Vue lecture

Rapport phishing secteur hôtelier : quand les clients payent leur réservation une fois à l’hôtel et une fois au cybercriminel

Sekoia.io (société française de cybersécurité) vient de réaliser un rapport sur une campagne de phishing ciblant l’industrie touristique. Voici une synthèse du rapport : Le nouveau rapport de Sekoia TDR, l’équipe de chercheurs en sécurité de Sekoia.io, s’intitule “Phishing Campaigns « I Paid Twice » Targeting Booking.com Hotels and Customers”. Cette investigation, réalisée par les chercheurs Quentin Bourgue […]

The post Rapport phishing secteur hôtelier : quand les clients payent leur réservation une fois à l’hôtel et une fois au cybercriminel first appeared on UnderNews.
  •  

Rapport APT d’ESET : une guerre silencieuse entre puissances numériques (Avril-Septembre 2025)

ESET Research publie son rapport d’activité APT couvrant la période d’avril à septembre 2025, mettant en lumière les opérations de plusieurs groupes de Menaces Persistantes Avancées (APT) surveillés par ses chercheurs. Tribune. ESET publie son rapport sur les menaces APT couvrant avril à septembre 2025. Les groupes APT alignés sur la Chine ont renforcé leurs […]

The post Rapport APT d’ESET : une guerre silencieuse entre puissances numériques (Avril-Septembre 2025) first appeared on UnderNews.
  •  

Black Friday et Cyber Monday : vigilance accrue pour les commerçants face aux risques cyber

A l’approche du Black Friday, le 28 novembre, et du Cyber Monday, le 1er décembre, les commerçants se préparent à une période de forte activité, où la performance et la sécurité de leurs infrastructures numériques seront plus que jamais déterminantes. Tribune – Cynthia Overby, Directrice, Strategic Security Solutions, ZCO chez Rocket Software, livre son analyse sur […]

The post Black Friday et Cyber Monday : vigilance accrue pour les commerçants face aux risques cyber first appeared on UnderNews.
  •  

Nouvelles sur l’IA de octobre 2025

L’intelligence artificielle (IA) fait couler de l’encre sur LinuxFr.org (et ailleurs). Plusieurs personnes ont émis grosso-modo l’opinion : « j’essaie de suivre, mais c’est pas facile ».

Je continue donc ma petite revue de presse mensuelle. Disclaimer : presque aucun travail de recherche de ma part, je vais me contenter de faire un travail de sélection et de résumé sur le contenu hebdomadaire de Zvi Mowshowitz (qui est déjà une source secondaire). Tous les mots sont de moi (n’allez pas taper Zvi si je l’ai mal compris !), sauf pour les citations : dans ce cas-là, je me repose sur Claude pour le travail de traduction. Sur les citations, je vous conseille de lire l’anglais si vous pouvez : difficile de traduire correctement du jargon semi-technique. Claude s’en sort mieux que moi (pas très compliqué), mais pas toujours très bien.

Même politique éditoriale que Zvi : je n’essaierai pas d’être neutre et non-orienté dans la façon de tourner mes remarques et observations, mais j’essaie de l’être dans ce que je décide de sélectionner ou non.

Sommaire

Résumé des épisodes précédents

Petit glossaire de termes introduits précédemment (en lien : quand ça a été introduit, que vous puissiez faire une recherche dans le contenu pour un contexte plus complet) :

  • System Card : une présentation des capacités du modèle, centrée sur les problématiques de sécurité (en biotechnologie, sécurité informatique, désinformation…).
  • Jailbreak : un contournement des sécurités mises en place par le créateur d’un modèle. Vous le connaissez sûrement sous la forme "ignore les instructions précédentes et…".

Des nouveautés sur la génération de vidéos

OpenAI publie Sora 2, son modèle de génération de vidéo, qui produit des scènes d’environ dix secondes à partir d’un prompt textuel. Cette publication pose deux questions : celle des deepfakes, et celle du copyright.

Sur les deepfakes, OpenAI a annoncé bloquer la génération de vidéos impliquant des personnalités publiques, sauf si ces dernières s’inscrivent sur une liste acceptant cet usage (vous pouvez par exemple générer une vidéo contenant Sam Altman, qui s’est inscrit sur cette liste).

