Des chercheurs en sécurité ont découvert deux failles dans Comet, le navigateur IA de Perplexity. Une simple invitation de calendrier piégée suffisait pour accéder aux fichiers locaux de la machine et prendre le contrôle d'un coffre-fort 1Password, le tout sans aucun clic de l'utilisateur.

Une invitation de calendrier, et c'est tout

L'attaque est d'une simplicité qui fait froid dans le dos. Les chercheurs de Zenity Labs, qui ont baptisé la faille « PleaseFix », ont montré qu'il suffisait d'envoyer une invitation de calendrier contenant des instructions malveillantes cachées. Quand l'utilisateur interagit avec cette invitation dans Comet, l'IA du navigateur exécute en toute décontraction les instructions, sans broncher. Pas besoin de cliquer sur un lien, pas besoin de télécharger quoi que ce soit : le simple fait de consulter l'événement suffisait. Le problème vient de ce qu'on appelle l'injection de prompt indirecte : l'IA ne fait pas la différence entre les instructions légitimes et le contenu malveillant planqué dans un calendrier.

Séparer la voix, la batterie ou la basse d'un morceau, ça relevait du rêve d'audiophile il y a encore quelques années. Fallait installer Python, se taper Spleeter, galérer avec les dépendances CUDA... bref, un super truc de barbu. Mais ça, c'était avant, les amis !

Demucs-rs , une réécriture en Rust du modèle HTDemucs v4 de Meta, tourne maintenant directement dans votre navigateur grâce au WebGPU. Batterie, basse, voix, tout le reste..., chaque élément se retrouve ainsi isolé dans son propre fichier WAV. Et y'a rien à installer, puisque tout se passe côté client, sur votre machine.

Pour vous en servir, vous pouvez aller sur la web app , vous glissez-déposez votre fichier MP3 (ou WAV, FLAC, OGG, M4A... ça bouffe à peu près tout), et vous patientez... Le premier lancement télécharge le modèle (~84 Mo pour le standard), donc prévoyez une connexion correcte.

L'interface de la web app - vous glissez votre fichier et c'est parti

Comptez alors quelques minutes selon la durée du morceau. En sortie, vous aurez alors plusieurs fichiers WAV séparés que vous pourrez écouter, jouer en solo ou télécharger individuellement.

Les pistes séparées, prêtes à écouter ou télécharger

Trois modèles sont dispos. Le mode 4 pistes suffit dans 90% des cas. Il y a aussi le modèle 6 stems, ou plutôt htdemucs_6s, qui est pas mal pour du rock ou du jazz. Et pour les obsessionnels de la qualité, y'a le fine-tuned à 333 Mo... mais prévoyez une pause café, parce que ça va être long de fou !

Voilà, comme ça, si vous voulez faire un karaoké maison, vous virez la voix et vous gardez l'instrumental. Ou si votre truc c'est de sampler une ligne de basse d'un vieux morceau de funk ou encore pratiquer la guitare en jouant par-dessus le morceau original sans la partie guitare, c'est entièrement possible !

D'ailleurs, si vous aviez testé Spleeter avec Ableton à l'époque, c'est le même principe mais en BEAUCOUP plus simple !!

Perso, le fait que ça tourne dans le navigateur, c'est top, sans parler du fait que vos morceaux restent sur votre disque.

Maintenant, si la version navigateur vous semble un peu longue, y'a le CLI natif qui exploite Metal sur Mac et Vulkan sur Linux/Windows. Pour l'installer, clonez le repo et lancez make cli (Rust requis) :

git clone https://github.com/nikhilunni/demucs-rs
cd demucs-rs && make cli

demucs song.mp3 # 4 pistes dans ./stems/
demucs -s vocals chanson.mp3 # juste la voix
demucs -m htdemucs_6s -s guitar solo.flac # isoler la guitare
demucs -m htdemucs_ft morceau.mp3 # qualité max

C'est la grosse actu du jour ! YggTorrent, le plus gros tracker torrent francophone, a fermé DÉFINITIVEMENT ses portes après une cyberattaque survenue le 3 mars 2026. Un site de piratage qui se fait... pirater. Oups !

Un hacker du nom de Gr0lum a revendiqué l'opération baptisée YGGLeak. D'après lui, il aurait exfiltré la base de données complète du site, soit environ 6,6 MILLIONS de comptes utilisateurs. Il s'agit d'emails, de mots de passe hashés en bcrypt, d'adresses IP, d'historiques de navigation... genre, le package complet. Donc pas exactement le genre de truc que vous voulez voir traîner dans la nature.

De leur côté, l'équipe d'Ygg a publié un long communiqué où ils se posent en victimes. Selon eux, un ancien admin viré aurait gardé des accès et orchestré le sabotage de l'intérieur. Ils parlent de "trahison" et jurent que les mots de passe étaient "hashés et salés" (en gros, pas en clair... mais bon, ça rassure moyen quand toute votre base est dans la nature).

Sauf que la version de Gr0lum raconte une toute autre histoire. Le hacker accuse la plateforme d'avoir stocké pas moins de 54 776 numéros de cartes bancaires (sans qu'on sache si c'est des numéros complets ou tronqués), d'avoir mis en place du tracking comportemental poussé et même du fingerprinting de wallets crypto. On est donc carrément loooooiiiiin du petit tracker communautaire sur lequel vous téléchargiez vos ISO Linux ^^.

D'ailleurs, faut remettre un peu de contexte. Le 21 décembre 2025, Ygg avait lancé son fameux "Mode Turbo" qui limitait les utilisateurs gratuits à 5 téléchargements par jour... sauf si vous passiez à la caisse. Un modèle qui aurait généré dans les 10 millions d'euros de revenus entre 2024 et 2025, d'après les chiffres avancés par Gr0lum. Du coup, pour un site soi-disant "bénévole", ça fait beaucoup, j'avoue.

Si vous aviez un compte sur Ygg, surtout si vous utilisiez le même email et le même mot de passe sur d'autres services (oui, on sait que c'est votre cas ^^), changez le ailleurs, car même avec du hash salé, sur 6,6 millions de comptes y'a forcément des mots de passe type "123456" qui vont tomber en quelques secondes. Vérifiez aussi sur Have I Been Pwned si votre adresse a fuité.

