Nintendo dévoile le premier teaser du film Super Mario Galaxy prévu pour 2026
C’est officiel les amis !! Nintendo vient de lâcher une bombe lors du Nintendo Direct de vendredi dernier. La suite du carton planétaire “Super Mario Bros. le film” s’appellera “The Super Mario Galaxy Movie” et débarquera dans les salles le 3 avril 2026. Et franchement, rien qu’avec le petit teaser qu’ils nous ont balancé, on sent que ça va envoyer du lourd.
Cette annonce tombe pile poil pour célébrer les 40 ans de Super Mario Bros, sorti le 13 septembre 1985. Shigeru Miyamoto lui-même a déclaré que ce film sera “l’événement principal” de cette célébration anniversaire. Et quand on sait que le premier film a rapporté plus de 1,3 milliard de dollars au box-office mondial, je comprends pourquoi Nintendo et Illumination remettent le couvert.
Le teaser nous montre donc Mario qui fait une petite sieste sous un arbre dans le Royaume Champignon. La caméra s’éloigne doucement, nous fait traverser tout le royaume avec ses créatures emblématiques, puis s’envole vers le château de Peach avant de filer dans l’espace étoilé où le titre apparaît. Simple mais efficace, ça me donne déjà envie de replonger dans cet univers coloré et déjanté.
Côté casting, on retrouve toute la bande qui a fait le succès du premier opus. Chris Pratt reprend son rôle de Mario (oui, je sais, certains auraient préféré Charles Martinet ), Anya Taylor-Joy revient en Princesse Peach, Charlie Day en Luigi et bien sûr l’excellent Jack Black en Bowser. Keegan-Michael Key sera également de retour en Toad et Kevin Michael Richardson reprendra le rôle de Kamek.
Le film s’inspire directement du jeu culte Super Mario Galaxy sorti en 2007 sur Wii. Pour ceux qui n’y ont pas joué (mais qu’est-ce que vous foutez ???), c’était une aventure spatiale où Mario sautait de planète en planète avec une gravité complètement folle. Un gameplay révolutionnaire à l’époque qui a marqué toute une génération de joueurs. Le producteur Chris Meledandri a même teasé que “ce prochain film réserve des surprises pour les fans de toutes les époques de Mario”. On peut donc s’attendre à des références qui parleront autant aux nostalgiques qu’aux nouveaux venus.
Aaron Horvath et Michael Jelenic reprennent également les commandes de la réalisation après avoir brillamment mené le premier film. Matthew Fogel reste au scénario et Brian Tyler revient pour la bande-son. Autant dire que l’équipe gagnante est au complet pour nous offrir une suite à la hauteur de nos espérances.
Universal Pictures distribuera le film dans le monde entier, avec une sortie prévue pour le 1er avril 2026 en France. Les fans japonais quand à eux devront patienter un peu plus longtemps puisque le film sortira là-bas le 24 avril 2026. Snif…
Bref, cette suite spatiale s’annonce comme l’un des événements ciné de 2026 et puis entre nous, qui n’a pas envie de voir Mario naviguer de planètes omme dans le jeu Mario Galaxy ?
En attendant, je vous conseille de vous refaire le jeu original sur Switch (disponible dans Super Mario 3D All-Stars) ou de revoir le premier film pour vous mettre dans l’ambiance. Et si Jack Black nous fait un autre tube comme le “Peaches” du premier film, je signe direct !
Oboe - Une plateforme d'apprentissage par IA qui vous génère un cours en quelques secondes
Vous vous souvenez d’Anchor, cette plateforme qui avait permis de simplifier la création de podcasts avant de se faire racheter par Spotify pour 150 millions de dollars ? Eh bien ses créateurs, Nir Zicherman et Michael Mignano, sont de retour avec un nouveau projet qui pourrait bien changer l’apprentissage en ligne. Leur nouvelle création s’appelle Oboe et permet de créer des cours éducatifs personnalisés en quelques secondes grâce à l’IA.
Une fois sur Oboe, vous tapez un prompt du genre “Histoire de l’IA”, “Comment réaliser des pâtisseries” ou même “Préparer mon déménagement au Japon” et hop, Oboe vous génère instantanément un cours complet adapté à vos besoins. C’est le premier outil d’apprentissage généralisé par IA qui permet vraiment de créer des formations sur n’importe quel sujet, d’une manière plus personnalisée et efficace que tout ce qui existe aujourd’hui.
Ce qui rend Oboe vraiment intéressant, c’est son architecture multi-agents développée from scratch. Sur TechCrunch , Zicherman explique que leur système fait tourner plusieurs agents IA en parallèle qui s’occupent de tout : développer l’architecture du cours, vérifier les informations de base, écrire le script pour les podcasts, récupérer des images pertinentes sur Internet et même auditer le contenu pour garantir sa qualité et son exactitude. Tout ça en quelques secondes chrono.
Au lancement, Oboe propose déjà 9 formats de cours différents ( Cours classique, épisode de podcast, points clés à retenir, livre audio, FAQ, flashcards, quiz, etc…) capables de couvrir des domaines aussi variés que les sciences, l’histoire, les langues étrangères, l’actualité, la pop culture ou même la préparation aux changements de vie selon ce que vous lui demandez. Chaque cours combine du texte, des visuels, des conférences audio, des quiz interactifs et même des jeux. Vous avez deux modes audio disponibles : un format de conférence traditionnelle ou une expérience plus conversationnelle façon podcast, un peu comme NotebookLM de Google.