Sur la propriété intellectuelle, la logique est inversée : initialement, les ayants droits étaient appelés à « se rapprocher d’OpenAI » pour que leur création ne puisse pas être réutilisée par Sora. C’était un pari très audacieux : si le consensus juridique se dirige sur le caractère légal (« fair use ») d’utiliser des données publiques pour entraîner une IA, réutiliser la propriété intellectuelle d’autrui entre dans le cadre des œuvres dérivées, bien plus contraignant ; la plupart des commentateurs s’accordent qu’il y a peu de chances qu’OpenAI puisse gagner une bataille juridique sur ce terrain, si certains ayants droits décident d’aller en justice. OpenAI semble avoir réalisé la même chose, faisant marche arrière une semaine après le lancement ; les ayants droits peuvent maintenant s’inscrire pour accepter que des éléments (personnages, lieux…) de leurs œuvres soient réutilisables par Sora, avec dans le futur un système de rémunération des ayants droit.

En se fondant sur ce modèle Sora 2, OpenAI décide de lancer un réseau social du même nom. L’idée est de partager vos créations avec vos connaissances, en particulier d’utiliser la capacité de Sora de mettre en scène des personnes pour créer des vidéos vous mettant en scène, vous et vos connaissances.

Meta lance également une offre similaire avec Vibes, xAI suit le mouvement (sans la partie « réseau social ») avec Grok Imagine

OpenAI obtient le feu vert pour son casse du siècle

Résumé rapide de l’affaire :

  • OpenAI a été fondé en 2015 et tant qu’organisation à but non lucratif, avec pour mission de « développer l’Intelligence Artificielle Générale pour le bénéfice de l’humanité ». Rappelons nous qu’en 2015 les larges modèle de langage sont un jouet pour chercheur, que le Winograd schema challenge est l’horizon indépassable pour la compréhension du langage naturel.
  • Afin de pouvoir recevoir des fonds d’investisseurs, en 2019 OpenAI restructure son organisation. OpenAI LLC (peu ou prou l’équivalent d’une SARL) est créé pour recevoir les financements et est l’organisation principale des opérations au jour le jour. L’organisation à but non lucratif existe toujours, et a le contrôle total de l’entreprise.
  • L’entreprise possède une caractéristique assez particulière, "capped for-profit", ce qui signifie que la quantité de profits reçus par les investisseurs est plafonnée (à un certain multiple, négocié au cas par cas, de l’investissement). Tout profit supplémentaire appartient légalement à l’organisation à but non lucratif.

C’est ce dernier point qui ennuie beaucoup les dirigeants d’OpenAI et les potentiels investisseurs aujourd’hui. Fin décembre 2024, l’entreprise déclare vouloir prendre son indépendance vis-à-vis de l’organisation à but non lucratif. Sur papier, cela est possible : l’entreprise peut racheter le contrôle auprès de l’organisation à but non lucratif, à condition que le prix soit juste (sinon, c’est il s’agit tout simplement d’abus de biens sociaux). Problème : comment évaluer le juste prix ? Celui-ci est composé de deux parties :

  • Le pouvoir de contrôle sur l’entreprise en elle-même, de décider de sa politique (par exemple, en rapport à la sécurité des modèles). Bien intangible, mais qu’il faut bien valoriser.
  • Plus compliqué : le prix aujourd’hui de la totalité des profits futurs après remboursement des investisseurs.

En 2024, le bruit courait d’une offre à 40 milliards, ce qui a rapidement donné lieu à une levée de boucliers, et l’utilisation par Zvi de l’expression « greatest theft in human history » (que j’ai traduite par « casse du siècle »). En mai 2024, OpenAI annonce renoncer à cette tentative, mais reprend en septembre 2024.

Aujourd’hui, après avoir négocié avec les procureurs généraux des états du Delaware (là où l’organisation à but non lucratif est incorporée) et de Californie (pour le siège de l’entreprise), OpenAI annonce avoir reçu le feu vert pour une restructuration.

Dans les grandes lignes :

  • Le pouvoir de contrôle sur l’entreprise reste entièrement dans les mains de l’organisation à but non lucratif.
  • La structure de profits de l’entreprise disparaît (et l’entreprise elle-même, se muant en PBC) pour suivre le modèle plus courant de parts sociales. L’organisation à but non-lucratif obtient 26% de ces parts (à comparer au plus gros investisseurs, Microsoft, qui obtient 27%).

