Google Labs a annoncé, le 18 mars 2026, une refonte de Stitch -- son outil capable de générer des interfaces web et mobiles à partir de simples prompts texte, d’images ou de croquis, en s’appuyant sur les modèles Gemini.
Vous vous souvenez de Stitch, l'outil de Google Labs qui transformait vos gribouillis d'enfant de maternelle en interfaces pour votre prochain site de dropshipping à plusieurs millions ?
Hé bien la bestiole a sacrément grandi depuis septembre dernier avec un canvas infini (comme l'univers et la connerie humaine, hein), un agent de design dopé, et même un mode voix, prototypage instantané... Cette mise à jour transforme enfin ce prototype d'outil en une vraie plateforme de design, propulsée par les derniers modèles Gemini. Et c'est toujours gratuit ! Avec Google, je ne suis pas surpris... s'ils veulent bouffer Figma, Canva et tous les designers du monde, y'a pas le choix.
Tout d'abord, l'interface a été entièrement repensée autour d'un canvas spatial infini de type node-based. Vous pouvez y balancer des screenshots PNG, du code React, un brief Notion de 10 pages, et cela permet à l'IA de "raisonner" sur l'ensemble du contexte. Y'a aussi un "Agent Manager" qui permet de lancer plusieurs directions de design en parallèle, chacune avec son propre agent. Genre vous explorez 3 variantes de landing page pendant que le café coule !
Le truc le plus dingue, c'est le mode voix dont je vous parlais qui est encore en preview mais que je trouve très prometteur. En gros, vous parlez à Stitch , il "voit" ce sur quoi vous bossez et ce que vous cliquez, puis il modifie le design en temps réel. "Change-moi ce menu", "montre-moi 3 palettes de couleurs"... et voilà c'est torché. Il peut même vous interviewer pour comprendre vos besoins et générer un brief produit directement sur le canvas. Franchement, j'ai testé, et même si la dame IA parle en anglais, on peut lui causer en français et elle capte et fait les modifs, donc c'est top !
Piloter une maquette à la voix pendant qu'on griffonne des notes sur un carnet, c'est le genre de workflow qu'on ne voyait nulle part il y a encore quelques mois. Et ce fichu "vibe design" qu'on nous vend depuis l'arrivée des outils comme v0 ou Bolt, Google l'attaque par un angle différent. Ce n'est plus juste du code généré, mais un vrai environnement de création visuelle avec des agents qui bossent pour vous dans la joie et la bonne humeur.
Je lui ai demandé une petite refonte de mon extension Firefox Korben et y'a de bonnes idées je trouve...
Côté prototypage, un clic sur "Play" et vos maquettes statiques deviennent un prototype interactif. La plateforme connecte donc automatiquement vos écrans dans un ordre logique, et si vous cliquez quelque part où il manque un écran, il le génère à la volée. D'ailleurs, ça va plus loin que le prototype cliquable... l'outil peut maintenant cracher une app React fonctionnelle, exportable vers AI Studio (l'atelier IA de Google) !
Et tiens, le petit détail qui va parler aux devs : le concept DESIGN.md. C'est comme un README.md mais pour le design. Celà permet pour chaque projet de démarrer automatiquement avec un design system cohérent (adieu les boutons qui changent d'un écran à l'autre), et ces règles sont partagées via un fichier lisible par d'autres outils grâce à un SDK et un serveur MCP . Du coup voilà, fini les allers-retours Figma-Slack sur la bonne nuance de bleu.
Pour ceux qui avaient testé la première version et trouvé ça un peu brut, bah c'est un autre animal quoi, donc allez jeter un oeil. C'est sur stitch.withgoogle.com , gratuit, accessible dans plus de 200 pays avec un compte Google (mais pas forcément toutes les fonctions partout).
Pour ma part je pense que je vais l'utiliser parce que de toute façon je fais tout moi-même maintenant, depuis plusieurs années, et que je suis toujours à la recherche de nouvelles idées pour rendre les choses un petit peu plus jolies. Et ce genre d'outil me permet de traduire ma diarrhée mentale sans jargon technique en quelque chose de concret et d'utilisable dans le monde réel. J'ai pas besoin de plus.