Le nom “Oboe” n’a pas été choisi au hasard. Il s’inspire de la racine du mot japonais qui signifie “apprendre”. Une jolie référence qui colle parfaitement à leur mission de rendre l’humanité plus intelligente. Encore faudrait-il qu’elle souhaite “apprendre”, cette humanité…
Niveau business model, Oboe adopte une approche freemium assez classique. Vous pouvez créer jusqu’à 2 cours par mois et si vous voulez aller plus loin, deux forfaits payants sont disponibles : Oboe Plus à 12$/mois pour 30 cours supplémentaires et Oboe Pro à 32$/mois pour 100 cours.
Au lieu d’avoir des cours statiques créés par des experts et consommés passivement, Oboe permet à chacun de générer instantanément du contenu éducatif ultra-personnalisé, comme un prof particulier capable de créer un programme sur mesure en temps réel, quel que soit le sujet qui vous intéresse.
Perso, j’ai testé et j’ai trouvé les 2 formations que ça m’a généré de très bonne qualité. Et si vous creusez un peu sur Google, vous pouvez aussi trouver certains cours générés par d’autres utilisateurs : inurl:https://oboe.fyi/courses/
Quand on voit la qualité de ce que peuvent générer les IA aujourd’hui, l’idée d’avoir une plateforme capable de créer des cours complets et structurés en quelques secondes, c’est assez cool, surtout avec leur système multi-agents qui vérifie la qualité et l’exactitude des informations. Ça pourrait vraiment changer les choses dont on apprend de nouvelles compétences ou dont on explore de nouveaux sujets.
Reste maintenant à voir si Oboe réussira à s’imposer face aux géants de l’éducation en ligne mais avec l’expérience des fondateurs, ils ont clairement quelques atouts dans leur manche.
AnyCrap - Le site qui vend des produits qui n'existent pas
Ce weekend, j’ai découvert un truc complètement barré qui risque de vous faire repenser tout ce que vous savez sur le e-commerce. Ça s’appelle AnyCrap , et c’est littéralement une boutique en ligne qui vend… rien. Enfin si, elle vend des concepts de produits qui n’existent pas. Et c’est plus que brillant, vous allez voir !
L’idée est simple comme bonjour mais fallait y penser : Vous tapez n’importe quel nom de produit débile qui vous passe par la tête, genre des chaussettes téléportantes ou du café qui rend invisible, et le site vous génère instantanément une fiche produit complète avec description, caractéristiques et même des avis clients. Le tout propulsé par l’IA, évidemment.
Screenshot
Sur la page d’accueil, on vous promet de “trouver vos produits à travers les dimensions parallèles”. Marketing génial ou folie douce ? Les deux mon capitaine. Le slogan “Tomorrow’s products, available today (not actually available)” résume d’ailleurs parfaitement l’esprit de ce site… on est dans l’absurde assumé et ça fait du bien.
Ce qui me fascine, c’est que pendant que le marché de l’IA dans l’e-commerce atteint 6,63 milliards de dollars avec des assistants shopping ultra-sérieux, AnyCrap prend complètement le contre-pied. Au lieu d’optimiser les conversions et de tracker chaque pixel, ils ont créé un anti-marketplace où l’objectif n’est pas de vendre mais de faire rêver.
Cette anti-marketplace propose même des catégories comme “Weird Tech Stuff” et “Snacks From Outer Space” où chaque produit généré est unique, avec sa propre mythologie et ses caractéristiques loufoques. Techniquement, on est probablement sur un mix de ChatGPT pour les descriptions et peut-être DALL-E ou Midjourney pour les visuels et ce concept rejoint un peu d’ailleurs ce que propose Writecream avec son générateur de reviews fictives , sauf qu’ici c’est tout l’écosystème commercial qui est fictif.
La promesse de “livraison instantanée” de concepts m’a fait aussi marrer. En gros, vous commandez une idée et vous la recevez immédiatement dans votre cerveau. Zéro émission carbone, zéro déchet, 100% satisfaction garantie puisque vous n’avez rien acheté de tangible.
Dans un monde où on nous vend des NFT de singes à des millions et où le metaverse était censé révolutionner le shopping, AnyCrap a au moins le mérite d’être honnête sur sa proposition : on ne vous vend rien, mais on le fait avec classe.
Le site propose même une newsletter pour recevoir des produits fictifs chaque semaine. Maintenant, si on creuse un peu, AnyCrap pose surtout des questions intéressantes sur la nature même du commerce. Qu’est-ce qu’on achète vraiment quand on fait du shopping en ligne ? L’objet ou l’idée de l’objet ? Le produit ou la dopamine liée à l’acte d’achat ? En vendant littéralement du vent, AnyCrap révèle peut-être quelque chose de plus profond sur notre société de consommation…
Et pour les créatifs, c’est une mine d’or. Scénaristes en panne d’inspiration pour un objet magique ? Game designers cherchant des idées d’items ? Publicitaires voulant brainstormer sur des concepts produits ? AnyCrap devient un générateur d’idées déguisé en boutique.