Ah et bonne nouvelle, y'a déjà un successeur. Un collectif nommé Utopeer a récupéré le catalogue et lancé ygg.gratis. Attention, aucune garantie de fiabilité là non plus, hein.... Comme d'hab, méfiance.

C'est un peu comme Bato.to en janvier dernier... les géants du piratage tombent les uns après les autres... après T411 en 2017, après Zone-Téléchargement, après Bato.to, c'est donc au tour d'Ygg de tirer sa révérence, sauf que cette fois, c'est pas la police qui a frappé, mais visiblement un de leurs propres utilisateur avec quelques compétences...

MilimoVideo, c'est un studio de production vidéo boosté à l'IA qui tourne entièrement en local sur votre ordi... pas de cloud, juste votre GPU qui mouline quoi...

Et contrairement à ce que vous pensez (je suis dans vos têtes !! lol), ce n'est pas un énième générateur prompt-to-video à la Sora . Non, il s'agit d'un vrai NLE ... ou plutôt un éditeur non-linéaire pour ceux qui découvre, avec une timeline multi-pistes, du trim au frame près et tout le toutim, sauf que derrière, y'a 4 modèles d'IA qui bossent ensemble main dans la main.

Du côté moteur, on retrouve donc LTX-2, un transformer dual-stream de 19 milliards de paramètres pour la génération vidéo. Text-to-video, image-to-video, interpolation de keyframes... c'est le package complet. Ensuite, pour les images, c'est Flux 2 Klein avec l'IP-Adapter qui maintient la cohérence visuelle de vos personnages d'un plan à l'autre, comme ça, finis les visages de vos acteurs qui changent toutes les 3 secondes.

Et y'a aussi SAM 3 pour la segmentation. Vous cliquez sur un objet dans la vidéo, hop, il le détecte et le suit alors automatiquement d'un bout à l'autre du clip. Et pour finir, Gemma 3 se charge d'améliorer vos prompts pour que les résultats soient plus "cinématiques".

Le truc cool, c'est surtout le système de "Story Elements" je trouve car avec ça, vous pouvez créer des personnages, des lieux, des objets, et vous les invoquez ensuite dans vos prompts avec un @Personnage. Du coup, le studio injecte les bonnes références visuelles pour garder une cohérence sur tout votre projet. Faut voir ça un peu comme des variables de code, mais pour du cinéma.

Et si vos plans dépassent 121 frames, le "Quantum Alignment" découpe la génération en morceaux et raccorde ces segments sans couture visible. Voilà comment les transitions entre bouts générés sont gérées proprement sans que vous ayez à lever le petit doigt. Magique hein ?

Pour voir ce que ça donne en pratique, voilà une démo qui montre le workflow complet :

Vous avez peut-être vu ça passer y'a pas longtemps, les scientifiques ne savent plus démêler le vrai du faux dans leurs propres publications. À NeurIPS 2025 , 100 citations hallucinées ont été retrouvées dans 51 papiers acceptés et à l' ICLR 2026, sur plus de 75 000 reviews analysées, 21% étaient entièrement générées par IA.

Bienvenue dans le monde du doute permanent !

Maintenant, si vous pensez que ça ne concerne que les chercheurs, détrompez-vous car de mon côté, ce que j'observe, c'est que les faux repos GitHub, c'est le même fléau côté tech, et surtout un vrai problème pour tous ceux qui relayent des projets open source comme moi.

Vous avez peut-être vu passer mon article d'hier sur WiFi DensePose , un projet à 25 000 étoiles sur Github qui promettait de détecter les postures humaines via le signal WiFi. Le code Python est détaillé, crédible en surface, il y a des tas d'issues ouvertes avec de vraies questions d'utilisateurs différents, des tas de pull requests parfaitement crédibles, une documentation hyper léchée... et le tout est adossé à un vrai papier de recherche de Carnegie Mellon .

Pour moi, ça avait l'air carrément sérieux ! Donc j'en ai fait un article.

Sauf qu'après coup, différentes personnes ont creusé plus profondément le code (Merci Nicolas), et ont trouvé des choses assez étranges partout dans le code. En fait, le truc générait des données aléatoires en se faisant passer pour du traitement de signal WiFi. C'est du vibe coding à l'état pur et quand des gens ont posé des questions dans les issues... ces dernières ont été vite supprimées. Faut dire que le piège était quasi parfait.

Et c'est tout le problème ! Car pour évaluer si un projet GitHub est légitime, je me base sur plusieurs signaux. Le code, les issues et les PRs, le nombre de stars, la reprise sur Reddit ou Hacker News, les commentaires, les articles dans la presse et quand je peux (et là c'était pas le cas car ça demande pas mal de matos que j'avais pas), je teste évidemment... Mais du coup, quand TOUS ces signaux sont fabriqués de toutes pièces, y'a plus aucun repère !

Parce que figurez-vous que les étoiles Github, ça s'achète (y'a des services entiers dédiés à ça), les issues se génèrent par IA, le code compile, les tests passent, le README est nickel, et le développeur a d'autres projets crédibles sur son profil. Vraiment tout est conçu pour que ça fasse parfaitement illusion.

Et comme ce sont souvent des projets émergents sur des technos de pointe, y'a pas grand monde qui a le matos ni le temps de vérifier par soi-même. Du coup, voilà comment moi et d'autres, on se retrouve à relayer des projets bidon sans le savoir. Et dire que j'étais à 2 doigts d'acheter le matos pour tenter l'aventure...

Les chercheurs se fient au peer review, aux citations, à la réputation du journal et moi c'est pareil avec les stars, les contributions, et le relai médiatique. Sauf que dans les deux cas, l'IA a rendu ces marqueurs de confiance complètement bidons. C'est pour ça que je fais ce parallèle car de mon point de vue, c'est le même combat.

Et le pire, c'est que c'est même pas du code malveillant. Y'a pas de backdoor, pas de malware planqué, pas de minage crypto en douce. C'est juste du code qui donne l'ILLUSION de fonctionner, ou plutôt, qui PRÉTEND fonctionner. Tout ça apparemment pour faire ce qu'on appelle du "portfolio padding"... c'est-à-dire gonfler son CV de développeur avec des faux projets open source à des milliers de stars pour impressionner les recruteurs.

Perso, j'avoue ça me dépasse.

