Bon, c'est vendredi aujourd'hui et vous êtes payé la misère alors on va trop forcer hein et se détendre un peu ! (et allez demander à votre boss une augmentation DE CE PAS !!)

Et pour cela, on va tous se mettre sur War.app , un jeu de conquête au tour par tour, gratuit, auquel on peut jouer directement depuis le navigateur (ou sur Android et iOS). Dans ce jeu, vous déployez des armées sur une carte du monde et vous grignotez petit à petit les territoires de vos adversaires, un peu comme dans le jeu Risk.

D'ailleurs, vous avez peut-être déjà croisé ce jeu avant sous le nom de Warzone...

Ce changement de nom fait suite en fait, à un accord avec Activision, l'éditeur de Call of Duty: Warzone , qui avait déposé ses marques WARZONE en 2020 alors que le jeu existait depuis novembre 2017 mais bon... David, Goliath, l'INPI... vous connaissez. Côté joueurs toutefois, rien d'autre ne change, assure Fizzer, le créateur, qui code son jeu tout seul comme un chef ! Le système de compte pour conserver votre progression et vos parties en cours n'a d'ailleurs pas bougé donc vous devrez tout retrouver.

Par contre, si vous aviez warzone.com dans vos favoris, pensez bien à le remplacer, même si l'adresse redirige encore vers war.app.

Maintenant, une partie, ça ressemble à ça : une carte du monde, un nombre d'armées sur chaque territoire, et tout le monde donne ses ordres en même temps. Du coup, personne ne poireaute pendant que les autres jouent, et comme les parties sont asynchrones, chacun joue son tour quand ça l'arrange.

Une partie solo contre l'ordinateur, au tour 2, avec 5 armées à déployer

Et surtout, il n'y a pas de dés. Hé oui, par défaut, chaque armée qui attaque en tue 0,6 en face, donc le résultat d'un combat se calcule à l'avance. Sur la capture, 5 armées parties d'Islande en tuent 3, de quoi balayer les 2 qui gardent le Groenland. Le créateur d'une partie peut quand même réactiver le hasard s'il y tient.

La fenêtre d'attaque : 5 armées d'Islande vers le Groenland, et "Kills 3" affiché sous le curseur

En solo, vous avez accès à des milliers de niveaux contre l'ordinateur, dont ceux créés par la communauté. Et en multijoueur, une même partie peut réunir jusqu'à 400 joueurs, sur des cartes qui dépassent large les 3 000 territoires.

Bref, ya de quoi vous occuper ce vendredi mais aussi ce week-end mais aussi pendant votre chômage puisque j'imagine que votre boss vient de vous virer pour avoir osé lui demander une augmentation. Désoléééé.

Après, gratuit, ça veut dire AVEC de la pub. Je sais que vous adorez ça !! loool L'abonnement qui la retire c'est 3,99 $ par mois ou 19,99 $ par an donc c'est pas très cher et ça débloque surtout l'usage illimité de l'appli native pour Windows, Mac et Linux. Mais Fizzer assure que ça ne rend pas plus fort dans le jeu, puisqu'il ne vend ni armées ni cartes. Seul vrai bémol pour moi c'est que l'App Store ne propose pour le moment le jeu qu'en anglais (et ici sur Korben.info je suis en multilingue maintenant, vous le saviez ??).

Bref, c'est à essayer directement sur war.app en commençant évidemment par une partie solo pour prendre le coup de main et après, peut-être qu'on ira tous en multi se foutre sur la gueule entre lecteurs de korben.info ! Allez savoir ?

Source : War.app

Si vous jouez sous Linux avec une carte ou une puce Intel Arc, alors forcément XeSS tourne chez vous dans Proton. Pour rappel, XeSS c'est la techno d'Intel qui fait tourner le jeu dans une définition plus basse. Ça reconstruit l'image à la définition de votre écran grâce à l'IA, et avec sa frame generation, ça invente carrément des images intermédiaires pour gonfler le nombre d'images par seconde. Mais sous Linux, ça le fait en empruntant la voie de secours DP4a, et pas sur les unités XMX du GPU, qui sont des cœurs matriciels prévus justement pour ça. Et ça c'est sacrément dommage car XeSS a été taillée POUR ces XMX, sauf que sous Proton, elle ne trouve pas de pilote Intel pour répondre à ses questions et se rabat donc sur sa version générique. Snif.

Cette version générique tourne ainsi sur n'importe quelle carte graphique récente mais via l'instruction DP4a des unités de calcul classiques. Résultat, les XMX se tournent les pouces et surtout, la frame generation reste bloquée en x2, soit une seule image générée par image calculée, alors que sous Windows, une Arc peut monter jusqu'au x4 ! C'est couillon non ?

Heureusement, le projet communautaire xess-xmx-linux change la donne puisqu'il permet de faire tourner la vraie XeSS d'Intel, super résolution et frame generation incluses sur les XMX dans les jeux Proton.

Pour y arriver, ce projet ne touche ni à Proton ni à vkd3d-proton mais glisse dans vos préfixes une DLL qui se fait passer pour le pilote Intel, igdext64.dll (le "shim"). Ensuite, un pilote Mesa ANV patché compile à la volée les kernels de XeSS avec le compilateur d'Intel. C'est hyper expérimental vous vous en doutez mais ça évolue très vite.

La fiche du dépôt sur GitHub, qui annonce XeSS sur XMX pour les Arc Xe-HPG, Xe2 et Xe3 (image : GitHub)

Avant de vous lancer, mesurez quand même vos attentes qui je le sais, sont grandes ^^. Sur le GPU Arc B390 de l'auteur, Cyberpunk 2077 gagne 28 % au benchmark intégré, avec 61,3 images par seconde, face à Mesa 26.1.2 en DP4a. Comment expliquer ce "saut" sachant que les XMX ne font qu'environ 5 % de mieux que DP4a. En fait, cela provient de Jay, le nouveau compilateur de Mesa 26.3, celui-là même que Mesa utilise par défaut sur Xe2 et Xe3.

Ce que le projet dont je vous parle aujourd'hui apporte vraiment, c'est surtout de la génération de frame de XeSS en x3 et x4 sur XMX (sans l'extension d'Intel, elle plafonne à x2), et Cyberpunk 2077 monte ainsi à 117 images par seconde en x3 dans le même test.

Et quand la frame generation est active, il ajoute un mode faible latence qui empêche les images de faire la queue devant le GPU comme vous à la caisse d'Auchan. Sur Wuthering Waves, à fréquence d'images égale, la latence passe également de 69 à 35 ms quand le jeu est limité par le GPU, comparé à la même frame generation sans ce mode.

Bref, encore une fois, c'est à prendre avec des pincettes car tout ça a été mesuré sur une seule machine, avec un seul passage par jeu, et la qualité d'image n'a pas encore été évaluée...

Avant de commencer

Il vous faut un GPU Intel avec des unités XMX, sur le pilote noyau xe ou i915. Ça couvre les Xe3 (Panther Lake, l'auteur développe également sur l'Arc B390 d'une ONEXPLAYER 3 sous SteamOS), les Xe2 et les Xe-HPG. Lunar Lake et Arrow Lake-H sont également détectés mais pas encore testés (si y'a des volontaires, hein...). Et Meteor Lake est totalement hors jeu puisque son GPU Xe-LPG n'a pas d'unités XMX.

Voilà... Et côté système, les pilotes livrés sont compilés sous Arch et exigent la glibc 2.38 et libwayland-client 1.24 au minimum. L'auteur a vérifié cependant qu'ils se chargaient bien sur SteamOS, Arch, openSUSE Tumbleweed, Void Linux, Fedora 43 et Ubuntu 25.10, mais hors SteamOS, c'est uniquement le chargement qui a été testé en conteneur, et pas dans des vrais jeux sur du vrai matos. Quant à Debian 13 et Ubuntu 24.04, ils n'ont pas cette version de libwayland-client et obligent donc à recompiler le pilote sur la machine (je ne couvre pas cette étape ici).

Il vous faudra aussi le client Steam natif, car la version Flatpak n'est pas supportée, ainsi qu'un Proton récent et des jeux en DirectX 12. Le script d'installation a aussi besoin de curl, ar (paquet binutils), tar, zstd et python3, plus unzip ou python3 pour récupérer le SDK XeSS.

Voilà, je pense que j'ai fait le tour des pré-requis.

Par contre, gaffe aux jeux en ligne car dans un jeu avec un anti-triche, cette DLL pourrait se faire spotter et vous pourriez être considéré comme un de ces affreux tricheurs et vous faire bannir...

On installe !

Téléchargez l'archive de la dernière release depuis la page Releases du dépôt, et décompressez-la dans un dossier où elle restera, car pour la déplacer ensuite, il faudra d'abord lancer uninstall.sh. Depuis ce dossier, une seule commande à lancer :

./install.sh

Le script téléchargera alors le compilateur d'Intel (environ 95 Mo), les bibliothèques du SDK XeSS (77 Mo) et les fichiers FidelityFX d'AMD (87 Mo), puis il faudra redémarrer ou fermer et rouvrir la session.

Ensuite, chaque jeu lancé depuis Steam passera par le pilote patché, sans option de lancement. C'est aussi simple que ça ! Notez bien que ça touche toute votre session puisque le pilote patché devient LE pilote Vulkan Intel 64 bits qui s'applique à tous les jeux.

Sachez aussi que si votre Steam a été installé via le APT de Debian ou d'Ubuntu, il se trouve dans ~/.steam/debian-installation, et il ne sera pas trouvé par le programme d'install. Ça devrait être corrigé dans une future release mais en attendant, l'auteur conseille de lancer la commande install comme ceci :

STEAM_DIR="$HOME/.steam/debian-installation" ./install.sh

Enfin, pour n'activer le projet que sur certains jeux, il est possible d'installer ça jeu par jeu. En gros, vous lancez enable.sh avec l'identifiant Steam du jeu, puis vous mettez le chemin de xmx-launch.sh devant %command% dans ses options de lancement et voilà...

XMX_APPID=<steam app id> ./enable.sh
/path/to/package/xmx-launch.sh %command%

En jeu

Maintenant, dans le jeu, choisissez bien XeSS, et sa frame generation si elle est proposée, sur le rendu DirectX 12. Comme le premier lancement compile les kernels XeSS du jeu, ça prendra une à deux minutes mais une seule fois, donc pas de panique si ça semble figé !! Ensuite ça ira plus vite.

Et le reste se configure par les options de lancement de Steam (Propriétés, Général), devant %command%. Sachez également qu'un jeu dont la version de XeSS est plus ancienne que la 2.0.2.68 ne verra pas le GPU Intel, et rebasculera en DP4a. Il ne pourra donc pas proposer de frame generation XeSS. C'est le cas de Cyberpunk 2077, et le paramètre XESS=latest lui permettra quand même d'utiliser les bibliothèques du SDK d'Intel juste le temps de la partie, puis remettra les originales en place dès que vous quitterez le jeu. Ça permet à Steam de retrouver le jeu tel qu'il a été installé.

XESS=latest %command%
XESS_FG=4 %command%

XESS_FG, lui, force le multiplicateur de la frame generation, x3 ou x4, même quand le menu du jeu ne propose que du x2 comme dans Cyberpunk. Pour cela, la frame generation doit rester activée dans le jeu. Vous pouvez aussi, si vous êtes très très chaud, tenter le x5 à x8 mais là on est dans l'hyper expérimental car au-delà de ce qu'Intel supporte. Gardez donc un limiteur d'images, celui du jeu ou de gamescope , sinon les images générées arriveront à l'écran de façon très très irrégulière. Et ça on ne veut pas car vomir c'est pas cool !

Ah et oubliez le plein écran exclusif, car XeSS-FG le refusera. Le jeu ne pourra donc tourner qu'en version fenêtrée sans bordure.

Comment vérifier que ça passe bien par les XMX ?

Les images par seconde ne prouvent rien ici, puisqu'une bonne partie du gain vient de Mesa 26.3 et pas des XMX donc le signe le plus simple, c'est d'aller dans un des menus qui propose la frame generation et de voir si y'a du x3 ou x4 proposé car XeSS dans sa version générique plafonne uniquement à x2. L'inverse, en revanche, ne prouve rien, puisque certains jeux comme Cyberpunk ne proposent, comme je vous le disais, uniquement du x2 même sur XMX.

Et pour en avoir VRAIMENT le cœur net, ajoutez XESS_LOG=1 devant %command%. Le préfixe du jeu, dans ~/.local/share/Steam/steamapps/compatdata//pfx/drive_c/ (ou dans le dossier steamapps de la bibliothèque, pour un jeu sur un autre disque) reçoit alors un fichier igdext_trace.log qui liste le GPU détecté, chaque appel à l'extension et chaque kernel. Si y'a pas de fichier du tout créé, ça veut dire que le shim n'a pas été chargé et que c'est XESS=dp4a qui a fait tourner le même jeu sans les XMX.

Et si ça casse

Franchement, y'a des chances hein ! Mais si c'est le cas, suffit de relancer install.sh. Si un jeu se comporte mal uniquement avec Mesa 26.3 (qui est encore une release candidate), mettre MESA=26.1 avant %command% le renverra sur le pilote Mesa 26.1.2 du même paquet. Et si les XMX ont disparu après une mise à jour de SteamOS, sachez que l'utilitaire ~/.cache/xess-xmx/driver-status vous dira si les pilotes patchés se chargent encore, et le script tools/rebuild-driver.sh en reconstruira un tout frais tout beau pour votre nouvelle version de Mesa.

Et puis si vous voulez simplement revenir en arrière, et abandonner la luuuuttte finale , y'a toujours ./uninstall.sh qui lancé depuis le dossier du paquet annulera tout ce que l'installation a fait ! Ouf !

Source : PC Gamer

Je ne sais pas si vous connaissez David Catuhe, mais c'est le créateur de Babylon.js, un moteur de rendu 3D pour le Web qu'il pilote depuis chez Microsoft, et accessoirement une vieille connaissance. Ça faisait un bail qu'on ne s'était pas parlé alors quand il m'a écrit pour me présenter son jeu, avec en bonus une clé pour tester la version complète encore en bêta, j'ai sauté dessus. Donc voilà, vous êtes prévenus, c'est le test d'un copain... mais un test qui je l'espère sera honnête.

Ce jeu, c'est CottageCore , un jeu de construction cosy où vous construisez librement votre village dans une clairière avant de pouvoir ensuite le regarder prendre vie. Les villageoises s'installent, vous leur choisissez un métier parmi une quinzaine, les animaux y vivent leur meilleure vie et les saisons défilent jusqu'à l'hiver. Ça se joue en mode Créatif, sans aucune limite, ou en mode "Dieu de la clairière", où cette fois accueillir du monde coûte du mana.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Et franchement, c'est très chill. La musique est top (David précise que l'art et la musique sont faits par des humains, l'IA ne l'ayant aidé que pour le code) et les modèles 3D sont super jolis. On règle les proportions des maisons et des tours, leurs matériaux, leurs couleurs, la forme des toits, et on peut même les faire flotter sur des nuages.

La place du village, avec sa fontaine, ses villageoises et ses poules qui se baladent

Mais ce que j'ai préféré dans ce jeu, c'est que les bâtiments peuvent gagner une fonction. Par exemple, vous partez d'une simple maison, vous lui ajoutez des tours, et si vous remplissez les conditions de sa recette, elle deviendra alors un beau château ou une jolie église.

Mon château sur son rocher, et à droite la carte de recette avec ses conditions encore à faire

Par contre, ces conditions ne sont pas toujours claires, et construire n'est pas si simple. Pour le château par exemple, il faut surélever le terrain, et chez moi ça ne marchait pas bien, sans que je comprenne pourquoi. David a pourtant déjà retravaillé ces cartes fin octobre puisqu'un clic sur une condition non remplie la met en évidence et vous indique quoi faire. Donc si vous bloquez, cliquez sur la ligne qui coince.

Une alerte réclame plus de nourriture pour l'hiver pendant que je bataille avec le château (capture : Korben)

Après, c'est une bêta, donc faut être indulgent et je suis certain que David qui découvrira cet article en même temps que vous corrigera ces quelques derniers accrocs. Pendant le tuto, les alertes passaient aussi parfois devant les bulles d'explication. Le jeu m'a aussi un peu fait laguer, rien de grave, et m'a proposé de lui-même de quitter le mode haute qualité pour passer en mode performance.

En plein tuto, l'alerte de baisse d'images par seconde passe devant et propose la qualité Normal

Côté technique, le jeu est écrit en TypeScript, son rendu passe par Babylon Lite en WebGPU, et la version Steam emballe tout ça dans Electron. Et l'idée ne date pas d'hier puisque David m'a raconté que tout avait commencé en Silverlight 5, sous le nom de code de Worldmonger, auf qu'à l'époque, il ne savait pas encore dessiner, donc c'était, je cite, "moche comme un cul".

Mon petit village vu de haut, avec son rempart crénelé et le château au bord de la rivière (capture : Korben)

Voilà, si ça vous tente, la démo est gratuite sur Steam depuis le 3 novembre, dispo sous Windows, macOS et Linux, avec une petite clairière et cinq métiers seulement. Sur Mac, il vous faudra une puce M3 minimum sous macOS 14, et sur PC, Windows 10 avec une GTX 1660 ou une RX 5500 XT.

Et comme le jeu sortira en français le 14 avril 2027, d'ici là, il a laaarrrgeeemmment le temps de se bonifier et de voir ces petits défauts de jeunesse être corrigés !

Voilà, si vous avez envie de vous détendre une heure ou deux pour bichonner votre petit village, allez faire un tour dans la clairière de David !

Vous vivez au fin fond de la Creuse ? Dans un van aménagé ou sur un bateau ? Ou dans un village où la 4G arrive avec la grâce d'un escargot asthmatique ? Si c'est le cas, vous avez peut-être dégainé le porte-monnaie pour une antenne Starlink. Le résultat ? 150 Mbps tombés du ciel, littéralement, depuis des satellites qui filent à 27 000 km/h à plus de 500 km d'altitude. Votre terrasse est devenue une station de réception de signaux spatiaux. Le rêve. Sauf qu'il y a 3 trucs qu'on a oublié de vous dire au moment de l'achat.

Déjà, Starlink c'est un FAI américain comme un autre. Et comme tout FAI, il peut voir les sites que vous visitez. Même SpaceX. Ce qui laisse la possibilité que vos habitudes de navigation puissent être partagées avec les autorités US si un mandat pointe le bout de son nez.

Ensuite, le géant américain utilise du CGNAT (Carrier-Grade NAT) ce qui veut dire que vous partagez une IP publique avec une flopée d'inconnus. Votre antenne perso n'a donc pas son adresse IP personnelle. C'est de la mutualisation d'IP, en quelque sorte. Vous ne connaissez pas vos colocataires, par contre vous subissez leur réputation. Si l'un d'eux s'est fait griller en train de spammer ou de scraper, c'est l'IP entière qui se fait flagger. Ce que ça change vraiment ? Vous allez voir popper les CAPTCHAs qui vous demandent de cliquer sur les feux de circulation douze fois de suite, votre banque qui vous bloque "par sécurité" ou encore des sites de streaming qui vous balancent parce que votre IP partagée pue à plein nez. Et vous pouvez vous brosser pour du réacheminement de port si vous vouliez héberger quoi que ce soit.

Enfin, votre routeur Starlink tout neuf ne sait pas parler le VPN. Pas de client, pas de passthrough, que dalle. Elon vous a vendu l'internet de l'espace, sauf qu'il a oublié la couche chiffrée qui va avec.

Maintenant qu'on a établi le diagnostic, la solution n'est pas non plus la plus compliquée à trouver : un VPN. Sauf qu'à l'inverse d'un simple desktop ou laptop, on ne peut pas se tourner vers le premier venu. Parce qu'un satellite a quelques contraintes à prendre en compte.

Les 11000+ satellites Starlink. Source : https://satbeams.com/

Le satellite, c'est fantastique, sauf pour la latence

Dès le moment où votre antenne communique avec un satellite en orbite basse, vous partez déjà avec 25 à 60 ms de latence avant même d'avoir ouvert un onglet. Et très souvent la connexion saute d'un satellite à l'autre toutes les 4 à 15 minutes, comme une antenne de radio qui zappe entre deux fréquences. Si vous ajoutez un mauvais VPN par-dessus, c'est la catastrophe. Par exemple OpenVPN, c'est encore 30 à 50 ms en plus et une baisse de débit de 20 à 30%. Autant dire que votre visio va vite ressembler à une retransmission des premiers pas sur la Lune (1969 pour ceux qui ne savent pas).

Avec le protocole WireGuard c'est déjà un peu mieux. On parle de 10 à 20 ms seulement et d'une perte de débit de l'ordre de 10-15%. Après tous ces chiffres dépendent de plusieurs éléments comme le matériel, le serveur VPN, la charge, le protocole, le réseau et les conditions radio. Mais jusqu'à preuve du contraire c'est le protocole à choisir sur satellite.

Et c'est là que Surfshark tombe plutôt bien puisque leur implémentation du protocole est non seulement rapide et est désormais post-quantique de bout en bout (ML-KEM pour l'échange de clés et ML-DSA pour l'authentification). Ces certificats post-quantiques que même Apple et Microsoft n'ont pas encore activés dans leurs applis grand public. Vous allez me demander pourquoi c'est important dans le cas présent ? Et bien tout simplement parce que sur une connexion satellite, votre trafic passe littéralement par les airs, interceptable par n'importe quelle agence avec un budget. Ça sonne un peu science-fiction, mais c'est une réalité. Donc autant que les paquets qui vous sont volés aujourd'hui restent illisibles même dans 10 ans lorsque le quantique sera réalité (s'il l'est d'ici là).

Une autre fonctionnalité qui prend tout son sens sur Starlink : le kill switch. Chaque fois que votre antenne change de satellite, la connexion peut vaciller même juste une fraction de seconde. Sans l'option kill switch, votre trafic va alors transiter en clair pendant ce court laps de temps. Avec l'option activée, la fuite est fermée nette jusqu'au retour du tunnel chiffré. Sur une connexion qui saute d'une machine spatiale à une autre toutes les quelques minutes, ce n'est pas du luxe, c'est de la plomberie de base (rapport à la fuite).

Pourquoi Surfshark marche particulièrement bien sur Starlink

Alors oui, je sais, je vous entends d'ici : "Korben, tu nous vends Surfshark depuis le début de l'article". C'est pas faux, mais il faut dire aussi que pour ce cas d'usage précis, le requin coche des cases que les autres ratent parfois de loin :

• Il supporte un nombre d'appareils illimité. Et une connexion Starlink, c'est rarement un seul appareil. C'est le PC, le téléphone, la tablette, la smart TV, la console, le NAS et même très souvent toute une tribu ... ou un village entier. Chez Surfshark, vous connectez tout ça sans compter. De quoi faire tourner 7 appareils simultanés en 4K sans broncher.
• L'outil CleanWeb , leur bloqueur de pubs et trackers intégré. Dans des échanges avec un satellite, chaque méga compte (surtout que Starlink a des règles d'usage équitable). Si vous supprimez la couche publicitaire, c'est du débit récupéré gratuitement.
• 4500+ serveurs répartis dans plus de 100 pays, dont la France. On sait qu'un serveur proche cela va diminuer la latence. Et la latence c'est pas mal important comme on l'a vu plus haut. Disposer d'un serveur à moins de 500 km c'est quand même mieux que de devoir joindre l'autre bout du monde.
• Une politique no-logs qui a été auditée plusieurs fois au fil des années et des serveurs 100% RAM qui s'effacent régulièrement.

Et si vous voulez ajouter une couche, vous pouvez faire changer votre IP toutes les cinq minutes (rotation d'IP), pour brouiller encore plus la corrélation entre vos sessions. Sur une IP partagée qui peut déjà partir en quarantaine régulièrement, disposer de sa propre IP VPN qui tourne, c'est plutôt sympa.

2 méthodes d'installation, facile et moins facile

N'importe qui peut utiliser la méthode classique puisqu'elle est faite pour 95% des gens et prend 5-10 minutes chrono. D'abord vous allez commencer par installer l'appli Surfshark sur chacun des appareils que vous voulez protéger (la base). Il n'y a pas de routeur à toucher, pas de bypass mode, rien. Ça marche immédiatement avec le routeur Starlink d'origine et c'est ce que fait la quasi-totalité des utilisateurs Starlink. Franchement, ça suffit pour la plupart.

Mais il y a aussi le style main dans le cambouis si vous voulez protéger automatiquement chaque appareil qui se connecte à votre réseau (y compris la TV du camping-car du beau-frère). Pour ça vous allez passer le routeur Starlink en mode bypass histoire de le transformer en simple modem. Puis vous allez brancher derrière celui-ci un routeur tiers compatible VPN. Par exemple un GLiNet qui fait très bien l'affaire, sinon un ASUS avec firmware adapté. Là, tout le trafic du foyer passe dans le tunnel par défaut. C'est plus propre et plus fun, mais ça demande un adaptateur Ethernet Starlink, un routeur supplémentaire et au moins une bonne tasse de café.