Le plus beau dans tout ça c’est que le site accepte même les paiements (enfin, il y a un bouton pour soutenir le créateur). Donc techniquement, vous pouvez payer pour ne rien acheter…
Bref, c’est super fun ! Allez faire un tour sur AnyCrap.shop , inventez le produit le plus débile possible, et savourez l’absurdité. C’est gratuit, et ça va bien vous occuper en ce chouette lundi matin !
Attention aux extensions VS Code malveillantes qui volent les portefeuilles crypto des développeurs
Alerte rouge les amis !! Il y a actuellement des extensions VS Code qui volent discrètement des portefeuilles crypto. Et je ne parle pas d’une ou deux extensions pourries, mais d’une véritable campagne orchestrée par un groupe nommé WhiteCobra qui a réussi à placer 24 extensions malveillantes sur le VS Code Marketplace et Open VSX.
C’est l’histoire de Zak Cole, un développeur Ethereum qui bosse dans la crypto depuis plus de 10 ans. Le mec avait une sécurité béton, jamais perdu un seul wei aux mains des hackers. Mais même les plus prudents peuvent tomber dans le piège. Zack a installé une extension qui s’appelait contractshark.solidity-lang sur Cursor. Pour rappel, Cursor est un éditeur de code basé sur VS Code qui utilise le même système d’extensions. L’extension avait tout pour plaire : 54 000 téléchargements, une icône qui faisait pro, une description détaillée. Le piège parfait.
En quelques minutes, l’extension a lu son fichier .env, chopé sa clé privée et l’a envoyée sur un serveur pirate. Son portefeuille a ensuite été vidé. Heureusement pour lui, il utilisait des hot wallets séparés pour les tests avec seulement quelques centaines de dollars dedans mais d’autres n’ont pas eu cette chance. WhiteCobra serait responsable d’un vol de 500 000 dollars via une extension malveillante pour Cursor.
Le truc vraiment vicieux avec WhiteCobra, c’est leur niveau d’organisation. Ils ont toute une infrastructure sophistiquée et des techniques pour faire grimper artificiellement le nombre de téléchargements de leurs extensions malveillantes. Et d’après les informations disponibles, leur méthode est assez efficace puisque l’extension contient du code malveillant qui télécharge ensuite un payload supplémentaire, avec des versions spécifiques pour Windows, macOS ARM et macOS Intel.
Sur Windows, le malware installé est LummaStealer, spécialisé dans le vol de portefeuilles crypto, d’extensions web, de mots de passe stockés dans les navigateurs et même de données d’applications de messagerie. Sur macOS, c’est un binaire malveillant qui s’exécute localement.
Ce qui rend ces attaques dangereuses, c’est surtout la vitesse à laquelle WhiteCobra peut rebondir. Ils sont capables de déployer rapidement de nouvelles campagnes après qu’une extension malveillante ait été supprimée. Ils changent les noms, les descriptions, créent de nouveaux comptes développeurs et c’est reparti.
Le problème de fond, c’est que ni Microsoft ni Open VSX n’ont de mécanismes de vérification vraiment efficaces. Microsoft fait bien passer un antivirus sur les extensions, mais ça ne détecte pas ce genre de comportement malveillant sophistiqué. Open VSX, qui est actuellement utilisé par Cursor et Windsurf, héberge toujours ces extensions malveillantes malgré les signalements.
Alors comment se protéger ? Déjà, méfiez-vous des extensions avec des noms qui ressemblent à des projets connus mais avec une petite variation (c’est du typosquatting). Vérifiez aussi toujours qu’il y a un repository GitHub lié et actif. Regardez les reviews avec attention, car les fausses sont souvent génériques et postées en masse sur une courte période.
Suite à cette attaque, Zak Cole a complètement revu sa façon de bosser après s’être fait avoir. Il utilise maintenant des machines virtuelles isolées, des hardware wallets exclusivement, et des coffres-forts chiffrés pour ses secrets. Il a aussi créé une whitelist d’extensions et évite d’installer de nouveaux outils à la va-vite.
Bref, si vous êtes développeur, faites un audit immédiat de vos extensions installées. Changez vos clés. Et surtout, arrêtez de stocker des informations sensibles dans des fichiers .env en clair. Utilisez des gestionnaires de secrets ou au minimum du chiffrement.
En tout cas, cette campagne WhiteCobra n’est pas terminée. Ils continuent d’uploader de nouvelles extensions malveillantes pour remplacer celles qui sont supprimées… c’est un vrai jeu du chat et de la souris permanent entre eux et les équipes de sécurité. En attendant que Microsoft et Open VSX mettent en place de vraies mesures de sécurité, c’est donc à nous de rester vigilants.
Pensez à activer les versions immuables sur GitHub pour éviter les problèmes de sécurité
Vous saviez qu’en ce moment, les attaques sur la supply chain faisaient des ravages ? En effet, les attaquants exploitent régulièrement la possibilité de modifier des tags existants pour injecter du code malveillant dans les pipelines CI/CD.
Mais heureusement, GitHub a enfin sorti LA fonctionnalité qui peut empêcher ce carnage : les Immutable Releases et je pense que c’est le genre de truc que tous les développeurs devraient activer illico sur leurs repos. Je vais vous expliquer pourquoi.
