Les 4 modèles bossent alors en parallèle et au bout de 30 secondes environ, vous avez 4 propositions de redesign à comparer côte à côte.

Je trouvais le concept cool, sauf que dans la pratique, c'est une autre histoire. Comme je vous le disais en intro, j'ai testé sur korben.info, et les 4 IA ont eu exactement la même idée lumineuse : tout foutre en thème sombre. QUATRE sur QUATRE ! Pas un seul n'a osé proposer autre chose qu'un fond #1a1a2e dégeu avec des accents néon bleu-vert. Original, hein !!

Les 4 propositions de redesign de korben.info... toutes en dark mode. Désolé si votre site ressemble à ça.

On dirait que pour les IA, "blog tech" = "dark mode obligatoire"... et du coup ça ressemble à tous les médias tech génériques qu'on retrouve partout. Sauf si vous précisez "fond clair" dans le prompt, mais même là, c'est pas garanti.

Claude Opus a pondu une esthétique "hacker" avec du code Matrix en fond vert (carrément, on se laaache). GPT-5.2 a carrément rebaptisé le site "KORBEN NEXT" avec une baseline inventée de toute pièce, "La veille tech qui va droit au but"... euh, merci mais non merci j'aime pas le foot. Gemini 3 Pro a opté pour un style magazine éditorial et Kimi K2.5 (le modèle chinois de Moonshot AI) a sorti le gradient hero classique, propre... ou plutôt fade.

Bah ouais, les IA analysent la structure, les catégories, les images... mais le résultat c'est finalement toujours le même template sombre "tech media 2024" qu'on a vu un million de fois. Alors que pour moi, Korben.info c'est pas du tout cette ambiance.

Mais l'outil a quand même des qualités puisque l'éditeur visuel permet de modifier le résultat en drag-and-drop sans toucher au CSS, et vous pouvez même exporter le code dans 4 formats : Next.js, Laravel, WordPress ou HTML classique. En fait, ça peut servir de très bon point de départ si vous avez la flemme de partir d'une page blanche et si votre webdesigner est devenu injoignable depuis qu'il est parti à Punta Cana.

Côté prix, y'a une version gratuite mais limitée à quelques générations, et après puis c'est 24 dollars par mois...etc.

Ça aurait pu être un excellent outil mais malheureusement, les modèles sont formatés sur les mêmes tendances, les mêmes palettes, les mêmes layouts. C'est dommage je trouve. Voilà, après je pourrais vous faire une conclusion bien neuneu genre "C'est pas demain qu'une IA remplacera un vrai directeur artistique qui comprend l'identité d'une marque." mais la réalité, c'est que un humain moyen motivé qui sait ce qu'il veut peut avoir un truc incroyablement bien généré par IA s'il prend le temps le temps de se former et qu'il ne lâche rien ! Tenez par exemple, 100% du template graphique de mon site a été généré à l'aide de l'IA et moi derrière pour la fouetter...

Voilà, si vous voulez rigoler un peu, allez tester votre site sur Shuffle mais ne vous attendez pas à un miracle !

Apple Intelligence, c'est super cool... sauf que c'est verrouillé et dispo sur les appareils Apple uniquement. Du coup, pas moyen d'en profiter depuis votre PC Windows, votre Chromebook ou votre téléphone Android. C'est pour cela qu'un dev a eu une idée plutôt pas con qui consiste à transformer votre Mac en serveur IA accessible depuis n'importe quel navigateur.

Le projet s'appelle Perspective Intelligence Web et le principe c'est que vous installez Perspective Server , ou plutôt une petite app dans la barre de menus de macOS. Et ensuite celle-ci expose les Foundation Models d'Apple (les modèles de langage intégrés à macOS, ceux qui tournent en local sur votre puce M1, M2, M3 ou M4) sous forme d'API compatible OpenAI sur le port 11435. Et voilà comment votre Mac devient un vrai serveur d'inférence IA !

Le client web, c'est du Next.js 16 avec un look à la iMessage, thème sombre, bulles de chat, streaming en temps réel via SSE. Vous vous connectez depuis Chrome sur Windows, Firefox sur Linux, Safari sur iPad... peu importe. Tant que ça affiche une page web, c'est que ça marche !

Et cela vous met à dispo 8 agents spécialisés : code, écriture, traduction, résumés, créativité, tutorat... et même un mode accessibilité. Les conversations sont classées automatiquement et l'historique est stocké dans PostgreSQL (compatible avec le tier gratuit de Neon, donc zéro coût côté BDD).

D'ailleurs l'API de Perspective Server est compatible OpenAI ET Ollama comme ça, vous pouvez aussi brancher Cursor IDE, Continue.dev, ou même Xcode 26 dessus. En gros, tout ce qui sait causer à une API OpenAI peut utiliser l'IA locale de votre Mac. C'est gratos, c'est local, et ça respecte votre vie privée ! Que demande le peuple ?

Si vous avez déjà bidouillé avec Ollama et les modèles locaux , c'est le même genre d'approche... sauf que là ce sont les modèles d'Apple qui font le boulot.

Et côté Apple, faut savoir qu'avec OpenELM en 2024, Apple a commencé à publier certains de ses modèles IA en open source. La différence ici, c'est que les Foundation Models de macOS 26 sont bien plus costauds... et surtout intégrés nativement au système. Ce que fait Perspective Server c'est de les rendre accessibles via une API standard, ce qu'Apple ne propose pas, comme vous pouvez vous douter.

Côté sécurité, le serveur gère les sessions multi-turn avec un TTL de 30 minutes et un système de "guardrail recovery" qui vire les sessions problématiques pour éviter que l'IA parte en vrille. 50 sessions max en parallèle, 3 inférences simultanées... sauf si vous invitez tout le quartier sur l'API, vous serez plutôt à l'aise.