Voilà entre le mode voix et l'export React, j'avoue que Figma a du souci à se faire...
Banni du Google Play Store en 2020 quand Epic Games avait décidé d'attaquer Apple et Google pour mettre fin aux modèles économiques de leurs magasins d'applications respectifs, Fortnite a fait son grand retour sur le Play Store le 19 mars 2026. Sur l'App Store, Fortnite n'est disponible qu'aux États-Unis.
Après la signature d'un partenariat avec le Paris FC et la cérémonie du Ballon d'Or, Google continue de miser sur le football pour étendre la notoriété de ses produits. Le géant du web annonce le 19 mars devenir le « partenaire technologique de l'Équipe de France de Football », sans dire exactement quel sera le rôle de la technologie dans ce nouvel accord.
Google vient de rendre public Sashiko, un outil de revue de code par intelligence artificielle qui analyse automatiquement les correctifs soumis au noyau Linux. Sur un échantillon de 1 000 bugs récents, l'IA en a détecté 53 %, alors que les relecteurs humains les avaient tous ratés sans exception.
Sashiko a été développé en interne par l'équipe Linux de Google, sous la direction de Roman Gushchin. Le principe : chaque correctif envoyé sur la liste de diffusion du noyau Linux est automatiquement analysé par une IA qui cherche les erreurs, les incohérences et les bugs potentiels.
Sans surprise, c'est Gemini Pro 3.1 qui fait tourner l'outil, mais il est aussi capable de tourner avec d'autres modèles, comme Claude.
Ce projet s'appuie sur les recherches de Chris Mason, un développeur qui rédige des prompts de revue de code pour l'IA depuis fin 2025. Sashiko va encore plus loin, car il automatise l'intégralité du processus.
D'ailleurs, l'outil est open source et est hébergé sur GitHub. Son transfert vers la Linux Foundation est d'ailleurs en cours, et Google continue à financer l'infrastructure ainsi que les coûts d'usage de l'IA.
Le chiffre qui retient l'attention, c'est que 100 % des bugs détectés par Sashiko avaient échappé aux développeurs humains. Sur les 1 000 correctifs récents qui portaient la mention de correction de bug, l'IA a repéré plus de la moitié des problèmes.
Le noyau Linux reçoit des milliers de contributions chaque mois, et les mainteneurs n'ont pas toujours le temps de tout vérifier avec la même rigueur. Sashiko ne remplace pas la relecture humaine, mais il ajoute une couche de vérification qui manquait.
L'interface web est accessible publiquement et couvre l'ensemble des soumissions envoyées à la liste de diffusion du noyau. Tout le monde peut consulter les analyses générées par l'IA.
Le noyau Linux, c'est la base d'Android, de Chrome OS, du cloud de Google, d'Amazon et de Microsoft, et d'à peu près tous les serveurs qui font tourner Internet.
Que Google investisse pour fiabiliser ce code avec de l'IA, c'est plutôt logique. Par contre, on imagine bien que certains développeurs vont tiquer à l'idée qu'une machine relise leur travail et pointe des erreurs qu'ils n'ont pas vues.
La question n'est pas de savoir si l'IA va remplacer les développeurs, mais plutôt combien de temps il faudra avant que ce genre d'outil devienne la norme dans tous les gros projets open source.
Source : Phoronix
Il fut un temps où l'on regardait son poignet uniquement pour ne pas être en retard. Aujourd'hui, on y lit son rythme cardiaque, ses messages ou son niveau de stress. L'accessoire a troqué ses simples aiguilles contre des capteurs. Reste à savoir quelles fonctions vous intéressent vraiment sur ces montres connectées : nous avons trié ici les meilleurs modèles, que ce soit pour le quotidien ou le sport.
Google va obliger tous les développeurs Android à s'enregistrer avec une pièce d'identité et à payer 25 dollars, même ceux qui distribuent leurs apps en dehors du Play Store. F-Droid, le dépôt d'applications open source qui existe depuis quinze ans, dit que c'est une menace pour sa survie.