En fait, une fois que vous publiez une release avec cette option activée, plus personne ne peut toucher ni aux assets ni au tag associé. C’est comme si vous mettiez votre release dans un coffre-fort dont vous jetez la clé. Même vous, en tant que mainteneur, vous ne pouvez plus modifier les binaires ou déplacer le tag vers un autre commit.
D’après la documentation officielle , chaque release immuable génère automatiquement une attestation cryptographique. Cette attestation contient le SHA du commit, le tag et la liste des assets. Vos utilisateurs peuvent vérifier l’intégrité de ce qu’ils téléchargent en s’assurant que cela correspond exactement à ce que vous avez publié.
Pour activer cette option merveilleuse, c’est dans les settings de votre repo ou de votre organisation. Une fois activé, toutes les nouvelles releases deviennent alors automatiquement immuables. Les anciennes releases restent toutefois modifiables (pour éviter de casser vos workflows existants), mais bon, c’est mieux de migrer progressivement.
Attention quand même, il y a quelques pièges à éviter. Premièrement, vous ne pouvez plus ajouter d’assets après publication. Donc si votre CI upload les binaires après avoir créé la release, il faut inverser : Créez d’abord une draft release, uploadez les assets, puis publiez. Deuxièmement, si vous supprimez une release immuable, vous ne pourrez JAMAIS réutiliser le même tag. C’est définitif.
Pour les projets qui utilisent des tags de version majeure style v1 qu’ils mettent à jour régulièrement (coucou GitHub Actions), pas de panique. Vous pouvez continuer à utiliser cette pratique pour les tags qui ne sont pas associés à des releases. L’immuabilité ne s’applique qu’aux releases publiées, pas aux tags simples.
Les équipes de sécurité recommandent d’ailleurs d’activer cette fonctionnalité sur tous les repos qui publient du code versionné. C’est particulièrement critique pour les bibliothèques open source, les GitHub Actions, et tout ce qui est consommé par d’autres projets. En gros, si votre code finit dans la supply chain de quelqu’un d’autre, vous leur devez cette protection.
Le truc cool aussi, c’est que ça protège contre les erreurs humaines. Combien de fois j’ai vu des mainteneurs qui écrasaient accidentellement une release avec la mauvaise version ? Ou qui supprimaient un asset critique par erreur ? Avec les Immutable Releases, ces accidents appartiennent au passé.
Pour les entreprises, c’est un argument de vente en or. Ça permet de garantir à vos clients que vos releases ne peuvent pas être altérées après publication, c’est un niveau de confiance supplémentaire surtout dans des secteurs régulés où la traçabilité est cruciale.
Bref, GitHub est en train de déployer progressivement cette fonctionnalité en public preview. Pour l’instant, il faut l’activer manuellement pour chaque repo, mais ils travaillent sur une API pour permettre l’activation en masse. D’ici là, prenez donc 2 minutes pour l’activer sur vos projets critiques.
Voilà, après les dégâts causés par les attaques de type tag hijacking ces dernières années, ne pas activer les Immutable Releases sur vos repos publics, c’est comme laisser votre porte d’entrée grande ouverte avant de partir en vacances. Vous pouvez le faire, mais ne venez pas pleurer si ça tourne mal.
Le Great Firewall chinois vient de fuiter
Près de 600 Go, c’est le poids de la plus grosse fuite de l’histoire du Great Firewall chinois. Il y a quelques jours, un collectif hacktiviste du nom de Enlace Hacktivista a balancé sur le net tout le code source, les documents internes, les logs de travail et même les communications privées du système de censure le plus sophistiqué au monde. C’est à ce jour la plus grosse fuite de l’histoire du Great Firewall chinois !
Le Great Firewall est un système qui permet à la Chine de filtrer internet pour toute sa population. Un système tellement efficace qu’il bloque non seulement Google, Facebook ou Twitter, mais qui arrive aussi à détecter et neutraliser les VPN les plus sophistiqués. Et aujoud’hui, tout son fonctionnement interne est accessible à qui veut bien se donner la peine de télécharger un fichier torrent de 571 Go.
Les documents proviennent de deux sources principales : Geedge Networks, une boîte dirigée par Fang Binxing (surnommé le “père du Great Firewall”), et le laboratoire MESA de l’Académie chinoise des sciences. En gros, on a là les architectes principaux de la censure numérique chinoise qui se retrouvent à poil sur internet.
Mais le plus dingue dans cette histoire, c’est pas tant la fuite elle-même. C’est ce qu’elle révèle sur l’export de cette technologie. Les documents montrent que la Chine ne se contente pas de censurer son propre internet, non… elle vend clé en main son système de censure à d’autres pays autoritaires.
Le produit star ? Un truc appelé Tiangou, décrit dans les documents comme une solution tout-en-un pour dictateur pressé : vous branchez, vous configurez, et hop, vous pouvez surveiller et censurer votre population comme en Chine. Le système inclut plusieurs modules aux noms poétiques : le Tiangou Secure Gateway qui bloque les VPN et peut injecter du code malveillant, le Cyber Narrator qui surveille l’activité internet par région, et les systèmes TSG Galaxy et Network Zodiac pour stocker et analyser les données des utilisateurs.