L'installation se fait en une commande curl :

curl -fsSL https://raw.githubusercontent.com/Techopolis/perspective-intelligence-web-community/main/scripts/install.sh | bash

Et éditez ensuite next-app/.env.local avec l'URL de votre base Postgres (DATABASE_URL), puis faites :

cd perspective-intelligence-web-community/next-app && npm install && npx drizzle-kit push && npm run dev

Ouvrez ensuite l'URL http://localhost:3000 , créez vous un compte et vous pouvez commencer à chatter avec l'IA d'Apple.

Voilà, c'est encore jeune mais l'idée est carrément bonne donc à garder dans un coin si vous avez un Mac qui s'ennuie parce que vous avez investi dans un Mac Mini avant de vous rendre compte qu'OpenClaw ça ne servait pas à grand chose ^^ !

Si vous utilisez un agent IA pour coder, y'a un truc qui sorti y'a quelques semaines et qui change clairement la donne. En fait c'est l'équipe de Chrome DevTools qui a balancé son propre serveur MCP pour connecter vos agents directement aux entrailles de Chrome. 29 outils répartis en 6 catégories (input, navigation, émulation, perf, réseau, debug)... et comme vous allez voir, c'est du lourd !

J'ai testé et c'est pas un wrapper qui clique bêtement sur des boutons. Chrome DevTools MCP donne en réalité un accès direct au Chrome DevTools Protocol via Puppeteer à votre IA. Du coup, votre agent peut capturer des traces de performance, lancer un audit Lighthouse, prendre des snapshots mémoire ou inspecter les requêtes réseau. En gros, TOUT ce que vous faites à la main dans l'onglet DevTools de Chrome, votre IA peut le faire à votre place.

D'ailleurs, si vous aviez kiffé BrowserWing qui enregistre vos actions navigateur pour les rejouer via MCP, ici c'est l'approche inverse. Pas de replay mais votre agent accède directement aux outils de debug. Et l'installation tient en une ligne. Vous collez ça dans votre settings.json (VS Code) ou votre config MCP et hop, c'est parti :

{
 "mcpServers": {
 "chrome-devtools": {
 "command": "npx",
 "args": ["-y", "chrome-devtools-mcp@latest"]
 }
 }
}

Virtualiser macOS sur un Mac, tout le monde ou presque sait le faire. Même chose avec Linux... Mais iOS c'est un peu le Graal... Le truc interdit !

Sauf que des chercheurs en sécu viennent de tomber sur VPHONE600AP, un composant planqué dans le firmware Private Cloud Compute d'Apple qui permet de faire tourner iOS 26 en VM sur un simple Mac tout simplement via le Virtualization.framework. En gros, Apple a laissé traîner la clé sous le paillasson...

Pour ceux qui débarquent, Private Cloud Compute (PCC) c'est l'infrastructure serveur qu'Apple utilise pour faire tourner Apple Intelligence et bizarrement, le firmware de ces serveurs, qu'Apple appelle cloudOS, contient un composant qui n'a rien à faire là : un iPhone virtuel. VPHONE600AP, de son petit nom.

iOS 26 dans une VM sur Mac, avec le wallpaper clownfish en guise de bienvenue

C'est vrai que jusqu'ici, on pouvait faire tourner des VM sur iOS via UTM, mais dans l'autre sens c'était niet. Mais le chercheur du nom de wh1te4ever (bien connu dans le milieu du jailbreak iOS) a documenté comment exploiter ce composant dans un writeup hyper détaillé que je vous invite à lire.

La recette, c'est pas sorcier sur le papier : on prend le firmware d'un iPhone 16 sous iOS 26.1 (~8 Go à télécharger), on y greffe les éléments vphone récupérés dans cloudOS, et on patche le résultat jusqu'à ce que le tout accepte de démarrer dans une VM. En pratique, on se doute que c'est évidemment un poil plus corsé que ça mais c'est le résultat qui compte !

Côté patches, 3 niveaux de casse-tête s'offrent à vous. Le mode Regular, le plus pépère, qui se contente de 38 modifications. Le mode Development qui en empile 47. Et le mode Jailbreak avec ses 84 patches !

Le device tree du firmware vphone, aka "iPhone Research Environment Virtual Machine"

Ces patches touchent à tout ce qui empêche normalement iOS de tourner en dehors d'un vrai iPhone : le bootloader (iBSS, iBEC, LLB), la vérification du volume système (SSV bypass), le système de fichiers APFS (seal verification), et le trustcache TXM.

Et pour simplifier tout ça, un autre dev nommé Lakr233 a créé vphone-cli , un outil en ligne de commande qui automatise tout le processus. Téléchargement des firmwares, application des patches, boot de la VM... quelques commandes dans le Terminal et c'est parti. Sans cet outil, il faudrait se taper chaque patch à la main, parce que le processus complet prend une bonne vingtaine d'étapes.

Ensuite, une fois la bête lancée, trois façons d'y accéder : SSH sur le port 22222 pour bidouiller, VNC sur le 5901 si vous voulez voir l'écran, ou RPC sur le 5910. Le tout en 1179x2556, la résolution d'un iPhone 16. Pas mal pour du virtuel !

Bon, quelques conditions quand même.... il faut macOS 15 (Sequoia) minimum, désactiver SIP et AMFI via csrutil disable en mode Recovery, et surtout un Mac Apple Silicon...