L'été dernier, Google a annoncé que toutes les applications installées sur des appareils Android certifiés devront obligatoirement être liées à un compte développeur vérifié. Cette obligation entrera en vigueur dès le mois de septembre prochain au Brésil, en Indonésie, à Singapour et en Thaïlande. Le reste du monde suivra quatre mois plus tard.
Pour s'enregistrer, il faut fournir une pièce d'identité officielle, accepter les conditions de Google et payer 25 dollars. Et ça concerne tout le monde : les développeurs qui publient sur le Play Store, mais aussi ceux qui passent par des stores alternatifs, par F-Droid, ou qui proposent leurs apps en téléchargement direct depuis un site web.
F-Droid héberge plus de 3 000 applications open source, sans pub et sans trackers. Le problème, c'est que F-Droid signe lui-même les apps qu'il distribue avec sa propre clé, et Google impose désormais une seule signature par application.
Ça casse tout le modèle : si l'app est déjà signée par le développeur sur le Play Store, la version F-Droid ne peut plus exister. Et F-Droid ne peut pas non plus forcer des centaines de contributeurs bénévoles à s'enregistrer chez Google et à fournir leurs papiers.
37 organisations ont signé une lettre ouverte contre ce projet, dont l'Electronic Frontier Foundation, la Free Software Foundation et Vivaldi. Une pétition sur Change.org a rassemblé 64 000 signatures de développeurs.
Ce durcissement arrive juste après l'accord entre Google et Epic Games sur la distribution d'apps Android. Les deux entreprises ont annoncé un programme de stores enregistrés qui permet le sideloading, mais sans obliger Google à intégrer des stores tiers dans le Play Store.
Certains y voient une manoeuvre : si les tribunaux n'obligent pas Google à ouvrir le Play Store, la vérification des développeurs lui donne quand même un contrôle indirect sur toute la distribution Android.
Google, de son côté, dit que c'est une question de sécurité et que ça permet de bloquer les développeurs malveillants plus rapidement. Les distributions Android alternatives comme LineageOS ou GrapheneOS ne sont pas concernées.
Google invoque la sécurité, mais le Play Store lui-même laisse régulièrement passer des apps malveillantes, donc l'argument ne tient pas tant que ça.
Obliger un développeur bénévole qui publie un petit outil open source à fournir ses papiers d'identité à Google, c'est quand même un peu naze. On verra si la mobilisation des 37 organisations et des 64 000 développeurs suffira à faire bouger les choses, mais pour l'instant le calendrier est maintenu.
Sources : Android Authority , F-Droid
Google n'a jamais sorti d'API publique pour NotebookLM , son outil qui transforme vos documents en podcasts, quiz et autres résumés grâce à l'IA. Pas de SDK, pas de CLI, y'a rien du tout alors on est tous triiiiiste. A peine juste une interface web avec ses boutons moches et ses menus déroulants, mais impossible à scripter ou à intégrer dans le moindre pipeline bash.
Mais un dev bien inspiré a reverse-engineeré les endpoints REST internes et a pondu notebooklm-py, une lib Python de 168 Ko qui fait tout ce que le web UI refuse de faire. Franchement, c'était pas trop tôt ! Vous en avez rêvé, lui l'a fait !
Un pip install notebooklm-py et voilà, vous avez accès à toute la machinerie Notebook LM à savoir : créer des notebooks, injecter des sources (URLs, PDF, vidéos YouTube, fichiers Google Drive, documents Word, images PNG), poser des questions à vos docs, et surtout générer du contenu... podcasts audio en MP3, vidéos explicatives en MP4, quiz, flashcards, slides en PPTX, infographies en PNG, mind maps en JSON.
Carrément dingue ! Et tout ça pilotable depuis votre terminal zsh ou en script Python async.
En fait, le vrai bonus c'est que la lib déverrouille des fonctionnalités que l'interface web ne propose même pas comme télécharger tous vos podcasts d'un coup en batch au lieu de cliquer un par un sur chaque fichier MP3, exporter vos 50 flashcards en JSON structuré au lieu de juste les afficher à l'écran ou encore récupérer vos slides en PPTX éditable plutôt que le PDF figé.