D’après les documents qui ont fuité, le Myanmar a déployé ce système dans 26 centres de données, avec des tableaux de bord capables de monitorer 81 millions de connexions TCP simultanées ! C’est pas rien ! Ce système est d’ailleurs intégré directement dans les points d’échange internet du pays, permettant un filtrage massif et sélectif du trafic.
Le Pakistan n’est pas en reste car d’après les documents, Geedge a installé son infrastructure DPI (Deep Packet Inspection) dans le cadre d’un système plus large appelé WMS 2.0. Amnesty International parle d’une surveillance de masse en temps réel sur les réseaux mobiles pakistanais où en gros, chaque SMS, chaque appel, chaque connexion internet peut être intercepté et analysé.
Les documents révèlent aussi que l’Éthiopie et le Kazakhstan ont acquis des licences pour le système Tiangou et apparemment, ce n’est que la partie émergée de l’iceberg.
Au début, Geedge utilisait des serveurs HP et Dell pour faire tourner son système, mais face aux sanctions occidentales, ils sont passés à du matériel 100% chinois. Le système s’adapte donc, évolue, contourne les obstacles, exactement comme les utilisateurs qu’il est censé bloquer, sauf qu’il a plus de moyens.
Les chercheurs qui analysent actuellement les données étudient le code pour mieux comprendre le système car maintenant que celui-ci est public, les développeurs d’outils de contournement peuvent potentiellement y trouver des faiblesses.
Enlace Hacktivista, le groupe à l’origine de la fuite, n’en est pas à son coup d’essai mais là, ils ont frappé un grand coup et pour ceux qui voudraient jeter un œil aux documents (attention, c’est à vos risques et périls), Enlace Hacktivista a mis le tout à disposition via torrent et téléchargement direct. Les chercheurs recommandent fortement d’utiliser des machines virtuelles isolées ou des environnements sandboxés pour analyser ces fichiers. Pas question de lancer ça sur votre PC principal, on ne sait jamais ce qui peut se cacher dans ces giga octets de code chinois.
Voilà en tout cas, cette technologie de censure et de surveillance est devenu un business global pour contrôler les populations. Merci la Chine ! Et maintenant que le code est dans la nature, on peut s’attendre à ce que d’autres états tentent de créer leurs propres versions du Great Firewall.
Maintenant, est-ce que ça va permettre de mieux contourner la censure ? Est-ce que ça va dissuader certains pays d’acheter cette technologie ? Ou est-ce que la Chine va simplement développer une version 2.0 encore plus sophistiquée ?
On verra bien…
ChatGPT peut faire fuiter vos emails avec une simple invitation Google Calendar
Vous attaquez votre lundi matin, tranquillement avec votre petit café… vous ouvrez ChatGPT pour lui demander votre planning de la semaine et là, PAF (façon De Funès ^^), toute votre correspondance Gmail part directement chez un cybercriminel.
Ce serait fou non ? Et bien c’est exactement ce qu’un chercheur vient de démontrer et tout ça à cause d’une simple invitation Google Calendar.
Eito Miyamura, co-fondateur d’EdisonWatch , a lâché une bombe sur X le 12 septembre et sa démo est terrifiante. En gros, il simule un attaquant qui envoie une invitation Google Calendar vérolée, ensuite vous demandez innocemment à ChatGPT “Qu’est-ce que j’ai de prévu aujourd’hui ?”, et l’IA se transforme en espion qui fouille vos emails et les envoie au pirate. Vous n’avez même pas besoin de voir ou d’accepter l’invitation. Elle est là, dans votre calendrier, comme une bombe à retardement.
Et ça tombe mal niveau comm, car OpenAI vient tout juste d’intégrer le support complet du MCP (Model Context Protocol) dans ChatGPT. Cette technologie permet en effet à l’assistant de se connecter directement à Gmail, Google Calendar, SharePoint, Notion… Pratique pour la productivité, mais catastrophique pour la sécurité.
Cette attaque exploite ce qu’on appelle l’injection de prompt indirecte. Au lieu d’essayer de tromper ChatGPT directement, l’attaquant cache ses instructions malveillantes dans des données que l’IA est autorisée à lire. Dans ce cas précis, le texte d’un événement calendrier… Ensuite ChatGPT lit l’invitation, voit les instructions cachées, et les exécute docilement.
Selon les experts en sécurité qui se sont penchés sur le problème, le MCP n’a pas été conçu avec la sécurité en priorité. Les risques incluent donc les injections de prompt, les permissions d’outils vulnérables et les outils sosies qui peuvent remplacer silencieusement les outils de confiance.
Sympa, hein ?
D’ailleurs, ce n’est pas la première fois qu’on voit ce genre d’attaque puisqu’en août, des chercheurs avaient déjà démontré comment une invitation compromise pouvait manipuler Google Gemini pour contrôler des appareils domotiques et voler des informations. Le papier s’appelait joliment “Invitation Is All You Need”. Prophétique.
Vitalik Buterin lui-même a réagi à cette vulnérabilité. Il explique que compter aveuglément sur un seul système IA est trop fragile et facilement manipulable et je trouve que cette nouvelle exploitation de ChatGPT lui donne raison !