Sur Mac Intel, ça ne marchera pas. Maintenant, si vous avez déjà bidouillé de la virtualisation sur Mac , ça ne devrait pas trop vous dépayser, mais comprenez bien que c'est un outil de recherche en sécurité avant tout... même si perso, tester des apps iOS sans vrai iPhone, c'est pas du luxe quand on fait mon job.

Merci à Lorenper pour le lien de vphone-cli !

Le robot chien Unitree Go2, c'est celui qu'on a vu se faire pirater via Bluetooth en décembre dernier. Hé bien rebelote puisque 2 nouvelles CVE viennent de tomber, et c'est encore plus lourd. Hé oui c'est à base de root shell, de persistance après reboot... et tout ça sans aucune authentification sur le protocole réseau.

La première faille ( CVE-2026-27509 ) est la plus vicieuse puisque le Go2 utilise DDS (Data Distribution Service), un protocole publish-subscribe qu'on retrouve partout dans l' industrie de la robotique . Ça tourne avec CycloneDDS, sauf que Unitree l'a déployé SANS la moindre authentification.

Du coup, n'importe qui sur le même réseau peut envoyer des messages au robot, et un topic DDS spécifique avec le paramètre api_id=1002 permet carrément d'uploader du code Python arbitraire. Code qui s'exécute ensuite directement en root via subprocess.Popen. Et voilà comment on obtient un reverse shell en quelques lignes !

Avec un accès root, ensuite c'est open bar. Caméras, moteurs, capteurs LiDAR... et comme le DDS tourne sans chiffrement, même le trafic légitime entre le robot et sa télécommande passe en clair sur le réseau.

Le truc qui pique, c'est que DDS-Security existe vraiment puisque c'est un standard documenté qui gère authentification et chiffrement. C'est juste que Unitree a simplement décidé de ne pas l'implémenter. Même pas un tout petit token basique... snif.

La deuxième faille ( CVE-2026-27510 ) est la plus tordue. Pour celle-ci, il faut un téléphone Android rooté avec l'app Unitree installée. De là, vous modifiez la base SQLite locale, la table dog_programme, et vous injectez un binding hotkey qui exécute une commande au prochain appui sur la télécommande. Et comme le robot stocke ça dans un fichier hotkey_list.txt, votre payload persiste même après reboot. Et hop, encore un shell root !

Unitree a sorti le firmware V1.1.13 qui corrige la faille SQLite absolument rien pour la faille DDS. Le protocole tourne toujours sans auth sur les versions EDU (V1.1.7 à V1.1.11), et vu que ça nécessiterait de revoir toute l'architecture réseau du robot, j'imagine que c'est pas pour demain la veille.

Ça fait donc 3 failles en moins d'un an sur la même bestiole. Entre ça et les aspirateurs DJI piratés par milliers, la sécu des robots grand public en prend un sacré coup en ce moment. Et pour un quadrupède à plusieurs milliers d'euros qu'on retrouve dans des labos de recherche ou des usines, parce que la terre entière le dropship avec son logo, ça la fout mal.

Bref, si vous avez un Go2, mettez à jour en V1.1.13 via l'app Unitree et pour le DDS, collez votre robot sur un réseau Wi-Fi dédié en attendant mieux.

C'est dommage quand même parce que la possibilité d'authentification existait... fallait juste l'activer.

Source

Je crois que si j'ai UNE console de cœur, celle qui a bercé mon enfance et qui a aiguisé mon goût pour les jeux vidéo, c'est la Megadrive. Un des titres qui m'avait énormément marqué, qu'on avait eu en bundle avec la console, 2 manettes et Sonic, c'est Streets of Rage... Et bien sûr ces deux excellentes suites !

Le 4ème volet, sorti 26 ans après le 3ème, était incroyable lui aussi (je recommande chaudement), car il respectait à 100% la formule et le gameplay d'origine, tout en apportant plein de petits trucs et en modernisant l'aspect technique. Un pari un peu fou mais relevé avec brio.

En suivant un peu l'actualité des différents studios ayant travaillé sur ce Streets of Rage 4, je suis tombé sur le dernier petit bijou créé par Dotemu et Guard Crush, avec Supamonks aux graphismes : Absolum.

Google et une société de cybersécurité, iVerify, ont découvert un puissant outil de piratage d'iPhone baptisé Coruna. Visiblement développé par le gouvernement américain, il a fuité et se retrouve aujourd'hui entre les mains d'espions russes et de cybercriminels chinois. Plus de 42 000 iPhone ont été piratés à cause de lui.

Comment ça marche ?

Coruna est un programme capable d'exploiter 23 failles de sécurité différentes dans iOS, le système d'exploitation de l'iPhone. Il suffit qu'un utilisateur visite un site web piégé pour que l'outil analyse automatiquement son téléphone (modèle, version du système, réglages de sécurité) et choisisse la bonne méthode pour en prendre le contrôle. C'est Google qui l'a repéré en premier, en février 2025, quand un vendeur de logiciels espions a tenté de pirater un iPhone pour le compte d'un gouvernement. De son côté, iVerify a analysé le code source et estime qu'il a été développé aux États-Unis. Plusieurs indices pointent dans cette direction : Rocky Cole, le patron d'iVerify, décrit un code "superbe" et "élégamment écrit", truffé de blagues internes en anglais américain dans les commentaires. Et surtout, le kit partage des éléments communs avec l'Opération Triangulation, une campagne de piratage d'iPhone que le spécialiste en cybersécurité Kaspersky avait attribuée aux services de renseignement américains en 2023.