Ce genre de features, on avait fini par accepter que Google s'en fiche mais pourtant, extraire l'arbre complet d'une mind map en JSON pour la balancer dans D3.js ou Mermaid... clairement c'est un truc que Google aurait dû proposer depuis le début !
Côté CLI, c'est propre. Vous vous authentifiez une fois via notebooklm login (ça ouvre Chromium via Playwright pour choper les cookies de session Google), puis vous enchaînez les commandes.
notebooklm create "Ma Recherche" pour créer un notebook vide,
notebooklm source add ./mon-rapport.pdf pour balancer vos fichiers,
notebooklm generate audio "rends ça punchy" --wait pour lancer la génération de podcast,
et notebooklm download audio ./podcast.mp3 pour récupérer le MP3 sur votre disque.
On peut même éditer ses slides individuellement avec des prompts en langage naturel, du genre "ajoute un graphique sur cette slide-là" !
Pour ceux qui veulent brancher ça dans leurs pipelines, y'a comme je le disais l'API Python async complète. Vous pouvez donc monter un petit cron qui ingère vos derniers bookmarks le vendredi soir, et génèrer un résumé audio de 5 minutes, puis balancer le MP3 directement sur votre NAS Synology.
D'ailleurs, si vous avez déjà joué avec des outils pour booster votre productivité avec l'IA , c'est un peu dans la même veine... sauf qu'ici on tape directement dans les tripes des serveurs Google, sans intermédiaire. Ça tourne avec du Python, et y'a même un mode "agent" (un skill en fait) pour brancher ça dans Claude Code ou Codex. Pas mal, hein ?
Le fait que ça gère aussi la recherche web et Drive avec import automatique des résultats dans vos notebooks, c'est top, un peu comme Oboe qui génère des cours complets via IA , mais en version terminal. Et surtout, pas d'abonnement mensuel à payer, c'est votre propre compte Google qui fait tourner la machine.
Bien sûr, ça reste du reverse-engineering d'APIs non-documentées de Google, ce qui fait que les endpoints REST peuvent changer du jour au lendemain et tout péter. Le projet le dit clairement, c'est plutôt taillé pour du prototypage, de la recherche ou des projets perso et SURTOUT PAS pour de la prod sur un serveur Nginx en front avec 10 000 utilisateurs prêts à ruer dans les brancards en cas de panne.
Et puis faut quand même s'authentifier via un vrai compte Google avec Playwright et Chromium, donc pas question de faire tourner ça sur un serveur headless sans un minimum de config.
Bref, tant que Google ne coupe pas ses endpoints, c'est open bar.
Google a publié deux mises à jour Google Chrome en l'espace de 48 heures dans le but de patcher deux failles zero-day : CVE-2026-3909 et CVE-2026-3910.
Le post Google Chrome : 2 mises à jour en 2 jours pour patcher plusieurs failles zero-day a été publié sur IT-Connect.
Défi idiot, crise de la presque quarantaine, pression populaire et professionnelle (on le dit peu, mais Humanoid est une boîte de sportives et de sportifs) : quelle que soit ma raison profonde, j'ai eu envie de courir un semi-marathon. Et pour m'aider dans cette tâche, moi qui n'ai pas couru depuis 15 ans, j'ai testé une app bien connue : Runna. Verdict : quelques jours après avoir passé la ligne d'arrivée du semi-marathon de Paris.
Google vient de lancer Gemini Embedding 2, son premier modèle d'embedding nativement multimodal. Texte, images, vidéo, audio et documents sont projetés dans un même espace vectoriel, ce qui permet de faire de la recherche sémantique croisée entre différents types de contenus.
Jusqu'à présent, les modèles d'embedding se limitaient au texte. Vous vouliez indexer des images ou de la vidéo, il fallait un autre pipeline. Gemini Embedding 2 fait tout d'un coup : vous lui envoyez du texte, des images (jusqu'à 6), de la vidéo (jusqu'à 120 secondes) ou de l'audio (jusqu'à 80 secondes), et il vous renvoie un vecteur dans le même espace. Le modèle gère plus de 100 langues et prend en charge jusqu'à 8 192 tokens en entrée pour le texte.