D’ailleurs, même avec les navigateurs IA, vous n’êtes pas tranquille. D’après cette autre découverte, vous pouvez littéralement vous faire vider votre compte bancaire en scrollant sur Reddit. En effet, des instructions malveillantes peuvent être cachées dans des commentaires sur des sites que l’attaquant ne contrôle même pas, ce qui peut entrainer votre navigateur IA à faire des choses que vous n’avez pas autorisé.
Bref, cette nouvelle vulnérabilité met en lumière un problème fondamental des LLM : ils ne savent pas faire la différence entre des instructions légitimes et des commandes malveillantes cachées dans du contenu. Car contrairement aux applications traditionnelles qui peuvent séparer les instructions développeur des inputs utilisateur, les LLM acceptent tout en langage naturel. Pour rester flexibles, ils doivent pouvoir répondre à des configurations infinies d’instructions et c’est cette flexibilité qui fait leur force… mais qui est également leur talon d’Achille.
Trail of Bits a même démontré une variante encore plus sournoise où des images spécialement forgées contiennent des prompts cachés. Invisibles en haute résolution, les instructions malveillantes apparaissent quand l’image est réduite par les algorithmes de prétraitement. L’IA lit alors le message et l’interprète comme une instruction légitime.
Ainsi, quand une IA suit des instructions malveillantes depuis du contenu web, les protections traditionnelles comme la same-origin policy ou CORS deviennent inutiles. L’IA opère avec tous vos privilèges sur toutes vos sessions authentifiées. Accès potentiel à vos comptes bancaires, systèmes d’entreprise, emails privés, stockage cloud… C’est vite le jackpot pour un attaquant.
Alors, comment se protéger ?
Hé bien Google recommande de changer les paramètres de Calendar pour que seules les invitations de contacts connus ou acceptées apparaissent. Cachez aussi les événements refusés et surtout, restez extrêmement prudent avec les intégrations tierces et les autorisations accordées…
Voilà, donc la prochaine fois que ChatGPT vous demandera l’autorisation d’accéder à votre Gmail, réfléchissez-y à deux fois car ça pourrait vous coûter bien plus cher qu’un peu de temps gagné.
SkiftOS - Recoder la roue c'est chouette aussi
Créer un système d’exploitation complet from scratch pour s’amuser, c’est le genre de projet un peu foufou qu’on ne voit plus tellement aujourd’hui. Pourtant SkiftOS existe !
SkiftOS c’est un OS écrit entièrement depuis zéro, et pas un n-ième fork de Linux ou d’une distribution BSD. Non, c’est un vrai OS avec son propre kernel, son interface graphique et même les bases d’un moteur de navigateur web.
J’ai découvert ce projet en me baladant sur les Top GitHub et ça m’a rappelé cette époque d’avant ma naissance où créer son OS était un genre de rite de passage pour tous les développeurs passionnés. Sauf qu’ici, on n’est plus dans les années 70 et le projet utilise du C++20 moderne avec une architecture microkernel très propre.
Et malgré son statut de projet “hobby”, il fonctionne réellement. Il tourne pour le moment sur du hardware x86_64 et l’équipe travaille sur le support RISC-V.
L’architecture modulaire du projet est d’ailleurs particulièrement bien pensée. Chaque module a son petit nom, c’est rigolo. Hjert gère le microkernel avec les fonctions essentielles telles que la gestion mémoire, l’ordonnancement et l’IPC (Inter-Process Communication). Karm fournit la bibliothèque C++ de base sans dépendre de la STL (Standard Template Library) . KarmUI propose un framework d’interface réactive. Hideo s’occupe du bureau et de l’environnement graphique. Et Vaev ambitionne de devenir un moteur de navigateur web complet.
Pour compiler tout ça, l’équipe a également développé CuteKit, leur propre système de build qui gère les dépendances et la cross-compilation. Bah oui, quand on réinvente un OS, autant réinventer aussi tous les outils pour le construire.
Cette approche “tout fait maison” rend en tout cas le projet fascinant d’un point de vue pédagogique. Car oui le code source est disponible sur GitHub donc si vous voulez comprendre comment fonctionne un OS moderne sans vous perdre dans les millions de lignes de code de Linux ou de Windows (pour les vieilles versions qui ont leakée), c’est une excellente opportunité pour apprendre. Pas besoin donc d’être Microsoft ou Apple pour développer un système d’exploitation fonctionnel.
Faut “juste” de la motivation, du temps, des compétences en C++ moderne, et surtout l’envie de construire quelque chose de différent.
Vous l’aurez compris, SkiftOS ne remplacera probablement jamais votre OS principal, c’est clair mais pour les développeurs curieux qui veulent comprendre les entrailles d’un système d’exploitation, ou pour ceux qui cherchent un projet open source technique sympa où contribuer, c’est une sacrée mine d’or.
Et qui sait, peut-être que dans quelques années on parlera de SkiftOS comme on parle aujourd’hui des débuts de Linux…
Comment l'IA est en train de tuer le web sous nos yeux
Imaginez demain matin, vous vous réveillez et 90% des sites web ont disparu. Plus de blogs, plus de sites de presse, plus de forums. Juste des pages blanches et des erreurs 404. De la science-fiction ? Et bien pas selon Matthew Prince, le CEO de Cloudflare, qui gère 20% du trafic web mondial.