Et si ça rame ?

Avoir de 10 à 30% de perte de débit avec un VPN passant par satellite, c'est plutôt normal et vous allez devoir l'accepter. Par contre si vous avez des résultats plus mauvais que ça, essayez de trouver un serveur plus proche, activez le protocole WireGuard (si ce n'est pas déjà fait) et désactivez éventuellement le MultiHop. Et si le VPN décroche au moment des changements de satellite, c'est que le kill switch fait bien son boulot donc ne vous énervez pas.

Au final il faut se rendre compte que vos données suivent des satellites qui filent à toute vitesse, que vos paquets traversent l'atmosphère et que vous partagez votre IP avec des inconnus dont vous ignorez tout. Vous voyez donc assez vite que chiffrer le tout avec un VPN post-quantique ce n'est pas être complètement parano. C'est juste logique. Vous avez relié votre maison à l'espace, autant que l'espace ne sache pas ce que vous regardez le soir.

Et le tarif actuel ? Pour le Black Friday (et jusqu'au 30 novembre), l'abonnement Starter est à 2,49 € HT/mois sur 27 mois (incluant 3 mois offerts). Pour sécuriser un kit à 400 balles (prix moyen, un peu moins cher le Mini) et tout le foyer qui en dépend, c'est le prix de 2-3 croissants par mois. Même le banquier qui vous bloquait "par sécurité" il y a cinq minutes ne peut plus vous faire de reproche !

Profitez de l'offre Black Friday 2026 !

Le premier Wing Commander, celui qui tournait sous DOS, peut maintenant êtré joué en coop dans votre navigateur, chacun le cul posé dans son chasseur. Suffit simplement d'entrer un petit code pour rejoindre un salon et retrouver votre ailiers intergalactique pour une partie endiablée.. Et ce n'est pas un remake puisque c'est le jeu d'origine qui tourne dans un DOSBox compilé spécialement pour le web, avec donc ce mode multijoueur greffé dessus à force de rétro-ingénierie.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Si vous voulez tester, vous devrez donc vous rendre sur la page du jeu et y glisser-déposer l'installeur GOG de Wing Commander ou un zip de son dossier. Tout est ensuite décompressé localement dans le navigateur sans que vos fichiers ne soient téléversés nulle part, et surtout ils y restent pour la prochaine fois. Ensuite vous entrez le code de salon et un indicatif, vous envoyez le lien à votre pote, et le premier pilote arrivé lance la partie pour tout le monde ! Ça se joue à deux, ou à trois si l'hôte ouvre un siège de plus, soit au clavier, soit à la souris ou à la manette.

Cet exploit a été réalisé par 2 frères, Daniel et Patrick, qui gamins jouaient déjà à deux sur le même vaisseau, l'un aux commandes, l'autre aux lasers et à la postcombustion, en rêvant de voler côte à côte. Puis en octobre 2015, Daniel qui était en train de jouer dans DOSBox se dit que ce serait carrément possible de retrouver les coordonnées de son vaisseau et celui d'un allier dans les fameux 640 Ko de mémoire. Et s'il retrouve ça, il pourra piloter l'allier via le réseau...

Alors il se met au boulot, copie la mémoire vaisseau à l'arrêt, donne un petit coup d'accélérateur, et compare avec le résultat... Et voilà comment des années plus tard, à force de jouer avec le debugger de DOSBox et de reverser la mémoire, ils arrivent en 2017 à mettre au point un protocole réseau avec le meneur qui envoie la position de chaque vaisseau à chaque image.

Seulement, pour y jouer, il fallait retrouver le jeu, récupérer une version bricolée de DOSBox, s'échanger ses adresses IP et ouvrir des ports sur les firewalls... Bien relou donc... Et le projet s'est donc endormi sur GitHub.

Mais l'IA est arrivée et a permis à Daniel et son frère de ressortir le jeu avec une communication WebRTC, jouable directement dans le navigateur ! Comme quoi, il ne suffit pas de grand chose pour dépoussiérer de grandes idées ! Les frangins se sont même un peu enflammés et on ajouté dans le jeu un chat vocal !

Bref, le mieux c'est encore de tester ça avec vos amis. En plus comme c'est la GRÊVE GÉNÉRALE !!, vous aurez un peu de temps pour lancer ça sur Chrome (oui Firefox et Safari, ça n'a pas été testé donc je ne sais pas ce que ça donne).

Ah et notez aussi que le dépôt du projet annonce aussi Wing Commander II en multi, et les sources sont sur GitHub pour ceux qui voudraient héberger leur propre salon.

Ne vous reste plus qu'à trouver votre ailier !

Vous venez de télécharger un jeu de 180 Go compressé en ZIP ou en 7z (Merci FitGirl ! ^^), et une fois décompressé, il viendra squatter 200 Go. Logique... Sauf que comme vous le savez également, WinRAR, 7-Zip ou unzip ont besoin de conserver l'archive pour la décompresser jusqu'au bout. Du coup, au final, cette archive compressée + tous les fichiers extraits en même temps sur le disque, et bien vous vous retrouvez avec 380 Go au total.

Donc si comme moi vous êtes toujours à court de place parce que "les nouveaux modèles à tester sur Ollama, tu connais", voici peut-être LA solution du tur-fu !

C'est en tout cas la mission que s'est donné HatchZip , un extracteur gratuit et open source pour Windows, macOS et Linux, qui s'utilise en GUI (interface graphique) ou en ligne de commande. Lui en décompressant votre archive se contentera d'un peu plus de 200 Go et pas de 380 Go parce qu'avec lui, l'archive rétrécit au fur et à mesure que les fichiers en sortent. Et quand il a terminé, hé bien il ne reste plus que les fichiers extraits !

L'archive de 180 Go se vide par la fin pendant que le dossier du jeu se remplit

Comme un ZIP ou un 7z range son index tout à la fin du fichier, HatchZip commence par le mettre de côté dans un petit fichier, puis il extrait les morceaux en partant du dernier. Après chaque fournée, il ampute alors l'archive à l'endroit où commençait cette fournée, et la place libérée sert alors aux fichiers suivants.

Voici comment le lancer en ligne de commande (avec la phase de check pour voir si ça tiendra sur votre disque)

hatchzip check game.zip
hatchzip extract game.zip

Bien sûr, si vous faites Ctrl+C, HatchZip terminera de s'occuper des fichiers qu'il est en train d'écrire, enregistrera sa progression et s'arrêtera. Pareil après un plantage ou une coupure de courant. Mais il suffit alors de relancer la même commande pour qu'il reprenne là où il en était. Et si vous changez d'avis, hatchzip restore refera une archive "normale" avec ce qui n'a pas encore été extrait (ce sera donc ouvrable classiquement par 7-Zip, WinRAR ou unzip sauf pour un RAR ayant ses noms de fichiers chiffrés).

Côté formats, il lit le ZIP, le 7z, le RAR, le tar, le .tar.gz, le .tar.xz et les archives découpées en .001, .002, etc., dont il supprime chaque volume dès qu'il est vidé. Un .tar.gz ou un .tar.xz, lui, se décompresse depuis le début, et HatchZip n'en rend la place qu'en "poinçonnant" le fichier, ce qui n'est pas encore vérifié sous NTFS et APFS. Et un .tar.xz fait d'un seul bloc, lui, est carrément refusé dès le départ.

Par contre, un 7z lui aussi compressé en un seul gros bloc solide exigera de la place libre pour ce bloc entier, car il ne pourra être libéré qu'une fois complètement extrait. Et un RAR solide ne passe qu'avec --keep-archive, autrement dit en extraction classique qui conserve l'archive.

Après, n'oubliez pas que cet outil détruit ce qu'il lit, donc ayez toujours une copie récupérable de ce que vous décompressez. Et prenez la dernière version, uniquement sur hatchzip.dev ou sur GitHub (hatchzip.com n'a rien à voir avec le projet), et ajoutez-y --verify-first quand l'archive ne peut pas être retéléchargée car ça lui permet de contrôler alors la somme de chaque fichier avant d'effacer quoi que ce soit.

HatchZip est sous licence MIT / Apache 2.0, et c'est, je pense à garder sous le coude pour le jour où votre SSD criera famine (ce qui est le cas du mien tous les jours) !

Source : HatchZip sur GitHub

Google vient de publier un long rapport technique dans lequel il explique comment il vient de démanteler XCPE, un botnet de plus de 1,3 million d'appareils Android, contenant surtout des box TV, qui sous louaient en douce la connexion de leurs propriétaires à des services de proxys résidentiels et servaient à faire de la fraude publicitaire. Le pire c'est que ce malware n'a pas été ajouté par un pirate mais était implanté directement dans le firmware, posé là par Videostrong, un fabricant chinois qui revendait ensuite l'accès aux box à des affiliés.

Google a donc attaqué en justice les domaines et les serveurs qui pilotaient le botnet, avec la police nationale japonaise et plusieurs entreprises de sécurité, dont Plume, Synthient et TrendAI, puis il a banni Videostrong, ainsi que ses futures filiales, de la fabrication d'appareils Android certifiés. Pour passer les tests de certification, le fabricant avait masqué son code malicieux et attendu ensuite le premier démarrage de l'appareil pour le charger discrétos. La faille a été corrigée par Google depuis...

Mais et les box déjà vendues, alors ?

Hé bien le billet de TrendAI est cash patate, la coupure a privé l'opérateur de ses commandes, mais l'implant reste sur chaque box / TV, et son nettoyage passe par le fabricant, par la plateforme ou par le remplacement de l'appareil. Le propriétaire n'a pas la main !! D'après Google, x.cpe tourne avec les droits système depuis la partition firmware et, si on le désinstalle, il se réinstalle tout seul au redémarrage depuis la partition /oem, donc autant dire que les propriétaires de ces appareils l'ont dans l'os.

Car sans pilote au manettes, ça ne veut pas dire que le malware est devenu inoffensif. En effet, Plume a épluché le code et les ordres circulent en MQTT sans chiffrement, donc n'importe qui capable de publier une commande peut la faire exécuter par la box. Et comme le contrôle de mise à jour passe en HTTP avec un fichier XML non signé, celui qui détourne le DNS du serveur peut alors prendre la main sur l'appareil easy... Quand au module LinkFog présent sur les TV, celui-ci relance ses tâches tout seul au redémarrage, sans attendre le serveur. Puis surtout, ce genre d'opérateur mafieux est tout a fait capable de reconstruire son infra ailleurs sous une autre bannière et de récupérer son botnet quasiment intact...

Mais alors comment savoir si votre TV ou Box Android est impactée ? Car aucune marque spécifique n'a été citée comme étant à éviter, puisque Google a trouvé le malware intégré dans de nombreux modèles et marques. Cela représente tout de même 206 modèles répartis dans plus de 170 pays. La liste publiée par Synthient et le rapport de Plume citent par exemple des MECOOL, dont la KM2 et la KM9 Pro, et la Strong Leap-S1, et le parc mêle des appareils AOSP et des appareils certifiés Google, donc la certification ne suffit plus du coup à garantir une box saine.

Côté parade, Plume recommande un reset d'usine complet, parce que des modules ont pu déposer d'autres portes dérobées, alors que Synthient conseille de se débarrasser définitivement de ces box, jugées à haut risque de contenir d'autres malwares. À mon avis, le reset seul ne suffira pas, vu que x.cpe est dans le firmware et pas dans les données, donc l'option déchetterie, c'est aussi ce que je recommanderai malheureusement.

Et côté Google, les mesures annoncées sont la mise en place d'un bannissement du fabricant et des contrôles renforcés pour que ça ne se reproduise pas. On verra si ça a un impact ou si les escrocs trouvent une nouvelle faille dans leur processus de certification.

Breeef, en attendant, Synthient conseille de débrancher les appareils suspects et de changer le mot de passe du Wi-Fi. Si votre box est sur la liste, c'est le minimum, mais vu ce que ça peut faire, moi je ne la rebrancherais pas à votre place...

Source : Krebs on Security

La fintech britannique Revolut affirme avoir réduit d'environ 90 % sa facture d'IA de codage en moins d'un an, en remplaçant les outils commerciaux comme Claude Code, l'assistant de programmation d'Anthropic, par un modèle chinois hébergé sur ses propres serveurs.

David Abitbol, qui dirige l'infrastructure de la banque en ligne, a raconté la bascule lors d'une conférence à New York. Ses 2 000 ingénieurs sont passés de Gemini début 2025 à Claude Code début 2026, avant d'adopter GLM, un modèle ouvert développé par le chinois Z.ai et utilisé aujourd'hui en version 5.3.

Le calcul est vite fait. Auto-hébergé, GLM revient à 0,30 dollar le million de tokens, ces unités de texte que les fournisseurs d'IA facturent à la consommation, soit à peu près dix fois moins que Claude Code ou que Codex, son équivalent chez OpenAI. Certains développeurs coûtaient jusqu'à 10 000 dollars par mois, pour un retour jugé décevant en interne.

Le tout tourne sur 56 cartes graphiques Nvidia B200 installées chez Revolut. Plutôt que d'empiler les cartes, les équipes ont surtout gratté de la performance avec des réglages fins, comme la compression du modèle ou la séparation des différentes phases de calcul.

Côté performances, la première réponse tombe en moins de 3 secondes et le système sort environ 200 tokens par seconde, et même 800 le soir quand les bureaux se vident. Au-delà de 5 secondes d'attente, les plaintes pleuvent en interne.

La vraie surprise est ailleurs en fait. Les plus gros gains ne viennent pas de l'écriture de code mais du débogage et du traitement des tickets Jira et Confluence, ces outils de suivi de projet que tout le monde adore détester. Le temps de codage se serait quand même amélioré de 60 %.

Et puis il y a l'effet psychologique. Avec des tokens illimités en interne, les ingénieurs ne rationnent plus leurs requêtes pour tenir le budget du trimestre, et la facture ne réserve plus de mauvaise surprise en fin de mois. Les modèles commerciaux restent accessibles pour les cas particuliers, les tâches visuelles partent par exemple chez Gemini.

Un modèle chinois au coeur d'une banque, la question fâche forcément. Abitbol balaie. Hébergés en local ou sur un cloud régional, les poids du modèle ne font selon lui courir aucun risque, le danger serait plutôt de passer par des API hébergées on ne sait où.

Les fenêtres d'un million de tokens que vendent les gros acteurs du secteur sont à ses yeux "une arnaque", 256 000 suffisent largement à coder. Tout le marché vend exactement l'inverse depuis deux ans.

Source : Theregister

Google a annoncé mardi que Gemini, Gemini Notebook et même son moteur de recherche seront désactivés par défaut sur les comptes des élèves américains, de la maternelle au lycée, tant que les administrateurs scolaires ne les auront pas activés eux-mêmes. Les nouveaux réglages arriveront dans les prochains mois, pour une bascule prévue début 2027.

Présenté comme ça, le geste ressemble à une concession faite aux enseignants. Le détail qui fâche est sorti dans le New York Times, où Chris Phillips, le responsable de l'éducation chez Google, a confirmé qu'une école qui refuse l'IA perdra du coup l'accès à Search, parce que la recherche et l'IA sont maintenant profondément intégrées, selon ses propres mots. Les élèves verront simplement un message leur expliquant que le service n'est pas disponible.

Devant les critiques, Google a publié le soir même une mise au point sur X pour assurer que l'annonce donne aux écoles plus de choix, pas moins, et que chaque service peut être activé individuellement, un, deux ou les trois.

Sauf que cette réponse esquive le vrai sujet. Activer la recherche revient à accepter les résumés d'IA affichés en haut des résultats, puisque Google ne propose aucune version du moteur qui en serait débarrassée. La configuration que réclament beaucoup de profs, garder la recherche pour apprendre aux élèves à trouver des sources tout en bloquant les réponses toutes faites, n'existe tout simplement pas au catalogue.

Google sait pourtant ce que coûte la méthode forte. En août, des fonctions d'IA activées d'office dans Classroom avaient mis les enseignants américains en colère, et la firme avait fait machine arrière.

Les Chromebooks et les outils Google équipent une part énorme des écoles américaines, et un district scolaire ne remplace pas son moteur de recherche du jour au lendemain.

Pour les établissements qui diront oui, Google met en avant Guided Learning, un tuteur qui décompose les exercices étape par étape au lieu de donner la réponse, histoire de limiter la triche. Les enseignants pourront même consulter les transcriptions des conversations entre les élèves et le chatbot.

Le calendrier est quand même osé. New York et Los Angeles ont voté en septembre un moratoire d'un an sur l'IA générative dans leurs écoles publiques, et l'État de New York interdit depuis la semaine dernière certaines fonctions de chatbot aux mineurs.

Source : TechCrunch

Comme vous le savez, je m'amuse beaucoup avec l'IA en ce moment. Bon, j'en cause surtout sur mon Patreon parce que sinon, je vous saoulerai grave avec toutes mes expériences mais ça c'est un truc que je tenterai bien à l'occasion. Je vous explique...

Cette semaine, 4 chercheurs du MIT CSAIL, Rikiya Takehi, Jayden Teoh, Alex Zhang et Omar Khattab, ont expliqué sur leur site comment ils ont demandé à GPT-6 Astra, le modèle d'OpenAI, de rendre Qwen3.5-0.8B meilleur en maths en retouchant directement ses poids, sans la moindre descente de gradient.

Et non seulement, l'IA d'OpenAI y est parvenu, mais en plus, le chiffre claque puisque le score sur MATH-500 de ce Qwen est passé de 7,9 % à 48,1 % suite à une modification par Astra de seulement 131 072 poids sur 0,8 milliard, soit 0,016 % du modèle.

Pour ceux qui arrivent (en armure comme Diam's ^^), les poids d'un réseau de neurones, c'est l'IMMENSE liste des nombres que l'entraînement ajuste petit à petit, et que presque personne ne sait ensuite retoucher à la main. C'est d'une telle complexité ! Mais avec un petit budget et 50 passes pour regarder comment le modèle répond à ses retouches, Astra lui à réussi !

Le point de départ des chercheurs, c'est que Qwen tournait en rond sur les problèmes de maths. Ainsi sur ses 96 premières réponses d'entraînement, 85 pédalaient dans la semoule jusqu'à atteindre la limite des 32 768 tokens et donc sans livrer de solution... Snif... Astra a donc remonté ces boucles une par une jusqu'à une direction écrite par les couches 15 et 19 du modèle, puis il l'a soustraite des poids. Et voilà comment la part des réponses interrompues à cause de cette limite en token est tombée de 93 % à 33 %.

Alors, Qwen est-il vraiment devenu bon en maths grâce à Astra ?

Hé bien pas vraiment, et ce sont les auteurs eux-mêmes qui le disent dans leur papier. En fait, réparer des boucles permet surtout au modèle de finir des réponses qu'il savait déjà trouver. Ils ont d'ailleurs refait l'essai sur Gemma 3 270M, un modèle qui boucle rarement, et là, aucune des retouches d'Astra n'a fait bougé le score MATH-500 de plus d'un point. Voilà, donc contrairement aux grandes annonces que j'ai pu lire de ci, de là, retoucher les poids de Qwen a juste permis de lever un obstacle qui cachait une capacité existante, mais n'a en aucun cas ajouté une capacité qui manquait.

Cette expérience a ensuite été refaite par Jonathan Coletti, sur Hugging Face, qui a réévalué les poids publiés avec le prompt, les réglages et le correcteur des auteurs. Et il est passé d'un Qwen à 7,4 % à un Qwen à 50,2 % après, réflexion activée bien sûr (le mode "Thinking" quoi). Ça confirme donc bien le papier.

Mais Jonathan a aussi tenté le coup avec le mode réflexion coupé et là, la retrouche a fait perdre au modèle un peu plus de 2 points.

Quoiqu'il en soit, cette retouche peut se rapprocher de l'effacement d'une direction dans les poids, ce qui en gros est la recette de l'abliteration qu'utilisent déjà ces outils qui virent la censure des LLM . Astra serait donc potentiellement capable de lever des limites sur des modèles open source (dont les poids sont dispo)... Intéressant non ?

Voilà, donc si vous faites tourner ce petit Qwen chez vous et que vous optez pour cette version retouchée par Astra, activez bien ce mode Thinking car avec lui, le modèle aura la bosse des maths !

Source : Sparks of Weight-Space Programming

Les amis, insomnie depuis 3h du mat (ouais j'ai des soucis ^^), alors quoi de mieux que de bosser un peu ! J'avais cet article en brouillon depuis hier et comme j'ai trouvé ça super joli, je vous en parle ! Il s'agit de DiscImageStudio qui est un logiciel qui permet de transformer une image en données à graver sur un CD, un DVD ou encore un BD-R pour les plus riches d'entre vous, et une fois le disque écrit, hé bien votre dessin apparaît à l'œil nu sur sa surface.

Regardez-moi ça comme c'est beau :

Un dessin gravé par DiscImageStudio

L'idée n'est pas nouvelle puisqu'elle vient du projet CDImage , dont l'auteur avait jeté l'éponge en 2008 parce qu'il fallait calibrer l'image pour chaque marque et chaque type de disque. DiscImageStudio est donc reparti de ce code d'entrelacement pour les CD, et y a ajouté le DVD et le BD-R simple couche de 25 Go (ce dernier en mode expérimental...).

Sous Windows, vous importez donc votre image, vous faites vos petits réglages au niveau des calques, vous réglez le tramage, et puis vous exportez le tout ou vous gravez ça direct.

Pour un CD, ce qui est exporté c'est un WAV accompagné de son CUE (cdrecord ou ImgBurn savent le graver), et si c'est c'est un DVD ou un BD-R, ce que vous aurez à l'export c'est une ISO. Et vous pouvez même ajouter un dossier contenant quelques fichiers sur l'anneau intérieur ou extérieur du disque afin qu'il y ait quand même quelque chose de lisible dessus. Et dans ce cas, l'export CD sera là aussi une ISO de données.

L'onglet de conception, avec calques et tramage

Le vrai casse-tête étant la géométrie propre à chaque référence de disque (et c'est ça la raison de l'abandon de CDImage comme je vous le disais plus haut), DiscImageStudio embarque 5 préréglages calibré sur 3 modèles Verbatim, et 2 Ritek.

Pour un autre modèle de disque gravable, il faudra donc passer donc par une calibration assistée. En gros, vous gravez une mire, vous la photographiez, vous marquez une ligne à la main, et le programme cherche alors les paramètres qui la "redressent". Mais le résultat peut être hasardeux donc vérifiez bien la courbe prédite sur votre photo avant d'appliquer les paramètres.

Côté système, l'interface, calibration et gravure directe comprises, exige un Windows 10 2004 ou plus récent. Sur Mac et Linux, la version 1.3.6 sortie récemment dispose d'un mode expérimental en ligne de commande qui génère seulement les images disque, et c'est ensuite à vous de les graver, par exemple en ligne de commande ou avec le logiciel de votre choix.

Voilà, si vous avez des disques vierges dont vous ne faites rien et que vous n'avez pas peur d'en gâcher, ça peut vous faire de jolis éléments de déco.

Source : DiscImageStudio sur GitHub

Il m'aura fallu attendre un déménagement pour comprendre à quoi servait vraiment un télémètre laser , et depuis que celui de HOTO traîne à la maison, je mesure à peu près tout, y compris ce qui n'en a aucun besoin. La marque vient de l'écosystème Xiaomi, elle fabrique de l'outillage grand public plutôt joli, comme cette visseuse que je vous ai déjà montrée, et ce petit boîtier mesure tout ce qui passe entre 5 centimètres et 30 mètres, à 2 millimètres près.

36 grammes. Voilà ce que pèse l'engin, à peine 7 centimètres de long, rechargeable en USB-C (le câble est dans la boîte si vous n'en avez pas, mais je ne vous croirez pas), et il se glisse du coup dans une poche sans qu'on y pense.

Le fonctionnement est on ne peut plus simple, on cale l'appareil contre un mur, on appuie, et la distance jusqu'à la paroi d'en face s'affiche en une petite seconde sur un écran OLED qui se lit aussi bien en plein soleil que dans une cave.

Chez moi, il a servi à tout. Vérifier qu'un canapé de 2,40 mètres passait entre la fenêtre et le radiateur du salon, mesurer la hauteur sous plafond sans monter sur une chaise, recalculer la surface d'un couloir à repeindre parce que le pot de peinture promettait 10 mètres carrés et que je n'y croyais pas une seconde.

En visite d'appartement, vous relevez les cotes des pièces l'air de rien pendant que l'agent immobilier déroule son argumentaire, et vous savez avant de signer si l'armoire normande héritée de la mamie rentrera dans la chambre.

