Le 26 février dernier, lors d'une réunion d'Austin Hackers Anonymous au Texas, le chercheur Andreas Makris a fait la démo d'un outil qui permet de générer de faux firmwares Unitree, que le robot avale sans broncher comme s'ils sortaient de l'usine de Hangzhou...

Car oui, Mesdames et Messieurs, les robots Unitree ne sont pas capables de déterminer si le firmware avec lequel ils se mettent à jour a été créé par Unitree ou par quelqu'un d'autre.

C'est ouf, non ? Le problème en fait, c'est que les paquets de mise à jour d'Unitree, c'est-à-dire les fichiers .upk qu'un Go2 ou un G1 télécharge tout seul, sont chiffrés avec TEA, un algo hyper minimaliste sorti de Cambridge en 1994.

La clé de chiffrement issue de cet algorithme se calcule ensuite à partir de trois constantes planquées dans le binaire du robot, + une graine aléatoire qui est stockée dans le paquet lui-même. Hop, comme ça vous avez la clé... Tout le monde a la clé, en fait !

Les trois constantes, en clair dans la doc de l'outil.

Et comme TEA est un algo symétrique, la clé qui déchiffre est aussi celle qui chiffre. Unitree s'en sert pour cacher le contenu de ses mises à jour, sauf que le robot, lui, comme il a été programmé avec les pieds, il en déduit que le paquet est légitime. C'est con, hein ? Une vraie signature, avec une clé privée gardée au chaud chez le fabricant, rendrait la contrefaçon impossible même en connaissant tout le reste.

Alors avant que vous ne débranchiez votre robot, je tiens à préciser un truc que Makris dit lui-même dans son dépôt : il n'existe pas de moyen public de livrer un firmware maison au robot. En effet, le canal de mise à jour passe par MQTT et n'accepte pas les paquets persos.

Cette faille a une belle note de 7,8 sur 10 mais exige un accès local et une action du propriétaire. Donc rassurez-vous, personne ne va reflasher votre chien robot qui fait des petits tours dans votre usine depuis un van garé sur le parking.

Le scénario réaliste, c'est plutôt le firmware véreux qu'on vous refile via un prestataire qui "met à jour" votre flotte, ou la clé USB d'un labo partenaire. Vous l'installez, votre robot le valide et vous n'avez aucun moyen de vérifier qu'il sort bien de chez Unitree. Bref, pour du matériel qu'on retrouve dans des labos de recherche et sur des sites industriels, c'est pas terrible !

Les firmwares décortiqués couvrent les gammes Go2 et G1, du Go2 Air au G1 Edu+, plus les modules moteur. Le NVD (National Vulnerability Database), lui, considère que toute l'offre actuelle du constructeur est concernée et surtout gag, y'a pas de correctif !!

On est quand même près de 5 mois après la publication, et y'a toujours rien. Je pense quand même qu'Unitree devrait revoir ses priorités et surtout revoir complètement la façon dont ils protègent leurs mises à jour.

De son côté, Makris n'a pas prévenu le fabricant. C'est pas un oubli, mais un choix car comme il l'explique dans son avis de publication , Unitree a montré une certaine hostilité face aux communications de divulgation. Donc, autant dire que le divorce est acté entre les chercheurs et l'entreprise chinoise.

Du coup ça nous fait quand même un quatrième épisode sur tout ce bordel. Le hack Bluetooth en 1 minute dont je vous parlais en décembre , les deux CVE sur le Go2 que je vous ai remis en mars , le backdoor vers un cloud chinois que Benn Jordan a popularisé en mai, et maintenant les mises à jour.

À l'époque, je me souviens que Benn Jordan conseillait carrément de ne plus jamais toucher au firmware pour garder l'accès root et surveiller ce que le robot envoie, sauf qu'on sait maintenant qu'une mise à jour officielle ne prouve rien, et que chacun peut forger la sienne. Breeeeef... pour du matos vendu à des labos et des industriels, je trouve ça vraiment pas sérieux.

Merci à Sammy pour le tuyau !

Source

L'astronaute française Sophie Adenot, actuellement à bord de l'ISS, s'est servie d'un robot de cuisine destiné à être utilisé dans l'espace. Pour l'instant assez sommaire, cette invention française nommée Food Processor prétend pouvoir servir lors de missions bien plus lointaines.

Le 16 juillet 2026, OpenAI a corrigé la nouvelle interface très critiquée de son application ChatGPT, reconnaissant ne pas avoir « tout à fait réussi du premier coup ». Le chatbot redevient désormais central.

Source

Publiée le 9 juillet 2026, une analyse de Pangram portant sur plus d’un million de contenus confirme que LinkedIn est devenu un terrain particulièrement fertile pour les publications entièrement générées par IA.