Dans plusieurs interviews récentes, il explique qu’on est en train d’assister en direct à l’effondrement du modèle économique qui a fait vivre Internet pendant 25 ans. En effet, le deal était simple : Google crawle votre contenu, vous envoie du trafic, vous monétisez avec de la pub.
Sauf que ce pacte avec le diable vient de voler en éclats.
Il y a dix ans, pour 2 pages que Google scannait sur votre site, il vous envoyait 1 visiteur. Un échange équitable, presque symbiotique. Mais aujourd’hui, Il faut 6 pages crawlées pour obtenir 1 seul clic.
Mais attendez, là c’est Google, le gentil de l’histoire parce qu’avec les nouveaux venus de l’IA, c’est l’apocalypse qui s’annonce. En effet, d’après les données de Cloudflare , le ratio d’OpenAI est passé de 250 pour 1 à 1500 pour 1 en quelques mois. Autrement dit, ChatGPT aspire 1500 pages de votre contenu pour vous renvoyer généreusement… 1 seul visiteur. Anthropic avec Claude, on est à 60 000 pages pour un visiteur. Bref, c’est pas du crawling, c’est du pillage en règle.
Et Prince ne mâche pas ses mots : “Si les créateurs de contenu ne peuvent plus tirer de valeur de leur travail, ils vont arrêter de créer du contenu original.” Et devinez quoi ? C’est déjà en train de se produire car les données montrent que le trafic des moteurs de recherche vers les sites web a chuté de 55% entre 2022 et 2025. Par exemple, le Washington Post et le HuffPost ont vu leur trafic organique divisé par deux en trois ans.
Le plus ironique dans tout ça c’est que Google lui-même creuse sa propre tombe. Prince révèle qu’il y a six mois, 75% des recherches Google se terminaient sans aucun clic vers un site externe. Mais alors pourquoi ce changement soudain ? Hé bien la réponse tient en deux mots : Answer Engines. C’est le cas par exemple avec le déploiement d’ AI Overview , leur nouvelle fonctionnalité qui donne directement les réponses, ce chiffre pourrait atteindre 90%. Google est ainsi devenu un genre de cul-de-sac d’Internet…
Il est fini donc le temps où Google vous donnait une carte au trésor avec des liens à explorer. Maintenant, l’IA vous donne directement le trésor et comme ça plus besoin de visiter les sites, plus de trafic, plus de revenus publicitaires. La boucle vertueuse s’est transformée en spirale mortelle…
Les prédictions de Gartner sont glaçantes car le volume des recherches traditionnelles va chuter de 25% d’ici 2026. Par exemple, chez les 18-24 ans, 66% utilisent déjà ChatGPT pour chercher de l’information, contre 69% pour Google. L’écart se resserre dangereusement.
Prince voit donc trois scénarios possibles pour l’avenir, et aucun n’est réjouissant.
Premier scénario, le plus nihiliste : Tous les journalistes, chercheurs et créateurs de contenu “meurent de faim” faute de modèle économique viable. Ce sont littéralement ses mots.
Deuxième scénario : On revient à un système de mécénat médiéval où cinq grandes entreprises IA emploient directement tous les créateurs. Adieu l’indépendance éditoriale.
Troisième scénario : On invente un nouveau modèle économique, mais personne ne sait encore lequel…
Voilà en gros les choix qui se présentent à nous.
Cloudflare, de son côté, ne reste bien sûr pas les bras croisés. Prince a lancé AI Audit , un système qui bloque par défaut tous les bots IA. Comme il l’a dit : “Je fais la guerre tous les jours aux gouvernements chinois, russe, iranien et nord-coréen qui tentent de hacker nos clients, et vous me dites que je ne peux pas arrêter un nerd avec une société dans la Silicon Valley ?”
La solution qu’il propose c’est donc un système de “pay-per-crawl” utilisant le protocole HTTP 402 (celui qui était prévu pour les micropaiements et que personne n’a jamais utilisé). Les IA devront donc payer pour crawler le contenu… On verra si ça marche…
L’économie des créateurs , évaluée à 203 milliards de dollars en 2024, est donc directement menacée par les IA. Paradoxalement, 84% des créateurs utilisent maintenant l’IA pour produire du contenu, accélérant leur propre obsolescence. C’est le serpent qui se mord la queue où l’IA se nourrit de contenu humain pour créer du contenu synthétique qui remplace le contenu humain qui nourrit l’IA qui… vous voyez le problème ?
Le plus dingue, c’est la vitesse à laquelle tout s’effondre. En mai 2024, Google lançait AI Overview et en juin 2025, le pourcentage de recherches d’actualités sans clic est passé de 56% à 69%. En seulement un an. À ce rythme, d’ici 2027, plus personne ne cliquera sur rien.
Et tout cela se passe maintenant, sous nos yeux, et personne ne semble capable de l’arrêter. Les éditeurs subissent donc une “menace existentielle” selon les propres mots de Prince. Le New York Times a décidé de se battre en justice. Les petits blogs et petits médias disparaissent en silence et Reddit et les forums deviennent des jardins clos pour protéger leur contenu.