Des espions russes aux arnaqueurs chinois

Le vrai problème, c'est que Coruna a fuité bien au-delà de ses créateurs. Google a retracé la circulation de l'outil sur plus d'un an. Il a d'abord été récupéré par un groupe d'espions russes, qui l'a utilisé pour piéger des sites web fréquentés par des Ukrainiens : les visiteurs qui s'y connectaient avec un iPhone se faisaient pirater sans le savoir. L'étape suivante est encore plus préoccupante : un groupe de cybercriminels chinois a mis la main sur l'outil complet et l'a utilisé pour créer de faux sites d'échange de cryptomonnaies. Résultat : plus de 42 000 iPhone compromis, un chiffre qualifié de "massif" par les chercheurs. Google parle même d'un "marché de seconde main" pour ce type d'outils, ce qui rappelle d’ailleurs la fuite en 2017 d'un outil similaire de la NSA, qui avait permis des cyberattaques mondiales comme WannaCry.

Votre iPhone est-il concerné ?

Apple a travaillé avec Google pour corriger les failles et les mises à jour sont disponibles. Tous les iPhone sous iOS 18 ou plus récent ne sont plus vulnérables, et Apple indique que 74 % des iPhone compatibles sont déjà à jour. Le mode Isolement (Lockdown Mode) et la navigation privée dans Safari bloquent aussi l'attaque. En fait, Coruna cible les versions d'iOS sorties avant décembre 2023, ce qui veut dire que si vous n'avez pas mis à jour votre iPhone depuis un moment, il est potentiellement exposé.

C’est quand même assez pénible qu’un outil d'espionnage lié à un état se retrouve dans une arnaque aux cryptos, ça montre bien que personne ne contrôle la prolifération de ces trucs. Et Coruna n'est probablement pas le seul à circuler comme ça. Bref, si vous avez un vieil iPhone pas à jour, vous pouvez vous inquiéter (ou juste le mettre à jour).

Sources : Wired , Google

Vous aimez les batteries externes ? Eh bien moi aussi. Et Ugreen a un modèle franchement intéressant si vous cherchez une batterie avec une grosse capacité. C'est la Nexode 20 000 mAh 165W , une batterie externe avec un câble USB-C rétractable intégré dans le châssis. Elle propose 100W sur un seul câble, 165W au total sur trois ports, un écran TFT pour tout contrôler et une recharge complète en moins de deux heures. Je la teste depuis quelques jours, et elle est validée.

Un câble rétractable, et c'est tout de suite plus simple

On a tous le même problème quand on part en vadrouille : on part léger et on finit avec une besace qui ressemble à un nid de serpents parce qu'on trimballe trois câbles différents pour ne pas tomber en rade entre deux TGV. Cette batterie, en plus d'être franchement jolie, a ce petit truc en plus, un câble USB-C rétractable de 70 cm intégré dans le châssis. Il permet de charger un ordinateur en USB-C à pleine balle, et bien sûr n'importe quel téléphone ou tablette. On tire, on branche, et on profite de 100W sur ce seul câble. Voir son ordinateur portable regagner des couleurs à toute vitesse dans un café sans prise murale, c'est quand même bien pratique.

165W au total

Côté puissance, la bête en a sous le capot. Avec 20 000 mAh, on est sur le bon compromis de la portabilité : assez pour redonner vie à un MacBook Air plus d'une fois, ou pour tenir un long week-end avec un smartphone haut de gamme sans approcher une prise. La batterie peut cracher jusqu'à 165W au total en saturant les trois sorties en même temps. Vous pouvez alimenter votre laptop en 100W tout en chargeant une tablette et un téléphone sans que la Nexode ne montre de signe de faiblesse ni de surchauffe excessive, le système Thermal Guard surveille la température en permanence. L'écran est un vrai plus par rapport aux habituelles diodes imprécises : il affiche le pourcentage restant, mais aussi le voltage et l'ampérage en temps réel pour chaque port. Voir la courbe s'adapter à chaque charge pour chaque appareil, c'est vraiment un gros plus, et ça permet de constater que le Power Delivery fait bien le job, mais aussi de vous donner une vraie idée de ce que consomme chacun de vos appareils.

Notez que même la recharge de la batterie elle-même a été optimisée. Avec un chargeur mural de 100W, la Nexode repasse de 0 à 100 % en moins de deux heures, et le flux est bidirectionnel. Rien de plus agaçant qu'une batterie haute capacité qui met une nuit entière à se régénérer, et sur ce point, c'est réglé. Le format colonne, un peu plus épais qu'une batterie plate classique, se glisse finalement bien dans les poches latérales des sacs à dos.

Bref, pour moi c'est validé, Ugreen signe un produit bien pensé. Le câble rétractable, ça semble tout bête comme ça, mais c'est vraiment pratique. On aurait aimé un format un peu plus compact, mais à ce niveau de puissance, difficile de faire des miracles. Si vous en avez marre de trimballer trois câbles dans votre sac, celle-ci devrait vous réconcilier avec les batteries externes.

Elle est disponible sur Amazon , et d'ailleurs elle est en promo aujourd'hui à 70 euros , ce qui me semble franchement très correct comme prix !

Article invité publié par Vincent Lautier .

82 314 dollars, c'est l'incroyable facture que s'est mangé un dev mexicain après 48 heures d'utilisation frauduleuse de sa clé API Gemini. Sa dépense habituelle était de 180 dollars par mois environ, j'imagine que ça lui a fait un peu mal aux fesses. Et c'est une bonne raison pour moi de vous inciter une nouvelle fois à bien sécuriser vos clés API !

Le gars bosse dans une petite startup et de ce que j'ai compris, quelqu'un a chopé ses credentials et s'est lâché sur Gemini 3 Pro pendant deux jours. La réponse de Google ? "Responsabilité partagée". En gros, eux sécurisent l'infra, et vous sécurisez vos clés. Si vous vous faites plumer, c'est votre problème !