Côté technique, le modèle utilise le Matryoshka Representation Learning, ce qui permet de choisir la taille des embeddings entre 128 et 3 072 dimensions. Google recommande 768 dimensions pour un bon compromis entre qualité et stockage, ce qui divise par quatre l'espace disque par rapport à la taille maximale.
Le texte est facturé 0,20 dollar par million de tokens, avec un mode batch à moitié prix. Les images montent à 0,45 dollar, l'audio à 6,50 dollars et la vidéo à 12 dollars par million de tokens. Un palier gratuit est disponible pour tester.
Côté performances, Google affiche de bons scores sur les benchmarks MTEB : 69,9 en multilingue et 84,0 en code. Mais pour du texte seul, OpenAI reste bien moins cher avec son text-embedding-3-small à 0,02 dollar par million de tokens, soit dix fois moins.
Le modèle est disponible via l'API Gemini et Vertex AI, et compatible avec LangChain, LlamaIndex, Weaviate ou ChromaDB.
Le vrai argument de Google ici, c'est le multimodal. Si vous avez besoin d'indexer des catalogues produits avec photos et descriptions dans le même vecteur, ou de faire de la recherche dans des archives vidéo, il n'y a pas d'équivalent chez OpenAI pour le moment.
Mais pour du texte pur, la différence de prix est quand même importante. On attend de voir comment ça se comporte en production, et si les scores MTEB se confirment sur des cas d'usage réels.
Source : Blog Google
Le SEO poisoning, vous connaissez ?
C'est quand votre référencement se fait flinguer parce que votre site se retrouve associé à des sites de casino, de porno et de téléchargement illégal. Et devinez quoi... ça m'arrive depuis bientôt un an !
Tout a commencé l'année dernière quand un nom de domaine reprenant mon pseudo a été enregistré depuis la Chine. Un clone quasi parfait de korben.info, avec tout mon contenu aspiré, sauf que tous les liens avaient été remplacés par des redirections frauduleuses. Mon Patreon, mon Twitter, ma newsletter, mes liens Twitch... tout renvoyait vers des trackers douteux. En fait, ça a été fait via un service de clonage de sites à quelques yuans par mois (genre 50 yuans, soit 6 euros), capable d'aspirer l'intégralité des pages HTML, CSS, images et même l'ID Google Analytics. Sympa !
Hasard du scrapping, ils ont chopé ma version spéciale Pluribus que j'avais mise en ligne à l'époque.
Sur le coup, quand je m'en suis rendu compte, j'ai signalé le truc au registrar et j'ai attendu. Naïvement, je pensais que ça resterait un cas isolé. Par contre, attention... c'était juste l'apéro.
Car en décembre, ça s'est sérieusement accéléré. D'un coup, c'est pas un mais plusieurs réseaux distincts de sites qui se sont mis à publier du contenu m'associant à tout et n'importe quoi. Je vous parle de dizaines et de dizaines de sites, des .fr pour la plupart, montés de toute pièce avec du contenu bidon. Et là, bienvenue dans le monde merveilleux des PBN.
Un PBN, c'est un Private Blog Network. En gros, un ensemble de sites web qui ont l'air indépendants mais qui sont contrôlés par la même personne. À la base, ça sert à créer des backlinks pour faire monter un site dans les résultats de référencement naturel . Ça peut être utilisé de manière plus ou moins légitime pour booster sa visibilité. Mais ça peut aussi servir à démolir celle des autres, en les noyant sous des liens toxiques, en les mélangeant avec des sites de casino en ligne, de contenus pour adultes ou de téléchargement illégal. Et c'est exactement ce qui arrive à mon site en ce moment.
Concrètement, dans mon cas, ça fonctionne de deux manières. La première, c'est du cloaking. Ces sites présentent à Googlebot du contenu qui reprend mes meta descriptions, mon nom, mon contenu... sauf que quand un vrai visiteur clique dessus depuis Google, il tombe sur une fausse page RedTube. Du porno, quoi. L'idée c'est que Google finisse par associer korben.info à du contenu pour adultes. La deuxième technique, c'est de noyer mon nom dans du contenu qui n'a rien à voir avec la tech. Des articles, des liens vers des casinos... Le but c'est que Google se dise "ah mais en fait korben.info c'est pas un média tech", et que ma thématique soit complètement diluée dans les résultats de recherche.