Maintenant, comme c'est nouveau pour tout le monde, il va falloir apprendre à éviter de tomber dans le panneau. J'y ai réfléchi un peu et finalement, ça passe par une analyse plus approfondie du code et de l'historique du projet... On peut par exemple vérifier le git log parce qu'un projet à 25 000 étoiles et 3 commits en 2 semaines, c'est louche, donc méfiance. Et surtout, faut chercher des retours d'utilisation concrets et des issues techniques pointues. Après encore faut-il avoir des compétences techniques assez poussées (par exemple en traitement du signal) pour capter ce qui y est raconté... Pas simple hein ?

Faudrait peut-être que je me fasse un skill un peu poussé pour qu'une IA soit capable de faire ce taf chiant à ma place. Je vais y réfléchir.

Bref, on est tous dans la même galère, à devoir douter de tout ce qui brille sur GitHub et ailleurs et ça c'est bien emmerdant.

Savez-vous que Meta a vendu 7 millions de paires de Ray-Ban Meta l'an dernier ? Le succès commercial est dingue, mais une enquête du quotidien suédois SVD montre que des sous-traitants basés au Kenya visionnent certaines vidéos privées, enregistrées par les lunettes pour entraîner l'IA de Meta. La CNIL a ouvert une enquête.

7 millions de paires en un an

EssilorLuxottica a confirmé le chiffre : plus de 7 millions de lunettes connectées vendues en 2025. C'est trois fois plus que les 2 millions écoulés entre le lancement fin 2023 et début 2025. La gamme s'est élargie avec les Oakley Meta et un modèle haut de gamme à 800 dollars, le Ray-Ban Meta Display, qui ajoute un affichage tête haute. Le marché des lunettes connectées n'est clairement plus un sujet de niche, et Meta domine le segment.

Des sous-traitants qui voient tout ?

Selon l'enquête du quotidien suédois SVD, des milliers d'annotateurs de données basés au Kenya, employés par le sous-traitant Sama pour le compte de Meta, visionnent les vidéos captées par les Ray-Ban Meta pour entraîner ses modèles d'IA. Et ce qu'ils voient n'est pas toujours anodin. Les travailleurs rapportent être tombés sur des scènes de salle de bain, des moments intimes et des cartes bancaires filmées par les utilisateurs. Un employé raconte qu'un utilisateur portait ses lunettes pendant que son partenaire se trouvait dans la salle de bain. Les conditions d'utilisation de Meta précisent que les interactions avec l'IA peuvent être "examinées de façon automatique ou manuelle", mais on doute que les utilisateurs aient bien compris ce que "manuelle" veut dire dans ce contexte.

La CNIL et la LED qui ne sert à rien

Côté protection des personnes filmées, la situation n'est pas mieux. Les Ray-Ban Meta ont une petite LED blanche qui s'allume pendant l'enregistrement, censée prévenir les gens autour. Sauf que certaines bidouilles permettent de la masquer, et la CNIL l'a bien noté. L'autorité française a ouvert une enquête après une plainte et considère que l'intrusion dans la vie privée est "possiblement énorme". Des créateurs de contenu ont d'ailleurs utilisé ces lunettes pour filmer des passants à leur insu, la BBC ayant documenté le cas de pick-up artists filmant des femmes dans des lieux publics. Et puisque filmer dans un espace public reste légal en France, les victimes n'ont quasiment aucun recours. Des étudiants de Harvard ont aussi démontré qu'on pouvait coupler les lunettes à un système de reconnaissance faciale pour identifier des inconnus dans la rue et accéder à leurs données personnelles.

On ne va pas se mentir, j'adore mes Ray-Ban Meta que j'utilise quotidiennement, mais 7 millions de caméras portées sur le nez de gens qui se baladent partout, avec des vidéos qui finissent chez des sous-traitants au Kenya, c'est quand même un problème. La politique de confidentialité de Meta reste volontairement floue sur ce qui est collecté et sur qui regarde ces images. La petite LED de sécurité qui se neutralise facilement n'aide en rien.

Sources : Clubic , UCStrategies

Le Service national des impôts sud-coréen a publié par erreur les phrases de récupération de portefeuilles crypto saisis lors d'une opération contre la fraude fiscale. Résultat, un inconnu a siphonné l'équivalent de 4,8 millions de dollars en quelques heures. Les fonds ont finalement été restitués, mais l'affaire fait quand même pas mal jaser.

La photo de trop

Il y a quelques jours, le fisc sud-coréen annonçait avoir mené des perquisitions chez 124 contribuables soupçonnés de fraude fiscale, pour un butin total de 8,1 milliards de wons, soit environ 5,6 millions de dollars en espèces, montres et biens de luxe. Pour communiquer sur l'opération, l'agence a partagé des photos des saisies avec la presse. On y voyait des liasses de billets, des objets de valeur, et plusieurs portefeuilles Ledger posés bien en évidence sur une table.

Sauf que sur au moins deux d'entre eux, la seed phrase, cette suite de mots qui donne le contrôle total d'un portefeuille crypto, était parfaitement lisible. Un inconnu a repéré l'aubaine, déposé un peu d'Ethereum sur le wallet pour couvrir les frais de transaction, puis exécuté trois transferts pour vider les 4 millions de tokens Pre-Retogeum qui s'y trouvaient. Valeur estimée : 4,8 millions de dollars quand même.

Un vol pour rien

Une vingtaine d’heures plus tard, les tokens ont été renvoyés à leur portefeuille d'origine. Pourquoi ? Parce que le Pre-Retogeum est un token quasiment invendable. Le volume de transactions quotidien sur les plateformes décentralisées ne dépassait pas 332 dollars au moment des faits. Concrètement, le voleur s'est retrouvé avec des millions en poche, mais sans aucun acheteur potentiel en face. Et comme toutes les transactions sont enregistrées sur la blockchain, toute tentative de revente aurait été immédiatement grillée.

Pas une première

C'est le deuxième incident du genre en Corée du Sud. En 2021, la police de Séoul avait perdu 22 bitcoins, soit environ 1,5 million de dollars, après les avoir confiés à un prestataire externe. Le vice-Premier ministre a donc ordonné un examen en urgence de la façon dont les administrations gèrent les actifs numériques saisis. Le fisc a présenté ses excuses, expliquant avoir voulu "fournir une information plus vivante au public", et a promis de revoir ses procédures de A à Z. La police a quand même été chargée de retrouver l'auteur du vol.