Est-ce un juste prix ? Zvi défend que non, en nous offrant ces chiffres :

  • Le journaliste d’affaires Matt Levine estime à 272 milliards le plafond de profits allant aux investisseurs.
  • Un chiffre de 1000 milliards de valuation à l’introduction en bourse est utilisé (se référant à celui rapporté par Reuters).
  • Ce qui donne 260 milliards pour l’organisation à but non lucratif dans le nouveau système. Dans l’ancien, le chiffre aurait été plus proche de 500-750 milliards.

Il faut également prendre en compte que l’objectif d’OpenAI (que ce soit l’organisation ou l’entreprise) reste d’atteindre l’intelligence artificielle générale (AGI). Dans l’hypothèse où cet objectif est atteint, les profits seraient probablement un ou plusieurs ordres de magnitude plus grands (on peut citer ce papier de l’université de Virginie), ce qui élargit encore plus le gouffre entre l’ancien système et le nouveau — dans l’ancien, la quasi totalité des profits appartiendrait au final à l’organisation à but non lucratif, dans le nouveau, 26%.

Affaire close ? Pas nécessairement : d’autres parties que les procureurs généraux peuvent se saisir de la justice pour contester cette décision. Elon Musk en particulier a déjà dans le passé saisi la justice sur ce sujet, et pourrait encore le faire dans un futur proche.

En vrac

DeepMind présente Dreamer 4, un agent capable d’apprendre à naviguer dans un environnement avec très peu de données d’entraînement, en « imaginant » des interactions synthétiques — avec pour objectif d’appliquer cette méthode à la robotique.

OpenAI publie GPDval, un benchmark cherchant à mesurer au plus près les capacités économiques de l’IA, en se concentrant sur la question de quelles tâches économiquement productives l’IA peut se charger. Sur les tâches sélectionnées (avec pour critère : bien définies, avec un périmètre clair et un contexte simple, dans divers domaines), l’IA reste pour l’instant derrière l’humain, mais plus très loin derrière : la meilleure IA, Opus 4.1, gagne 47.6% (s’acquitte mieux de la tâche) du temps contre un professionnel du domaine.

Le FLI (Future of Life Institute) publie une lettre ouverte « Statement on Superintelligence » (« Communiqué sur la superintelligence »), trois courtes phrases : « We call for a prohibition on the development of superintelligence, not lifted before there is 1. broad scientific consensus that it will be done safely and controllably, and 2. strong public buy-in. » (« Nous appelons à une interdiction du développement de la superintelligence, qui ne devra être levée qu'après : 1) un large consensus scientifique établissant que cela peut être fait de manière sûre et contrôlable, et 2) une forte adhésion du public »). Parmi les signatures, de nombreux noms de tous horizons : académie, industrie, politique et gouvernement, et même du monde religieux.

OpenAI lance son propre navigateur, Atlas (pour l’instant, uniquement disponible sous MacOS), intégrant ChatGPT à la plupart des niveaux : autocomplétion dans la barre d’adresse, fonctionnalité « ouvrir une conversation avec le site actuel », emboîtant le pas à Perplexity Comet. Il est fortement probable que les attaques de type « injection de prompt » s’appliquent également, donc prudence.

DeepSeek publie une mise à jour incrémentale de son IA, DeepSeek 3.2. Essentiellement les mêmes performances que la version précédente, mais à un coût bien plus faible.

DeepSeek publie également DeepSeek-OCR. Une bestiole difficile à décrire : contrairement à ce que ce nom indique, ce n’est pas un simple OCR (même s’il peut s’acquitter de cette tâche très honorablement), mais une piste de recherche, opérationnaliser « un bon croquis vaut mieux qu’un long discours ». Plus précisément, DeepSeek essaie avec ce système de compresser n (par exemple 10) tokens textuels en 1 token de vision (pour une compression 1:10). Les résultats semblent bons, avec 90% de précision avec une compression 1 pour 10.