Et c'est pas un cas isolé car les chercheurs de Truffle Security ont scanné le web et trouvé 2 863 clés Google API exposées en clair sur des sites publics. Toutes identifiables par le préfixe AIza.

Sauf que comme je vous l'expliquais dans un article précédent, ces clés, à la base, étaient conçues comme de simples identifiants de projet pour Maps et Firebase et la doc Google disait carrément qu'elles n'étaient pas secrètes ! Et quand l'API Gemini a été activée sur ces projets, hé bien ces clés sont devenues des clés d'authentification, sans que personne ne réalise ce changement de paradigme.

Mais bon, plutôt que de chialer comme des fragiles, voyons comment éviter de se retrouver dans cette situation ^^.

Scanner vos secrets existants

Avant tout, faut savoir si vous avez déjà des fuites. Deux outils open source font ça très bien.

TruffleHog scanne vos dépôts Git, vos fichiers, et même vos buckets S3 pour trouver des secrets qui traînent. L'install est simple :

brew install trufflehog
trufflehog git https://github.com/user/project --only-verified

grep -r "AIza" . --include="*.js" --include="*.py" --include="*.env"

brew install git-secrets
cd mon-projet
git secrets --install
git secrets --register-aws

git secrets --add 'AIza[0-9A-Za-z_-]{35}'
git secrets --add 'sk-proj-[0-9a-zA-Z]{48}'

gcloud services api-keys list
gcloud services api-keys create --display-name="gemini-prod-$(date +%Y%m)"
gcloud services api-keys delete ANCIENNE_CLE_ID

Des chercheurs en sécurité ont découvert deux failles dans Comet, le navigateur IA de Perplexity. Une simple invitation de calendrier piégée suffisait pour accéder aux fichiers locaux de la machine et prendre le contrôle d'un coffre-fort 1Password, le tout sans aucun clic de l'utilisateur.

Une invitation de calendrier, et c'est tout

L'attaque est d'une simplicité qui fait froid dans le dos. Les chercheurs de Zenity Labs, qui ont baptisé la faille « PleaseFix », ont montré qu'il suffisait d'envoyer une invitation de calendrier contenant des instructions malveillantes cachées. Quand l'utilisateur interagit avec cette invitation dans Comet, l'IA du navigateur exécute en toute décontraction les instructions, sans broncher. Pas besoin de cliquer sur un lien, pas besoin de télécharger quoi que ce soit : le simple fait de consulter l'événement suffisait. Le problème vient de ce qu'on appelle l'injection de prompt indirecte : l'IA ne fait pas la différence entre les instructions légitimes et le contenu malveillant planqué dans un calendrier.

Séparer la voix, la batterie ou la basse d'un morceau, ça relevait du rêve d'audiophile il y a encore quelques années. Fallait installer Python, se taper Spleeter, galérer avec les dépendances CUDA... bref, un super truc de barbu. Mais ça, c'était avant, les amis !

Demucs-rs , une réécriture en Rust du modèle HTDemucs v4 de Meta, tourne maintenant directement dans votre navigateur grâce au WebGPU. Batterie, basse, voix, tout le reste..., chaque élément se retrouve ainsi isolé dans son propre fichier WAV. Et y'a rien à installer, puisque tout se passe côté client, sur votre machine.

Pour vous en servir, vous pouvez aller sur la web app , vous glissez-déposez votre fichier MP3 (ou WAV, FLAC, OGG, M4A... ça bouffe à peu près tout), et vous patientez... Le premier lancement télécharge le modèle (~84 Mo pour le standard), donc prévoyez une connexion correcte.

L'interface de la web app - vous glissez votre fichier et c'est parti

Comptez alors quelques minutes selon la durée du morceau. En sortie, vous aurez alors plusieurs fichiers WAV séparés que vous pourrez écouter, jouer en solo ou télécharger individuellement.

Les pistes séparées, prêtes à écouter ou télécharger

Trois modèles sont dispos. Le mode 4 pistes suffit dans 90% des cas. Il y a aussi le modèle 6 stems, ou plutôt htdemucs_6s, qui est pas mal pour du rock ou du jazz. Et pour les obsessionnels de la qualité, y'a le fine-tuned à 333 Mo... mais prévoyez une pause café, parce que ça va être long de fou !

Voilà, comme ça, si vous voulez faire un karaoké maison, vous virez la voix et vous gardez l'instrumental. Ou si votre truc c'est de sampler une ligne de basse d'un vieux morceau de funk ou encore pratiquer la guitare en jouant par-dessus le morceau original sans la partie guitare, c'est entièrement possible !

D'ailleurs, si vous aviez testé Spleeter avec Ableton à l'époque, c'est le même principe mais en BEAUCOUP plus simple !!

Perso, le fait que ça tourne dans le navigateur, c'est top, sans parler du fait que vos morceaux restent sur votre disque.

Maintenant, si la version navigateur vous semble un peu longue, y'a le CLI natif qui exploite Metal sur Mac et Vulkan sur Linux/Windows. Pour l'installer, clonez le repo et lancez make cli (Rust requis) :

git clone https://github.com/nikhilunni/demucs-rs
cd demucs-rs && make cli

demucs song.mp3 # 4 pistes dans ./stems/
demucs -s vocals chanson.mp3 # juste la voix
demucs -m htdemucs_6s -s guitar solo.flac # isoler la guitare
demucs -m htdemucs_ft morceau.mp3 # qualité max

C'est la grosse actu du jour ! YggTorrent, le plus gros tracker torrent francophone, a fermé DÉFINITIVEMENT ses portes après une cyberattaque survenue le 3 mars 2026. Un site de piratage qui se fait... pirater. Oups !