La mesure se prend au choix depuis l'avant ou l'arrière du boîtier, un détail qui n'en est pas un, puisqu'on plaque l'engin au fond de la niche du lave-linge et qu'on obtient la largeur exacte sans tordre quoi que ce soit dans l'angle. On peut aussi changer l'unité de mesure, mais a priori vous devriez rester sur le système métrique.

La batterie, je l'ai rechargée une fois en un mois, par acquit de conscience plus qu'autre chose.

Comptez une trentaine d'euros, parfois moins en promo, et à ce prix je ne vois pas bien ce qu'on peut lui reprocher, la visée est précise, la prise en main immédiate, et l'objet fait son petit effet quand vous le sortez devant un pote en plein montage de meuble.

La bête est disponible par ici sur Amazon , et croyez-moi, il va vous servir un paquet de fois.

Samedi, pendant que vous étiez tous en manif, Andrej Karpathy a demandé à Claude de lui fabriquer un YouTube à partir de toutes les merveilleuses vidéos que les gens se recommandent sur HackerNews et ça a donné naissance à HackerTube . Déjà rien que ça c'est top !

Mais moi ce qui m'a encore plus c'est que le lendemain Roansh a fait pareil avec les bouquins en laissant Claude coder HackerBooks .

Et voilà comment on se retrouve avec une bibliothèque de 15 766 livres tirés de 281 363 mentions HN publiées depuis 2007. Et un livre n'y figure que s'il a été cité par au moins 2 personnes différentes. Ensuite chaque fiche renvoie aux commentaires qui en parlent et il y a même des suggestions à la "For You" qui vous fait des propositions raccord avec vos goûts selon ce que vous avez ouvert comme fiche.

Ensuite, l'IA a fait un tri pour distinguer les citations des recommandations. Par exemple The Art of Computer Programming de Knuth cité par 1 125 personnes mais recommandé par 336, alors que How to Win Friends and Influence People de Dale Carnegie en compte 579.

Y'a même Mein Kampf, le livre préféré de ceux qui ont été bercés trop prêt du mur, qui a été cité (je pense pour la blague) par 535 personnes mais a été fièrement recommandé quand même par 15 personnes.

Bien sûr, on ne peut pas télécharger les livres gratuitement dessus. Ça renvoie vers Amazon et compagnie. Mais ça permet de prendre un petit peu la température sur les classiques, organisés dans différentes rubriques comme fiction, programmation, mathématiques, philosophie, fantaisie, etc.

Et si votre livre préféré manque à l'appel, ou si Claude l'a confondu avec un autre, n'hésitez pas à le signaler à roansh

Source : HackerBooks sur Hacker News

Je suis rentré de vacances hier et je pensais me remettre rapidement à écrire mais de l'administratif en retard en a décidé autrement... Mais peu importe, d'autres ont des soucis plus importants, vous allez voir...

En effet, ce 1er novembre, à 22 h 47 précisemment, l'appli ukrainienne Air Alert, utilisée pour alerter les Ukrainiens afin qu'ils se mettent à l'abri, s'est mise à envoyer n'importe quoi !! Alerte aérienne critique sur tout le pays, et pour les habitants de Kiev en cadeau bonus une menace radiologique, une attaque chimique et des combats de rue.

L'un des messages, écrit en russe, annonçait même une alerte nucléaire imminente en ajoutant que c'était l'Oreshnik, un missile russe, qui arrivait... brrrrr les gens ont du tellement flipper. D'après un communiqué ukrainien relayé par la BBC, le signal "radiation" s'est aussi déclenché sur des haut-parleurs de la région de Lviv au nord de l'Ukraine. Heureusement, très rapidement les développeurs ont coupé les notifications push et ont suspendu l'appli.

Les alertes (écrites en russe !!) reçues par les Ukrainiens (source : BBC)

Quelques heures plus tard, tôt ce matin, c'était au tour du ministère russe des Situations d'urgence d'annoncer une "cyberattaque massive" sur sa propre appli. D'après le Kyiv Post , ces fausses alertes parlaient d'ogives nucléaires lancées vers toutes les régions de Russie. Elles sont aussi apparues sur des canaux régionaux du ministère sur Max, la messagerie soutenue par l'État .

Donc voilà, grosse nuit de frayeurs pour tous les civils russes et ukrainiens...

Alors qui se trouve derrière ces hacks ?

Hé bien d'après l' Associated Press , un des faux messages ukrainiens citait un groupe baptisé Hitcore, et Mash, une chaîne Telegram russe liée aux services de sécurité. L'AP a échangé avec l'un de ses représentants, qui a revendiqué l'attaque. Côté russe, la BBC rapporte que le média ukrainien UNN cite Atesh, un groupe de partisans ukrainiens qui serait à l'origine de l'opération mais rien de tout ça n'a pu être vérifié.

Quant au "comment", on n'en sait pas plus...

Les dev d'Air Alert parlent de personnes non autorisées , le ministère russe d'une vulnérabilité de son appli mais chacun assure par contre que l'essentiel a tenu... Heureusement, en Ukraine, l'appli est séparée des systèmes de commandement militaire, et pour le ministère russe, ce n'est qu'un service annexe à côté des sirènes et des SMS.

Du coup, je me suis demandé : Et en France, ça se passe comment ?

Ici, FR-Alert fonctionne depuis juin 2022 et vous n'avez rien à installer. C'est le ministère de l'Intérieur ou une préfecture qui déclenche l'alerte via un système dont le partenaire technologique est Intersec , et ce sont ensuite les antennes des opérateurs qui la diffusent sur un canal radio dédié, avec au besoin des SMS géolocalisés en complément. Le message s'affiche alors en quelques secondes, même sur votre téléphone verrouillé, sauf s'il est éteint ou en mode avion.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Comme ce n'est pas une application, il n'y a donc pas de notifications push à détourner. Mais le système n'est pas infaillible pour autant... le Brésil, qui a un système similaire au notre, s'est fait hacker en juin et une dizaine de fausses alertes sonores sont parties mentionnant entre autre une "invasion extraterrestre"... L'alerte a réveillé plusieurs villes soit environ 30 millions d'habitants, d'après l' Agência Brasil .

Putain, j'imagine pas ma tête à 3h du mat avec une alerte comme ça sur mon téléphone qui me dit que les aliens ont débarqué...

D'après des documents de la Défense civile transmis à la police fédérale et publiés par Metrópoles , les messages sont partis de la plateforme officielle, l'Idap, avec les identifiants de deux agents de la Défense civile du Pará, et avec des indices que la plateforme les a laissés viser des villes hors de leur zone. Ensuite, fin juin, le gouvernement Brésilien a alors coupé l'accès externe à la plateforme et imposé un second facteur d'authentification. Ouf !! J'espère que chez nous, y'a une 2FA en place aussi là dessus... CE SERAIT BIEN, HEIN !

Le canal radio à l'ancienne a aussi sa faiblesse, mais elle reste locale puisqu'en 2019, des chercheurs de l' université du Colorado ont montré en labo qu'une fausse antenne pouvait diffuser une fausse alerte présidentielle américaine. Selon eux, avec des émetteurs du commerce, ça toucherait environ 90 % des téléphones à portée de la surface d'un stade.

Donc voilà... je ne dis pas que ça n'arrivera jamais, ça peut arriver. En plus, comme ces alertes peuvent embarquer un lien, vaut mieux vérifier avant de cliquer.

Source : BBC

Vous cherchez sur Google (ouais à l'ancienne) comment faire un peu de place sur votre ordi parce que votre disque est déjà plein. Et bizarrement, le premier résultat de recherche c'est une conversation partagée de ChatGPT hébergée sur le vrai site d'OpenAI, avec des étapes bien propres et une commande à coller dans le Terminal afin de libérer un peu d'espace disque.

Sauf que ce tuto, hé bien c'est pas un vrai tuto made in korben.info, non, c'est une conversation avec une IA sur un domaine légitime (chatgpt.com) qui va vous pousser à installer un affreux malware. Et n'allez pas croire que c'est de la science-fiction, c'est exactement ce qu'a vécu une victime dont les analystes de Huntress ont traité l'infection début décembre 2025. La commande présente dans ce tuto a installé AMOS, un voleur de données qui a dérobé son mot de passe admin, les droits root, et s'est incrusté sur l'ordi pour ensuite tout capter.

Source de l'image : Huntress

C'est l'attaquant lui-même qui a créé cette conversation, l'a partagée en mode public et ensuite l'a fait remonter dans Google avec un peu de SEO pour que ça ressorte dans les premiers résultats de recherche. Et la même combine a également été observée sur Grok.

Voilà, donc l'arnaque ici c'est que l'interface est authentique (c'est une vraie conversation), mais ce qu'elle raconte a été forgé par un cyber-escroc.

Et ça ce n'est qu'un exemple de toutes ces attaques boostées à l'IA qui commencent à se multiplier et qui sont très créatives !

Le piège de la commande à copier coller

Autre exemple, entre avril et juin 2026, dans ce rapport de TrendAI on découvre une campagne de pubs Google qui a d'abord mené vers de fausses pages de téléchargement, puis vers des conversations Claude partagées (dont l'une s'intitulait "Clearing disk space on macOS") et qui aurait fait +2000 victimes. Le scénario est à peu près le même avec un Terminal à lancer, une commande à coller, et le malware MacSync qui s'installe pour voler les "secrets" de l'utilisateur. Heureusement, Anthropic a banni les comptes et désactivé ces conversations dès que l'affaire a été découverte.

Source de l'image : TrendAI

De son côté, ESET , qui surveille énormément toutes ces attaques d'un nouveau genre, regroupe sous le nom d'AI-fix ces pages publiées sur le domaine d'un service d'IA, permettant de diffuser des virus. L'entreprise slovaque est même tombée sur une fausse pub Google Ads pour Homebrew menant à la catastrophe pour tous ceux qui s'aventuraient à recopier les commandes sur leur ordinateur. Apple a heureusement bien réagi de son côté puisque depuis macOS 26.4, le système analyse les commandes collées dans le Terminal avant de les exécuter. Ouf !

Toutefois, Jamf Threat Labs a documenté en avril une variante qui contourne le Terminal à l'aide d'une fausse page "pour récupérer de l'espace disque" (toujours le même sujet "appât") qui ouvre, quand on clique sur un bouton, l'Éditeur de scripts de macOS avec un script vérolé déjà chargé. Comme ça y'a rien à copier, mais juste à lancer... Argh !

Source de l'image : Jamf Threat Labs

Donc le réflexe ne change pas, hein... Si une commande ou un script sort d'une conversation, d'un forum ou d'une page web, même si ça vient de chez ChatGPT (SURTOUT si ça vient de ChatGPT), on ne l'exécute pas sans savoir ce qu'il fait !!

L'arnaque ClickFix

Sous Windows, c'est à peu près le même piège mais via une autre porte d'entrée. Quand vous avez un OS de Microsoft, la page vous demande également de copier et de coller une commande mais cette fois, au choix, dans la fenêtre Exécuter (Windows + R), dans Windows Terminal ou dans PowerShell. Microsoft décrit cette technique, baptisée ClickFix, dans un billet de son blog sécurité . Cette "arnaque" simule même parfois de faux captchas vous incitant à lancer des lignes de commande pour accéder au contenu. Et c'est sûr que quand on a l'habitude de zapper des captchas à la vitesse de l'éclair et qu'on ne connait rien en ligne de commande, la manip est vite faite malheureusement ! Bref, parlez-en autour de vous.

Source : BleepingComputer

Les pages d'IA servent donc de décor là à tout ça. Push Security a même décrit en mai 2026 une fausse panne de ChatGPT, conçue à l'aide de la fonction de rendu de code et donc hébergée sur chatgpt.com. On n'y voit que du feu et ça renvoyait vers un faux site de téléchargement avec des boutons macOS et Windows histoire de récupérer les bonnes lignes de commande. Parfois, c'est même un GPT personnalisé avec lequel on peut discuter, hébergé sur ChatGPT.com et dont chaque réponse mène à une page qui sert un ClickFix.

Des liens et du code piégés

Pour les liens renvoyés par les IA, même si c'est moins spectaculaire, ça peut aussi faire des dégâts. Dans ce billet de juillet 2025 , Netcraft raconte par exemple avoir testé un modèle de la famille GPT-4.1 en lui demandant l'adresse des pages de connexion de 50 marques, avec des phrases toutes bêtes du genre "j'ai perdu mon marque-page, où ce que je me connecte sur tel ou tel site".

Et sur les 97 domaines proposés, 34 % n'appartenaient pas à la marque, dont près de 30 % des domaines libres, parqués ou inactifs. Donc forcément récupérables par un escroc...

Et chez Perplexity, une attaque similaire a même été mise en place. Ainsi, quand on lui demandait l'adresse de connexion de Wells Fargo (c'est une banque), le premier lien menait à un faux site sur Google Sites qui captait les identifiants des brebis égarées. Bref, un lien de connexion, soit vous le tapez vous-même, soit vous le gardez au chaud dans vos marque-pages.

Et c'est la même histoire avec le code... Hé oui, par exemple, Netcraft a repéré une fausse API Solana, glissée dans des tutoriels et des dizaines de dépôts GitHub, qui a fini par atterrir dans les suggestions des assistants de code. Du coup, une fois l'API implémentée dans un vrai projet, les transactions partaient vers le portefeuille de l'attaquant. Au moins 5 victimes l'ont copiée dans leurs projets publics, dont certains développés avec des outils d'IA... Donc si votre assistant IA vous propose une API que vous ne connaissez pas, je vous recommande chaudement de la chercher dans la doc officielle avant de l'intégrer.

Les agents IA et leurs skills

Reste maintenant le cas des agents, ces IA qui lisent des pages et font des trucs à votre place. En août 2025, Brave a montré , via un proof of concept, qu'un commentaire Reddit, avec des instructions cachées derrière une balise "spoiler", suffisait à retourner la veste de Comet, le navigateur à agent de Perplexity . Dès que l'utilisateur demandait le résumé de la page, il récupérait son adresse e-mail sur Perplexity, déclenchait l'envoi d'un code de login 2FA, le lisait ensuite via Gmail et publiait le tout (email + code) en réponse au commentaire.

Source : Brave

Voilà, donc le réflexe, c'est de ne pas confier votre messagerie à un agent qui lit n'importe quelle page.

Et pour les skills, ces petits modules qu'on greffe à un agent, ESET dit en avoir analysé 900 000, dont 25 000 suspectes et plus de 3 000 clairement malveillantes. C'est pourquoi ils proposent un outil gratuit, l' AI Skills Checker , pour les passer au crible avant leur installation. Après, le minimum avec une skill, c'est au moins de regarder les permissions qu'elle demande et qui l'a écrite.

Et le phishing ça donne quoi ?

Quant au bon vieux phishing, hé bien il est juste devenu beaucoup moins cher à fabriquer. Dans une étude sortie fin 2024 , sur 101 participants répartis en quatre groupes, des e-mails de spear phishing entièrement rédigés par IA ont réussi à obtenir 54 % de clics, contre 12 % pour du phishing traditionnel fait par des humains. En fait l'IA permet de viser plus de monde à moindre coût et surtout de personnaliser à grande échelle les contenus de phishing.

Donc dans le doute, si on vous demande de l'argent ou un code, même dans un message impeccable, renseignez-vous avant de cliquer ou de saisir des infos car après, c'est toujours trop tard.

Le filet de sécurité d'ESET

Voilà comme d'hab quand il s'agit de cybersécurité, tout se joue d'abord sur des réflexes à adopter... Mais quand le réflexe est absent, un logiciel peut venir à notre secours et nous servir de filet de sécurité. C'est pour cela qu'ESET propose dans ESET Internet Security une "AI Conversation Security" qui analyse chaque réponse de ChatGPT pour détecter si elle contient des sources douteuses et du code malveillant. Et si elle en trouve, elle vous prévient immédiatement.

Ça passe par une extension pour Chrome, Firefox, Edge et Brave et ça ne fonctionne qu'avec ChatGPT.

La page "Confidentialité et sécurité du navigateur" d'ESET affiche les quatre navigateurs pris en charge : Chrome, Firefox, Edge et Brave.

Je l'ai testé sous Windows 11 avec ESET Smart Security Premium 19 et Edge. La fonctionnalité s'appelle précisément "Sécurité des conversations IA" et pour voir si c'est efficace, j'ai demandé à ChatGPT de me sortir les liens vers un fichier de test EICAR et sa chaîne de caractères dans un bloc de code. Si vous ne connaissez pas EICAR, c'est une suite de caractères inoffensive qu'on utilise pour tester le bon fonctionnement des softs d'antivirus.

Et bien sûr, dans ma conversation, le bloc est passé en rouge avec une icône d'alerte, me disant que, je cite, "Cette réponse contient du code dangereux. Son exécution pourrait mettre votre système ou vos données en danger."

Montage de deux zones d'une même capture : l'infobulle d'ESET et le bloc de code marqué d'une icône d'alerte.

Reste qu'EICAR est un motif que tous les antivirus reconnaissent donc ça prouve que l'alerte fonctionne, mais pas qu'elle est infaillible, donc voyez ça comme un "deuxième regard" sur ce qui se passe dans votre chatbot préféré et pas comme un gilet pare-balles.

Le réglage "Analyse des conversations" dans l'extension d'ESET, ici activé.

Notez que cette fonction arrive aussi dans ESET HOME Security Premium et Ultimate , et dans ESET Small Business Security pour les TPE et les indépendants. Côté agents IA, ces offres d'ESET sont aussi capables de jeter un œil sur ce que l'agent s'apprête à faire, pour repérer ce qui serait louche avant que ça parte définitivement dans vos process. Ouf !

Bref, l'usage de l'IA par les cybercriminels n'aura jamais fini de m'étonner donc soyez très prudents et vigilants. Et n'hésitez pas à vous équiper d' outils comme ceux d'ESET pour assurer vos arrières.

Après tout, nous ne sommes pas infaillibles.

Découvrir les offres de sécurité ESET

UGREEN vend depuis quelques semaines un chargeur un peu particulier, le Nexode Pro 160W , dont l'argument principal n'est pas la puissance (pourtant bien là) mais le câble USB-C rétractable intégré au boîtier, un enrouleur qui se déroule sur 70 cm avec huit crans d'arrêt et qui revient se loger dans le bloc tout aussi simplement.

L'idée est toute bête. Le câble est donc en permanence dans le chargeur, donc plus rien à transporter ni à oublier.

Ce câble délivre jusqu'à 140 W, tout comme le premier port USB-C du bloc, alors que le deuxième s'arrête à 100 W et que l'USB-A de service dépasse à peine les 20 W, le tout dans la limite des 160 W que le chargeur répartit de lui-même entre les prises occupées quand vous branchez plusieurs appareils.

La densité de l'appareil, comme toujours désormais, vient du nitrure de gallium, ce semi-conducteur qui a remplacé le silicium dans les chargeurs puissants de ces dernières années et qui permet de caser tout ça, écran compris, dans un format tour d'un peu plus de 300 grammes.

Parce qu'il y a un écran, oui. La petite dalle couleur de la face avant affiche en continu la puissance, la tension et la température de chaque port, de quoi voir d'un coup d'oeil si l'iPhone tire bien ses watts ou si un vieux câble bride la charge, et l'application Ugreen Connect ajoute le suivi à distance en Bluetooth ou en Wi-Fi, la coupure d'un port et la mise à jour du logiciel interne. Pour le coup ça n'est pas indispensable, mais on va dire que ça fait partie du jeu en 2026.

Je n'ai relevé aucune surchauffe avec quatre appareils branchés, et mon MacBook Pro 14 pouces récupère plus de la moitié de sa batterie en à peu près 20-25 minutes minutes sur le câble intégré.

Pour le tarif, UGREEN demandait 130 euros au lancement et affiche une centaine d'euros en ce moment. C'est cher, mais pas tant que ça si on considère la puissance et le servie rendu. Si vos journées se partagent entre un Mac, un iPhone et une tablette, je ne vois pas de chargeur de bureau mieux pensé en ce moment. Il est disponible par ici sur Amazon .

UGREEN m'a envoyé sa station de charge Nexode Pro 300W il y a quelques semaines, et elle n'a plus quitté mon bureau depuis. Le bloc remplace à lui seul le chargeur du MacBook, celui du téléphone et les alimentations qui traînaient derrière l'écran, avec 300W à répartir sur huit sorties.

Dans le détail, la bête aligne six ports USB-C, un port USB-A pour dépanner et une sortie DC de 240W, cette prise ronde qui alimente certains PC portables gourmands. Les trois premiers ports USB-C montent chacun à 140W grâce au PD 3.1, la norme de charge rapide la plus musclée du moment, les deux suivants plafonnent à 100W et le dernier à 30W.

Tout ça tient dans un boîtier raisonnable grâce au GaN, le nitrure de gallium qui remplace le silicium dans les chargeurs récents et qui chauffe beaucoup moins à puissance égale. UGREEN annonce un rendement de 93 %, et après des semaines à charger un MacBook Pro, un iPhone et une tablette en même temps, le bloc est à peine tiède.

Côté vitesse, le constructeur annonce un MacBook Pro M5 rechargé à 56 % en 30 minutes, un iPhone 17 Pro Max à 65 % dans le même temps, et même deux MacBook Pro à 50 % en moins d'une demi-heure. En pratique, mon portable reprend des couleurs le temps d'un thé, et je n'ai jamais vu la station broncher avec cinq appareils branchés.

Le petit écran TFT affiche en temps réel la puissance tirée par chaque port, et une appli en WiFi permet de suivre tout ça à distance, de régler chaque sortie et de choisir entre cinq modes de charge. Gadget ? Peut-être. Mais je passe mon temps à regarder les watts défiler, c'est plus fort que moi.

Attention quand même, il vous faudra aussi lui réserver une vraie place, ce n'est pas un chargeur qu'on glisse dans un sac, il est fait pour rester posé là.

Niveau prix justement, la station est affichée en ce moment à 126 euros au lieu de 170 sur Amazon , environ un quart de remise, alors qu'elle était lancée cet été autour de 200 dollars. Du coup, la facture devient nettement plus digeste pour qui veut faire le ménage dans ses chargeurs.

Il est disponible par ici sur Amazon , et je vous le recommande vivement.

Est-ce que vous faites partie de ceux qui pensent qu'un VPN, bah, ça chiffre, ça tourne et tout va bien ? Parce qu'en 2027, les questions à se poser sont un peu différentes (2027 oui, je suis déjà dans le turfu). Même si aujourd'hui vos données sont protégées, est-ce que ce sera encore le cas face à un ordinateur quantique ? (qui n'existe pas encore, mais ça semble vite se rapprocher). Et est ce que vous scannez parfois des QR codes (sur des parcmètres, des tables de restaurant pour charger un menu, etc.) sans réfléchir ?

Si oui, ce que Surfshark vient d'annoncer ces dernières semaines va peut-être intéresser et on va voir ça ensemble.

WireGuard post-quantique : parce que "voler maintenant, déchiffrer plus tard" ça existe déjà

Le premier point est plutôt important : Surfshark vient de déployer une version de WireGuard entièrement post-quantique. Ils seraient même les premiers au monde à avoir implémenté ça.

Comme c'est important de comprendre pourquoi, je vous remets un peu de contexte. On commence à devoir faire à des attaques que l'on appelle "steal now, decrypt later". À l'heure actuelle des acteurs gouvernementaux (ou autres) interceptent et stockent déjà massivement du trafic chiffré. Et quand arriveront les ordinateurs quantiques capables de casser les algorithmes actuels, on pourra remonter et lire vos données partagées depuis hier. Sympa, non ? Alors oui vous allez me dire que ce ne seront pas des données récentes. Sauf que certaines ne changent pas au cours du temps. Vous aurez toujours le même nom, les mêmes antécédents de santé, très souvent la même adresse physique, le même mail, etc.

Pour lutter contre ce type d'attaque, il faut 3 éléments. D'abord le chiffrement, ensuite l'échange de clés et enfin l'authentification. Le problème, c'est que les 3 sont rarement couplés. Le chiffrement est quelque chose d'assez commun maintenant, le ML-KEM (échange de clés post-quantique) commence à se diffuser, mais le ML-DSA (certificats d'authentification post-quantiques) est un autre niveau de galère. Car il demande de revoir tout le système de confiance et cela derrière chaque connexion sécurisée.

Si l'on regarde du côté des grosses plateformes cloud de gestion de clés (AWS KMS, Google Cloud KMS et les autres mammouths du marché), la moitié seulement a déjà intégré ML-KEM et moins d'une sur 10 dispose du ML-DSA. Et l'on parle de géants, pas des applis de petite échelle qui sont encore moins bien préparées. Ni Apple ni Microsoft ne l'ont activé dans leurs logiciels utilisateurs pour l'instant. Quand les ordinateurs quantiques arriveront, un VPN sans authentification post-quantique sera la porte ouverte au session takeover. La machine quantique se fera passer pour le serveur au moment même où vous vous connecterez.