Franchement, publier la seed phrase d'un portefeuille crypto dans un communiqué de presse, il fallait quand même oser. C'est la deuxième boulette crypto du gouvernement sud-coréen, et visiblement, la gestion des actifs numériques par les administrations publiques est un sujet complexe pour les autorités.

Sources : the register , coindesk

Si vous utilisez ExifTool sur macOS, j'ai une mauvaise nouvelle pour vous ! Une faille critique vient d'être découverte dans cet outil que tout le monde (moi y compris) utilise pour lire et modifier les métadonnées des fichiers et c'est pas joli joli.

Cette vulnérabilité, référencée en tant que CVE-2026-3102 , touche toutes les versions jusqu'à la 13.49 et c'est spécifique à macOS. Cela permet à un attaquant de planquer des commandes système dans les tags de métadonnées d'un fichier image et quand ExifTool traite le fichier avec le flag -n... les commandes s'exécutent directement sur votre machine.

L'exploitation est ridiculement simple et 2 étapes suffisent. On vous envoie une image qui a l'air parfaitement normale, vous la passez dans l'outil pour lire ses métadonnées, et l'injection de commande se déclenche. L'attaquant peut alors ensuite télécharger des payloads malveillants ou carrément se servir dans vos fichiers sensibles.

C'est l'équipe GReAT de Kaspersky qui a trouvé le problème. Bon après, la bonne nouvelle c'est que Phil Harvey, l'auteur du soft, a déjà sorti le correctif dans la version 13.50, et ça depuis le 7 février dernier... donc ça fait presque un mois que le patch est dispo.

Du coup, si vous avez des scripts qui traitent automatiquement des images avec ExifTool sur votre Mac, par exemple dans un pipeline de forensique ou d' analyse EXIF , vérifiez ILLICO la version installée (exiftool -ver pour checker). Comme la complexité d'exploitation est faible, n'importe quel script kiddie pourrait s'en servir, donc autant agir vite.

Pour mettre à jour, un petit brew upgrade exiftool et c'est réglé (sinon, le .pkg est dispo sur le site officiel ). Attention, pensez aussi à vos scripts automatisés qui lancent ExifTool en arrière-plan, car c'est souvent là que les vieilles versions trainent...

Allez, bonne soirée les amis !

Source

Je connaissais pas la chaine YouTube Branch Education, et je suis content d'être tombé là dessus parce qu'il ont eu une idée un peu dingue qui devrait vous plaire. En fait, ils ont démonté physiquement plus de 60 ordinateurs, consoles et smartphones, dessoudé les puces des cartes mères, pris des centaines de photos, et tout reconstruit en modèles 3D... ou plutôt, en reproductions ultra-détaillées. Et comme résultat, ils ont sorti une vidéo de 33 minutes qui retrace 80 ans d'évolution informatique... et vous allez voir, c'est plutôt classe.

En fait, quand je dis "modèles 3D", je vous parle pas de schémas vaguement animés... Non, chaque machine a été modélisée, de l'ENIAC de 1945 jusqu'à la Nintendo Switch et pour les plus récentes, comme je vous le disais, l'équipe a carrément dessoudé les composants pour voir l'intérieur des puces.

La vidéo utilise d'ailleurs une analogie bien trouvée pour visualiser la puissance de calcul : les briques LEGO. En fait, c'est tout bête... un calcul par seconde c'est une brique 2×4.

Du coup l'ENIAC et ses 5 000 opérations par seconde, ça donne un petit cube de rien du tout, la Super Nintendo et ses 1,8 million d'instructions c'est un cube qui remplit une pièce entière et le premier iPhone c'est un cube de la taille d'un immeuble de 2 étages. Quand aux cartes graphiques actuelles avec leurs téraflops... on sort carrément du cadre !

L'ENIAC

Si vous aimez les briques LEGO et l'informatique , vous allez être servis.

Le truc génial, c'est que la vidéo ne se contente pas de lister des ordis avec leurs specs. En fait, elle découpe l'Histoire de l'informatique en 8 "âges" distincts, chacun avec ses propres avancées. Et ce que vous voyez ici, c'est la première partie qui couvre les trois premiers : la "transistorisation" (adieu les 17 000 tubes à vide de l'ENIAC), le packaging des transistors avec IBM et les circuits intégrés, et l'arrivée des premiers processeurs.

Parce que l'évolution des ordinateurs, c'est PAS juste la loi de Moore. Entre la Super Nintendo et la Switch, y'a 26 ans d'écart et les transistors ont été multipliés par 80 000... Mais la puissance de calcul c'est par 1,4 MILLION qu'elle a été multipliée !!

La vidéo explique aussi comment les géants de chaque époque finissent par se faire dépasser... IBM contrôlait 70% du marché dans les années 60-70... Intel qui a raté le virage du mobile dans les années 2010...etc. Le piège, c'est qu'à chaque nouvel "âge", les règles changent et ceux qui ne s'adaptent pas se font bouffer.

Perso, je trouve le passage sur l'ENIAC assez ouf. 30 tonnes de machine, 17 000 tubes à vide, et quand l'un d'eux claquait (et ça arrivait souvent), fallait retrouver lequel dans une salle entière de racks. Les transistors étaient finalement plus fiables... sauf que quand y en avait un de mort, bonne chance aussi pour le trouver.

La vidéo est en anglais, mais les sous-titres traduits automatiquement en français sont dispo. D'autres épisodes couvriront les 5 âges suivants, jusqu'aux processeurs IA donc abonnez vous à leur chaine (j'ai pas d'actions en bourse chez eux...). Si vous êtes du genre nostalgique de la tech d'antan , vous allez adorer !

Clickout Media, une société de marketing, a racheté plusieurs sites de presse gaming (The Escapist, Videogamer, GamesHub) pour y virer les journalistes, les remplacer par des auteurs fictifs générés par IA et inonder les pages de contenus sur les casinos en ligne. Metacritic a dû retirer un test écrit par une IA.

Le rachat, puis le saccage

Clickout Media est une société assez discrète qui se présente comme une classique agence marketing. Depuis 2025, elle a racheté une série de sites spécialisés dans le jeu vidéo : GamesHub en Australie, Videogamer au Royaume-Uni, The Escapist, Esports Insider, et d'autres. À chaque fois, le schéma est identique. Les rédactions sont réduites, les budgets gelés, et les sites se retrouvent inondés de contenus sur les casinos, les paris sportifs et les cryptomonnaies. Pas génial donc.