Un hacker du nom de Gr0lum a revendiqué l'opération baptisée YGGLeak. D'après lui, il aurait exfiltré la base de données complète du site, soit environ 6,6 MILLIONS de comptes utilisateurs. Il s'agit d'emails, de mots de passe hashés en bcrypt, d'adresses IP, d'historiques de navigation... genre, le package complet. Donc pas exactement le genre de truc que vous voulez voir traîner dans la nature.

De leur côté, l'équipe d'Ygg a publié un long communiqué où ils se posent en victimes. Selon eux, un ancien admin viré aurait gardé des accès et orchestré le sabotage de l'intérieur. Ils parlent de "trahison" et jurent que les mots de passe étaient "hashés et salés" (en gros, pas en clair... mais bon, ça rassure moyen quand toute votre base est dans la nature).

Sauf que la version de Gr0lum raconte une toute autre histoire. Le hacker accuse la plateforme d'avoir stocké pas moins de 54 776 numéros de cartes bancaires (sans qu'on sache si c'est des numéros complets ou tronqués), d'avoir mis en place du tracking comportemental poussé et même du fingerprinting de wallets crypto via un script (Sci.js) qui détectait Phantom, MetaMask ou Trust Wallet sur les machines des visiteurs. On est donc carrément loooooiiiiin du petit tracker communautaire sur lequel vous téléchargiez vos ISO Linux ^^.

Et le dossier complet publié par Gr0lum va encore plus loin. Un module baptisé Security.php aurait collecté les données de cartes bancaires COMPLÈTES... numéro, CVV, date d'expiration, nom du porteur, le tout relayé via un processeur de paiement tiers. Plusieurs utilisateurs sur Reddit ont d'ailleurs signalé des prélèvements frauduleux après avoir payé sur le site. En bonus, Ygg utilisait un service de DDoS (stresscat.ru) pour matraquer des trackers concurrents comme la-cale.space et sharewood.tv.

D'ailleurs, faut remettre un peu de contexte. Le 21 décembre 2025, Ygg avait lancé son fameux "Mode Turbo" qui limitait les utilisateurs gratuits à 5 téléchargements par jour... sauf si vous passiez à la caisse (86 euros). Résultat, d'après les données exfiltrées, le chiffre d'affaires a carrément TRIPLÉ en janvier 2026 pour atteindre ~490 000 euros sur le seul mois. Sur l'ensemble, on parle de 5 à 8,5 millions d'euros de revenus, avec près de 250 000 commandes traitées. Du coup, pour un site soi-disant "bénévole", ça fait beaucoup, j'avoue.

Côté technique, le hack est un cas d'école. Gr0lum a trouvé un port SphinxQL (9306) exposé sans authentification sur un serveur de pré-production. De là, lecture de fichiers arbitraires, récupération d'un mot de passe admin en clair dans un fichier sysprep, puis rebond de serveur en serveur via SMB et SSH. Trois jours seulement et 19 Go de données exfiltrées. Contrôle total. Le serveur de pré-prod tournait sous Windows Server 2019 avec le pare-feu désactivé et Defender coupé. Du grand art !

Pour le blanchiment des revenus crypto, ça passait par Tornado Cash avec conversion en Monero via ChangeNOW... le combo parfait pour disparaître de la blockchain. L'équipe avait même acheté le domaine warezfr.com fin décembre 2025 et bossait sur un nouveau tracker baptisé RageTorrent. Ils voyaient loin.

Si vous aviez un compte sur Ygg, surtout si vous utilisiez le même email et le même mot de passe sur d'autres services (oui, on sait que c'est votre cas ^^), changez le ailleurs, car même avec du hash salé, sur 6,6 millions de comptes y'a forcément des mots de passe type "123456" qui vont tomber en quelques secondes. Vérifiez aussi sur Have I Been Pwned si votre adresse a fuité.

Ah et bonne nouvelle, y'a déjà un successeur. Un collectif nommé Utopeer a récupéré le catalogue et lancé ygg.gratis. Attention, aucune garantie de fiabilité là non plus, hein.... Comme d'hab, méfiance.

C'est un peu comme Bato.to en janvier dernier... les géants du piratage tombent les uns après les autres... après T411 en 2017, après Zone-Téléchargement, après Bato.to, c'est donc au tour d'Ygg de tirer sa révérence, sauf que cette fois, c'est pas la police qui a frappé, mais visiblement un de leurs propres utilisateur avec quelques compétences...

MilimoVideo, c'est un studio de production vidéo boosté à l'IA qui tourne entièrement en local sur votre ordi... pas de cloud, juste votre GPU qui mouline quoi...

Et contrairement à ce que vous pensez (je suis dans vos têtes !! lol), ce n'est pas un énième générateur prompt-to-video à la Sora . Non, il s'agit d'un vrai NLE ... ou plutôt un éditeur non-linéaire pour ceux qui découvre, avec une timeline multi-pistes, du trim au frame près et tout le toutim, sauf que derrière, y'a 4 modèles d'IA qui bossent ensemble main dans la main.

Du côté moteur, on retrouve donc LTX-2, un transformer dual-stream de 19 milliards de paramètres pour la génération vidéo. Text-to-video, image-to-video, interpolation de keyframes... c'est le package complet. Ensuite, pour les images, c'est Flux 2 Klein avec l'IP-Adapter qui maintient la cohérence visuelle de vos personnages d'un plan à l'autre, comme ça, finis les visages de vos acteurs qui changent toutes les 3 secondes.