Prenez un chien robot d'Unitree, du genre qui patrouille dans les usines, ajoutez-y un siège baquet, un harnais et pas mal de code et vous obtiendrez un nouveau genre de jambes bioniques du futur ! Jake Laser a réalisé ça pour son père, en fauteuil roulant depuis une dizaine d'années à cause d'une sclérose en plaques et le résultat est bien délire.

La machine de départ est donc un quadrupède industriel Unitree à roues motorisées et pattes articulées qui sur sol lisse, roule comme un véhicule à roues mais qui sur terrain accidenté, peut déplier ses gambettes, grimper des escaliers, enjamber les obstacles et traverser des paysages rocheux sans broncher.

Rien à voir cela dit avec le Unitree Go2 grand public que vous connaissez qui est plus un jouet. Là c'est la version B2-W pour les entreprises vendue autour de 100 000 dollars, qui sert d'habitude à inspecter des entrepôts ou des sites dangereux. Pour info, Unitree, c'est la même boîte qui vend aussi un mecha à 500 000 dollars , histoire de vous situer le niveau de matériel.

Le transformer en engin sur lequel on peut monter, ça a demandé du vrai boulot d'ingénierie. Après avoir testé plusieurs positions d'assise, Jake a fixé un siège baquet de course directement sur la colonne du robot, les jambes du passager vers l'avant pour que les pattes robotisées puissent bouger librement en dessous.

Il a ajouté un harnais bien costaud et surtout, il a dû recalibrer tout le logiciel de balance du robot pour compenser le poids d'un humain qui se déplace en permanence. Un B2-W sait s'équilibrer avec une charge fixe, mais beaucoup moins avec quelqu'un qui bouge dessus, se penche et change le centre de gravité à chaque seconde.

Mais une fois le code ajusté, les capteurs et les moteurs gardent l'équilibre même en marchant sur un terrain pourri. Le pilotage passe ensuite par un joystick double sans fil qui gère tout : avancer, tourner, se déplacer en crabe, et ajuster la hauteur du robot pour monter et descendre plus facilement.

Et le plus fou, c'est qu'un B2-W ne devrait porter qu'une quarantaine de kilos quand il marche alors que là il trimballe un adulte plus son siège, soit largement le double. Vous l'aurez compris, c'est pas homologué hein ^^.

Capture : JLaservideo (YouTube)

Jake voulait aussi que son père soit fier de son engin alors il s'est inspiré des Bugatti des années 40 pour l'habiller avec une carrosserie galbée, de la fibre de carbone, des phares chromés + éclairage LED sous le châssis et enjoliveurs custom. On est à mi-chemin entre le robot de combat et la voiture de collection ^^.

Bien sûr, avant d'y installer son père, Jake a fait subir à son robot plein de tests d'efforts et de sécurité. Il lui a fait grimper des rebords super hauts, traverser des échelles, monter des tonnes d'escaliers bien tordus et franchir des lits de rivière rocheux, le tout sans jamais perdre l'équilibre. C'est seulement une fois la fiabilité prouvée que son père est monté à bord. Et après des années coincé dans un fauteuil classique, il a pu retourner sur des sentiers et dans des endroits qui étaient devenus, pour lui, des souvenirs lointains.

Bien sûr, c'est un exemplaire unique, et pas un dispositif médical que vous pourrez commander, mais je trouve que l'idée de détourner de la robotique industrielle pour redonner de l'autonomie à quelqu'un c'est vraiment chouette. On a déjà vu des robots japonais faire ça pour des personnes en situation de handicap , et ce genre de bidouille prouve que la techno existe déjà, et qu'il ne manque que des gens motivés pour la détourner dans le bon sens.

Bref, matez la vidéo, vous allez kiffer la partie où le père de Jake capte qu'il peut de nouveau aller où il veut (dans la limite de l'autonomie disponible)

Source : Yanko Design

Source

La société-mère de Claude vient d'introduire une nouvelle fonctionnalité baptisée « Réflexion ». Elle propose aux utilisateurs du chatbot de mieux analyser leur rapport à l’intelligence artificielle.

Source

Source

Et c'est reparti pour un tour ! Qu'est-ce que vous pensez d'un dépôt privé sur Github qui serait capable d'exfiltrer tout seul son propre code dans une section commentaire visible publiquement par tout le monde. Ce serait ouf non ?

Hé bien c'est le tour de passe-passe que Sasi Levi, de chez Noma Security, vient de réussir grâce à l'agent IA de GitHub. Et vous allez voir, c'est tout con, donc c'est hyper flippant.

Cette attaque s'appelle GitLost et la cible, c'est le GitHub Agentic Workflows, un système qui colle un agent IA (tournant sur Claude ou Copilot) à vos GitHub Actions pour qu'il bosse tout seul sur vos tickets. C'est un setup où l'agent a un accès en lecture à vos repos privés et se réveille dès qu'une issue lui est assignée. C'est super pratique, sauf que... c'est un vrai piège qui peut se refermer très vite sur vous.