La technique a un nom : le "parasitage SEO". On rachète un site avec une bonne réputation auprès de Google, et on exploite cette autorité pour faire remonter des pages de paris dans les résultats de recherche.

Des faux auteurs avec des fausses têtes

Le plus glauque dans l'histoire, c'est la création de faux journalistes. Videogamer publie des articles signés par "Brian Merrygold", présenté comme "analyste iGaming et paris sportifs", avec une photo de profil générée par IA. Le nom du fichier image d'un autre auteur, "Tanaka Haruto" sur GamesHub, contient littéralement "Gemini_Generated_Image". Un certain "Benny Carter" affiche un master de l'université d'Oxford dans un programme qui n'existe pas, ce que l'université a confirmé. Depuis février 2026, GamesHub ne publie plus que des articles écrits par ces profils fictifs. Pas très discret donc.

Un test IA sur Metacritic, et ça a pété

Le problème a été mis en avant massivement quand le test de Resident Evil Requiem signé "Brian Merrygold" est apparu sur Metacritic avec un 9/10. Les lecteurs ont vite repéré le style artificiel et le profil complètement bidon. Metacritic a d'ailleurs retiré la review et coupé les ponts avec Videogamer. Marc Doyle, cofondateur de Metacritic, a précisé de son côté que "plusieurs autres tests de Videogamer datant de 2026" avaient aussi été retirés du site.

Si on regarde du côté des journalistes, Cat Bussell, ex-rédactrice gaming de Videogamer, s'est vue proposer un poste d'"éditrice IA" sans aucun détail. Elle a refusé, qualifiant la démarche de "contraire à l'éthique". Lloyd Coombes, contributeur de The Escapist, a lui aussi confirmé son licenciement. Au total, une vingtaine de personnes ont perdu leur poste.

S'aider de l'IA pour rédiger des articles, pourquoi pas, nous sommes nombreux à utiliser l'IA comme un outil pour améliorer ou simplifier la rédaction de nos contenus, comme un graphiste qui utiliserait Photoshop. Mais éliminer l'humain dans le processus de rédaction, et remplacer leurs têtes par des photos générées par IA, c'est un peu spécial. A minima, autant assumer le truc à fond, et mettre des photos d'avatars de petits robots !

Sources : Aftermath , PressGazette

Envoyer un mot de passe par email en clair, on l'a tous fait au moins une fois dans notre vie (oui, oui vous aussi !!). C'est pourquoi ITYLOS propose une alternative radicale où vos messages s'autodétruisent après lecture afin que personne, pas même le serveur, ne puisse les lire.

Vous écrivez votre message sur itylos.com, vous choisissez une durée de vie (1h, 24h ou 7 jours), et youpla, vous récupérez un lien unique à envoyer. Et ensuite, une fois lu, le message est détruit ! Tout ça, sans compte à créer, sans app à installer... Vous ouvrez juste le site, vous collez votre texte et c'est parti.

Côté technique, c'est du lourd puisque le chiffrement se fait ENTIÈREMENT dans votre navigateur avec de l'AES-256-GCM, et la dérivation de clé passe par Argon2ID. Du coup, le serveur ne voit jamais votre message en clair... il ne fait que stocker un blob chiffré qu'il est incapable de déchiffrer. C'est du vrai zero-knowledge, mais ça reste bien sûr une webapp, donc si votre navigateur ne supporte pas la Web Crypto API (genre un vieux Firefox ESR), ça ne marchera pas.

Et le truc qui va plaire aux plus paranos d'entre vous, c'est le traffic padding où chaque requête est gonflée à 15 Ko de bruit aléatoire pour rendre l'analyse de taille de vos messages bien plus compliquée côté réseau. Oui, c'est un vrai vecteur d'attaque et oui, ils y ont pensé. D'ailleurs, les données ne touchent pas le disque selon eux puisque tout transite en RAM, ne laissant ainsi aucune trace. Bon, sauf si vous faites un copier-coller du message dans un fichier texte, là c'est de votre faute.

Le service tourne sur une infrastructure souveraine à Genève, en Suisse. Pas sur un VPS chez AWS ou Google Cloud, hein... et y'a aussi un warrant canary PGP, signé et mis à jour chaque mois. Comme ça, si le canari disparaît, vous saurez que quelqu'un est venu taper à la porte.

Et côté conformité, ITYLOS délivre même des certificats de destruction au format JSON (oui oui, un vrai fichier .json), dans l'esprit de l'article 17 du RGPD . Perso, c'est la première fois que je vois une messagerie éphémère aller aussi loin dans la traçabilité de l'effacement, donc chapeau !

L'histoire derrière Itylos est cool aussi d'ailleurs. Tout est parti quand le créateur a récupéré un disque dur d'occasion et s'est retrouvé avec la vie entière de l'ancien proprio dessus... photos, documents, tout le bazar. Ça l'a décidé à créer un outil où les données n'existent tout simplement pas assez longtemps pour fuiter.

Et en plus c'est gratuit, open source (le code est sur GitHub sous licence MIT), et si vous êtes du genre à chiffrer vos échanges (un peu comme les utilisateurs de Kloak ), ça vaut le coup d’œil !

Merci à Mehdi pour la découverte !

Vous avez des photos en résolution pourrie qui traînent sur votre Mac ?

Du genre, des souvenirs de 2003 de vous et votre ex, en 640x480 que vous n'osez même plus ouvrir tellement c'est pixelisé de fou ? Hé bien HiPixel va vous aider car c'est une app macOS gratuite qui les upscale grâce à l'IA... et comme vous allez le voir, le résultat est plutôt cool.

C'est donc une app native SwiftUI qui utilise les modèles d' Upscayl pour faire de l'upscaling x2, x4 ou carrément x8 sur vos images, sauf que contrairement à Upscayl qui tourne sous Electron (et qui bouffe de la RAM parce que c'est du Chrome déguisé), c'est du 100% natif macOS. Le GPU est exploité directement via Metal, que vous soyez sur Apple Silicon ou sur un bon vieil Intel et moi c'est ça que j'aime !