Du coup, depuis 4 mois, mon quotidien c'est ça : contacter Google pour signaler les domaines frauduleux, écrire aux registrars pour faire fermer les noms de domaine, relancer les hébergeurs pour couper les serveurs. À vrai dire, entre les mails aux registrars, les formulaires abuse et les captures d'écran pour les dossiers, je passe 2-3 heures par jour là-dessus au lieu d'écrire des articles. J'ai même déposé des signalements auprès de la police. Première fois en 20 ans de blog que j'en arrive là !
Heureusement, à force de creuser, mes capacités en OSINT m'ont permis de cartographier tout le réseau : les connexions entre les sites, les gens qui se trouvent derrière... j'ai tout. Mais tant que les procédures sont en cours, je garde ça pour moi. Je ne peux pas vous mettre les captures d'écran les plus croustillantes de toute cette opération dont je suis la victime, j'en suis désolé...
J'ai plus de place dans Maltego pour inscrire tout ce que j'ai trouvé.
Et le problème, c'est que tous les jours, y'a des nouveaux qui apparaissent. Des .fr, des .site, des .website, des .online... Dans mon fichier disavow.txt sur la Search Console de Google, j'ai inscrit +93 domaines à rejeter.
Le disavow, pour ceux qui connaissent pas, c'est un fichier que vous soumettez à Google pour lui dire "ces liens qui pointent vers mon site, ignore-les, c'est pas moi". Google dit que ses algorithmes détectent et ignorent déjà la plupart des liens toxiques automatiquement, mais le disavow reste une précaution supplémentaire. Sauf que quand vous voyez la liste s'allonger tous les jours, ça rassure pas des masses.
Vous le savez, le SEO c'est pas trop le domaine dans lequel je brille . Du coup, me retrouver sur mon ordi à éplucher des rapports WHOIS, des logs et des exports CSV de backlinks toxiques, c'est vraiment pas mon kiff. Et franchement, ça me fait flipper parce que mon site, c'est 20 ans de boulot et si demain il se fait blacklister ou noyer dans du contenu pourri, je perds une part de mon trafic... voire plus. Et comme Korben c'est littéralement ma vie, mon identité, c'est tout ce que j'ai.
Le truc dingue aussi, c'est que ces techniques datent du début des années 2010. C'est du old school mais bon, on s'y fait pas. J'ai l'impression de vider la mer avec une cuillère. Le problème c'est que ça ne s'arrête jamais. Vous en fermez 5, il en apparaît 10 !!!
Maintenant, si vous êtes dans le même cas, voici ce que vous pouvez faire. D'abord, surveillez vos backlinks via la Search Console ou des outils comme Ahrefs.
Attention, ne regardez pas forcement que les nouveaux liens, vérifiez aussi les anciens qui auraient pu changer de destination. Si vous repérez des domaines louches qui pointent vers votre site, créez un fichier disavow.txt et soumettez-le à Google.
Ensuite, signalez les sites frauduleux aux registrars (les infos sont dans le WHOIS) et aux hébergeurs. Et si c'est grave, n'oubliez pas le signalement auprès de la police ou de la gendarmerie via cybermalvaillance. Ça crée une trace officielle, même si les suites judiciaires prennent du temps.
Bref, si parmi vous il y en a qui veulent me mettre un lien vers korben.info depuis leur site ou leur blog, reprendre un de , un mot sur les réseaux... ça m'aiderait. Chaque backlink sain aide à contrebalancer la merde ❤️.
[Deal du jour] Moins de 700 € pour le Pixel 10 Pro, c'est l'offre du jour de ces Ventes Flash de Printemps d'Amazon. On a rarement vu le smartphone de Google aussi peu cher.
En juin 2026, Canal+ déploiera un nouveau moteur de recherche dans son application Canal+ (ex-myCANAL). Un modèle de langage OpenAI sera en charge de la recherche, ce qui devrait faciliter certaines requêtes et permettre de poser des questions en langage naturel.