Surfshark combine donc déjà le duo ML-KEM + certificats ML-DSA dans WireGuard. Ce n'est disponible pour l'instant que sur iOS et macOS, mais les autres plateformes sont prévues dans les prochains mois. Et pour rappel, ils avaient déjà lancé Dausos , leur protocole maison conçu post-quantique depuis la première ligne de code. Ils ne rigolent pas sur le sujet.

Changer d'IP toutes les cinq minutes, sans couper

Lorsque vous êtes connecté à un VPN, vous avez une adresse IP (Captain Obvious a pris possession de ce corps). Elle ne change pas tant que vous ne vous déconnectez pas. Or une IP fixe, même si ce n'est pas la vraie, c'est toujours un élément qui permet aux annonceurs et aux data brokers de vous recouper entre les sites et de construire votre profil.

La rotation d'IP de Surfshark change votre adresse automatiquement après quelques minutes (5 à 10 minutes selon la région choisie). Et sans couper votre connexion VPN. Pas de microcoupure, pas de "ah bah mon app a planté pendant que l'IP switchait".

L'outil va même encore plus loin en proposant la fonctionnalité Multi IP, qui s'appuie sur leur technologie Nexus. Au lieu d'avoir une seule IP de sortie pour tout votre trafic, chaque site que vous visitez passe par une IP différente, pendant la même session VPN. Concrètement cela veut dire que le site A vous voit avec l'IP n°1, le site B avec l'IP n°2, etc. Les deux sites ne peuvent plus vous corréler. Vous pouvez choisir de limiter cette rotation à un pays, une zone ou le monde entier. Pour l'instant, cette dernière option est encore une fois dispo sur macOS uniquement, dans les paramètres avancés. J'entends les pleurs des windosiens et linuxiens jusqu'ici.

Alors il faut tout de même mentionner que l'option monde (global) peut parfois faire capoter certains sites ou applications qui détestent voir votre IP changer toutes les cinq minutes. C'est une fonctionnalité adaptée pour les gens paranos qui veulent le niveau de vie privée maximum, moins pour binge-watcher tranquillement.

Une petite info rapide supplémentaire pour ceux qui ont (ou prendront) un abonnement One ou One+ et qui bénéficient donc de l'antivirus. Dorénavant la moindre ligne de code passe par plusieurs étapes : peer review (humains + IA), tests internes, analyses de vulnérabilité & co et sont certifiés via le processus de signature Microsoft. Ça ne parait pas flamboyant dit comme ça, mais un driver ou une mise à jour, non signé ou mal testé, reste une porte d'entrée pour pas mal de bouses numériques. Un fournisseur qui documente ses pratiques de déploiement, c'est encore trop rare dans l'industrie alors que ça devrait être la base. Ici tout le processus est écrit noir sur blanc et ça va avec la politique d'ouverture de la firme (audits indépendants, politique de non-conservation des logs, etc.)

Le quishing c'est quoi ?

Maintenant, parlons d'une menace qui trouve sa source dans notre vie quotidienne. Le quishing (contraction de QR code et phishing) fait référence aux QR codes malveillants qui redirigent vers de fausses pages de connexion. Ou déclenchent de manière automatique un téléchargement de malware dès qu'il a été scanné. Pourquoi c'est en train de devenir le vecteur à la mode ? Il y a 3 raisons principales et elles sont assez faciles à comprendre :

• Déjà vos yeux ne peuvent pas lire un QR code. Si c'est le cas faites-le-moi savoir lol. Un lien de phishing, vous pouvez le survoler pour voir ou il mène avant de cliquer. Un QR code c'est beaucoup moins simple. Le contenu est invisible jusqu'à ce que les dégâts soient faits.
• Les filtres de votre fournisseur d'email sont prévus pour scanner du texte, pas des images. Une URL en clair dans un mail se fait flagger tout de suite alors que la même URL encodée dans un QR code passe comme une lettre à la poste.
• Le scan est dans 99% des cas effectué via un mobile, hors des protections de votre PC perso ou d'entreprise : pas de filtre DNS, pas d'EDR, rien.

Les chiffres avancés sont probablement bien plus élevés que vous ne le pensez. Les QR codes représentaient déjà plus de 10% de toutes les attaques de phishing en 2025. Leur but est le vol d'identifiants, récupérer vos numéros de CB, de vous faire vous connecter à un fax site bancaire, etc. Et beaucoup de personnes scannent sans même imaginer qu'une arnaque de la sorte est possible. Il faut dire que ce n'est pas très difficile à mettre en place. Il suffit de placer des dizaines/centaines de stickers par-dessus de vrais codes (parcmètres, bornes de recharge, tables de restaurant, dépliants de musée, distributeurs de billets, etc) et le tour est joué.

Les QR Code c'est l'enfer

Les réflexes à avoir ? Penser à lire l'aperçu d'URL avant d'ouvrir (votre caméra la montre parfois) ou installez une appli de lecture de QR qui propose la prévisualisation avant ouverture, se méfier de tous QR code dans un mail (surtout non désiré), vérifier qu'un sticker n'a pas été collé par-dessus un autre. Et passer par l'application officielle plutôt que par le QR code pour tout paiement. La prudence, ça marche souvent.

D'un côté on a un ordinateur quantique (qui n'existe pas encore, mais qui va changer beaucoup de choses en termes de cybersécurité) et de l'autre des QR code malveillants qui se propagent déjà. La menace a plusieurs visages. Entre les deux, disposer d'une suite d'outils qui s'adaptent en continu et qui anticipent le futur, c'est toujours bon à prendre.

L'offre du moment

Les tarifs restent les mêmes et font de la firme au requin l'un des meilleurs rapport qualité/prix depuis de nombreuses années (mon comparatif des meilleurs VPN du moment pour plus d'infos). Sur un engagement 24 mois (+3 mois offerts) l'offre :

• Starter (VPN seul) revient à 2,49 € HT/mois
• One à 2,99 € HT/mois (VPN + antivirus, Alert, Alternative ID, la protection anti-scam et le web content blocker)
• et One+ à 4,49 € HT/mois (avec Incogni en plus de tout ce qui est compris dans One)

Profite de l'offre du moment !

Il y a quelques jours, durant la conférence Hexacon à Paris, un chercheur nommé Quentin Kaiser a rendu publique une faille de sécurité qui traîne depuis au moins 2010 dans la fonction WPS de Broadcom. Je dis "qui traine" au présent parce qu'elle n'est toujours pas patchée évidemment. Alors si vous ne savez pas ce qu'est WPS, c'est une fonctionnalité qui permet de connecter un appareil au WiFi sans avoir taper la clé.

Cela veut dire que quelqu'un à portée du réseau sans fil peut faire exécuter son propre code à une box ou à un point d'accès, sans avoir à connaître la clé du réseau et sans même mener un enrôlement WPS jusqu'au bout.

Son exploit, il l'a filmé sur deux box belges. Chez Orange Belgium (une Askey TCG3000), où son code lit la clé Wi-Fi dans la mémoire de la box et la renvoie via les ondes, ce qui lui permet ensuite de rejoindre le réseau. Chez l'opérateur Proximus (une BBOX3V+), il ouvre un shell à distance au travers des trames Wi-Fi, donc sans avoir recours à un serveur extérieur. L'antenne qu'on voit sur la vidéo ci-dessous ne doit d'ailleurs pas faire croire qu'il faut être collé à la box puisque d'après Kaiser, ça marche de loin !!

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/faille-wps-broadcom-routeurs-wifi/faille-wps-broadcom-routeurs-wifi-1.mp4">lien vers la vidéo</a>.

La Disquette , j'sais pas si vous êtes déjà tombés dessus, mais c'est un site qui propose chaque semaine un ancien jeu PC Windows jouable gratuitement durant sept jours, sans rien installer. Et cette semaine, et jusqu'au lundi 26 octobre, c'est Grand Theft Auto 2, le Rockstar de 1999. Et ensuite, ce sera Counter-Strike 1.6 à partir du 26, puis Crimson Skies le 2 novembre.

Vous l'aurez compris, le jeu ne tourne pas chez vous puisqu'il s'exécute sur les serveurs du site et déboule en streaming vidéo H.264 avec le son via WebSocket, tout ça décodé par votre navigateur. Du cloud gaming quoi mais pour les vieux jeux. Même GoG n'y avait pas pensé !!

Votre clavier AZERTY est bien sûr pris en charge, la souris peut se verrouiller pour les jeux de tir, et le plein écran capture même les touches Échap, Ctrl+W et la touche Windows (Chrome et Edge) pour éviter les sorties intempestives du jeu.

Le menu de GTA 2 dans sa fenêtre, lancé en invité

Et tout ça s'affiche dans un faux bureau Windows XP bien kitsch comme je l'aime avec ses collines vertes, son bouton démarrer et une fenêtre façon Internet Explorer pour la fiche.

J'ai donc lancé GTA 2 en invité depuis Chrome pour voir ce que ça donne et après un petit son de lecteur de disquette que j'ai adoré, le jeu s'est lancé.

Côté sauvegardes, en mode invité, votre progression ne sera pas conservée à la fermeture de la fenêtre donc pour vraiment vous y mettre, il vous faudra un compte joueur, et cliquer sur le bouton "Garder ma progression" de la fenêtre de jeu. Aucune adresse email n'est demandée, ce qui est cool pour nos data, mais faudra pas oublier votre mot de passe.

Avec un compte, le site enregistrera alors tout seul votre partie, jeu par jeu, et vous la retrouvez le jour où le titre repasse dans la rotation. Sachez juste qu'une session de gaming s'arrête également au bout 15 minutes d'inactivité donc ne vous absentez pas trop longtemps.

Et un grand merci à Bastien, qui développe ce projet sur son temps libre, pour le kiff !

J'ai pas mal de déplacements pro en ce moment, et comme je suis sur plein de projets en même temps, c'est un peu relou. Parce que tout ne tourne pas uniquement sur mon ordi portable. J'ai des traitements un peu plus lourds qui tournent par exemple sur mon Mac Studio et faut dire que je lui en fais vraiment voir de toutes les couleurs à celui-là...

La plupart du temps, j'arrive heureusement à tout gérer à distance en me connectant en SSH à l'ordinateur via mon VPN privé (ça me permet d'avoir toutes mes machines sur le même réseau local virtuel comme ça c'est chiffré et sécurisé) mais il arrive parfois que je doive cliquer sur un bouton ou taper un mot de passe via l'interface de macOS.

Jusqu'à présent pour ce genre de choses, j'utilisais donc l'application Partage d'Écran fournie par Apple, mais je ne sais pas vous, chez moi ça lag furieusement et c'est vraiment pas pratique à utiliser. Bref, j'aime pas.

Je me suis donc rabattu sur des Real VNC et compagnie, mais pareil, ce n'est pas un protocole et des clients que je trouve très efficaces. Et j'avais pas envie non plus de payer un peu au pif une app présentée comme meilleure comme celle-ci d'Apple pour voir ce que ça donne :

Du coup, je me suis créé à l'aide d'agent IA, ma propre application de prise de contrôle à distance en y mettant toutes les fonctionnalités dont j'avais besoin.

Ça s'appelle Korben Remote Desktop et ça fonctionne en deux parties. On a d'un côté un petit agent sur l'ordi à contrôler, qui demande juste les autorisations système "Enregistrement de l'écran" et "Accessibilité" (sans oublier la fonctionnalité de Session à distance activée dans Partage, pour le tunnel SSH au niveau des réglages de macOS), et de l'autre côté le client sur le Mac que vous avez sous les yeux. Les deux se parlent ensuite à travers un tunnel SSH chiffré, sur votre réseau local ou votre VPN privé, sans passer par aucun serveur chez moi ni ailleurs puisque l'appli refuse carrément les adresses IP publiques pour des questions de sécurité.

Voici tout ce que j'ai mis en place dans cette application :

• Une image fluide, jusqu'en 4K. Capture ScreenCaptureKit, encodage HEVC ou H.264 par la puce du Mac, transport UDP chiffré avec de la parité Reed-Solomon pour encaisser les paquets perdus. Qualité au choix (Automatique, 720p, 1080p, 4K ou Native) et cadence de 30, 60 ou 120 images par seconde.
• Un Wi-Fi qui coupe n'est plus un drame. Une micro-coupure est traitée comme un retard et pas comme une perte, et trois priorités de présentation (Réactif, Équilibré, Fluide) règlent le tampon selon que vous voulez la latence la plus basse ou aucun gel d'image.
• Le son aussi. Le son système du Mac distant arrive au format Opus, et si y'a pas de son, aucune bande passante n'est consommée pour ça.
• Souris, clavier et raccourcis. Défilement précis, boutons latéraux compris, et les raccourcis partent au Mac distant tant qu'il a le clavier (⌘C copie là-bas, pas chez vous). Ceux du client sont donc basculés en ⌃⌥⌘ pour ne pas leur marcher dessus.
• Un mode jeu. Capturer la souris (⌃⌥⌘G) cache le curseur, envoie le mouvement brut sans le bloquer aux bords de l'image et passe le clavier en touches physiques, donc W reste la touche W quelle que soit la disposition. Les manettes passent aussi, en expérimental.
• Tous les écrans. Vous passez d'un écran à l'autre, ou vous les affichez tous à la fois (⌃⌥⌘A), rangés comme sur le Mac distant, le pointeur passe de l'un à l'autre et une fenêtre se tire d'un écran à l'autre. Un écran branché ou débranché pendant la session apparaît ou disparaît tout seul.
• Zoom et plein écran. Un zoom comme celui de macOS (pincement à partir du curseur, déplacement à deux doigts, double toucher) et un plein écran système dont la barre d'outils se range.
• Les fenêtres des apps distantes, chez vous. Une fenêtre d'une application du Mac distant (un Terminal du Studio, par exemple) peut s'ouvrir comme une fenêtre indépendant sur votre Mac. Vous la déplacez, la redimensionnez, vous tapez et cliquez dedans, et c'est l'application distante qui répond. Quand elle a accès au clavier, la barre des menus de votre Mac affiche même les menus de cette application distante, et un clic droit y ouvre le vrai menu contextuel du Mac distant.
• Fichiers et presse-papiers. Presse-papiers texte partagé, transfert de fichiers dans les deux sens, y compris en glisser-déposer vers et depuis le Finder distant. Un transfert interrompu peut également reprendre sans tout recommencer. Les fichiers reçus sont ensuite mis en quarantaine, comme n'importe quel téléchargement.
• Reconnexion automatique. Si le lien tombe, l'image se grise et le client réessaie jusqu'à ce que vous l'arrêtiez, en gardant vos fenêtres déportées. Et si aucune session n'est ouverte sur le Mac distant (après un redémarrage, par exemple), l'appli vous propose alors d'ouvrir le Partage d'écran d'Apple pour taper votre mot de passe, puis reprend la main dès que l'agent est prêt (J'ai pas d'autre choix que de faire comme ça).
• Un Mac qui ne montre rien pendant que vous bossez dessus. Durant une session, l'écran du Mac distant est noir pour quelqu'un qui passerait devant, son clavier et sa souris sont bloqués et ses haut-parleurs sont coupés (le son, lui, continue d'arriver chez vous). À la déconnexion, l'agent demande au lecteur multimédia de se mettre en pause (s'il peut le faire) et verrouille la session, par défaut.
• Un accès depuis un simple navigateur. L'agent peut aussi ouvrir un accès web, à démarrer explicitement dans sa fenêtre. Vous copiez un lien à usage unique valable quinze minutes, vous l'ouvrez dans Safari ou Chrome sur votre réseau privé, vous comparez l'empreinte du certificat avec celle affichée par l'agent, et vous retrouvez l'écran, le son, le zoom et le contrôle sans rien installer. Les fichiers et les fenêtres séparées restent réservés au client Mac.
• Sécurisé par défaut. Tunnel SSH obligatoire pour le client natif (votre compte SSH est la clé, aucun compte à créer nulle part), TLS avec échange de clés ECDHE et ChaCha20-Poly1305 pour le lien de contrôle, AES-256-GCM pour l'image et le son, adresses publiques refusées, et un seul viewer à la fois (le deuxième doit demander la place au premier, qui répond oui ou non).
• Une vraie app Mac. Barre latérale avec vos Macs, barre d'outils native, fenêtre Réglages, menus complets, mode sombre, français ou anglais selon la langue du système, et les Macs du réseau qui ont la session à distance activée sont trouvés tout seuls par Bonjour. Les statistiques du flux (⌃⌥⌘I) donnent la latence, la gigue, le tampon et les pertes, et une "liaison économe" allège tout d'un coup pour un réseau lent ou compté.

Ce que ça ne fait pas encore par contre, c'est pas de réveil à distance, pas de déverrouillage FileVault après un redémarrage à froid (prévu sur macOS 26, mais pas encore validé), les gestes du trackpad comme la rotation ou le balayage à trois doigts ne passent pas, et le verrouillage des majuscules reste celui du Mac distant. Il faut macOS 14 minimum des deux côtés, et les deux applications sont universelles, Apple Silicon comme Intel (testées sur Apple Silicon, l'Intel et macOS 14 restent à valider).

Maintenant pour pour l'utiliser tous les jours, ce que je peux vous dire c'est que ça marche très bien. Maintenant, j'ai pas eu d'autres testeurs que moi-même pour le moment mais ça fait tout ce dont j'ai besoin.

Et je me suis payé le luxe également d'adapter le code (en version ultra alpha, j'ai pas encore assez testé ça) pour Windows et Linux. Et l'application iOS est également sur les rails.

Maintenant, comme d'hab, j'ai essayé de la mettre sur l'App Store d'Apple mais ils sont tellement casse couilles que je ne sais pas si j'y arriverai. Mais peu importe, je me suis dit que ça vous servirait alors je vous ai fait un petit site ici pour télécharger mon app : remotedesktop.korben.info .

C'est 100% gratuit, y'a aucune télémétrie ni pub dedans et je n'ai pas de plan de carrière avec ce logiciel si ce n'est de l'améliorer par petites touches au fil du temps. Je l'ai créé pour mes besoins et je me suis dit que ce serait dommage de ne pas vous en faire profiter, c'est tout.

Voilà, donc n'hésitez pas à tester. C'est conçu pour macOS mais j'ai décliné ça pour Windows et Linux (je le redis, c'est de l'alpha pour Win et Linux) afin que chaque client puisse prendre le contrôle de n'importe quelle machine peu importe son système d'exploitation.

Enjoy !

J'sais pas si vous avez suivi, mais dès janvier 2027 , ce gros nul de Gmail ne saura plus aller chercher le courrier de vos autres boîtes via POP3, et encore moins vous laisser envoyer des mails depuis leurs adresses. De mon point de vue, c'est une sacrée régression...

Alors j'ai cherché une solution pour amortir le choc et je suis tombé sur plMail , un client mail que vous hébergez vous-même sur votre propre serveur / NAS qui n'est pas un serveur de messagerie (puisqu'il ne reçoit rien et n'héberge pas votre domaine) mais un formidable outil qui se connecte à vos boîtes existantes (IMAP, Gmail, Outlook), les synchronise dans une base PostgreSQL chez vous et vous affiche vos emails dans une seule et même boîte de réception, avec une recherche unifiée et la possibilité de mettre des tags...etc.

C'est vachement plus sympa que de se config je ne sais combien de boîtes dans Apple Mail ou Thunderbird et le moteur de recherche est assez puissant avec également la possibilité de faire des filtres, des alias ainsi qu'un agenda synchronisé avec Google, Microsoft et CalDAV.

Il y a aussi un modèle de langage (inactif de base) permettant de résumer un fil ou de chercher un truc en fonction de son sens.

Ce modèle, c'est à vous de le fournir, en indiquant à plMail l'adresse d'un Ollama qui tourne sur votre réseau ou de n'importe quel service compatible OpenAI. Et en plus du résumé et de la recherche par le sens, il sait rédiger des brouillons de réponse et trier votre courrier dans des onglets, chacune de ces quatre fonctions s'activant séparément.

Côté pièces jointes, plMail sait aussi aller chercher un fichier ou en ranger un dans Nextcloud, Immich, Paperless-ngx, Google Drive, Google Photos, OneDrive ou Dropbox. Et pour sécuriser l'accès, vous avez la double authentification, et la connexion via Authentik, Keycloak ou n'importe quel fournisseur OpenID Connect. Et l'interface est traduite en français.

Maintenant, pour brancher Gmail, il faut d'abord enregistrer une application OAuth dans la console Google Cloud, ce qui n'est pas forcément super simple pour tout le monde (tout est cependant très bien expliqué dans le doc). Par contre, un compte IMAP classique, lui, s'ajoute très rapidement dans le menu Settings > Mail accounts.

Après niveau mobile, c'est pas encore ça puisque même s'il y a bien une appli iPhone / Android, faudra compiler celle pour iPhone vous-même ( l'APK Android , lui, est fourni). De plus, côté serveur, marquer un message lu dans plMail le marque lu sur le serveur sans que l'inverse ne soit possible. Donc vaut mieux ne lire vos boîtes QUE dans plMail. Hé oui c'est un projet encore un peu jeune, c'est vrai.

En attendant mieux, sachez que plMail parle JMAP, donc un client mail compatible peut s'y brancher avec un mot de passe d'application généré dans Settings > App passwords. Et c'est aussi une PWA, ce qui permet à votre navigateur de l'installer comme une appli et de vous notifier des nouveaux mails même quand l'onglet est fermé, à condition d'avoir généré les clés VAPID du serveur (la doc explique comment).

Pour l'installer, il vous faut Docker :

git clone https://github.com/karatektus/pl_mail.git
cd pl_mail
docker compose up -d

Vous ouvrez ensuite le localhost ou votre NAS en https, vous créez votre compte et vous acceptez une fois pour toutes l'avertissement du certificat auto-signé. Sur TrueNAS, sachez que l'appli est dans leur catalogue.

Après pour sauvegarder les datas de PlMail, conservez bien ces 2 choses séparément : D'un côté la base PostgreSQL et de l'autre, le fichier var/secrets/generated.env, qui contient la clé des mots de passe de vos boîtes.

Source : Noted

Keepsweeper , c'est la célèbre grille toute grise du Démineur de Windows, qui sous ses cases numérotées ne cache pas des mines mais tout un royaume à faire évoluer en temps réel. Ce jeu est signé Michael Flarup, un designer danois à qui on doit aussi les App Icon Books, qui m'a écrit après être passé sur mon article consacré à UnDUNE II .

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Le principe de Keepsweeper ne dépaysera pas les emplois fictifs sous Windows que vous êtes, puisque chaque chiffre compte ce qui se cache dans les 8 cases alentour, diagonales comprises. Seulement ici, c'est la couleur qui indique ce qui se passe... Si c'est doré, c'est un trésor, si c'est bleu, c'est un repaire d'ennemis qui peut abriter des gobelins ou un troll, et si c'est rouge, alors là, aïe aïe aïe, c'est un repaire de DRAGONS !!! Et bien sûr, le chiffre baisse quand vous détruisez ce qu'il comptabilise ou que vous vous emparez de son trésor.

Par contre, ce n'est pas à vous de retournez les cases. En bon roi, vous désignez celles à creuser et ce sont vos ouvriers qui s'en occuperont. Les soldats quand à eux, défendront les alentours, et quand un repaire apparaîtra, vous pourrez les envoyer le détruire en 1 clic. La seule règle à vraiment respecter c'est de protéger absolument votre Donjon "quoiqu'il en coûte" comme dirait notre pervers narcissique national, car le perdre mettrait alors immédiatement fin à la partie.

Les chiffres bleus, dorés et rouges autour du Donjon, pendant qu'un ouvrier creuse la case encadrée

Et ce que vous déterrez servira ensuite à bâtir des fermes, des maisons et des défenses, avec des bâtiments qui pourront se "soutenir" les uns les autres. Par exemple les moulins soutiennent les fermes, les forges équipent les soldats et les chapelles permettent de garder l'armée debout. C'est fou de se dire que tout ce gameplay tient dans une stupide fenêtre de Démineur avec ses boutons en relief qui sentent bon le Windows 95.

Côté contenu, il y a pour le moment 4 quêtes, dont une chasse au dragon, des expéditions aléatoires dans les Terres sauvages, et un Siège où il faut tenir face à des vagues d'ennemis toujours plus nombreux. Ensuite, les Sceaux royaux gagnés en route débloqueront des bâtiments, des améliorations et des récompenses permanentes qui vous serviront pour les parties suivantes.

Sachez également que vous pouvez jouer en solo bien sûr (et donc mettre en pause pour cogiter quand ça devient chaud) mais aussi jouer en ligne de deux à quatre joueur, et même fabriquer ses propres cartes dans l'éditeur.