L'interface de HiPixel, sobre et efficace

Côté formats, ça gère le PNG, le JPG et le WEBP. Vous pouvez aussi choisir de garder le format d'origine et pour ceux qui veulent pousser le truc encore plus loin, y'a une option de double upscaling... ou plutôt deux passes successives pour un résultat encore plus détaillé. Après faut pas s'attendre à des miracles non plus sur une photo de 3 pixels non plus... On n'est pas dans la série Les Experts à zoomer à l'infini sur des détails compressés de caméra de surveillance ^^.

Le truc super sympa aussi je trouve, c'est son option de "folder monitoring". Vous sélectionnez un dossier et hop, dès qu'une image atterrit dedans, elle est traitée automatiquement. Idéal si vous avez un workflow de traitement d'images à automatiser. D'ailleurs, y'a aussi un URL Scheme (hipixel://?path=/chemin/vers/image) pour l'intégrer dans vos raccourcis Shortcuts ou vos scripts Automator. Vous vous en doutez je pense, mais ça ne marche pas pour la vidéo par contre, c'est images only.

Et pour les bidouilleurs fous, l'app propose le TTA (Test Time Augmentation) qui améliore la qualité en faisant tourner le modèle sous plusieurs angles avant de combiner les résultats, et la possibilité de choisir quel GPU utiliser. Perso, sur un MacBook Air c'est chiant, mais sur un Mac Pro, ça peut faire la diff !!

Et si vous connaissiez déjà Final2x qui fait à peu près le même taf en cross-platform, HiPixel se distingue par son intégration macOS native et son batch processing en drag-and-drop. Vous balancez vos fichiers dessus, ça mouline, et c'est plié !

L'app est open source (AGPL-3.0), GRATUITE, et tourne sous macOS 13 Ventura minimum.

Voilà, si vous cherchez à redonner un coup de neuf à vos vieilles photos sur Mac, c'est le genre de petit outil qui fera le job sans prise de chou.

Un grand merci à Lorenper pour la découverte !

La vie privée sur smartphone, on en parle beaucoup mais concrètement, on fait pas grand-chose. Trop galère de tout changer, trop de trucs liés à Google... Et puis un jour, y'a un mec, Gaël Duval (oui le papa de Mandrake Linux), qui a créé /e/OS en 2018 via la e Foundation . Un Android sans Google. Pour de vrai.

Concrètement e/OS, c'est un fork d'Android, open source et gratuit, qui vire TOUS les services Google. Pas de Play Services, pas de synchro avec Mountain View, rien. À la place, le système utilise microG, une réimplémentation libre des API Google. Du coup vos apps tournent normalement, mais sans que la moindre donnée parte chez Google. Attention quand même, certaines apps bancaires ou de streaming peuvent râler un peu sans les vrais Play Services... mais dans 95% des cas, ça passe à l'aise !

Côté apps, y'a l'App Lounge. C'est un store unifié qui mélange le catalogue F-Droid (100% open source) et les apps Android classiques. Le truc malin, c'est qu'il affiche un score de confidentialité pour chaque app... histoire de voir en un coup d'oeil lesquelles sont des mouchards. Comme ça, plus besoin de chercher pendant 3h.

Le score de confidentialité dans App Lounge... les mouchards sont grillés direct

Pour le tracking, Advanced Privacy bloque les trackers en arrière-plan, masque votre IP et peut même falsifier votre géolocalisation. Ajoutez à ça un bloqueur de pubs intégré au navigateur et le moteur de recherche Murena Find... bref, c'est une sacrée couche de protection par défaut.

Et là vous allez me dire "ouais mais ça marche sur 3 téléphones". Eh ben non bande de rageux ^^, car plus de 250 appareils sont compatibles. Des Pixel, des Samsung, des Xiaomi, des OnePlus, des Fairphone... La liste est looooongue. Et pour l'installation, y'a même un web installer qui fait tout depuis votre navigateur. Comme ça, pas besoin de bidouilles en ligne de commande pour les allergiques.

Par contre, attention ! Vérifiez bien que votre modèle est dans la liste avant de vous lancer, sauf si vous aimez les mauvaises surprises.

Et si vous voulez un smartphone déjà prêt, la boutique Murena en vend plusieurs. Le Fairphone 5 à 449€ pour ceux qui veulent du durable, le Fairphone 6 à 599€, et bientôt le HIROH à 999€ avec son kill switch matériel pour couper micro et caméra. Vous sortez le téléphone de sa boîte et vous êtes dégooglisés direct.

Les smartphones Murena, prêts à l'emploi sans Google

Côté cloud, Murena fournit 1 Go gratuit avec une adresse @murena.io, un service de mail et un coffre-fort chiffré (le Vault, basé sur CryptPad) tout ça hébergé en Europe. C'est pas des masses en stockage, mais pour du mail et des contacts c'est suffisant. D'ailleurs si vous cherchez des alternatives à Google Photos , y'a de quoi faire ici aussi.

Et pour ceux qui veulent aller encore plus loin sur la protection des données Android, le clavier Urik est un bon complément... parce que oui, votre clavier aussi peut balancer tout ce que vous tapez !

Si vous hésitez, sachez qu'une étude de 2021 des universités d'Édimbourg et de Trinity College Dublin a même confirmé que c'est l'une des ROM Android qui envoie le moins de données en arrière-plan. Pas "zéro" hein, faut pas rêver mais comparé à un Android stock... c'est le jour et la nuit.

Donc c'est pas parfait hein mais entre un Android qui balance tout à Google et un /e/OS qui fait le job sans moucharder... la question elle est vite répondue !

Obsidian vient de sortir son CLI officiel qui propose des dizaines de commandes, un mode interactif avec autocomplétion, et la possibilité de tout piloter depuis votre terminal. Grâce à ça, vous allez pouvoir créer des notes .md, chercher, gérer vos tâches... le tout sans quitter votre shell !

Disponible depuis la version 1.12, le CLI d'Obsidian transforme donc votre terminal en poste de pilotage pour vos coffres de notes. Concrètement, vous tapez obsidian suivi d'une commande, et ça interagit direct avec l'app qui tourne en arrière-plan via un socket local. Du coup, plus besoin de jongler entre les fenêtres... un petit obsidian create mon-fichier.md et c'est plié.

En fait, quand je dis que c'est complet, c'est pas pour faire joli. On peut créer des notes en .md, en ouvrir avec obsidian open, les déplacer, les supprimer. Vous pouvez aussi chercher avec obsidian search "mon texte", gérer les tâches, interagir avec les plugins... y'a même une commande obsidian daily pour ouvrir votre note du jour en une seconde. Si vous tenez un journal au quotidien, c'est royal !