Et y'a aussi SAM 3 pour la segmentation. Vous cliquez sur un objet dans la vidéo, hop, il le détecte et le suit alors automatiquement d'un bout à l'autre du clip. Et pour finir, Gemma 3 se charge d'améliorer vos prompts pour que les résultats soient plus "cinématiques".

Le truc cool, c'est surtout le système de "Story Elements" je trouve car avec ça, vous pouvez créer des personnages, des lieux, des objets, et vous les invoquez ensuite dans vos prompts avec un @Personnage. Du coup, le studio injecte les bonnes références visuelles pour garder une cohérence sur tout votre projet. Faut voir ça un peu comme des variables de code, mais pour du cinéma.

Et si vos plans dépassent 121 frames, le "Quantum Alignment" découpe la génération en morceaux et raccorde ces segments sans couture visible. Voilà comment les transitions entre bouts générés sont gérées proprement sans que vous ayez à lever le petit doigt. Magique hein ?

Pour voir ce que ça donne en pratique, voilà une démo qui montre le workflow complet :

Vous avez peut-être vu ça passer y'a pas longtemps, les scientifiques ne savent plus démêler le vrai du faux dans leurs propres publications. À NeurIPS 2025 , 100 citations hallucinées ont été retrouvées dans 51 papiers acceptés et à l' ICLR 2026, sur plus de 75 000 reviews analysées, 21% étaient entièrement générées par IA.

Bienvenue dans le monde du doute permanent !

Maintenant, si vous pensez que ça ne concerne que les chercheurs, détrompez-vous car de mon côté, ce que j'observe, c'est que les faux repos GitHub, c'est le même fléau côté tech, et surtout un vrai problème pour tous ceux qui relayent des projets open source comme moi.

Vous avez peut-être vu passer mon article d'hier sur WiFi DensePose , un projet à 25 000 étoiles sur Github qui promettait de détecter les postures humaines via le signal WiFi. Le code Python est détaillé, crédible en surface, il y a des tas d'issues ouvertes avec de vraies questions d'utilisateurs différents, des tas de pull requests parfaitement crédibles, une documentation hyper léchée... et le tout est adossé à un vrai papier de recherche de Carnegie Mellon .

Pour moi, ça avait l'air carrément sérieux ! Donc j'en ai fait un article.

Sauf qu'après coup, différentes personnes ont creusé plus profondément le code (Merci Nicolas), et ont trouvé des choses assez étranges partout dans le code. En fait, le truc générait des données aléatoires en se faisant passer pour du traitement de signal WiFi. C'est du vibe coding à l'état pur et quand des gens ont posé des questions dans les issues... ces dernières ont été vite supprimées. Faut dire que le piège était quasi parfait.

Et c'est tout le problème ! Car pour évaluer si un projet GitHub est légitime, je me base sur plusieurs signaux. Le code, les issues et les PRs, le nombre de stars, la reprise sur Reddit ou Hacker News, les commentaires, les articles dans la presse et quand je peux (et là c'était pas le cas car ça demande pas mal de matos que j'avais pas), je teste évidemment... Mais du coup, quand TOUS ces signaux sont fabriqués de toutes pièces, y'a plus aucun repère !

Parce que figurez-vous que les étoiles Github, ça s'achète (y'a des services entiers dédiés à ça), les issues se génèrent par IA, le code compile, les tests passent, le README est nickel, et le développeur a d'autres projets crédibles sur son profil. Vraiment tout est conçu pour que ça fasse parfaitement illusion.

Et comme ce sont souvent des projets émergents sur des technos de pointe, y'a pas grand monde qui a le matos ni le temps de vérifier par soi-même. Du coup, voilà comment moi et d'autres, on se retrouve à relayer des projets bidon sans le savoir. Et dire que j'étais à 2 doigts d'acheter le matos pour tenter l'aventure...

Les chercheurs se fient au peer review, aux citations, à la réputation du journal et moi c'est pareil avec les stars, les contributions, et le relai médiatique. Sauf que dans les deux cas, l'IA a rendu ces marqueurs de confiance complètement bidons. C'est pour ça que je fais ce parallèle car de mon point de vue, c'est le même combat.

Et le pire, c'est que c'est même pas du code malveillant. Y'a pas de backdoor, pas de malware planqué, pas de minage crypto en douce. C'est juste du code qui donne l'ILLUSION de fonctionner, ou plutôt, qui PRÉTEND fonctionner. Tout ça apparemment pour faire ce qu'on appelle du "portfolio padding"... c'est-à-dire gonfler son CV de développeur avec des faux projets open source à des milliers de stars pour impressionner les recruteurs.

Perso, j'avoue ça me dépasse.

Maintenant, comme c'est nouveau pour tout le monde, il va falloir apprendre à éviter de tomber dans le panneau. J'y ai réfléchi un peu et finalement, ça passe par une analyse plus approfondie du code et de l'historique du projet... On peut par exemple vérifier le git log parce qu'un projet à 25 000 étoiles et 3 commits en 2 semaines, c'est louche, donc méfiance. Et surtout, faut chercher des retours d'utilisation concrets et des issues techniques pointues. Après encore faut-il avoir des compétences techniques assez poussées (par exemple en traitement du signal) pour capter ce qui y est raconté... Pas simple hein ?

Faudrait peut-être que je me fasse un skill un peu poussé pour qu'une IA soit capable de faire ce taf chiant à ma place. Je vais y réfléchir.

Bref, on est tous dans la même galère, à devoir douter de tout ce qui brille sur GitHub et ailleurs et ça c'est bien emmerdant.

Savez-vous que Meta a vendu 7 millions de paires de Ray-Ban Meta l'an dernier ? Le succès commercial est dingue, mais une enquête du quotidien suédois SVD montre que des sous-traitants basés au Kenya visionnent certaines vidéos privées, enregistrées par les lunettes pour entraîner l'IA de Meta. La CNIL a ouvert une enquête.