Sur iPhone et iPad l'app est gratuit pour les 2 premiers niveau de chaque quête et après faudra débourser un peu moins de 6 euros pour acheter le jeu (c'est un achat unique, y'a pas d'abonnement à la con). Et bonne nouvelle, la version web quand à elle est entièrement gratuite ! Le jeu existe aussi sur Android, une version Steam est annoncée pour bientôt !

Merci à Michael pour le partage, et bonne chasse au dragon à tous !

Source : Keepsweeper

Si vous avez des potes qui vous envoient des liens Spotify trop cools toute la journée alors que vous écoutez tout sur Deezer (ou l'inverse), bah c'est chiant votre vie. Faut copier le titre, ouvrir votre appli, le chercher...etc.

Heureusement, il existe Music Bridge , une extension pour le navigateur signée Simon Duhem (un ancien de Deezer) qui vous permet d'éviter de faire tout ce bordel en ouvrant directement la bonne chanson dans votre application musicale à vous.

Une fois Music Bridge installé, vous réglez votre service favori une fois pour toutes dans les options, et ensuite chaque page de morceau ou d'album ouverte ailleurs vous renvoie automatiquement vers son équivalent chez vous.

Deezer, Spotify, Apple Music, YouTube Music, Amazon Music, Tidal et Pandora se renvoient ainsi la balle dans n'importe quel sens, et YouTube ou SoundCloud peuvent également servir de destination. Et bien sûr si le morceau n'existe pas dans votre catalogue parce que c'est trop niche, bah vous restez sur la page d'origine avec un petit message qui vous prévient.

Maintenant pour ceux qui préfèrent l'appli de bureau plutôt que l'extension navigateur, une option permet également de lancer la musique directement dedans pour Deezer, Spotify et Apple Music, sous Windows et macOS, et une autre s'occupe de refermer l'onglet resté ouvert 5 secondes après l'ouverture de l'appli. Cochez juste "Toujours autoriser" la première fois que le navigateur vous demande s'il peut ouvrir l'appli, sinon l'onglet se fermera avant d'avoir eu votre réponse.

Après, il y a encore quelques trous dans la raquette... Par exemple, il n'y a pas de conversion pour les artistes ou pour les playlists. Et sur Android, quand l'appli de l'autre plateforme est installée, c'est elle qui récupère ses liens avant même que le navigateur ne les voie, et ça malheureusement, l'extension n'y peut rien.

Maintenant, pour retrouver le bon morceau, l'extension envoie l'adresse de la page ainsi que la plateforme de destination choisie à un petit service web que Simon hébergé chez Cloudflare, qui interroge l'API d' Odesli (le moteur de song.link) pour faire le matching.

Le code de cette extension est sous licence BSD et Music Bridge s'installe sur Chrome , Firefox (Android compris) et Edge .

Merci à Simon pour le partage !

En ce moment c'est la Cybersecurity Awareness Week, la semaine de l'année où tout le monde vous ressort les mêmes conseils de sécurité depuis 15 ans. Changez vos mots de passe. Activez la 2FA. Ne cliquez pas sur les liens suspects. Merci, on avait compris.

Sauf qu'il y a un truc dont on parle beaucoup moins, et pourtant c'est probablement un des chantiers les plus importants. Celui de gérer tout ce que les data brokers savent de vous. Pas vos mots de passe, hein, je parle de votre nom, votre adresse, votre téléphone, votre date de naissance, vos revenus supposés, vos centres d'intérêt, vos achats sur le web & co. Le tout empaqueté en un seul joli profil revendu au plus offrant, sans que vous n'ayez jamais rien signé.

Et une étude qu'Incogni vient de publier montre que vous le savez très bien, d'ailleurs. Après avoir effectué un sondage auprès d'un millier d'internautes, les chiffres sont vraiment assez clairs : plus d'une personne sur deux (52% pour être exact) est convaincue que ses données finiront exposées dans une fuite. Même que 63% disent que cette perspective les rend anxieux (ne vous inquiétez pas, ça va bien se passer lol). Autant dire qu'on n'est pas loin de la résignation généralisée. Ce qui doit encore être pire chez nous, pauvres petits Français, qui savons que tous nos sites gouvernementaux et sites sensibles (mutuelles & co) leakent aussi souvent qu'il y a de l'orage. Alors oui, moi aussi ça me rend nerveux. Mais se résigner, non merci, pas de ça chez tonton Korben.

"J'ai déjà partagé trop d'infos de toute façon"

C'est le 2e gros constat de l'étude : 1 personne sur 2 regrette d'avoir partagé des informations personnelles en ligne. Chez les femmes de la Gen Z, ça monte même à 61%. Et c'est le drame classique de l'ère numérique, ce que vous postez (ou confiez à un formulaire) à 17 ans pourra encore vous suivre à 40. Les données, ça ne s'oublie pas, ça se recoupe, se revend, se ressuscite.

Ajoutez à ça le flot de slop IA qui inonde les résultats de recherche et vous obtenez des personnes qui disent avoir du mal à savoir ce qui est réel en ligne. Et plus vous êtes vieux plus le doute règne. Au final on se retrouve avec un internet où plus personne ne fait vraiment confiance à rien. Un quart des répondants déclarent vouloir passer significativement moins de temps en ligne à cause de tout ce contenu généré à la chaîne. Tendance entérinée par le fait que 6 internautes sur 10 ont déjà supprimé au moins un compte de réseau social ou de messagerie à cause de la surcharge mentale, du stress, de l'anxiété ou des problèmes de vie privée.

Bref, les gens sont crevés, exposés, voire un peu dégoûtés. Mais voilà le paradoxe que l'étude met aussi en lumière : 1/3 paieraient pour accéder à un internet sans tracking ni algorithmes. Chiffre qui grimpe autour des 40% chez les hauts revenus, mais qui chute à 22% chez les plus modestes. Traduction : la vie privée devient un produit de luxe.

Faire faire le sale boulot à votre place

Incogni fait exactement ce que personne n'a envie de faire à la main tout seul dans son coin. La première étape sera de lui renseigner quelques infos perso que vous trouvez trop sensibles (votre nom, prénom, adresse, email). Vous signez ensuite une procuration numérique et le service commence quasi de suite à envoyer les demandes de suppression. Le processus prend réellement moins de 10 minutes. Bien loin des heures qu'il faudrait pour tout faire soi-même. Et pour donner un peu de poids aux demandes il s'appuie sur les réglementations (RGPD, CCPA et textes équivalents pour le Canada).

Parce que oui, vous avez déjà en votre pouvoir le droit légal de demander la suppression de vos données et ça auprès de n'importe qui. Le vrai souci c'est d'exercer ce droit vous-même. Parce que concrètement ça représente des dizaines d'heures de recherches pour trouver les brokers, remplir des formulaires ou envoyer des mails, effectuer un suivi, lancer des relances, etc. Et faire ça pour chaque broker ? Pfffff on a tous autre chose à faire de nos précieuses heures. L'outil d'Incogni prend votre droit théorique et en fait un droit exercé, et surtout il le fait en continu. Après une première vague d'envois, comptez 30 à 45 jours pour les réponses (et oui, les brokers ont des délais légaux aussi). Ensuite le service scannera à nouveau les mêmes acteurs tous les 2 à 3 mois et renverra des demandes si vos données n'ont pas encore été supprimées. Ou si elles ont déjà fait leur grand retour. Parce que oui, parfois elles reviennent. C'est le principe même du jeu, car les brokers "re-scrapent" ou rachètent des bases en permanence.

Vous pourrez suivre tout ça via votre tableau de bord. Tout est indiqué de manière visuelle : les demandes envoyées, en cours, terminées, mais aussi les brokers placés en suppression (c'est-à-dire ceux à qui on a dit de ne plus jamais vous réimporter). Et si vous voulez plus d'assurance, des tests indépendants confirment le sérieux du processus. Je l'ai vu avec mon utilisation personnelle et l'équipe de Security.org a vu plus de 100 profils retirés en deux semaines de test. Et tout a été audité par des cabinets comme Deloitte (août 2025). Ce qui est déjà mieux que rien dans une industrie où tout repose habituellement sur du "faites-nous confiance, on est sympas".

Le mode sniper

Un truc que j'aime beaucoup avec l'offre Unlimited c'est que vous pouvez pointer du doigt un site précis qui expose vos données. Que ce soit un annuaire de recherche de personnes, une base obscure où traîne votre numéro, peu importe. Il suffit d'envoyer l'URL au service qui va s'en occuper. Et il n'y a pas de limite au nombre de requêtes possible. C'est le mode sniper pour les cas que la liste standard ne couvre pas.

Et pendant qu'on y est, conseil perso que je vous ai déjà donné et que je remets ici : créez une alerte Google sur votre nom. Vous serez étonné (voire horrifié) de ce qui traîne. Chaque fois que vous tombez sur une fiche qui vous concerne, vous la filez à Incogni et vous passez à autre chose.

Petite parenthèse honnêteté, comme d'habitude, pour vous dire qu'Incogni n'est pas une baguette magique. Ça ne va pas aller effacer vos infos jusque dans les registres publics, les dossiers judiciaires et ne va pas aller effacer vos propres posts sur les réseaux. Il ne va pas non plus aller modifier directement les résultats sur les moteurs de recherche & co. Par contre en supprimant les données à la source, les liens finissent par mener vers des pages mortes qui disparaîtront des résultats. Quant au paradoxe de confier vos données à un service pour les faire supprimer ? Ils les chiffrent via l'algo AES-256, s'engagent à ne pas les revendre (vérifié par des audits tiers indépendants) et purgent vos infos sous 12 mois si vous résiliez. Vous pouvez même demander explicitement un effacement immédiat.

Le problème c'est que pour beaucoup, dire "moins de données chez les brokers" ... ça sonne abstrait. Dans la pratique cela veut dire :

• un démarchage moins ciblé, car les listes marketing s'appauvrissent. Ce qui se voit assez vite dans la boîte mail et sur le répondeur
• moins de matière première pour les arnaques. Parce qu'un escroc qui ne connaît plus votre adresse, vos anciennes boîtes ou vos habitudes a beaucoup plus de mal à écrire un mail crédible
• que vos fiches disparaissent des annuaires de recherche de personnes, ce qui réduit les risques de harcèlement ou de doxxing
• moins de dégâts en cas de fuite. Si un broker se fait lui-même pirater, il a moins de données sur vous.

Et puis il y a le bénéfice indirect qui est le sentiment de reprendre un peu le contrôle. Parce que résignation et anxiété, ça ne mène à rien. Disposer d'un outil qui tourne en tâche de fond et qui fait chuter votre empreinte numérique sans que vous y pensiez, ça aide. Un an d' Incogni , c'est plusieurs centaines d'heures de paperasse que vous n'avez pas à gérer, des profils qui disparaissent et des arnaques qui perdent leur contexte. En 2026, c'est quasi le minimum syndical.

L'Offre Cybersecurity Awareness Week

D'habitude, je vous fais profiter d'une remise de -55%. Mais du 19 au 25 octobre, pour la Cybersecurity Awareness Week, il y a un petit bonus de 3% en plus : -58% de réduction sur les abonnements annuels avec le code KORBEN. Ce n'est pas l'exploit du siècle, mais tout est bon à prendre.

Je rappelle les tarifs de base : l'offre Standard (420+ brokers, automatisés, jusqu'à 3 emails et 3 adresses) est à 77,63€ TTC l'année et l'offre Unlimited (ajout des suppressions custom illimitées et du support téléphonique prioritaire) est à 155,4 €. Vous avez même une formule Family à 10-15€ de plus qui permet de protéger jusqu'à 5 personnes (famille, amis, collègues ...). Adaptée à ceux qui pensent que la vie privée, ça se gère en groupe. Et parce que votre tante qui clique sur tout a aussi besoin d'aide.

→ Profitez de -58% sur Incogni avec le code KORBEN ←

Je vous parlais hier de mon NAS UGREEN DXP8800 Ultra , ce 8 baies dans lequel j'ai regroupé mes deux anciens serveurs et des dizaines de téraoctets de données. Fanxiang, une marque chinoise de stockage qu'on croise partout sur Amazon, m'a envoyé un SSD NVMe de 1 To au format M.2, cette petite barrette qui se branche directement sur la carte mère.

Ça tombe plutôt bien, le NAS garde justement deux emplacements M.2 en PCIe 4.0 à côté de ses huit tiroirs.

Les disques durs mécaniques encaissent très bien les gros transferts qui s'enchaînent, mais ils s'écroulent dès qu'on leur demande des milliers de petits fichiers d'un coup, et c'est exactement le genre de charge que génèrent les applications d'un NAS.

UGOS Pro, le système maison d'UGREEN, propose deux façons d'utiliser la barrette. Soit en cache, et la machine recopie alors toute seule les fichiers les plus consultés sur le SSD pour les servir plus vite, soit en volume de stockage à part entière. Un seul SSD limite le cache à la lecture, il en faut deux pour accélérer aussi les écritures.

De mon côté je pars sur un volume dédié, pour y installer mes conteneurs Docker, les bases de données des applications et les métadonnées de Plex, ces milliers de vignettes et de fiches que le serveur consulte en permanence. Les huit disques mécaniques ne travaillent plus que pour les fichiers eux-mêmes.

La gamme PCIe 4.0 de Fanxiang est donnée pour des pointes à 7 300 Mo/s en lecture. Sauf que dans un NAS, tout passe par le réseau, et mes deux ports 10 Gb/s plafonnent les transferts autour de 1 Go/s, soit sept fois moins que ce que la barrette sait encaisser. Le gain, il est ailleurs, sur ces fameux petits accès où n'importe quel NVMe écrase un disque mécanique.

Du coup, un modèle abordable comme ce Fanxiang me semble exactement le bon choix pour cet usage. Payer un SSD haut de gamme pour le coller derrière un réseau qui nivelle tout n'aurait aucun sens, d'autant que la marque annonce sur cette gamme 700 To d'écritures cumulées avant usure, de quoi voir venir.

Et si vous n'avez pas de NAS, la même barrette vous servira forcément. Elle se glisse dans un PC de bureau comme dans un portable récent, dans une PS5 à condition de lui ajouter un dissipateur, ou dans un boîtier externe qui la transforme en disque de poche très rapide pour un Mac.

Comptez entre 130 et 170 euros le To chez Fanxiang en ce moment, la flambée de la mémoire qui fait déjà grimper les disques durs n'épargne pas les SSD.

• Disponible par ici chez Amazon , ou sur le site du fabricant .

Vous les connaissez parce que je vous parle d'elles de temps en temps ici, et surtout parce que ça fait maintenant 13 ans que Chayka et Viciss décortiquent la psychologie sociale et politique avec de la vulgarisation, un peu de fiction et beaucoup d'esprit critique sur leur chaine Youtube Hacking Social. Et si je fais cet article ce matin, c'est parce que j'ai une bonne nouvelle pour ceux et celles qui aiment leur contenu. Chayka et Viciss viennent d'annoncer HUB 404 , une nouvelle série qui change complètement d'échelle par rapport à ce qu'elles font d'habitude, dont le premier épisode est annoncé pour ce mois-ci !

Woohoo \o/ !

La première nouveauté, c'est que Chayka n'est plus seule à la production. Il y aura bien sûr toujours de la vulgarisation mêlée de fiction, mais aussi des nouveautés comme des entretiens avec des chercheurs, de la musique et pas mal de motion design dans ce drôle d'univers qu'elles ont baptisé le HUB.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Comme Chayka l'explique dans son intro, c'est une série de vulgarisation scientifique engagée, conçue pour accompagner la période électorale de 2027, mais pas seulement. En effet, chaque épisode part d'une question concrète pour comprendre ces "bugs sociaux" (manipulation, cyberharcèlement, polarisation, radicalisation...) et surtout trouver des pistes d'action. Par exemple, le premier épisode se posera la question de pourquoi est ce qu'on défend des systèmes sociaux injustes, y compris contre nos propres intérêts. J'ai vraiment très hâte de voir ça !

Maintenant, là où ça se corse, c'est niveau pognon. En effet, leurs projets ont été refusés deux fois par le CNC et par d'autres financeurs, alors elles ont décidé d'autofinancer ce premier épisode, comme elles l'expliquent ici dans cette préface sur leur site . La suite, ce sera avec une vraie production, des monteurs et des motion designers, et ça dépendra surtout d'un financement participatif sur Ulule car chez elles, il n'y a ni pub ni sponsors, et surtout le contenu doit rester accessible à tous.

Si comme moi, vous appréciez le contenu de Hacking Social, vous pouvez les aider tout de suite sans que ça ne coûte rien en vous préinscrivant sur la page Ulule du projet, partager leur vidéo comme je suis en train de le faire, et les soutenir via vos commentaires. Concernant la campagne elle-même, l'épisode #1 vous servira justement à vous faire un avis avant de décider si vous voulez soutenir la suite... Et bien sûr, les dons sur Patreon , Tipeee ou PayPal restent possibles à côté. Perso, je viens de m'abonner à leur Patreon, et j'y ai découvert déjà plein de contenus plus anciens, tous passionnants !

Perso, j'ai toujours aimé leur travail et pour avoir eu la chance de les rencontrer quelques fois, j'ai rarement croisé des gens qui abattent autant de boulot avec autant d'exigence de qualité et de sérieux. Ça force le respect et les voir se lancer maintenant avec toute une équipe, je vous avoue que ça m'a hyper de fou. Si vous aimez cogiter et vous ouvrir l'esprit, ce "soft reboot" d'Hacking Social comme le dit Chayka dans son intro, est à suivre de près !

Faire tourner un modèle de langage en local sur son PC, avec llama.cpp, ça marche très bien, mais ça demande quand même de mettre un peu les mains dans le cambouis. Il faut aller chercher le binaire, trouver le bon fichier GGUF sur Hugging Face et lancer le serveur en ligne de commande.

Heureusement, léquipe de ggml-org, celle qui développe justement llama.cpp, souhaite soulager notre peine en nous proposant pour Windows 11 une petite app baptisée Llama (Ouais, c'est original comme nom ^^) qui se loge dans la zone de notification et qui fait tout le taf à votre place.

C'est en fait un portage pour Windows de Llama for Mac , qui est lui aussi dans la barre des menus de macOS. Côté install, suffit de récupérer le fichier .msixbundle dans les Releases du dépôt, vous double-cliquez dessus, et c'est parti mon kiki. Si vous avez déjà un llama.exe sur votre machine, l'app s'en servira, sinon elle en téléchargera un toute seule. Et bien sûr, le code est sous licence MIT, avec un petit copyright au nom de Hugging Face quand même.

Une fois que c'est en place, l'icône ouvre un petit panneau de commande avec une liste de modèles recommandés à télécharger en un clic. Vous pouvez aussi chercher n'importe quel modèle GGUF du Hub directement depuis cette liste, ou coller l'identifiant d'un dépôt. L'app vérifie également au passage s'il vous reste assez de place sur le disque avant de lancer le téléchargement ! (Moi j'ai 4 To et je suis toujours PLEIN, j'en ai marre ^^)

Bref... en cliquant sur un modèle, vous choisissez sa taille de contexte, et pour chaque option, l'app vous donne une estimation de la mémoire consommée, qu'elle récupère dans l'en-tête du fichier GGUF. C'est très pratique pour savoir avant de le lancer si ça va tenir dans votre fichue machine. Et comme les modèles sont stockés dans le cache standard de Hugging Face, bah ils sont partagés avec llama.cpp et les autres outils qui l'utilisent, ce qui évite d'avoir des doublons de plusieurs gigas sur le disque.

Mais le truc le plus sympa, je crois c'est le raccourci Alt+Espace qui, peu importe ce que vous êtes en train de faire, ouvre une fenêtre avec l'interface web du chat IA près à vous répondre, un peu à la manière de Spotlight sur Mac. Et quand vous la refermez, hé bien elle se planque simplement au lieu de se fermer ce qui fait qu'elle se réaffiche instantanément avec votre conversation dès que vous en avez besoin.

Par contre, dommage, ce raccourci est codé en dur et il n'y a aucun réglage pour en changer. Donc si une autre app squatte déjà Alt+Espace, comme PowerToys Run dont c'est le raccourci par défaut, hé bien Llama vous prévient mais ça n'ira pas plus loin. A moins que vous changiez le raccourci par défaut de PowerToys Run .

Côté vie privée, Llama n'envoie aucune data de télémétrie et vos prompts restent sur votre machine. Et comme l'app pilote un serveur llama.cpp qui expose une API REST, la fiche d'un modèle vous proposera même une requête curl toute prête afin de brancher vos autres outils dessus.

Attention si Smart App Control est activé sur votre PC, il se peut que Windows bloque llama.exe, qui n'est pas signé (contrairement au paquet MSIX de l'app). Dans ce cas, le serveur ne démarrera pas et l'app ne servira à rien. Si vous êtes concerné, il faudra donc patienter ou contourner Smart App Control.

À télécharger sur GitHub pour ceux qui veulent !

Omar Khaled, lecteur de Korben.info et développeur m'a envoyé un petit mail pour me faire découvrir sa dernière réalisation : Shotnix . Comme vous le savez, même si je fais une petite pause en ce moment, j'ai l'habitude de faire pour mes Patreons et ma chaine Youtube des tutos en screencast pour vous montrer quelques bidouilles.

Donc forcement c'est le genre d'outil qui m'intéresse puisque Shotnix permet d'enregistrer votre écran pour faire ce genre de contenus ou simplement montrer par exemple une manip à un collègue ou à un client. Cette app gratuite pour Mac est tellement bien conçue que quand vous avez terminé votre enregistrement, la vidéo qui s'ouvre alors est déjà montée !

Tiny11 Builder, l'outil qui fabrique des ISO de Windows 11 sans les applis préinstallées et que je vous avais présenté , dispose maintenant d'une vraie appli de bureau. Elle est en pré-version et vous épargne surtout de devoir lancer vous-même à la main la fameuse tripoté de scripts PowerShell (qui restent quand même dans le dépôt Github).

Je l'ai donc testée dans une machine virtuelle Windows 11 ARM histoire de vous faire un petit retour sur cette nouvelle version.

D'abord au lancement, l'appli réclame les droits administrateur, puis elle vous fait choisir un mode (Le mode Tiny11 allège Windows, le mode Core coupe aussi les mises à jour et Defender, et le mode Custom vous laisse choisir). L'appli sait également télécharger l'ISO officielle de Microsoft à votre place, dans l'architecture et la langue de la machine, ce qui donne chez moi un Windows 11 ARM 26H2 en version Pro en français.

Le téléchargement de l'ISO ARM64 en français, directement depuis l'appli

Le mode Tiny11, celui que j'ai pris, retire donc les applis fournies avec Windows ainsi que les binaires d'Edge, de WebView2 et d'OneDrive, mais il conserve Windows Update, Defender et l'environnement de récupération actif. À l'écran, ça se résume donc à 38 "groupes de suppression" et aucune action avancée.

Le mode Tiny11

Il ne reste ensuite qu'à cliquer sur Build, avec le mode Turbo activé et au bout de 40 à 50 minutes (je suis sur une VM donc c'est lent), vous aurez une belle ISO allégée. Par exemple, chez moi, l'ISO produite fait 5,38 Go, contre environ 7,95 Go au départ (l'image source contenait les 3 éditions de Windows et en sortie, je n'en ai plus qu'une).

Fin de construction, 49,5 minutes plus tard, pour une ISO de 5,38 Gio

Ensuite, il y a le mode Core qui désactive Windows Update et Defender et supprime la récupération, sans retour possible. L'auteur conseille de réserver ça aux machines virtuelles de test. Le mode Tiny11, lui, garde les mises à jour, mais une mise à jour de fonctionnalités peut donc réinstaller des applis et des réglages que vous auriez viré avant.

Autrement dit, soit vous gardez les mises à jour et l'allègement peut parfois sauter, soit vous gardez l'allègement en vous passant de ces mises à jours.

Ensuite, reste le mode Custom, où vous cochez tout vous-même, avec le risque de casser Windows.

Ne comptez pas trop non plus sur l'outil pour contourner quoi que ce soit puisque les réglages du compte local et les vérifications matérielles ne sont pas garantis sur les nouvelles versions, et que rien ne contourne la licence ni l'activation, donc il vous faudra toujours une clé ou lire cet article .

Voilà, c'est donc à récupérer sur GitHub pour ceux qui veulent s'amuser à se faire des ISO custom de Windows (que vous testerez au préalable dans une VM évidemment, histoire de vérifier que tout fonctionne bien car je le rappelle, Tiny11 Builder est encore une pré-version.)

Source : The Register

Je sais que c'est à la mode en ce moment de vibecoder des outils qui manipulent des PDF donc c'est pour ça que je relaie cette alerte de Wordfence qui vient de publier le détail d'une faille dans Ghostscript (c'est un programme très connu qui transforme grosso modo les PDF en images).