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/obsidian-cli-piloter-notes-terminal/obsidian-cli-piloter-notes-terminal-1.mp4">lien vers la vidéo</a>.

Un développeur chinois a mis en ligne CyberStrikeAI, une plateforme open source qui combine IA générative et plus de 100 outils offensifs pour automatiser les cyberattaques. En parallèle, un pirate amateur russophone a compromis plus de 600 pare-feu FortiGate dans 55 pays avec l'aide de DeepSeek et Claude, le tout en à peine cinq semaines. Les hackers aussi ont visiblement droit à leur copilote.

Un arsenal offensif piloté par l'IA

CyberStrikeAI est l'œuvre d'un développeur chinois qui se fait appeler Ed1s0nZ. L'outil, écrit en Go et publié sur GitHub, intègre plus de 100 outils offensifs : nmap, Metasploit, hashcat, mimikatz et bien d'autres. Le tout est piloté par des modèles de langage comme GPT ou Claude, qui se chargent de planifier les attaques, analyser les résultats et adapter la stratégie au fil de l'attaque. Le développeur a des liens avec Knownsec 404, une équipe de recherche en sécurité rattachée au ministère de la Sécurité d'État chinois via la CNNVD.

600 pare-feu tombés en cinq semaines

L'autre affaire est tout aussi parlante. Entre le 11 janvier et le 18 février 2026, un pirate russophone a compromis plus de 600 pare-feu Fortinet FortiGate dans 55 pays. Amazon Threat Intelligence a repéré la campagne et découvert un serveur mal sécurisé contenant plus de 1 400 fichiers : identifiants volés, scripts d'exploitation, logs d'attaque. Le pirate utilisait un serveur MCP baptisé ARXON et un orchestrateur en Go appelé CHECKER2, les deux s'appuyant sur DeepSeek et Claude pour automatiser le travail. Le pirate n'a même pas eu besoin d'exploiter de faille logicielle : des mots de passe faibles et des ports de gestion ouverts sur Internet ont suffi.

L'IA compense le manque d'expérience

Le pirate derrière les FortiGate n'est pas un vétéran : ses erreurs de sécurité opérationnelle, comme un serveur ouvert à tous les vents, trahissent un manque d'expérience flagrant. Sauf que l'IA a compensé. Là où il aurait fallu des années de pratique pour mener une campagne de cette envergure, les modèles de langage ont comblé les lacunes. CrowdStrike a d'ailleurs noté une hausse de 89 % des attaques assistées par IA en 2025. Et avec des outils comme CyberStrikeAI qui mettent l'arsenal offensif à portée de n'importe qui, ça ne va pas s'arranger.

Franchement, on n'est plus dans la théorie. L'IA offensive est devenue accessible, et les dégâts sont bien réels. Le problème, c'est que les garde-fous des modèles de langage sont toujours une passoire, et que tout le monde fait semblant de ne pas le voir.

Sources : cyberinsider , thehackernews

Article édité le 4 mars. Merci à Nicolas.

π RuView: WiFi DensePose , c'est un projet GitHub qui affiche fièrement ses 25 800 stars et qui promet de transformer les ondes WiFi de votre box en détecteur de corps humains... à travers les murs. Rythme cardiaque, respiration, posture, tout y passe. Sur le papier, c'est dingue. Sauf que voilà, après vérification (merci Nicolas)... c'est du vent.

Le concept de base est pourtant bien réel. Votre routeur WiFi émet des ondes radio en permanence et quand ces ondes traversent ou rebondissent sur un corps humain, elles sont perturbées d'une façon mesurable. En analysant le CSI (Channel State Information, c'est-à-dire les données de chaque sous-porteuse du signal), on peut en déduire la position de 17 points du corps. C'est prouvé par les chercheurs de Carnegie Mellon et ça marche vraiment. Un peu comme la vision WiFi dont je vous parlais déjà ici .

Sauf que CE repo n'implémente rien de tout ça. Le parseur CSI génère des données aléatoires (np.random.rand() partout dans le code), les modèles de deep learning n'ont aucun poids entraîné, et le dashboard Docker sert des données simulées par défaut. Le seul utilisateur qui a branché du vrai matériel (un ESP32) a constaté que la démo affichait une figure immobile avec des mesures bidons . Pas exactement le "54 000 frames par seconde" annoncé...

Et les 25 800 stars ? Probablement gonflées artificiellement. Une issue accusant le dev de fake stars a été supprimée par le mainteneur , tout comme un audit technique complet qui détaillait chaque ligne de code bidon. Un commit de l'auteur est même titré "Make Python implementation real - remove random data generators"... aveu involontaire que le cœur du projet était du pipeau.

Bref, c'est ce qu'on appelle du "vibe coding" combiné à du "portfolio padding". On génère un beau repo avec de l'IA, une doc léchée, des tests qui passent (forcément, ils testent des nombres aléatoires...), on achète quelques milliers de stars à 1-2$ pièce et hop, un profil GitHub qui en jette pour décrocher des contrats. C'est pas dangereux (pas de malware, pas d'arnaque financière), mais c'est sacrément trompeur.

Côté vie privée, le vrai sujet reste entier. Voir à travers les murs via WiFi, c'est réel et prouvé par Carnegie Mellon. Quand de vrais outils fonctionnels arriveront (parce que ça viendra), ça va poser de sacrées questions...

Merci à Florian pour le lien et surtout à Nicolas pour le fact-check ! Si le sujet vous intéresse vraiment, allez lire le vrai papier de recherche de CMU ... et méfiez-vous des repos GitHub avec trop de stars et pas assez d'utilisateurs réels.

Le YouTuber ScuffedBits a tenté un pari un peu débile : alimenter un PC de bureau Intel sous Windows 10 avec des piles AA en remplacement de l'alimentation classique. Après plusieurs tentatives ratées avec 8 puis 24 piles, il a fini par en brancher 56, accompagnées de deux gros condensateurs. Résultat : à peine quatre minutes de Démineur avant que tout s'éteigne.