7 millions de paires en un an

EssilorLuxottica a confirmé le chiffre : plus de 7 millions de lunettes connectées vendues en 2025. C'est trois fois plus que les 2 millions écoulés entre le lancement fin 2023 et début 2025. La gamme s'est élargie avec les Oakley Meta et un modèle haut de gamme à 800 dollars, le Ray-Ban Meta Display, qui ajoute un affichage tête haute. Le marché des lunettes connectées n'est clairement plus un sujet de niche, et Meta domine le segment.

Des sous-traitants qui voient tout ?

Selon l'enquête du quotidien suédois SVD, des milliers d'annotateurs de données basés au Kenya, employés par le sous-traitant Sama pour le compte de Meta, visionnent les vidéos captées par les Ray-Ban Meta pour entraîner ses modèles d'IA. Et ce qu'ils voient n'est pas toujours anodin. Les travailleurs rapportent être tombés sur des scènes de salle de bain, des moments intimes et des cartes bancaires filmées par les utilisateurs. Un employé raconte qu'un utilisateur portait ses lunettes pendant que son partenaire se trouvait dans la salle de bain. Les conditions d'utilisation de Meta précisent que les interactions avec l'IA peuvent être "examinées de façon automatique ou manuelle", mais on doute que les utilisateurs aient bien compris ce que "manuelle" veut dire dans ce contexte.

La CNIL et la LED qui ne sert à rien

Côté protection des personnes filmées, la situation n'est pas mieux. Les Ray-Ban Meta ont une petite LED blanche qui s'allume pendant l'enregistrement, censée prévenir les gens autour. Sauf que certaines bidouilles permettent de la masquer, et la CNIL l'a bien noté. L'autorité française a ouvert une enquête après une plainte et considère que l'intrusion dans la vie privée est "possiblement énorme". Des créateurs de contenu ont d'ailleurs utilisé ces lunettes pour filmer des passants à leur insu, la BBC ayant documenté le cas de pick-up artists filmant des femmes dans des lieux publics. Et puisque filmer dans un espace public reste légal en France, les victimes n'ont quasiment aucun recours. Des étudiants de Harvard ont aussi démontré qu'on pouvait coupler les lunettes à un système de reconnaissance faciale pour identifier des inconnus dans la rue et accéder à leurs données personnelles.

On ne va pas se mentir, j'adore mes Ray-Ban Meta que j'utilise quotidiennement, mais 7 millions de caméras portées sur le nez de gens qui se baladent partout, avec des vidéos qui finissent chez des sous-traitants au Kenya, c'est quand même un problème. La politique de confidentialité de Meta reste volontairement floue sur ce qui est collecté et sur qui regarde ces images. La petite LED de sécurité qui se neutralise facilement n'aide en rien.

Sources : Clubic , UCStrategies

Le Service national des impôts sud-coréen a publié par erreur les phrases de récupération de portefeuilles crypto saisis lors d'une opération contre la fraude fiscale. Résultat, un inconnu a siphonné l'équivalent de 4,8 millions de dollars en quelques heures. Les fonds ont finalement été restitués, mais l'affaire fait quand même pas mal jaser.

La photo de trop

Il y a quelques jours, le fisc sud-coréen annonçait avoir mené des perquisitions chez 124 contribuables soupçonnés de fraude fiscale, pour un butin total de 8,1 milliards de wons, soit environ 5,6 millions de dollars en espèces, montres et biens de luxe. Pour communiquer sur l'opération, l'agence a partagé des photos des saisies avec la presse. On y voyait des liasses de billets, des objets de valeur, et plusieurs portefeuilles Ledger posés bien en évidence sur une table.

Sauf que sur au moins deux d'entre eux, la seed phrase, cette suite de mots qui donne le contrôle total d'un portefeuille crypto, était parfaitement lisible. Un inconnu a repéré l'aubaine, déposé un peu d'Ethereum sur le wallet pour couvrir les frais de transaction, puis exécuté trois transferts pour vider les 4 millions de tokens Pre-Retogeum qui s'y trouvaient. Valeur estimée : 4,8 millions de dollars quand même.

Un vol pour rien

Une vingtaine d’heures plus tard, les tokens ont été renvoyés à leur portefeuille d'origine. Pourquoi ? Parce que le Pre-Retogeum est un token quasiment invendable. Le volume de transactions quotidien sur les plateformes décentralisées ne dépassait pas 332 dollars au moment des faits. Concrètement, le voleur s'est retrouvé avec des millions en poche, mais sans aucun acheteur potentiel en face. Et comme toutes les transactions sont enregistrées sur la blockchain, toute tentative de revente aurait été immédiatement grillée.

Pas une première

C'est le deuxième incident du genre en Corée du Sud. En 2021, la police de Séoul avait perdu 22 bitcoins, soit environ 1,5 million de dollars, après les avoir confiés à un prestataire externe. Le vice-Premier ministre a donc ordonné un examen en urgence de la façon dont les administrations gèrent les actifs numériques saisis. Le fisc a présenté ses excuses, expliquant avoir voulu "fournir une information plus vivante au public", et a promis de revoir ses procédures de A à Z. La police a quand même été chargée de retrouver l'auteur du vol.

Franchement, publier la seed phrase d'un portefeuille crypto dans un communiqué de presse, il fallait quand même oser. C'est la deuxième boulette crypto du gouvernement sud-coréen, et visiblement, la gestion des actifs numériques par les administrations publiques est un sujet complexe pour les autorités.

Sources : the register , coindesk