Argus, l'agent IA de recherche de faille de Wordfence, a donc trouvé cette vuln d'un score CVSS de 9,8 sur 10 référencée sous le code CVE-2026-39919. Elle est assez grave puisqu'un PDF piégé contenant une image JPEG 2000, forgé pour l'occasion, suffit à faire écrire Ghostscript au-delà de sa mémoire et donc à introduire dans la mémoire de la machine du code malveillant.

Côté WordPress pur, le chemin est tordu car pour fabriquer la miniature d'un PDF, Wordpress appelle Imagick, qui appelle ImageMagick, qui lance ensuite Ghostscript. Mais Wordfence a obtenu par ce biais une exécution de code sans authentification sur un site de test monté pour l'occasion, y compris avec le paramétrage de sandbox -dSAFER activé.

Pour être touché, il faut donc 4 choses en même temps :

• 1/ Qu'un visiteur ou un compte limité puisse téléverser un PDF
• 2/ Que quelque chose en génère un aperçu
• 3/ Que votre serveur ait Imagick ou un outil qui appelle Ghostscript
• 4/ Et que ce Ghostscript n'ait pas le correctif.

Comme vous le savez surement, WordPress de base ne laisse pas un anonyme envoyer de PDF dans la médiathèque, donc il faut qu'un plugin, un formulaire ou un compte lui ouvre la porte pour que la première condition soit remplie.

Bien sûr, ça ne s'arrête pas à WordPress puisque tout ce qui est outil de gestion de documents, services d'impression, passerelles mail ou API de conversion peuvent être également exposés à partir du moment où ils donnent des PDF inconnus à un Ghostscript vulnérable.

Maintenant pas de panique parce que ces exploits mis au point par Wordfence exigent quand même d'être forgés spécifiquement pour l'environnement ciblé et aucune exploitation sauvage n'a été constatée pour le moment.

Maintenant si un attaquant connait votre build ou vise un hébergeur dont plusieurs sites partagent la même image, ça fera surement des dégât, donc il vaut mieux patcher ça.

D'après la page de sécurité d'Ubuntu et le suivi de Debian , Ubuntu a corrigé ses 22.04, 24.04 et 26.04, et Debian sa 13, tandis que Debian 12 reste marquée vulnérable. Red Hat a des paquets corrigés pour RHEL 8, 9 et 10, AlmaLinux 10 aussi depuis le 2 octobre, et Wordfence notait au 9 octobre que Fedora 44 et Alpine 3.22 et 3.23 en étaient encore à leurs anciennes révisions.

Et ne vous fiez pas au numéro que renvoie gs --version puisqu'Ubuntu 22.04 greffe son correctif sur un Ghostscript qui continue de se présenter comme une version 9.55.0. C'est surtout la révision du paquet qui tranche. Un dpkg -s ghostscript la donnera sur Debian et Ubuntu et un rpm -q ghostscript vous donnera l'info sur une Red Hat / Fedora.

Et sous Docker, il faudra "pull" une image à jour, reconstruire sans le cache et redéployer tout ça.

Reste une parade si le correctif n'existe pas encore pour votre système qui est expliqué sur la page de politique de sécurité d'ImageMagick . Sur cette page, vous trouverez une règle à intégrer dans le fichier policy.xml, qui ne laisse que l'écriture des formats PDF, PS, PS2, PS3 et XPS, et désactive l'aperçu de PDF.

La commande magick identify -list policy permet ensuite de vérifier que le changement est bien pris en compte. Bien sûr, elle ne fonctionne qu'avec ImageMagick et il est possible qu'une autre bibliothèque se glisse entre votre application et Ghostscript, donc soyez vigilant.

Dans tous les cas, si vous avez un doute, le mieux reste encore de demander à votre hébergeur si son Ghostscript dispose du correctif de la CVE-2026-39919.

Source : le billet de Wordfence et l'article de BleepingComputer

Gaël Duval , le créateur de Mandrake Linux et de /e/OS, vient de sortir ElixirOffice , une suite bureautique libre conçue pour tous ceux qui n'ont jamais voulu quitter Microsoft Office. Elle permet d'éditer les fichiers Word, Excel et PowerPoint, ainsi que leurs équivalents OpenDocument sans perdre les utilisateurs grâce à un joli menu ruban, des menus et des raccourcis clavier d'Office.

Côté moteur, c'est celui d' ONLYOFFICE , passé par Euro-Office , le fork dont je vous avais parlé en avril. Ce dernier est conçu pour s'intégrer dans un autre produit et a déclaré travailler seulement sur des applis mobiles et de bureau , alors qu'ElixirOffice en livre déjà une, sous licence AGPL v3. L'idée vient d'ailleurs de la compagne de Gaël Duval, enseignante, qui retournait toujours à Microsoft Office parce que les alternatives libres la déroutaient.

Le projet reprend ainsi jusqu'aux détails de Word avec les mêmes onglets, la touche Alt pour les raccourcis du ruban, la mini barre d'outils, et le projet annonce même avoir repris les +200 raccourcis Word en tout cas sous Windows. Il mesure aussi la fidélité de mise en page sur un corpus de documents, version après version, pour contrôler que ça ne dérive pas et embarque des polices libres de mêmes dimensions que celles de Microsoft pour que les sauts de ligne et de page ne bougent pas.

L'éditeur de texte en français, avec le ruban façon Word et la recherche centrée en haut

Côté vie privée, il n'y a aucune télémétrie, et l'IA (dispo uniquement dans le traitement de texte pour le moment) reste éteinte tant que vous n'avez pas branché un modèle compatible OpenAI (un Ollama sur votre ordi fera l'affaire).

Il existe actuellement 2 versions d'ElixirOffice :

La version Desktop qui comme son nom l'indique est l'appli de bureau permettant d'ouvrir, éditer et enregistrer les DOCX, XLSX, PPTX, ODT, ODS et ODP. Mais également d'exporter en PDF vos documents et surtout fonctionnant hors ligne, sans compte. Cette version est dispo pour Windows, macOS (Apple Silicon uniquement), et en AppImage + .deb pour Linux.

Et la version serveur qui est en réalité une image Docker fonctionnant en HTTPS, et permettant de faire de l'édition de documents dans le navigateur, de la coédition en temps réel, et de disposer d'une connexion à un Murena Workspace ou à un Nextcloud. Notez que si vous optez pour cette version, faudra mettre en place votre propre système d'authentification ou la derrière un VPN puisqu'elle n'a pas encore de système de comptes users.

Le tableur

Voilà, c'est un chouette démarrage que je vous encourage à tester si vous êtes allergique à LibreOffice et autres forks. Maintenant en version appli de bureau, il lui manque encore le publipostage, la comparaison de documents, l'historique des versions, les fichiers protégés par mot de passe, l'ouverture et l'édition des PDF, les macros et les signatures numériques... Mais ça viendra, soyez patient.

Dernier point important pour la transparence, ElixirOffice a été lancé et supervisé par Gaël Duval mais est développé à l'aide de divers grands modèles de langage qui travaillent comme agents de code sous sa direction, avec des tests automatiques et des revues à chaque changement.

Merci à Gaël Duval pour le partage !

Source : ElixirOffice sur GitHub

La version Nintendo 64 de Command & Conquer, c'était une drôle de bestiole. Sortie en 1999 et portée par Looking Glass Studios, elle reprenait le RTS de Westwood avec des unités, des bâtiments et un terrain en vraie 3D. Pour ma part, je ne l'ai jamais testé à l'époque (moi j'étais sur PC) mais ça va pouvoir changer puisque c'est ce que le projet OpenCNC3D fait revivre sous la forme d'un programme Windows et macOS.

Pour y parvenir, le mystérieux dev qui s'occupe de ce projet, a repris la logique de jeu de Tiberian Dawn, dont EA a publié le code source sous licence GPL en 2020, puis y a collé les modèles 3D, les textures, le terrain et même la caméra à l'identique en les extrayant de la cartouche originale. Le tout est ensuite redessiné par un moteur de rendu écrit pour l'occasion, avec les menus et les sons des CD de la version MS-DOS de 1995.

Derrière ce projet se cacherait d'après les rumeurs, Frederik Schreiber , le patron de Slipgate Ironworks, le studio de Tempest Rising. C'est en tout cas ce qu'affirme le site Command & Conquer Saga, puisque le dépôt est signé freschism3000, un pseudo proche de son compte X, Freschism.

Côté contenu, vous retrouverez les 36 missions de campagne GDI et Nod, 27 missions Special Ops et 67 cinématiques d'origine, alors que la version N64 les avait tristement remplacées par des images fixes. Et il y a aussi du neuf, à commencer par le multijoueur en réseau dispo jusqu'à huit joueurs, que la cartouche n'avait pas, plus le mode escarmouche contre l'ordinateur et un éditeur de cartes.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

La v0.8.0, sortie le 10 octobre dernier, ajoute également trois nouveaux rendus. Classic, c'est l'image plate en 320x200 du jeu de 1995, N64, celle de la cartouche, et Enhanced, ce sont les bâtiments refaits et peints à la main, les véhicules et les soldats remodélisés, ainsi que de l'herbe qui ondule et des bruits d'ambiance. Et vous pouvez passer de l'un à l'autre en pleine partie sans souci.

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

Je vous préviens quand même, maintenant que vous êtes bien hypé, le dépôt GitHub du projet , sous GPL v3, ne contient aucune donnée du jeu. Donc pour le faire tourner, vous devez en théorie fournir le dump de votre propre cartouche européenne et vos CD MS-DOS de 1995... Mais bon, comme les paquets du site, eux, livrent le jeu complet , sans la bénédiction d'EA, vous pourrez y jouer même sans ça. Oui, on est dans un genre de zone grise totale ce qui veut dire que ça pourrait, comme tout ce qui est beau dans ce monde, se faire shooter du jour au lendemain par les ayants droits.

C'est gratuit avec installeur pour Windows mais également une version universelle Apple Silicon et Intel pour macOS. Et ça tourne à 60 images par seconde jusqu'en 4K ! La vie est belle !

Un grand merci à Command & Conquer Saga pour le tuyau !

Source : Command & Conquer Saga

Si vous avez lu mon article sur QBZ , le client Qobuz open source qui permettait d'écouter sa musique en "bit-perfect" sous Linux, hé bien oubliez-le. En effet, Qobuz a demandé à son développeur d'arrêter le projet, et ce dernier n'a pas eu d'autre choix que d'obéir. Bref, le dépôt est fermé et il n'y aura plus de mise à jour.

C'est sacrément dommage je trouve...

Après la raison, comme expliquée ici par le support de Qobuz, c'est que cette application plaçait Qobuz en position "non conforme" vis-à-vis des ayants droit notamment parce que les lectures ne sont pas comptabilisées côté Qobuz, ce qui laisserait les artistes sans rémunération.

Perso, j'aime bien Qobuz et je trouve qu'ils font du super boulot, mais ils ont sacrément manqués de stratégie sur ce coup là !

Je ne sais pas si techniquement ça aurait été jouable, mais à leur place, j'aurais demandé au dev de QBZ d'intégrer mes API de mesure (en plus de lui filer un petit chèque) sans pour autant rendre proprio le code. Ou au pire, je l'aurais embauché pour faire un vrai client Linux officiel avant de laisser mourir ce projet libre, ce qui leur aurait éviter de prendre un risque avec leur image auprès de la communauté du libre.

Bref, 1/ ils se privent d'un super client Linux 2/ ils perdent un dev qui a quand même taffé durant des années bénévolement pour leurs services 3/ j'imagine qu'ils vont également perdre des abonnés payants sous Linux. 4/ Et ils prennent le risque de voir débarquer des forks de rebelles moins conciliants avec leurs services.

De mon point de vue ce n'était pas une décision très réfléchie, même si c'est vrai, ils ont été pro et courtois avec le dev de QBZ (traduction : ils ne lui ont pas mis un procès au cul).

Dommage.

REA , pour "Reverse Engineer Anything", c'est un serveur MCP qui buzze ces derniers jours et qui permet de connecter votre agent IA (Claude Code, Codex, Cursor...) sur Ghidra, Hopper ou IDA, et sur des analyseurs pour les applis Electron, .NET ou les sites web.

Vous repérez ainsi une fonction qui vous plaît dans une appli, puis l'agent la décortique sans le code source et vous en code une version toute fraiche... Tiens ça me rappelle quelque chose...

Comme je voulais voir ce que ça donnait, je me suis donc monté un petit banc d'essai à l'arrache sur mon ordi avec Claude Code en Opus 5.5, REA 6.4.0 comme seul serveur MCP et Ghidra comme moteur.

Mes tests se découpent donc en 4 exercices : un keygen, un patch, une fonction d'appli à recréer ainsi que des codes de triche. Pour les deux premiers, j'ai bien sûr compilé des programmes maison avec un faux système de licence afin de ne pas sombrer dans l'illégalité en codant un vrai keygen ou un crack (et au passage me faire delete mon compte Anthropic ^^).

rea doctor valide Ghidra 12.1.4

Mon crackme, c'est donc une fausse app nommée "PixelNote Pro" qui réclame un nom d'utilisateur et une clé d'activation, compilé pour Mac ARM.

Une fois que je lui ai dis ce que je voulais faire, l'agent a donc ouvert le binaire dans Ghidra via REA, lu le pseudo-code, l'a recoupé avec l'assembleur là où le décompilateur écrivait une rotation de bits sous une forme peu lisible, et m'a pondu un keygen en Python en 2 minutes chrono pour un coût API de Claude 50 centimes. J'ai ensuite fait tourner son générateur sur 479 noms tirés au hasard et le binaire les a tous acceptés.

Le crackme ouvert à la main dans Ghidra : la fonction entry et son pseudo-code

La boucle de calcul de la clé, dans le pseudo-code que REA sert à l'agent

Le patch, c'est le plus bluffant j'ai trouvé. Le petit utilitaire que je me suis fait a pour mission de compter les lignes et les mots d'un fichier texte. C'est très basique. Et j'ai donc voulu faire un patch pour qu'il affiche aussi les caractères. Comme REA, avec Ghidra, ne touche pas aux octets de l'exécutable, l'agent a donc dû faire le reste à la main... il a logé ses instructions dans une zone remplie de zéros de la partie exécutable, détourné trois instructions d'origine vers elles, puis re-signé le binaire pour que macOS le lance :

Le compteur d'origine, sa version patchée par l'agent, puis le keygen du crackme accepté par le binaire

Pour mon 3ème exercice, je me suis dit que j'allais cloner la fonction d' Amphetamine qui garde mon Mac éveillé tant qu'une appli donnée est ouverte. Via Ghidra, malheureusement REA a refusé le binaire universel Intel et ARM d'Amphetamine, alors l'agent en a extrait lui-même la partie ARM. Il a alors trouvé qu'Amphetamine posait une assertion d'énergie du système et surveillait la liste des applis lancées. Et magie de l'IA, il a ensuite codé en Swift un petit outil qui fait tout pareil. J'ai testé avec la Calculatrice, ça marche, à condition de lui donner le nom de l'appli dans la langue du système, ou son identifiant.

pmset ne montre l'assertion d'éveil que pendant que la Calculatrice est ouverte

Et le dernier, c'est Wolfenstein 3D (j'ai pris la version shareware 1.4) dont l'exécutable DOS est compressé. L'agent a donc écrit son propre décompresseur, puis retrouvé dans le code le raccourci clavier pour tricher (c'est M+L+I qui met santé à 100, munitions, clés, mitrailleuse... et score remis à zéro), le paramètre goobers qui, avec Maj gauche + Alt + Retour arrière, débloque les touches de debug comme le mode Dieu, et même un juke-box caché. Tout correspond au code source publié depuis par id Software.

Par contre, ses logs montrent qu'il cherchait ces codes par leur nom avant de les avoir vus. Je me suis donc fait avoir puisque le modèle les connaissait déjà. Par contre, il les a bien retrouvé dans le binaire.

Début de partie du shareware 1.4 dans DOSBox, lancé avec le paramètre goobers

Les trois occurrences de goobers dans l'exécutable décompressé

Alors, REA est-il indispensable ?

Hé bien pour le savoir, j'ai relancé les quatre exercices avec le même modèle, les mêmes fichiers et les mêmes consignes, mais avec REA en moins... juste Claude Code qui pilote Ghidra. Hé bien Claude tout nu a tout réussi lui aussi, mais en écrivant quand il en avait besoin ses propres scripts Ghidra en Java, là où REA lui servait le pseudo-code et l'assembleur sur un plateau.

Bref, ce que je peux vous dire avec mes tests, c'est que REA ne fait pas mieux qu'un Claude à qui on demande d'installer Ghidra et de l'utiliser. Par contre, REA a été plus rapide sur le keygen (2 minutes 22 contre 2 minutes 48 pour Claude), sur Amphetamine (9 minutes contre 16 minutes pour Claude) et sur Wolfenstein (10 contre 14 pour Claude), mais plus lent sur le patch (7 minutes et demie contre un peu plus de 2 pour Claude).

A voir ce que ça donnerait avec un modèle local genre Qwen (débloqué avec Heretic , alleeeez)...

REA est sous licence MIT et l'analyse tourne en local (même si ses résultats partent quand même chez le fournisseur de votre modèle, donc évitez d'y passer un binaire confidentiel), et Hopper comme IDA restent des outils commerciaux dont REA ne fournit aucune licence.

Notez aussi que son créateur exclut le contournement de licences et la fabrication de patchs pour les jeux, d'où encore une fois mon crackme fait maison et les codes qu'id a lui-même mis dans Wolfenstein ^^.

Autre précaution à prendre si vous vous lancez et qui touche cette fois à la fiabilité de ce que l'agent IA peut vous raconter : Des chercheurs ont publié fin mai un préprint montrant qu'un binaire piégé peut donner ses propres ordres à l'IA qui l'analyse . Pour cela, il suffit d'y glisser des chaînes de texte sans effet à l'exécution, qui se retrouvent ensuite dans le code décompilé et soufflent de fausses instructions au modèle, pour lui faire mal interpréter le programme. Je n'ai pas testé REA là-dessus, mais le principe vaut a priori pour tout agent branché sur Ghidra, donc faites bien attention avant de donner un échantillon suspect à votre agent IA préféré.

Et si seul Ghidra vous intéresse, sachez que le ce MCP dont je vous ai parlé en février permet aussi de faire le pont agent IA <> Ghidra.

Voilà, pour installer REA, un petit :

npx rea-agents setup

Et c'est parti !

Mercredi, c'est le jour des enfants, mais c'est surtout celui des adultes qui n'ont aucune envie de bosser !!

Alors pour ceux-là, je vous ai débusqué Ported2Browser , un annuaire qui recense +200 jeux et logiciels capables de tourner directement dans l'onglet de votre navigateur. Bref de quoi jouer sans rien installer sur l'ordi...

Vous vous baladez sur le site ou vous cherchez ce que vous voulez, vous cliquez et hop, ça se lance directement depuis le site qui héberge le portage.

Vous pouvez ainsi filtrer par plateforme (NES, Super Nintendo, Nintendo 64, GameCube, Game Boy et d'autres), par tags, ou par façon de jouer. Par là, j'entends soit au clavier et à la souris, ou la manette ou directement via l'écran tactile. Il y a même un éditeur d'images, Compositor, pour les graphistes qui n'arrivent VRAIMENT pas à décrocher de leur boulot ^^.

En tout cas ça m'a fait plaisir de retomber sur "You don't know Jack" auquel je jouais quand j'étais petit (en français). Je l'avais complètement oublié ce jeu, c'est fou !

Voilà, je vous laisse découvrir tout ça, histoire de vous détendre avant le 17 octobre ^^ !

Je pense que ça va vous plaire ! En tout cas, moi ça m'a vraiment impressionné ! Le Petit Prince parmi les étoiles , c'est un jeu en 3D qui se lance directement dans le navigateur et qui nous emmène de planète en planète tout comme dans le conte de Saint-Exupéry. Il n'y a rien à installer, et le jeu est en français, en plus de sept autres langues.

La carte du voyage en français : B-612 est ouverte, les sept autres planètes attendent

Au premier clic, la carte du voyage s'ouvre avec huit planètes, et au démarrage, seule B-612 est accessible. Le roi, l'allumeur de réverbères, le géographe et les autres attendront donc leur tour pendant que vous promenez le petit prince sur son astéroïde (après une courte cinématique où il contemple une mer de nuages), entre ses volcans et sa fleur. Votre progression, elle, reste sauvegardée dans le navigateur d'une visite à l'autre.

Sur B-612, premier objectif : faire le tour de la planète, entre la cabane et les deux volcans

L'ambiance est reposante, un peu magique et m'a bien replongé en enfance, quand je lisais cette histoire poétique et un peu bizarre ^^.

Derrière ce jeu, il y a Sac, un créateur basé à Singapour qui parle d'IA et de 3D toute la journée sur X. Dans son post de lancement , il explique avoir passé 16 jours sur ce projet avec l'aide de Claude Opus 5.5, en combinant Tripo et Blender . Mais c'est surtout Opus 5.5 qui a transformé chaque planète du conte en scène 3D totalement explorable. Il a promis aussi de publier un peu plus tard le code source du jeu et le détail de comment il a réussi à faire tout ça. Après avoir fait ce jeu pour tester les capacités de l'IA, ce qu'il pense maintenant, c'est que plus personne n'a la moindre raison de ne pas l'utiliser.

En attendant qu'on ait les détails de son making-of, en creusant un peu, ce qu'on peut déjà voir c'est que c'est un export Unity qui tourne en WebGPU (sans aucun repli vers WebGL2), découpé en lots de chapitres, et que les commentaires dans le code renvoient à des documents de conception écrits en Markdown (UI_DESIGN.md, ENGLISH_COPY.md, WEB_BUILD.md...) ainsi qu'à des scripts Python qui génèrent en l'occurrence les polices et les logos.

Maintenant, quelle part a été faite à la main, ça, on ne le saura que lorsqu'il publiera sa technique...

Mais en tout cas, si après avoir joué à ce jeu, ça vous donne envie de vous y mettre pour réaliser vous aussi le jeu vidéo de vos rêves que vous avez dans la tête depuis que vous êtes tout petit, voici ce que vous avez à votre dispo.

Tout d'abord, il vous faut des graphismes et pour cela, Tripo transformera une description texte ou une simple image en modèle 3D, surtout si vous utilisez aussi son add-on officiel pour Blender qui permet de faire ça sans quitter le logiciel (à condition d'avoir une clé API Tripo). Maintenant, si vous préférez tout garder sur votre machine, n'oubliez pas que TRELLIS de Microsoft génère lui aussi des modèles 3D, sous licence MIT, et que je vous avais présenté son portage sur les Mac Apple Silicon il y a quelques mois.

Ensuite, pour que Claude pilote Blender, il y a MCP for Blender , l'ex-blender-mcp. L'IA y écrit elle-même le Python de Blender pour la modélisation, les matériaux, l'animation, le rig et la retopologie, et le serveur lui ajoute Poly Haven, Sketchfab ainsi que la génération 3D par Tripo ou Hyper3D Rodin (il propose aussi Hunyuan3D, mais la licence de Tencent exclut l'Union européenne, donc à voir ce qu'on fait de ça chez nous...).

Côté moteur, Unity a déclaré obsolète le serveur MCP intégré à son éditeur au profit du Unity CLI , gratuit et indépendant de son offre Unity AI, qui sait configurer Claude et installer des skills Unity pour votre agent.

Ça donne ceci si vous voulez l'installer. Ça commence par Blender d'abord, et puis Unity :

uvx mcp-for-blender setup
unity pipeline install
unity mcp configure claude
unity skill install <agent-name>

Ensuite, pour sortir le jeu et qu'il tourne dans le navigateur, sachez que le WebGPU d'Unity n'est plus expérimental depuis Unity 6.6 , mais qu'il faut encore l'ajouter vous-même aux API graphiques du lecteur Web. Quant au chef d'orchestre, Claude Code, comme vous le savez, c'est payant et inclus dès l'abonnement Pro de Claude , à 20 balles par mois.

Après, le hic, c'est ce WebGPU obligatoire car le jeu exige Chrome ou Edge 113 et plus, Safari 26, ou Firefox 141 sous Windows et 145 sur les Mac Apple Silicon. Et sous Linux (si j'en crois le suivi du W3C ), Chrome ne l'active d'office qu'avec un GPU Intel récent ou une carte NVIDIA sous Wayland, et Firefox seulement en Nightly.

Donc si l'écran vous dit que votre navigateur n'est pas compatible, séchez vos larmes et essayez depuis un Mac ou un PC Windows.

Et puis si l'envie vous prend d'adapter un autre classique à votre tour, choisissez-le bien, puisque le texte de Saint-Exupéry reste protégé en France jusqu'en 2032 et que ses héritiers exploitent le nom et les personnages comme étant des marques . Du coup, y'a des chances que Little Prince, le jeu, saute rapidement.

La rose va être bien triste encore...