De 8 à 56 piles

L'idée de départ est simple : remplacer le bloc d'alimentation d'un PC de bureau par des piles AA du commerce. ScuffedBits a utilisé une machine plutôt modeste (processeur Intel d'entrée de gamme, deux barrettes de RAM, un SSD SATA 2,5 pouces sous Windows 10) et un adaptateur ATX acheté sur AliExpress qui accepte du 12 volts en courant continu. Les premiers essais avec 8, 16 puis 24 piles n'ont rien donné. Le câblage trop fin et les chutes de tension sous charge faisaient planter la machine instantanément. Il a fallu passer à 56 piles alcalines montées en série et en parallèle, et ajouter deux condensateurs électrolytiques de 6 800 µF pour lisser les pics de consommation. Là, le PC a enfin démarré.

Les AI Overviews de Google, ces résumés générés par intelligence artificielle en haut des résultats de recherche, affichent parfois de faux numéros de service client. Des arnaqueurs exploitent la fonctionnalité pour piéger les utilisateurs et leur soutirer de l'argent. Si elle n'est pas encore disponible en France, elle l'est dans plus de 200 pays, et ChatGPT est lui aussi concerné.

Des faux numéros dans les résultats de recherche

Alex Rivlin, un entrepreneur américain, a cherché le numéro du service client de Royal Caribbean sur Google. Le résumé IA affiché en haut de page lui a fourni un numéro. Il a appelé, une personne s'est présentée comme employée de la compagnie, a répondu à ses questions, puis lui a fait payer 768 dollars pour un service gratuit. Rivlin a compris l'arnaque en voyant deux débits suspects sur son compte.

Une technique vieille de 30 ans

Le mécanisme est assez simple. Les arnaqueurs publient le même faux numéro de téléphone sur des dizaines de sites web, forums et pages d'avis, en l'associant au nom d'une entreprise connue. L'IA de Google, en balayant ces sources pour construire ses résumés, aspire le numéro sans le vérifier et le présente comme une information fiable. Mike Blumenthal, analyste chez Near Media, rappelle que cette technique date de 30 ans (oui, 30 ans). La différence, c'est qu'avant, il fallait quand même scroller et comparer les résultats. Avec les résumés IA, le faux numéro est servi directement, sans effort.

Pas encore en France, mais attention quand même

Les AI Overviews sont actifs dans plus de 200 pays, mais pas en France pour le moment à cause d'un conflit autour des droits voisins. En Europe, la fonctionnalité est déjà active en Allemagne, en Espagne, en Italie et en Belgique. Si vous voyagez ou si vous utilisez Google en anglais, vous pouvez tomber dessus. Et le problème ne se limite pas à Google : ChatGPT affiche lui aussi ces faux numéros. Le réflexe à avoir : ne jamais appeler un numéro trouvé dans un résumé IA sans le vérifier sur le site officiel de l'entreprise.

Google possède déjà une base de données avec les coordonnées vérifiées de millions d'entreprises, et la plupart ont un compte Google Business. Utiliser ces données plutôt que de scraper le web à l'aveugle, ça semble quand même assez logique. Mais visiblement, l'IA préfère aller chercher n'importe où. On espère que ça sera corrigé avant l'arrivée de la fonctionnalité en France, parce que si c'est pour se faire arnaquer en appelant un SAV, on n'est pas rendus.

Sources : Wired , Security Boulevard (visuel : Pexels )

Thales vient de réaliser une première mondiale en démontrant qu'il est possible de mettre à jour la protection cryptographique des cartes SIM et eSIM 5G déjà en circulation, à distance et sans couper la connexion. De quoi préparer dès maintenant les réseaux mobiles à la menace des futurs ordinateurs quantiques, et ce sans avoir à remplacer physiquement les cartes.

Une mise à jour silencieuse, et c'est tout

Thales a donc montré qu'on peut télécharger de nouveaux algorithmes cryptographiques directement sur une carte SIM ou eSIM 5G, sans que l'utilisateur n'ait quoi que ce soit à faire. La mise à jour se lance en arrière-plan, un peu comme un update logiciel classique, sauf que c'est la carte SIM elle-même qui reçoit une nouvelle couche de protection (et vous n'avez même pas à cliquer sur « installer plus tard »). Le service n'est pas interrompu, les données sont préservées, et la connexion continue de fonctionner normalement. Bref, c'est totalement transparent.

Des milliards de cartes SIM à protéger

Les ordinateurs quantiques, quand ils seront assez puissants, pourront casser les systèmes de chiffrement actuels. Et la 5G ne sert pas qu'à regarder des vidéos ou envoyer des messages. Elle transporte aussi les communications des véhicules connectés, des services d'urgence et de nombreuses infrastructures du quotidien. Du coup, sécuriser ces réseaux avant l'arrivée des ordinateurs quantiques, c'est tout sauf un détail. Remplacer physiquement toutes les cartes SIM en circulation dans le monde serait impossible, trop long et beaucoup trop cher. C'est ce mur que Thales a contourné avec ce qu'il appelle l'agilité cryptographique : mettre à jour les SIM existantes à distance, plutôt que d'attendre la prochaine génération de cartes.

La France en première ligne

Thales ne fait pas que démontrer la faisabilité de la chose. Le groupe conçoit ses propres algorithmes résistants au quantique, soumis aux organismes de standardisation internationaux dont le NIST américain. L'ANSSI a d'ailleurs émis fin 2025 ses deux premières certifications de produits intégrant de la cryptographie post-quantique, et Thales en fait partie. Avec plus de 4 milliards d'euros investis chaque année en R&D et 83 000 collaborateurs dans 68 pays, le groupe avait déjà travaillé avec SK Telecom et Samsung sur le chiffrement post-quantique de la 5G. Le déploiement à grande échelle sur les réseaux commerciaux et privés est la prochaine étape.

Ce n'est franchement pas tous les jours qu'un industriel français arrive premier sur un sujet aussi pointu. Thales a prouvé que la sécurité post-quantique n'est pas uniquement un truc de labo : on peut déjà préparer les réseaux existants sans tout casser. Maintenant, il va falloir que les opérateurs suivent et décident de pousser ces mises à jour sur leurs parcs. Parce que la démo, c'est bien, mais tant que votre eSIM n'a pas reçu sa couche de crypto post-quantique (punaise ça claque), on est toujours dans la théorie. Bref, un jour votre carte SIM se mettra à jour toute seule pour résister à un ordinateur quantique. Et vous ne vous en rendrez même pas compte.

Source : Socialnews , AFP