La question n’est donc plus de savoir si le modèle économique du web va s’effondrer, mais quand et comment on va reconstruire sur les ruines. Prince compare la situation aux débuts d’Internet : “Nous sommes dans une période de destruction créatrice schumpétérienne .” Sauf que cette fois, ce qui est détruit, c’est le tissu même du web ouvert.
Meta de son côté a lancé son Creator Monetization Suite cette année, promettant de nouveaux moyens de monétisation… mais quand on y regarde de près, c’est juste une façon de garder les créateurs sous leur emprise, produisant du contenu que l’IA de Meta pourra ensuite digérer sans jamais les laisser partir ailleurs.
Bref, ces mêmes entreprises qui ont construit leur empire sur le contenu gratuit du web sont en train de le tuer et Google, qui a encouragé la création de contenu pendant 25 ans pour alimenter son moteur de recherche, est maintenant celui qui coupe le robinet du trafic.
Prince termine son interview sur une note sombre mais réaliste : “L’internet tel que nous le connaissons ne survivra pas sous sa forme actuelle.”
Le choix qui nous reste est donc très simple : Soit on accepte un web contrôlé par cinq méga-corporations qui emploient directement tous les créateurs, soit on invente quelque chose de radicalement nouveau. Mais une chose est sûre, le web libre et ouvert qu’on a connu est en train de mourir, et il ne reviendra pas.
Vous entendez ce silence ?
C’est le bruit du web qui s’éteint, un site à la fois. Et pendant ce temps, les IA continuent de crawler, de digérer, de régurgiter. Et cela jusqu’à ce qu’il ne reste plus rien à manger… Bienvenue dans l’ère post-trafic.
Population : Vous et quatre chatbots 😭.
Nano11 - Windows 11 passe sous la barre des 3 Go
2,8 Go. C’est tout ce qu’il faut à Nano11 pour faire tourner Windows 11. Et cette prouesse, on la doit à NTDEV, le développeur derrière le projet Tiny11 que vous connaissez peut-être déjà. Ce dernier vient encore de repousser les limites du dégraissage de Windows à un niveau que même Microsoft n’aurait jamais imaginé.
Pour mettre les choses en perspective, faut savoir qu’une installation standard de Windows 11 pèse facilement entre 20 et 30 Go selon les versions. Avec Nano11, on parle d’un ISO de seulement 2,2 Go et d’une empreinte disque de 2,8 Go une fois installé. C’est donc 3,5 fois plus petit que Tiny11, qui était déjà considéré comme ultra-léger.
Alors comment NTDEV a-t-il réussi cet exploit ? Et bien en virant absolument tout ce qui n’est pas indispensable au démarrage du système. Et quand je dis tout, c’est vraiment TOUT. Windows Update ? Dégagé. Microsoft Defender ? Aux oubliettes. Teams, Copilot, le nouveau Outlook qui est une catastrophe ambulante ? Disparus. Même les applications les plus basiques comme Météo ou Actualités ont sauté.
Le développeur ne cache pas que Nano11 est un “script expérimental extrême” conçu pour créer un environnement de test rapide et minimaliste. Sur son blog officiel , il indique utiliser maintenant la compression LZX au lieu de XPRESS, ce qui réduit encore plus la taille finale mais demande beaucoup de RAM pendant le processus de création.
Ce qui reste après le passage de Nano11, c’est donc vraiment le strict minimum à savoir le noyau Windows, l’interface graphique de base, et c’est à peu près tout. Pas de Windows Store, pas de possibilité d’ajouter des langues ou des pilotes après coup, pas de mises à jour de sécurité. C’est une installation figée dans le temps, impossible à maintenir ou à faire évoluer.
NTDEV lui-même prévient que Nano11 n’est absolument pas destiné à un usage quotidien. C’est plutôt pensé pour les développeurs qui ont besoin d’un environnement Windows ultra-léger pour tester rapidement une application, ou pour faire tourner des machines virtuelles sans bouffer toute la RAM disponible. L’installation se fait rapidement, et c’est donc parfait pour des tests.
Ce qui est chouette avec ce projet, c’est qu’il démontre à quel point Windows 11 est bourré de composants optionnels. Microsoft recommande officiellement 64 Go de stockage minimum, mais en réalité, le système peut tourner avec moins de 3 Go si on enlève tout le superflu.
Pour ceux qui veulent tester, le script Nano11 est disponible sur GitHub et il fonctionne avec n’importe quelle édition de Windows 11 (Pro, Home, LTSC). Le script prend en charge toutes les architectures et peut créer une image dans n’importe quelle langue, mais attention, une fois installé, impossible d’en ajouter d’autres. La dernière version de septembre 2025 est compatible avec Windows 11 24H2 et même les builds Canary les plus récentes.
Alors c’est sûr que Nano11 ne remplacera jamais votre Windows principal. C’est un proof of concept technique plus qu’autre chose mais si vous avez un vieux PC qui traîne ou si vous voulez créer une VM Windows ultra-légère pour un test rapide, ça peut valoir le coup d’œil.
Maintenant pour les utilisateurs qui cherchent un compromis entre légèreté et fonctionnalité, le script tiny11maker.ps1 reste une meilleure option car il dégraisse Windows tout en gardant la possibilité d’installer des mises à jour et d’ajouter des fonctionnalités par la suite.
Amusez-vous bien avec ce truc !