Source : littleprince.dev

xboxrecomp est un outil de recompilation qui vient de voir le jour et qui devrait vous intéresser si vous êtes nostalgique de la première Xbox. En effet, ce dernier prend l'exécutable d'un jeu de la Xbox originale, traduit chacune de ses fonctions x86 en code C, puis recompile le résultat en programme Windows 100% natif. Cela veut dire que le jeu ensuite peut tourner directement sur votre ordinateur, sans faire appel à un interpréteur ni à un émulateur. C'est ce qui s'appelle de la recompilation statique, et je vous en parle régulièrement parce que je trouve ça assez magique (rappelez vous de Zelda 64 recompilé ).

Le dépôt de xboxrecomp ne contient évidemment aucun fichier de jeu pour ne pas s'exposer au courroux des ayants-droits. Vous devez donc avoir votre propre disque, en extraire le default.xbe, et la chaîne d'outils (du Python avec capstone, puis Visual Studio 2022 pour compiler) génèrera chez vous tout le code C du jeu. Pas de bouton magique, par contre, le premier lancement d'un jeu recompilé plantera et ensuite, ça avancera crash après crash. Notez que ce projet s'est construit avec Claude Code également.

Pour le moment, le seul jeu qui va au bout de sa recompilation, c'est Burnout 3: Takedown. Tous les modes démarrent et se jouent, seul ou à deux, mais les menus tournent à environ 14 images par seconde et les courses à 2 à 4 FPS sur une machine à 12 cœurs. Y'a pas non plus de possibilité de faire des sauvegardes et c'est manette obligatoire. Bref, c'est pas encore très jouable.

En fait le problème c'est le GPU de la Xbox (le NV2A) qui est émulé en logiciel, et c'est malheureusement ça qui fait chuter les FPS. Le "No emulation" du slogan ne vaut donc que pour le processeur, mais pas les morceaux audio ni le GPU repris de xemu. Mais ça changera peut-être bientôt.

Maintenant, si vous cherchez un jeu Xbox précis à installer, regardez plutôt du côté de SCDA-XBERecomp , qui est l'inverse de xboxrecomp. C'est n'est pas un outil universel mais une recompilation uniquement du jeu Splinter Cell: Double Agent. Celui-ci réimplémente le noyau, Direct3D et DirectSound côté Windows, et vous laisse régler le champ de vision ou lever la limite de 30 images par seconde.

Et si vous voulez juste rejouer à vos jeux Xbox ce soir, un émulateur comme xemu fera très bien comme d'hab.

Moi de mon côté, j'avance toujours sur mon recompilateur universel de ROMs Kompote et ça marche vraiment très bien. Là je suis en train d'implémenter le support des jeux Amiga... je pense que dans quelques jours, ce sera cuit à point.

Source : xboxrecomp sur GitHub

Hier, GitLab a publié en urgence les versions 19.4.2, 19.3.5 et 19.2.8 pour corriger une faille un peu chaude avec un score CVSS de 10 sur 10 . Référencée sous le code CVE-2026-97229, elle permet à quelqu'un sans compte user d'exécuter du code sur le serveur en glissant tout simplement une expression régulière piégée dans une configuration CI/CD.

GitLab précise que cela ne peut se faire que "sous certaines conditions" sans préciser lesquelles, et il ne dit pas non plus comment un inconnu pourrait faire lire sa config CI forgée par une instance. Gitlab mentionne une histoire de dépassement d'entier dans le compilateur de regex du CI/CD et d'une validation insuffisante des expressions mais on n'a pas les détails techniques qui sortiront dans environ 90 jours. C'est habituel pour laisser le temps à tout le monde de patcher.

Ces dernières semaines, ça enchaine fort ( un peu comme Citrix ) avec fin septembre, la 19.4.1 qui corrigeait déjà deux autres faille sur le même terrain : CVE-2026-93577, pour un dépassement d'entier dans le compilateur, et CVE-2026-89078, pour un double free dans l'analyseur de regex. Notées 9,9 toutes les deux et signalées par le même chercheur (joaxcar), mais celles-là exigeaient au moins un compte. Et la troisième faille (la CVE-2026-85706) découverte aussi courant septembre, était quand a elle aussi notée 10 sur 10 et permettait de lire les fichiers présents sur le serveur sans avoir de compte.

Alors qui est concerné ?

Hé bien toutes les instances auto-hébergées en 19.2 avant la 19.2.8, en 19.3 avant la 19.3.5 et en 19.4 avant la 19.4.2. Une 19.4.1 installée fin septembre n'est donc pas à l'abri. Le service GitLab.com en lui-même est déjà à jour et les clients serveur dédié n'ont rien à faire. Mais pour les autres, l'alerte de sécurité ne mentionne aucun contournement / fix. Faut juste mettre à jour et basta.

Sur une instance mono-nœud, prévoyez donc une coupure, parce que ce correctif embarque des migrations de base qui exigeront un reboot.

Voilà, maintenant que vous êtes au jus, c'est le moment de patcher !!

Source : BleepingComputer .

En France, même si ça les défrise, un policier ou un gendarme en service ne peut pas s'opposer à ce qu'on l'enregistre (vidéo, photo et son), tant qu'on n'est pas dans un lieu privé. C'est la Défenseure des droits qui l'a rappelé dans un avis de 2020, en s'appuyant sur une circulaire de 2008 du ministère de l'Intérieur, excluant aussi qu'on vous interpelle ou qu'on vous retire votre matériel pour ça .

J'irais même plus loin en disant que filmer est même un devoir, tant ça peut vite déraper d'un côté comme de l'autre...

Bref, filmer est donc un droit acquis, mais publier l'enregistrement c'est autre chose... Le Conseil constitutionnel ayant censuré en 2021 le délit de provocation à l'identification des policiers prévu par la loi Sécurité globale, parce que le texte était trop imprécis, il ne nous reste que l' article 223-1-1 du Code pénal , qui punit de 3 ans de prison et 45 000 euros d'amende le fait de diffuser des informations permettant d'identifier quelqu'un dans le but de l'exposer à un risque direct d'atteinte. Et ça monte à 5 ans et 75 000 euros si la personne est dépositaire de l'autorité publique.

En langage clair et en théorie, cela veut dire que publier le visage d'un policier ne suffit pas à faire un délit... C'est l'intention d'exposer qui doit être prise en compte, et la LDH le rappelle, il n'y a aucune obligation légale qui impose de flouter les agents.

Reste que flouter est LE choix de la prudence, parce qu'une vidéo est là pour documenter des faits et pas pour afficher des personnes. Et surtout ça vous évite tout procès d'intention. La Défenseure des droits juge d'ailleurs que publier des images d'interventions de police est légitime et nécessaire dans une société démocratique, donc même s'il y floutage de visage, ça ne retire rien au document : les gestes, les mots et le contexte restent à l'image.

Mais attention, le floutage ne vous protège pas non plus de tout puisque si vous n'êtes ni journaliste ni en train de constituer une preuve en justice, diffuser des images de violences peut vous exposer à 5 ans de prison, au titre de l'article 222-33-3, d'après ce qu'explique la LDH.

Après, en ce qui concerne le visage des manifestants, c'est également très bien de les flouter puisque le fichier TAJ des antécédents judiciaires peut être interrogé par reconnaissance faciale, et le Sénat a dénombré 498 871 consultations de ce type en 2021 rien pour la seule police nationale. Donc j'imagine pas en 2026...

Reste le côté "pratique" de la chose, parce que flouter une vidéo à la main, image par image, c'est pas si simple quand on ne maitrise pas les outils de montage vidéo. Mais il y a une application web libre nommée Masque du collectif onestla.tech qui vous permet d'uploader des photos, en lot (avec ZIP à la sortie), ou une vidéo, et celui-ci masquera tous les visages. Tout se passe uniquement dans votre navigateur (rien n'est envoyé sur des serveurs tiers) et une fois chargée l'appli peut même fonctionner offline sur votre téléphone par exemple.

Chaque masque peut ainsi être revu avant l'export, et pour un visage raté, il suffit de glisser le doigt ou la souris dessus pour l'ajouter. Le fichier qui sort ensuite a été totalement nettoyé de ses métadonnées (ni EXIF, ni GPS, ni date de création) et porte un nom aléatoire. Comparé au floutage ou à la mosaïque, notez que le style "Solid" qui met un calque noir ou Emoji sur les visages sont les plus safe pour protéger l'anonymat des personnes.

Après, oui, la détection automatique peut manquer des visages, et les vêtements, les tatouages, les banderoles ou encore les lieux permettent évidemment d'identifier encore des gens donc là faudra se relever un peu plus les manches pour sécuriser à fond la vidéo Et pour le son, si vous en avez besoin, Masque propose une option "Supprimer le son" en précisant que les voix peuvent également permettre d'identifier des personnes, donc pensez-y avant de publier si le son n'a pas d'utilité. Sinon, trouvez un outil pour modifier les voix afin qu'on puisse quand même savoir ce qui est dit mais sans reconnaitre la voix des personnes.

Voilà, ce projet est tout jeune mais je l'ai trouvé bien utile. Et si vous filmez pour documenter, gardez bien évidemment l'original dans un endroit safe que vous maîtrisez, sachant que votre téléphone l'a peut-être déjà envoyé dans un cloud.

Ah et si Masque ne vous convient pas, il y a aussi deface , que j'avais déjà présenté et dont Masque reprend le modèle de détection.

C'est un outil en ligne de commande qui tourne sous Linux, Windows et macOS, python3 -m pip install deface puis deface video.mp4, qui détecte les visages image par image et les floute ou les cache sous des boîtes noires. Pas d'interface graphique prévue cependant et l'audio est viré par défaut.

Et pour les photos uniquement, tout le monde l'ignore mais Signal a un outil de floutage dans son éditeur d'images depuis 2020, sur Android et iOS, avec un traitement à 100% local. Sa détection, elle non plus, ne trouve pas tous les visages à coup sûr, d'où le pinceau pour flouter à la main ce qu'elle a raté mais c'est aussi très pratique. Ah et j'avais aussi parlé de cet outil gratuit pour anonymiser les photos de manifs si vous voulez en essayer encore un autre.

Bref, filmez partout et tout le temps mais pensez bien à flouter avant de publier quoi que ce soit et surtout à garder l'original au chaud pour aider les victimes plus tard.

Source : le dépôt de Masque

Printr , c'est un petit projet que j'ai trouvé vraiment sympa et original qui permet de transformer une imprimante à tickets de caisse Epson TM-T88V en gadget utile pour toute la famille !!

Vous la branchez sur un Raspberry Pi, et depuis votre smartphone, vous composez un ticket au design de votre choix grâce à une quarantaine de blocs (météo, agenda, sudoku, énigmes, horoscope, photos...) disponibles. Ensuite, vous lancez l'impression, et ça sort sur le rouleau. Ou alors vous pouvez faire ça à demande, par exemple à 7 h 30 tous les matins de la semaine si vous le planifiez comme ça.

Le ticket du matin tel que le rend l'émulateur de la TM-T88V, de la météo jusqu'aux cases à cocher

Le ticket du matin, par exemple, vous donne la date et le saint du jour, la météo de votre ville (via Open-Meteo), la phase de la lune, une citation et votre liste de choses à faire dans la journée avec des cases à cocher.

Vous pouvez aussi y ajouter vos rendez-vous à partir d'un lien ICS (calendrier quoi), et même un bloc "poubelles" qui imprime "Ce soir, on sort le bac jaune" la veille du ramassage.

C'est vraiment sympa non comme façon de se faire des petits pense bêtes.

Et pour occuper les enfants (ou les grands au petit-déj), il y a également toute une série de jeux comme le sudoku, des mots mêlés en français, logimage, petit bac, calcul mental, mandala à colorier et 125 énigmes dont la réponse est imprimée à l'envers, histoire d'obliger à retourner le ticket pour la lire.

Côté horoscope, c'est Claude Haiku qui s'y colle, avec quatre tons au choix : Sérieux, farfelu, vachard ou insultant. Et le dernier ne fait pas semblant visiblement. Ce bloc et le mot du jour sont d'ailleurs les deux seuls à appeler l'API d'Anthropic (donc c'est payant) et leur texte restera en cache pour la journée. Après, si ça vous saoule de payer l'API d'Anthropic, le bloc Barnum vous calculera un horoscope gratuitement, un peu moins fun et hors ligne.

Tout ça se pilote depuis une appli web conçue pour le smartphone et chaque membre de votre famille peut avoir son compte et composer ses tickets avec un aperçu en direct, puis les enregistrer, les partager et les planifier à l'heure voulue.

L'éditeur sur ordinateur, avec à droite l'aperçu du ticket et la réponse de l'énigme imprimée à l'envers

Il y a aussi la possibilité de laisser un petit mot à distance sur l'imprimante de la maison, avec une photo prise avec le téléphone, un cœur dessiné, quelques mots...etc. Sympa quand on est loin de chez soi pour envoyer des petits mots d'amour à sa famille.

De son côté, la liste de courses est partagée entre tout le monde et se vide toute seule une fois imprimée. Et sur iOS, l'app Raccourcis peut même envoyer vos Rappels au Pi pour qu'il les imprime. Par contre, pour envoyer un mot depuis l'extérieur de chez vous, il faudra que le téléphone puisse joindre le Pi, donc soit un VPN type Tailscale, soit l'appli ouverte sur Internet derrière un reverse proxy HTTPS.

Maintenant, côté matériel, Printr, comme je vous le disais en début d'article, vise une seule imprimante bien précise, la TM-T88V, dont la largeur imprimable de 512 points est fixée en dur dans le code. Pour le reste, il vous faudra une machine Linux avec systemd, idéalement un Raspberry Pi sous Raspberry Pi OS Lite 64 bits, et l'imprimante en USB ou sur le réseau.

Et il faudra ensuite compiler tout ça, puisque le script de déploiement compile le programme pour l'architecture précise de la machine avant de l'envoyer en SSH et d'installer le service :

scripts/deploy.sh pi@printer.local

Si vous voulez voir ce que ça donne avant d'aller acheter une TM-T88V avec vos petits sousous, le dépôt fournit aussi un émulateur pour l'imprimante à lancer via la commande scripts/demo.sh qui imprimera le ticket complet dedans et en sortira une image PNG.

Merci à XNinety9 et bravo pour le boulot !!

Si vous avez jeté un œil au stockage de votre Mac sous macOS 27 récemment, vous avez forcément croisé ce gros bloc "Données système" que Réglages Système ne vous explique jamais vraiment en détail.

Mais c'était sans compter sur MacSpace , une appli libre qui s'attaque justement à ce truc-là, et qui s'occupe également au passage des modèles d'Apple Intelligence histoire de gagner un peu de place.

En réalité, "Données système" n'est pas un dossier mais tout le bordel et l'espace dont macOS a besoin. Mais quand on creuse un peu, on peut découvrir grâce à MacSpace à quoi tout ceci correspond dans le détail.

Données système ventilé par catégorie, avec l'historique des versions marqué Irréversible

Le bouton "Libérer" supprimera alors ce qui ne craint pas. Je pense aux caches des applications fermées, les rapports de diagnostic et de plantage datés de plus de 7 jours, et les ressources système inutilisées. De son côté, l'historique des versions de vos documents a son propre bouton, marqué "Irréversible" puisque les anciennes versions partent pour de bon. En effet, n'espérez pas retrouver ce que vous avez supprimé avec MacSpace dans la corbeille.

Notez bien que pour ces ressources système, comme pour les fichiers marqués purgeables et les modèles d'IA, ce n'est pas MacSpace qui s'occupe de la suppression. L'app confie ce travail à CacheDelete, l'outil de purge que macOS lance lui-même quand le disque est presque plein, sans toutefois indiquer quels fichiers il emporte. Mais bon, vous ne prendrez pas grand risque puisque ces fichiers se téléchargeront ou se créeront à nouveau s'ils redeviennent nécessaires, et MacSpace ne touchera bien sûr jamais à vos documents, à Photos, à Mail ni à Messages.

Le module "Autres fichiers système" retirera aussi du Mac les copies locales de vos fichiers OneDrive ou iCloud Drive, qui resteront dans le cloud et reviendront dès que vous les ouvrirez.

Et puis il y a Apple Intelligence dont je vous parlais il y a quelques jours avec l'outil RemoveMacAI , qui supprime les modèles restés sur le disque et bloque leur retour avec un profil renvoyant leurs téléchargements vers un port local fermé. Hé bien MacSpace passe par une autre porte puisqu'il règle Siri sur une langue différente de celle du Mac, ce qui suffit à macOS pour décider qu'Apple Intelligence n'est pas dispo. MacSpace peut alors purger les modèles, qui peuvent peser 12 Go si pas plus.

Attention quand même, ça veut dire que Siri ne vous parlera plus dans la langue de votre Mac. Et avec la synchronisation iCloud de Siri activée, ce changement de langue débarquera aussi sur votre iPhone et votre iPad. MacSpace vous prévient bien sûr et vous montre comment couper cette synchro. Pour revenir en arrière, il suffit après de rebasculer l'interrupteur pour retrouver votre langue et votre voix Siri d'origine (macOS pourra alors retélécharger les modèles).

Le dernier module, Debloat, aligne 14 switchs pour couper la télémétrie, les publicités personnalisées, Siri AI ou l'indexation de vos données par Apple Intelligence, dont 6 via un profil de configuration à approuver une fois. Et comme macOS rallume certains réglages tout seul (l'identifiant publicitaire revient à peu près chaque jour, d'après le développeur), MacSpace vérifie toutes les 15 minutes tant qu'il tourne et coupe à nouveau ce que macOS a rallumé, hors règles du profil.

Les switchs de Debloat et le bouton "Tout activer"

Pour réussir à faire tout ça, MacSpace installe un daemon système qui n'exécute que des opérations inscrites dans son code et n'accepte que des clients signés par la même équipe. L'app n'a aucune télémétrie, et ne se sert du réseau que pour ses mises à jour.

Côté config, il vous faut évidemment un Mac Apple Silicon sous macOS 27. C'est gratos, sous licence MIT, dispo en français, et ça s'installe soit en DMG, soit via Homebrew comme ceci :

brew install --cask 1architect/macspace/macspace

Dernier détail, il n'y a pas de désinstalleur donc avant de virer l'app, appuyez sur "Tout activer" dans Debloat et rallumez Apple Intelligence si vous l'aviez coupé, sinon les réglages modifiés resteront en place.

Source : MacSpace sur GitHub

Depuis quelques jours c'est l'effervescence sur le net car l'équipe d'ArtCraft a mis en ligne sur GitHub, 12 logiciels GRATUITS qui ont pour mission de remplacer TOUS les outils payants que nous sommes très nombreux à utiliser.

Ces nouveaux logiciels s'appellent PhotoCraft, VectorCraft, FilmCraft, LightCraft, PdfCraft, EffectCraft, DesignCraft, WordCraft, SoundCraft, DeckCraft, CADCraft et GridCraft. Et ces Crafting Apps sont des réécritures "propres" en Rust et natives pour macOS, Windows et Linux d'incontournables comme Adobe Photoshop, Microsoft Word, Avid Pro Tools ou encore Autodesk AutoCAD.

Maintenant pour réussir à publier 12 clones d'outils aussi iconiques en quelques jours, l'équipe derrière le projet ne s'est évidemment pas tapé tout à la main, vous vous en doutez... De nombreux commits de PhotoCraft sont par exemple co-signés "Claude Opus 3.5" ou "Codex". Hé oui, les ravages de l'IA qui a reçu pour consigne de refaire à l'identique par exemple Photoshop avec les mêmes menus, les mêmes raccourcis, et le même comportement.

J'ai mis un peu de temps à me décider d'installer tout ça pour tester parce que tous ces outils, depuis que l'IA est entrée dans ma vie, bah je n'en ai plus vraiment besoin. Mais bon, faut bien que je fasse mon taf à un moment ou à un autre ^^ alors j'ai pris le temps de tout installer sur mon Mac pour voir ce que ça donne...

Déjà l'installation passe par l'ArtCraft Launcher, signé par une société nommée Learning Machines LLC , qui installe chaque app en quelques secondes depuis les releases GitHub, après avoir contrôlé son empreinte SHA-256. Au total, en installant tout, j'ai fini avec 1,7 Go d'applications, ce qui est vraiment peu, je trouve.

Voici à quoi ressemble ce launcher :

Le launcher en vue tableau, avec sa colonne "Inspirée de" et la mention des marques en bas

J'ai donc commencé par PhotoCraft en ouvrant le PSD de mon propre logo, soit 7 calques et tous se sont bien chargés, même les calques techniques comme ceux concernant la lumière, la densité des couleurs, etc. En plus, j'ai été surpris mais l'interface est entièrement en français, avec des menus identiques à ceux qu'on retrouve sur Photoshop jusqu'au "Filtre Camera Raw". J'ai ensuite comparé le rendu de l'outil à l'image fusionnée que Photoshop avait enregistrée dans le fichier, et 100 % des pixels correspondent. Et quand je réenregistre en PSD mon fichier, celui-ci garde ses sept calques et se rouvre à l'identique.

C'est assez impressionnant, je suis bluffé...

Mon logo PSD dans PhotoCraft, avec ses sept calques et leurs modes de fusion

WordCraft, lui, reprend le menu "ruban" de Word jusqu'aux onglets Mailings et Zotero, et mon document de test (avec titres, gras, italique, accents, liste et tableau) s'affiche impecc. Par contre, l'interface reste en anglais et le correcteur souligne tout mon french en rouge par défaut.

WordCraft et mon document de test, sous un ruban calqué sur celui de Word

De son côté, le tableur GridCraft, quant à lui, a passé une épreuve un peu plus dure puisque dans mon classeur j'ai enregistré des formules SUM, AVERAGE et MAX mais sans leur résultat. Hé bien lui les a recalculées de lui-même sans une erreur !

GridCraft a recalculé seul les totaux, la moyenne et le maximum de mon classeur

Pour le reste, PdfCraft a parfaitement lu mon PDF de trois pages, VectorCraft a affiché correctement un SVG avec courbes et texte s'il vous plait, DeckCraft a affiché mes trois diapos PowerPoint de test, et CADCraft respecte totalement les proportions d'un plan DXF.

CADCraft et mon plan DXF, avec un ViewCube et une ligne de commande façon AutoCAD

De son côté, DesignCraft (le clone InDesign) sait ouvrir un fichier IDML sur 2 colonnes, césure comprise, en signalant les erreurs et les polices manquantes. Enfin, pour l'image et le son, LightCraft permet d'importer un dossier de JPEG, SoundCraft charge un WAV stéréo dans la joie et la bonne humeur, et FilmCraft tout comme EffectCraft importent des vidéo MP4 sans problème (j'ai testé uniquement avec des vidéos de quelques secondes.)

Les 6 autres apps que j'ai lancé en test avec les fichiers de l'essai, et entre parenthèses le logiciel dont chacune s'inspire

Attention quand même, tout ce que j'ai ouvert là, ce sont des formats qui ont été documentés publiquement. Si vous essayez d'ouvrir des projets After Effects et Premiere, ça ne passera pas. EffectCraft ne sait pas ouvrir les .aep, et FilmCraft ne lit pas encore les .prproj. Après SoundCraft n'échange encore aucune session en AAF ou en OMF, et CADCraft perd à l'enregistrement les entités qu'il ne gère pas.

Voilà, donc si le format proprio PSD passe aussi bien, c'est parce qu'Adobe en a publié les specs depuis longtemps.

Voilà pour mon petit test... Ce que je peux vous dire c'est que le boulot accompli est vraiment impressionnant, mais que les outils sont assez inégaux dans leur maturité. Après rien d'inquiétant car ça avance très très vite entre les contributions et l'IA. Donc pour le moment, ça ne remplacera pas Photoshop si vous êtes un pro de cet outil. Mais pour des gens comme moi qui en ont un usage très ponctuel, c'est le pied !

FilmCraft, son projet de démo et ma vidéo de test importée en bas à gauche

Maintenant, la question que je me suis posé, c'est qui finance tout ce bordel ?

Parce que même si c'est l'IA qui fait en grande partie le taf, faut bien payer les tokens ! Et bien, derrière le projet, il y a Brandon Thomas, qui se présente sur GitHub comme fondateur d'ArtCraft, de Storyteller.ai et de FakeYou. FakeYou, c'est un site de voix synthétiques de célébrités, sur lequel le Garante italien (la CNIL italienne, quoi...) avait ouvert une enquête en 2022. Et visiblement c'est soutenu par le fonds Pebblebed qui liste ArtCraft dans son portefeuille . Bref, après le clonage de voix, on dirait bien que Brandon est passé au clonage de logiciels. Le garçon a de la suite dans les idées...

Maintenant la thune générée par ArtCraft, provient de leur studio d'images et de vidéos par IA avec des abonnements qui coûtent entre 96 et 576 dollars par an. Cela donne droit à des crédits de génération sur Nano Banana, Seedance ou Kling. Mais rassurez-vous, les Crafting Apps, elles, ne sont pas monétisées.