Un groupe de fabricants européens mené par l'Allemand Volla Systeme vient de lancer le projet Unified Attestation, une alternative open source à Google Play Integrity.
L'objectif : permettre aux systèmes Android alternatifs d'accéder enfin aux applications bancaires et aux services d'identité numérique européens, le tout sans dépendre de Google pour la vérification de sécurité.
Si vous utilisez un téléphone Android classique, avec les services Google, vous ne vous en rendez très certainement pas compte. Mais pour les utilisateurs de systèmes alternatifs comme /e/OS, LineageOS ou GrapheneOS, c'est franchement infernal : Google Play Integrity, le système qui permet aux applications de vérifier la sécurité d'un appareil, bloque purement et simplement l'accès aux applications bancaires, aux portefeuilles numériques et aux services d'identité.
Seuls les appareils certifiés par Google passent les niveaux de vérification les plus élevés. Les ROM alternatives, même parfaitement sécurisées, sont exclues sans ménagement.
Le consortium regroupe Murena (derrière /e/OS), IODE (France), Apostrophy (Suisse) et la UBports Foundation (Allemagne), avec l'intérêt d'un fabricant européen et d'un fabricant asiatique.
Le système comprend trois briques : un service intégré au système d'exploitation pour vérifier la sécurité de l'appareil, un service de validation décentralisé qui ne dépend d'aucune autorité unique, et une suite de tests ouverte pour certifier un OS sur un modèle donné.
Ce projet est publié sous licence Apache 2.0, avec une vérification hors ligne, et surtout sans collecte d'identifiants. Jörg Wurzer, le patron de Volla Systeme, résume bien le paradoxe : quand un seul acteur du marché contrôle la vérification de sécurité, ça crée une dépendance structurelle.
C'est d'autant plus problématique quand l'acteur en question est justement celui dont on cherche à se débarrasser.
Le timing n'arrive pas comme ça, pouf, par hasard. L'Union européenne développe en ce moment l'EUDI Wallet, un portefeuille d'identité numérique qui doit permettre à chaque citoyen d'avoir ses papiers sur son téléphone.
Le problème, c'est que la version actuelle de l'application utilise Google Play Integrity pour vérifier l'appareil. Résultat : si vous êtes sur un Android alternatif, pas de carte d'identité numérique pour vous. Des développeurs ont déjà signalé le problème sur GitHub, comparant la situation à un PC qui exigerait Windows pour ouvrir un document officiel.
Des développeurs gouvernementaux scandinaves se sont d'ailleurs positionnés parmi les premiers à vouloir tester Unified Attestation.
On est là sur une initiative qui va dans le bon sens, parce que jusqu'à présent, ça reste pénible que Google soit le seul à pouvoir dire si un smartphone Android est fiable ou non.
Unified Attestation ne va pas tout changer du jour au lendemain, et convaincre les banques d'adopter un système inconnu reste le plus gros obstacle. Mais que des développeurs gouvernementaux scandinaves s'y intéressent déjà, ça envoie un bon signal.
Source : Netzwoche.ch
Google vient de publier son rapport annuel sur les failles zero-day. En 2025, son équipe de renseignement a comptabilisé 90 vulnérabilités exploitées avant d'être corrigées. Près de la moitié visaient des équipements d'entreprise, un record, et les vendeurs de spyware passent en tête du classement pour la première fois.
Le Google Threat Intelligence Group a suivi 90 failles zero-day exploitées dans la nature en 2025, contre 78 en 2024 et 100 en 2023. Le chiffre global reste dans la même fourchette, mais la répartition a changé. 43 de ces failles ciblaient du matériel ou des logiciels d'entreprise, soit 48 % du total. C'est du jamais vu.
L'année précédente, on en comptait 36, et en 2023 seulement 30. 21 failles concernaient des logiciels de sécurité et des appliances réseau, et 14 visaient des équipements en bordure de réseau : routeurs, passerelles VPN, pare-feu. Le problème, c'est que ces appareils ne disposent pas d'outils de détection classiques, ce qui en fait des cibles idéales pour les attaquants.