Ça commence en fait par une simple issue dans un dépôt public. Rien de sorcier, pas de commit vérolé, pas de serveur MCP malveillant. Juste du texte, avec des instructions planquées en anglais au milieu du ticket. L'agent lit alors cette issue, tombe sur les instructions cachées à l'intérieur et les considère comme des ordres légitimes.

Et c'est là que ça part en couille, puisqu'après il part gentiment chercher le contenu d'un README qu'on lui demande dans un dépôt privé auquel il a accès (dans la démo, sasinomalabs/testlocal). Jusqu'ici, c'est l'exfiltration classique du prompt injection, sauf que d'habitude, il faut ruser pour faire sortir la donnée avec une image markdown piégée, une requête réseau vers un serveur qu'on contrôle, un canal caché...etc.

Mais dans le cadre de cette attaque GitLost, eh bien il n'y a pas besoin de tout ça. En fait, l'agent recopie bêtement le contenu privé dans un commentaire public sur l'issue de départ et c'est terminé. C'est donc lisible par n'importe qui passant sur le repo public.

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/gitlost-github-agent-ia-fuite-depots-prives/gitlost-github-agent-ia-fuite-depots-prives-1.mp4">lien vers la vidéo</a>.

Anthropic prolonge de cinq jours l'accès inclus à Claude Fable 5, repoussant l'échéance du 7 au 12 juillet 2026. Une décision de dernière minute qui n'éclaircit pas vraiment un lancement chaotique depuis un mois.

Source

Honnêtement, avec la puissance actuelle de nos LLM, finalement, est-ce qu'on a encore besoin d'avoir des applications ?

Un outil type Claude Code ou Microsoft Copilot, à côté, un gros tas de données diverses et variées, quelques accès à des services et basta ! C'est peut-être ce vers quoi on se dirige, à notre grand détriment...

La preuve avec cette vidéo qui traîne sur le Discord de BetaWiki, tournée en 2024 et dont Microsoft ne dit mot. Des sources internes ont authentifié le clip pour le compte de Windows Central , le site qui a sorti l'affaire en premier. Dedans, un prototype d'OS baptisé Project Aion, où Copilot remplace le menu Démarrer, la barre des tâches et tout le shell classique. Il n'y a plus d'applications à lancer comme d'habitude mais une simple boîte de dialogue pour piloter votre machine, et c'est à peu près tout.

Un cafard qui plonge et reste sous l'eau trois heures d'affilée, ça n'existait pas jusqu'à la semaine dernière.

L'équipe d'Hirotaka Sato, à la NTU de Singapour, avec leurs collègues de l'université Waseda au Japon, viennent de parvenir avec leurs petits doigts, à sangler une combinaison de plongée miniature sur le dos d'un cafard siffleur de Madagascar.

À quoi ça sert me direz vous ? Et bien à pouvoir télécommander la bestiole à distance, sous l'eau, sans qu'elle se noie. Oui, tout le monde a le droit d'avoir des passions cheloues, ne jugez pas, ok ?

La combinaison de cafard-grenouille tient donc en trois morceaux. Un réservoir à oxygène imprimé en 3D dans une résine transparente de type PMMA, une coque souple étanche qui enveloppe l'insecte, et quatre petits tubes en silicone qui amènent l'air jusqu'à lui.

Mais le plus astucieux, c'est la chimie à l'intérieur du réservoir. Vous prenez une éponge imbibée de dioxyde de manganèse, vous injectez un peu de peroxyde d'hydrogène dilué (de l'eau oxygénée, quoi), et le manganèse joue les catalyseurs. En cassant le peroxyde, cela génère de l'eau et de l'oxygène. Mac Gyver serait jaloux de voir que ces gars ont inventé une bonbonne de plongée qui fabrique son air toute seule, sans compresseur.

"Notre combinaison fonctionne comme le réservoir d'oxygène d'un plongeur humain", résume Sato, qui bricole des insectes cyborg depuis plus de dix ans. Sauf qu'ici le plongeur mesure six centimètres et a six pattes ! Les quatre tubes se branchent directement sur les spiracles thoraciques du cafard, les orifices par lesquels il respire, et ils se retirent après coup sans le blesser ni lui faire mal. Si si, je vous jure, des cafards qui sont rentrés ensuite auprès de leur famille ont témoigné qu'ils n'avaient rien senti ^^.

Et là vous vous demandez sûrement à quoi ça sert toutes ces conneries. Bah oui, qu'est ce qu'on peut foutre d'un cafard sous-marin télécommandé ??

Hé bien la réponse c'est le sauvetage.

Imaginez... (musique ambiance film catastrophe activée dans ma tête) Un immeuble effondré après un séisme. Vous avez besoin de vous faire une idée de l'ampleur des dégâts et des risques que vous allez prendre en allant secourir les victimes.