Maintenant mettre tous ces clones en open source, c'est une excellente idée je trouve car d'un point de vue "code", ça les rend immortels (suffit de cloner le dépôt) et surtout, les contributeurs qui apportent des fonctionnalités et des corrections de bug le font avec leur temps et... leurs tokens... Bah oui.

Donc quelque part, la communauté ArtCraft finance aussi une bonne partie du dev...

Reste la question du droit d'auteur bien sûr puisque concernant le code, le droit européen est très clair. En effet la directive de 2009 sur les logiciels protège ce qui est écrit, mais pas les idées qui se cachent derrière une interface, et elle laisse donc à quiconque le droit d'utiliser un programme, et de le décortiquer en le faisant tourner pour l'analyser. De plus, en 2012, l'arrêt SAS Institute a précisé que ce que fait un logiciel et le format de ses fichiers ne sont pas protégés. Et comme ArtCraft affirme n'utiliser ni code, ni shaders, ni assets propriétaires, ils sont clean, sauf si Microsoft ou Adobe arrivent à prouver le contraire.

Là où ça peut coincer, je pense, c'est au niveau de l'interface puisque fin 2010, la même Cour a estimé qu'une interface graphique , à défaut d'être protégée comme du code, peut l'être comme n'importe quelle œuvre, dès lors qu'elle est originale ! Or chez ArtCraft, il est dit qu'ils ont étudié Photoshop pour son comportement et son apparence et rien d'autre... Oui, son apparence... donc là y'a peut-être une faille ?

Bref, pour le moment rien n'indique que le code viole le droit d'auteur, mais l'interface et la manière de se présenter sont risquées.

Maintenant si vous voulez vous faire votre propre avis, rendez-vous sur getartcraft.com .

Dangbei nous a envoyé il y a quelques semaines son N3 Max , un vidéoprojecteur LED Full HD affiché 499 euros au catalogue mais qu'on trouve à 399 euros sur Amazon en ce moment , et qui mise sur deux arguments assez rares à ce tarif, un pied rotatif intégré et un vrai Netflix certifié. On l'a promené quelques jours entre le salon, la chambre et la terrasse.

Le boîtier de 3,6 kilos est monté d'origine sur un support qui pivote de -45 à +135 degrés, ce qui veut dire qu'on passe du mur au plafond d'un simple geste, sans trépied ni perceuse. Pour regarder un film allongé, c'est carrément agréable.

À chaque déplacement, la machine refait seule sa mise au point, corrige le trapèze, recadre l'image dans la zone libre et contourne même l'étagère qui dépasse. On pose, on attend, on regarde. Et ça fonctionne plutôt bien, même si on a eu quelques fois besoin d'ajuster un peu la mise au point avec la télécommande.

Côté image, on a du LCD Full HD en 1080p qui décode la 4K, une source LED donnée pour 1000 lumens ISO et une diagonale qui monte jusqu'à 150 pouces, même si la marque recommande elle-même de rester entre 80 et 120 pouces pour garder de la luminosité.

Dans une pièce sombre, justement, le résultat est très net, les couleurs sont agréables et on oublie vite le prix de la machine. Volets ouverts en pleine journée, l'image devient moins contrastée, les 1000 lumens ont leurs limites. Le HDR10 est bien là, mais il n'apporte pas grand-chose avec un contraste pareil. Quoi qu'il en soit, à ce niveau de prix, c'est très bon.

Le vrai truc qui fait la différence à ce prix, c'est le logiciel. Le N3 Max tourne sous VIDAA OS, le système d'exploitation des téléviseurs Hisense, avec Netflix, YouTube, Prime Video et Disney+ en versions officielles, sans la moindre clé HDMI à rajouter derrière. AirPlay est aussi de la partie pour envoyer l'écran de son iPhone. Plex fonctionne aussi parfaitement dessus, pour ceux qui ne jurent que par ça.

La télécommande embarque l'assistant vocal VIDAA Voice, qui lance une appli ou une recherche à la voix, sauf sur Netflix qui ne répond pas aux commandes vocales. Les enfants ont droit de leur côté à Kidoodle TV, avec des milliers de programmes gratuits avec contrôle du temps d'écran et heure du coucher paramétrable.

Sous le capot, une puce MediaTek MT9660 épaulée par 1 Go de mémoire et 8 Go de stockage fait tourner l'interface sans ralentissement, et la connectique aligne un port HDMI 2.0 compatible eARC pour renvoyer le son vers un ampli, deux prises USB, une sortie casque en jack 3,5 mm, du Wi-Fi 5 et du Bluetooth 5.0.

Les deux haut-parleurs de 6 watts compatibles Dolby Audio dépannent très bien pour un dessin animé ou un match de rugby (oui je regarde pas le foot, déso), avec des basses quand même un peu timides. Pour une vraie soirée cinéma, on branche une enceinte Bluetooth et tout va mieux.

Un mode jeu à faible latence permet de brancher une console en 1080p à 60 Hz, de quoi jouer tranquillement.

La télécommande n'est pas rétroéclairée, ce qui est agaçant dans une pièce plongée dans le noir, et c'est un problème récurent avec ce genre de produit hélas. Dommage.

Du coup, pour une chambre, un studio ou une toile tendue dans le jardin, le N3 Max fait très bien le job. Les cinéphiles suréquipés n'y trouveront rien, les autres peuvent y aller les yeux fermés, c'est un super rapport qualité-prix. Disponible par ici sur Amazon .

ONLYOFFICE, je vous en ai déjà parlé à plusieurs reprises . Il s'agit de cette suite bureautique open source incroyable du genre Microsoft 365 ou Google Workspace, avec traitement de texte, tableur, présentations et éditeur PDF, à utiliser soit directement dans leur cloud ou à installer sur votre propre serveur !!

Et, youpi, sa version 10.0 débarque avec une 50aine de nouveautés et plus de 1 000 bugs corrigés ! Rien que ça !

Charger la vidéo depuis YouTube Ce clic autorise une connexion à Google : adresse IP transmise et traceurs possibles. En savoir plus Voir cette vidéo sur YouTube

La grosse nouveauté, vous vous en doutez, c'est bien sûr l'IA, qui arrive dans les 4 outils sous la forme d'un seul onglet dédié avec un chat intégré. Vous pouvez ainsi lui demander au choix de rédiger du texte pour vous, de résumer ce que vous avez la flemme de relire mais également de traduire dans la langue de votre choix, de corriger vos erreurs de grammaire et d'orthographe ou encore de mettre en forme directement votre contenu.

Et comme cette IA tient compte du contexte du document, vous pouvez lui poser des questions par exemple sur un looong PDF, lui faire générer et expliquer une formule un peu compliquée dans le tableur, ou transformer une simple idée en keynote de 2h pour votre prochain TEDx ^^, notes du présentateur comprises.

Dans l'éditeur PDF, le chat IA propose ses requêtes toutes prêtes : résumer, traduire, corriger, créer une table des matières

Cette fonctionnalité IA embarque aussi plusieurs prompts tout faits qui couvrent les demandes les plus courantes. Mais vous pouvez aussi enregistrer les vôtres pour les rejouer d'un clic plus tard, créer des actions rapides pour un besoin ponctuel (du genre changer le ton d'un texte, par exemple) ou vous monter un super assistant qui travaillera en continu pendant que vous chillez à la machine à café et qui réagira à vos modifs pendant que vous écrivez.

Notez que ces deux dernières fonctionnalités ne sont pas encore disponibles pour l'instant, ailleurs que dans le traitement de texte.

La création d'un assistant IA dans le traitement de texte, ici avec un prompt qui extrait décisions et actions d'un compte rendu de réunion

Maintenant, la question que vous vous posez sûrement, c'est où partent vos documents ?

Eh bien ça dépend de la façon dont vous utilisez ONLYOFFICE. Si vous l'utilisez dans le cloud, le service ONLYOFFICE AI repose sur OpenRouter et il faut donc recharger votre wallet pour l'activer (ouaip, c'est payant). Par contre, sur votre serveur à vous, il suffit de brancher le modèle que vous voulez, y compris un modèle qui tourne en local, et dans ce cas, vos documents ne quitteront pas votre infra.

Quoiqu'il en soit, dans les deux cas, c'est vous qui choisissez le modèle par défaut que vous voulez utiliser et bien sûr, attribuer d'autres modèles secondaires à d'autres tâches précises.

Et si l'IA vous donne des boutons, sachez qu'ONLYOFFICE a écouté les retours de ses utilisateurs et l'a totalement retirée des versions open source. Donc si vous êtes en mode open source et que vous voulez de l'IA, faudra l'installer en plus (mais ça reste possible). Desktop Community, la version libre de l'application de bureau, la propose ainsi en module complémentaire facultatif, que vous n'ajoutez que si vous en avez envie.

Cette 10.0 introduit aussi des applications gratuites sous licence AGPL v3, que vous activez selon vos besoins : Des agents IA qui automatisent votre espace de travail avec de la recherche intelligente, une base de connaissances personnalisée avec des serveurs MCP, des formulaires de collecte des données suivi d'une analyse des réponses, un système de fichiers qui centralise le stockage et les droits d'accès, et des espaces de collaboration sécurisés, jusqu'aux salles de données virtuelles pour les documents confidentiels.

Dans le cloud, tout ceci est actif par défaut, et sur un serveur, une seule commande suffit à les installer.

Dans les éditeurs, c'est le PDF qui récupère les nouveautés les plus pratiques puisqu'il sait maintenant effacer les métadonnées et autres informations cachées d'un fichier avant de l'envoyer, mais aussi régler la bordure, le fond et l'opacité de vos annotations, et quand vous modifiez le texte d'un PDF, les tableaux sont reconnus tout seuls, ce qui évite de reconstruire les lignes et les colonnes à la mano.

Les signatures, quant à elles, s'enregistrent une seule fois et peuvent ensuite être réutilisées dans d'autres formulaires. C'est pratique pour signer des papiers vite fait sans avoir à imprimer > signer > numériser. Moi, j'utilise que ça tout le temps.

Avant de partager un PDF, cette fenêtre efface ses métadonnées et ses informations cachées

Dans le traitement de texte, quand c'est en mode collaboratif, vous pouvez ainsi suivre le curseur d'un collègue en temps réel pendant la coédition. L'option "Conserver avec le suivant" évite également qu'un titre se retrouve tout seul en bas de page, séparé de son contenu, et l'écriture de droite à gauche est plus fiable. Le tableur, lui, va plus vite, notamment sur des fonctions comme SUMIF ou COUNTIFS qui ont été optimisées. Il vous indique également où placer chacune des constantes dont vous avez besoin pendant que vous tapez une formule. Et surtout, une jolie petite bordure animée vous montre ce que vous venez de copier.

Bref, c'est super pratique au quotidien !

Pendant la saisie d'une formule, une bulle indique la place de l'année, du mois et du jour dans la fonction DATE

Pour les présentations, il y a de nouveaux modes d'affichage (plan, lecture...), des options d'impression bien plus complètes et surtout l'export de vos diapos en GIF ou en vidéo, ce qui est bien pratique pour les partager sur vos réseaux sociaux.

Et dans toute la suite, vous pouvez aussi ouvrir les fichiers .ofd, enregistrer un tableur au bon vieux format .xls et convertir une image SVG en forme modifiable.

Et c'est sans compter sur la communauté d'ONLYOFFICE qui apporte aussi de nouveaux plugins, comme Antidote pour l'orthographe et la grammaire, Curly ou Salesforce, le tout rangé dans un gestionnaire de plugins refait au propre pour cette nouvelle release.

Les deux fenêtres d'export d'une présentation, en animation GIF ou en vidéo

Côté sécurité, ONLYOFFICE annonce environ 35 vulnérabilités corrigées, et promet un billet détaillé sur le sujet prochainement.

L'application de bureau Desktop Editors gagne une page d'accueil repensée, des sections Modèles et Clouds revues, une intégration avec Odoo et des retouches visuelles sous Linux pour que ce soit un peu plus joli pour les amateurs de libre.

Quant aux applis gratuites pour iOS et Android, elles ont le droit à un assistant IA qui accepte de nouveaux fournisseurs comme Grok et DeepSeek, et également droit au remplissage automatique des formulaires par IA et à la saisie vocale (C'est le genre de fonction dont je peux vraiment plus me passer, moi, la saisie vocale).

Voilà, si vous voulez voir tout ça vous-même, c'est super simple ! Il vous suffit de passer par le cloud d'ONLYOFFICE, d'installer les applications de bureau ou alors si vous êtes un petit peu chaud de déployer la version serveur chez vous pour tout garder au chaud à la maison.

Découvrir ONLYOFFICE 10.0

Slot est une interface incroyable pour la console portable Anbernic RG SP (lien affilié) qui ne lit que la Game Boy, la Game Boy Color et la Game Boy Advance. Mais il retrouve les gestes d'une GBA SP sur laquelle vos jeux deviennent des cartouches sur une étagère, et qui font le même bruit que celle qu'on enfonce IRL dans sa GBA d'enfance.

Voici ce que ça donne :

Si vous appuyez sur la touche Start, la cartouche se retournera pour afficher son circuit imprimé. Et à partir de là, vous pourrez choisir l'émulateur que vous voulez entre mGBA et gpSP.

Un appui sur la touche A relancera la dernière sauvegarde et si vous faites un appui long, vous repartirez de zéro. Maintenant, si vous voulez éjecter la cartouche, il faudra laisser le bouton Menu enfoncé. Et ça permettra de créer une nouvelle sauvegarde instantanément pour ne pas perdre votre progression en changeant de jeu.

Le clapet suit le même principe... le refermer écrit une sauvegarde et éteint l'écran, et au bout de trois minutes slot éteint la console, qui reprendra au même endroit au démarrage suivant. Même le câble link passe par le Wi-Fi entre deux RG SP, de quoi échanger des Pokémon sur Émeraude, Rouge Feu et Vert Feuille.

Après, ce soft slot est bridé exprès puisqu'il dit "non" aux autres systèmes d'émulation. En fait, l'auteur voulait vraiment et uniquement une expérience similaire à ce qu'il avait avec sa GBA SP d'enfance. Donc il n'a pas non plus intégré les RetroAchievements ni les Cheats et encore moins tout ce qui était Bluetooth (c'est la prise jack ou rien).

Donc si vous voulez d'autres consoles, SpruceOS , dont je vous ai parlé en septembre, en gèrera bien plus.

Côté machines, slot tourne sur la RG SP, les RG34XX, RG34XXSP (sans le stick pour l'instant), RG35XXSP et 35XX Plus, et depuis la 1.6.0 sur la RG28XX. Le code est bien sûr sous licence GPL-3.0, et l'auteur précise que le frontend a été écrit par Claude Opus, puis relu par lui. C'est maintenant un gage de qualité car, eh, qui veut encore développer des outils à l'ancienne ? (lol, oui j'essaye de vous trigger !!)

Pour l'installer, il faut flasher BaseOS , l'image système de Prashant Vaibhav, sur une carte SD, puis démarrer la console une fois pour qu'elle étende le stockage. Ensuite, vous copiez le contenu de l'archive de slot à la racine de la carte et vous rangez vos ROMs dans leur dossier des plateformes sous Games/. Elles doivent être décompressées puisque slot ne lit ni les .zip ni les .7z.

Et pour faire une mise à jour, suffit de remplacer le dossier System/, sans toucher aux jeux ni aux sauvegardes. Le reste, y compris la variante à deux cartes SD où slot et vos jeux sont sur la seconde, est indiqué dans le guide du projet .

Hier, je suis tombé sur Carafe , une application pour Windows qui devrait vous intéresser si vous avez une Nintendo Switch crackée. En effet, son job c'est de transformer le dossier d'un jeu PC en titre compatible pour Nintendo Switch. Une fois installé, le jeu aura son nom et son icône présent dans le menu HOME de la console. Et surtout, il démarrera comme n'importe quel autre jeu Switch. Et tout ça, sans avoir de fichier à copier à la main sur la carte SD.

Mais qu'est-ce donc que cette sorcellerie me direz-vous ?

Eh bien au lancement, Carafe vous propose de choisir le répertoire où se trouve votre jeu ainsi que l'exécutable qu'il faut lancer, puis vous propose ensuite un nom, l'icône qui va bien et une config pour votre manette. Et ensuite il va fabriquer à partir de tout ça un NSP et il ne vous restera plus alors qu'à brancher votre Switch en USB avec DBI lancé dessus. Et Carafe copiera le fichier sur la carte SD ou dans la mémoire de la console directement.

En regardant plus près le contenu du NSP, vous y trouverez le jeu, ses réglages et un runtime construit sur Autorun , c'est-à-dire l'ancien Wine-NX qui fait tourner Wine sur le système de la Switch. La compatibilité revient donc à Autorun et n'est pas du fait de Carafe qui est juste un moyen de packager les jeux.

Autorun sait déjà créer un raccourci HOME Menu pour un jeu, mais il faut d'abord copier le dossier du jeu sur la carte SD (ou une clé USB), puis l'ajouter dans son lanceur. Carafe emballe ensuite tout ça dans un seul titre, avec sa propre sauvegarde gérée par la console comme pour un vrai jeu, et un écran de chargement pendant que Windows démarre, au lieu d'un écran noir.

Après, Autorun se déclare lui-même comme étant expérimental. Cela veut dire que certains jeux tournent bien, beaucoup démarrent puis s'arrêtent, et les jeux 3D gourmands ne tourneront peut-être jamais sur votre console de 2017 dont les 4 Go de mémoire sont partagés avec le système.

Carafe est un projet encore très jeune, puisqu'il est sorti il y a quelques jours seulement. Donc si vous voulez essayer, je vous conseille de commencer par un jeu un petit peu léger, et surtout d'aller consulter la page Compatibility du projet, qui vous permet à la fois de voir un peu ce que les autres ont fait avec cet outil, mais aussi de remonter votre propre expérience.

Côté prérequis, comme je vous le disais, il vous faut une Switch sous Atmosphère avec les sigpatches, DBI sur la console, et un PC sous Windows 10 ou 11 en x64 ou ARM64 (pas de macOS ni de Linux pour l'instant). L'installeur n'est pas encore signé, alors Windows va vous faire peur avec son "éditeur inconnu" (Faites donc "Informations complémentaires" puis "Exécuter quand même").

Et pour le risque côté Nintendo, l'installation de NSP homebrew est en général signal de bannissement immédiat, juste après la piraterie. Donc si vous êtes déjà banni, vous vous en foutez, mais si c'est pas le cas, faites bien attention. Et ça, c'est pour tous les NSP de ce genre, et pas seulement pour ceux de Carafe.

Donc pensez bien à couper le wifi pendant que vous installez ça, et pendant que vous y jouez. Carafe est sous licence GPL-3.0 ou ultérieure, et à récupérer sur GitHub pour ceux qui veulent tester !

Est-ce que vous vous souvenez de ce petit lien "Learn more" dont je vous avais parlé il y a un mois environ et qui permettait d'ouvrir un compte local lors de l'installation de Windows 11 Home sans passer par l'invite de commandes ? Eh bien Bob Pony, l'utilisateur de X qui l'avait repéré, vient de déclarer que ça avait été "discrètement" patché côté serveur .

Pour ceux qui l'avait raté, le concept c'était que sur l'écran qui vous réclame un compte Microsoft, le petit lien "Learn more" présent dans le paragraphe sous les "Sign-in options" pouvait nous envoyer direct sur la création d'un compte local. Comme ça pas de base de registre à bidouiller, ni de Wi-Fi à suspendre...

Comme quoi, une simple erreur peut engendrer beaucoup de bonheur !

Alors, c'est finito pour de bon ?

Parce qu'un correctif côté serveur, ça ne s'évite pas, hein surtout que comme le rappelle Windows Latest , l'installation repose sur des composants web, ce qui veut dire que même garder une vieille ISO sous le coude ça ne servira à rien.

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/windows-11-lien-learn-more-corrige/windows-11-lien-learn-more-corrige-1.mp4">lien vers la vidéo</a>.

Ventoy , je vous en ai déjà parlé à de multiples reprises et vous connaissez ça mieux que moi ! C'est cet outil open source qui transforme une clé USB en clé bootable sur laquelle vous glissez vos ISO comme de simples fichiers, sans avoir à reformater à chaque fois. Et ça c'est super pratique puisque comme ça, au démarrage de votre ordi, vous avez un menu qui vous laisse choisir sur quoi démarrer... Windows 10 ? Windows 11 ? Un Linux ? Mais il lui manquait tout de même quelque chose ! Pouvoir lancer SteamOS !

Et c'est chose faite depuis aujourd'hui puisque Ventoy vient de se voir ajouter du support, encore expérimental certes, des images de récupération de SteamOS, c'est à dire celles que Valve propose sur son site d'assistance de Steam afin de réinstaller la console.

Le souci avec SteamOS venait de l'image elle-même, qui n'est pas une ISO mais un fichier .img contenant un disque GPT brut, et que Ventoy ne parvenait pas à démarrer convenablement. Mais c'était sans compter sur matte-schwartz, un des contributeurs au projet qui a proposé un correctif en juillet, sur lequel le développeur de Ventoy a ensuite apporté ses propres optimisations avant de l'intégrer définitivement dans le projet.

Par contre, "cuidado con el ISO" car Valve distribue cette image compressée, en .img.bz2 ou en .img.zip, et Ventoy ne lit PAS le .img.bz2. Donc vous devrez d'abord décompresser ce truc .img (avec bunzip2 pour le .bz2, par exemple), puis la copier sur la clé avec le reste.

L'autre gros morceau de cette nouvelle version de Ventoy concerne Linux. Maintenant, quand vous booterez une distrib live direct depuis votre clé USB, la partition qui contient vos ISO sera accessible directement depuis la barre latérale du gestionnaire de fichiers. Et ça c'est cool !

Cette partition Ventoy porte aussi désormais un nom stable, /dev/mapper/VentoyPart, et les icônes de disque en double qui encombraient la barre latérale de certaines distributions ont totalement disparu ! Et si la vôtre n'est pas dans la liste et vous répond "device busy", ne stressez pas, suffit juste de monter /dev/mapper/VentoyPart à la mano.

Et s'il n'existe pas, lancez ces deux commandes puis réessayez :

sudo udevadm trigger
sudo udevadm settle

Voilà et pour le reste des news, cette 1.1.18 corrige le démarrage de la bêta de Fedora 45, la vérification de version du Secure Boot qui échouait avec Windows et WinPE, ainsi que la persistance qui lâchait de temps en temps sous Ubuntu Desktop. Et CloneZilla peut maintenant monter la partition des ISO lui aussi.

Si ça vous chauffe de mettre à jour, récupérez la version sur la page GitHub de la release , puis passez par la mise à jour plutôt que par une nouvelle installation, comme ça vos ISO resteront alors en place.

Source : Neowin

Vous avez envie de voir à quoi ressemble Googlebook OS , mais pas du tout envie de dégainer +1000 balles pour un ordi bridé ? Ça tombe bien, un développeur a codé gbos-vm , un outil open source sous licence MIT qui lance sur un Mac Apple Silicon l'image de recovery de Google (conçu à l'origine pour le Dell Googlebook), dans une machine virtuelle boostée par le GPU.

Ce n'est donc pas un Android générique habillé en Googlebook mais un script qui télécharge l'image officielle (la build 16471258, ARM64, Android 17), en vérifiant l'empreinte, puis la fait démarrer sous QEMU avec Vulkan traduit vers Metal. Et rien de chez Google n'est redistribué dans le dépôt (pas de Playstore de base donc...).

Côté Mac, il vous faut donc un Mac avec archi Silicon, Homebrew, les outils en ligne de commande de Xcode, un JDK et le SDK Android (plateforme API 34 minimum) avec son NDK. Et comptez 16 Go de RAM en pratique car la VM en squatte 4 mais les compilations successives en auront besoin d'un peu plus. Et le script installera de lui-même tout ce qui vous manquera côté Homebrew, sans jamais vous demander un accès via sudo. Comptez environ 9 Go pour le download de tout ça et minimum 60 Go de libre pour la VM.

git clone https://github.com/skylartaylor/gbos-vm.git
cd gbos-vm
./install.sh

Ensuite, vous ouvrez l'application construite (dispo dans work/host/Googlebook VM.app), dont la mission est de lancer la VM et de l'éteindre proprement quand vous la quittez.

Le premier boot prendra environ 45 secondes sur un MacBook M5 et si un sélecteur d'utilisateur s'affiche, cliquez juste sur "User" et y'a pas de mot de passe. Notez que la souris est capturée par défaut, et que le raccourci ⌃⌥ la libèrera.

Voilà, c'est pas encore parfait car le bluetooth peut crasher, on est limité à 60 images par seconde max et que les échanges entre la VM et l'hôte (le mac) sont un peu instables mais j'imagine que tout ceci se bonifiera avec le temps...