Sur les 42 failles dont l'origine a pu être identifiée, 15 viennent de vendeurs commerciaux de logiciels espions, des sociétés comme NSO Group, Intellexa ou Candiru. C'est la première fois qu'ils dépassent les groupes soutenus par des États dans le décompte annuel.
Côté opérations gouvernementales, 12 failles sont attribuées à des acteurs étatiques, dont 7 liées à la Chine. Les cybercriminels « classiques » arrivent derrière avec 9 failles. Microsoft reste l'éditeur le plus ciblé, suivi de Google avec 11 failles et Apple avec 8. L'exploitation des navigateurs est au plus bas, mais celle des systèmes d'exploitation grimpe.
Google prévient que ça ne va pas se calmer. Les équipements réseau d'entreprise vont continuer à attirer les attaquants, et l'IA devrait accélérer la découverte de nouvelles vulnérabilités. Les éditeurs ont quand même fait des progrès : certaines catégories de failles ont pratiquement disparu grâce aux investissements en sécurité.
Sauf que voilà, les attaquants s'adaptent et se tournent vers les surfaces les moins protégées. Les appareils en bordure de réseau, qui gèrent du trafic sensible sans la moindre supervision, sont devenus la cible de choix.
Quoi qu'il en soit, 90 failles zero-day en un an, ça fait beaucoup. Et quand les vendeurs de spyware commercial passent devant les agences gouvernementales dans le classement, on comprend que l'espionnage numérique est devenu un business comme un autre.
Sources : Bleeping Computer , The Register
MuddyWater, un groupe de hackers rattaché aux services de renseignement iraniens, s'est infiltré dans les réseaux d'une banque, d'un aéroport et d'un éditeur de logiciels américains avec deux nouvelles portes dérobées. L'opération, repérée par Symantec, s'est intensifiée après les frappes américaines et israéliennes sur l'Iran fin février.
C'est l'équipe Threat Hunter de Symantec qui a levé le lièvre. Depuis début février 2026, le groupe MuddyWater (aussi connu sous le nom de Seedworm) a déployé deux malwares jusqu'ici inconnus. Le premier, Dindoor, utilise Deno, un environnement d'exécution JavaScript, et a été signé avec un certificat émis au nom d'une certaine "Amy Cherne".
Le second, Fakeset, est codé en Python et signé par un certain "Donald Gay", un nom déjà lié à d'anciens outils du groupe comme Stagecomp et Darkcomp. Dans les deux cas, les attaquants ont tenté d'exfiltrer des données vers le cloud Wasabi via Rclone, un outil de synchronisation bien connu des administrateurs système.
Côté victimes, on retrouve une banque américaine, un aéroport, un éditeur de logiciels lié à la défense et à l'aérospatiale qui a des opérations en Israël, et des ONG aux Etats-Unis et au Canada. MuddyWater était déjà présent sur ces réseaux début février, mais l'activité a nettement augmenté après le 28 février et le lancement de l'opération Epic Fury, les frappes militaires coordonnées des Etats-Unis et d'Israël contre l'Iran.
Les frappes ont conduit à la mort du guide suprême Ali Khamenei le 1er mars, et les chercheurs notent que les opérations cyber iraniennes se sont accélérées dans la foulée.
Le FBI, la CISA et le NCSC britannique considèrent que MuddyWater opère pour le compte du ministère iranien du Renseignement depuis 2018. Ce qui facilite le rattachement, c'est la réutilisation de certificats de signature entre les nouvelles portes dérobées et les outils plus anciens du groupe.
Google, Microsoft et Kaspersky ont d'ailleurs confirmé l'analyse de Symantec. Quant à l'objectif exact, les chercheurs restent prudents : espionnage, collecte de renseignements, ou préparation de futures actions de sabotage, difficile de trancher. Le groupe privilégie en général le phishing et l'exploitation de vulnérabilités dans des applications exposées sur Internet pour s'introduire dans les réseaux.
Le plus étonnant dans cette histoire, c'est la durée. Des semaines d'infiltration sans que personne ne bronche, sur des réseaux qui ne sont pas exactement anodins. Et avec le conflit actuel entre l'Iran, les Etats-Unis et Israël, on se doute bien que Symantec n'a gratté que la surface.
Sources : Security.com , Cyble
Connexion