Il y a des flaques, des tunnels remplis d'eau, des poches d'air irrespirable saturées de CO2. Essayez un peu de faire passer un robot classique là-dedans, bon courage. Alors qu'un cafard bien motivé avec son barda sur le dos, par contre, ça se faufile à l'aise ! Et c'est pas de la théorie de labo puisque l'équipe de Sato a déjà déployé ses insectes cyborg pendant l'opération Lionheart, après le tremblement de terre de magnitude 7,7 qui a frappé la Birmanie le 28 mars 2025. Cette combinaison de plongée, c'était juste la brique qui lui manquait pour barboter en chemin.

Bon, des cafards trafiqués, on en a déjà croisé un paquet par ici. Il y avait eu les cafards cyborg lâchés dans les canalisations , sans oublier cette escouade de cafards espions montée en Allemagne , sauf que ceux-là, maintenant, ils nagent aussi bien que Léon Marchand les bordels. Et pour la suite, l'équipe a prévu de rendre la combinaison plus solide et d'y greffer des capteurs et un système de navigation, pour les vraies missions cette fois.

Bref, pensez-y la prochaine fois que vous écrabouillez un cafard dans votre cuisine ('tain c'est sale chez vous en fait), n'oubliez pas que l'un de ses cousins bosse peut-être pour la sécurité civile à sauver des vies avec ses petites papattes.

Source : NTU Singapore & TomsHardware

La société Maker's Pet vient de lancer oomwoo , un robot aspirateur open source que vous construisez vous-même ! C'est fait à base de Raspberry Pi 5, LiDAR 2D, ROS 2, châssis imprimé en 3D, et le tout fonctionne en local.

Sauf qu'il y a un détail rigolo, pour l'instant il fait à peu près tout... sauf aspirer ^^.

Je m'explique... Votre Roborock ou votre iRobot, vous ne le savez pas mais vous ne le possédez pas vraiment. Il se balade partout, cartographie votre apart ou votre maison, envoie tout sur des serveurs distants et surtout, le jour où le fabricant ferme boutique, bah votre robot il termine à la casse.

Alors c'est vrai, des bidouilleurs libèrent déjà ces engins du cloud en leur greffant un firmware ouvert. Mais oomwoo prend le problème à l'envers, puisqu'au lieu de libérer un robot fermé, vous en montez un qui soit libre dès la première vis !

Côté matos, vous allez avoir besoin, comme je vous le disais, d'un Raspberry Pi 5 (ou d'un Pi 4), d'un petit LiDAR 2D, de quelques moteurs et d'un châssis que vous sortirez de votre imprimante 3D. Son cerveau, lui, tourne sous ROS 2 avec Nav2 pour la navigation, et vous pouvez tout tester virtuellement dans une simulation Gazebo avant même de visser quoi que ce soit.

Côté maison connectée, ça se branche direct sur Home Assistant et toutes les datas restent chez vous en local. Le LiDAR c'est vraiment le cœur du projet puisque c'est ce capteur qui donne la vue en relief aux petits robots . Avant ça coûtait une petite fortune, mais aujourd'hui, ça peut se trouver pour une trentaine d'euros comme ce LDS02RR qui équipe notamment les Roborock.

Et pour orchestrer toute cette joyeuse bande hardware, le projet utilise un micro-contrôleur à quelques euros qui gère toutes les entrées et les sorties, pendant que le RPi se tape le gros des calculs.

oomwoo en est à sa toute première version, en mode RFC (request for comments), autrement dit le truc se conçoit en public au grand jour et leur objectif premier, c'est donc d'avoir un robot qui cartographie votre appart au LiDAR et se balade tout seul avant même de penser à aspirer.

Alors oui, pour le moment, c'est uniquement de la simulation et aucun proto n'a été assemblé mais ça ne saurait tarder. Quoiqu'il en soit, vous pouvez suivre toutes les étapes du projet en live sur GitHub et intervenir si vous voulez aider .

Après, un aspi robot qui n'aspire pas, ça ne vous inspire peut-être pas (jeux de moooots) mais c'est surtout un projet en train de naitre, qui si vous l'attrapez en route, vous permettra d'apprendre de nouveaux concepts en robotique comme le SLAM, la navigation autonome ou ROS 2 sans avoir à lâcher un billet dans du matos hors de prix (ils visent 200 dollars de matos au max).

Bref, c'est moins un aspirateur qu'un cours de robotique déguisé mais ça vaut le coup d'oeil. Le code vous attend sur GitHub .

La plateforme va resserrer l'accès à son interface OldReddit pour lutter contre le scraping abusif. Une décision qui inquiète les habitués de l'ancienne version, dans un contexte où son avenir n'est plus vraiment assuré.