Anthropic étudie la capacité d’introspection de ses modèles, et trouve un résultat positif. Par exemple, les développeurs peuvent identifier un circuit associé à un certain concept (par exemple, « piano »), l’activer, et demander au modèle « À quoi penses-tu actuellement ? » (sans que le concept soit explicitement mentionné dans le prompt) ; le modèle est généralement capable de mentionner le concept.

DeepMind, en collaboration avec l’université de Yale, publie un modèle open-weight spécialisé dans l’analyse cellulaire. Le modèle semble capable de faire des découvertes inédites.

Nouvelle confrontation sur le droit d’auteur : Disney met en demeure Character AI.

Anthropic libère sur github un outil d’évaluation dans le cadre de la sécurité des modèles, utilisé notamment pour évaluer des comportements problématiques comme la flagornerie ou la tromperie.

Epoch AI publie une visualisation quelques données économiques sur les grands acteurs du secteur.

Des chercheurs publient une nouvelle méthode pour spécialiser un LLM à un usage précis, sans avoir accès privilégié aux paramètres du modèle lui-même. Cela permet de spécialiser des modèles propriétaires.

Que se passe-t-il lorsque l’on applique une phase d’apprentissage par renforcement sur des tâches de type « créer de l’engagement sur les réseaux sociaux » ou « augmenter les ventes d’un produit » ? Un papier explore la question, et montre qu’un tel entraînement supplémentaire encourage les modèles à mentir ou répandre de la désinformation, et que l’effet ne disparaît pas en demandant au modèle de ne pas utiliser de telles méthodes dans son « prompt système ».

Autre papier d’Anthropic sur la sécurité des modèles, montrant qu’il est possible d’« empoisonner » l’entraînement des modèles (c’est-à-dire l’entraîner à donner une réponse spécifique à une entrée ésotérique) à l’aide d’un faible nombre de documents (relativement à la taille du corpus d’entraînement total).

Du mouvement sur le financement du développement de l’IA : OpenAI est évalué à $500 milliards ; xAI fait une levée de fonds pour $20 milliards ; AMD investit dans OpenAI, ainsi que Nvidia. Un article intéressant fait le parallèle avec certains montages pendant la bulle dot-com, notant également des différences importantes.

En Janvier, OpenAI annonçait que Microsoft ne serait plus leur fournisseur unique d’infrastructure, citant un manque de capacités. The Information (paywall) révèle que Microsoft craint que les demandes de capacités de OpenAI soient injustifiées et que les satisfaire conduise à terme à mettre en place des capacités qui ne seront pas utilisées.

Un nouveau benchmark, AutumnBench, assez similaire à ARC-AGI, où l’IA reste loin derrière les performances humaines.

Un billet de blog intéressant sur les efforts de lobbying de l’industrie de l’IA.

METR ajoute Sonnet 4.5 à son évaluation, qui arrive pile poil sur la ligne de tendances.

L’IA (plus précisément : GPT-5 et Gemini 2.5 Pro) obtient un score de médaille d’or sur les Olympiades Internationales d’Astronomie et d’Astrophysique.

Envie d’apprendre comment fonctionne l’IA ? Andrey Karpathy publie en open-source nanochat, pour entraîner soi-même un modèle minimal, de A à Z.

ChatGPT se dote d’un système de contrôle parental.

xAI lance une encyclopédie générée par son IA, Grok, nommée Grokipedia. Elle fait partie de la croisade d’Elon Musk contre ce qu’il considère des biais de gauche sur Wikipedia.

Un papier étudie en détails la capacité des modèles à résister au jailbreak ou plutôt leur incapacité : aucun modèle ne résiste à un attaquant humain déterminé.

Anthropic publie son modèle "léger" (moins cher, plus rapide, moins performant), Haiku 4.5.

Cursor, l’assistant de code propriétaire, développe son propre modèle, Composer.

Pour aller plus loin

Par Zvi Mowshowitz

Sur LinuxFR

Dépêches

Journaux

Forum

Liens

Commentaires : voir le flux Atom ouvrir dans le navigateur

  •  

Podcast Projets Libres saison 4 épisode 4 : le futur sera fédéré et auto-hébergé

Projets Libres commence une nouvelle série d’épisode où nous donnons la parole aux utilisateurs du Fediverse.

Aujourd’hui nous recevons Elena Rossini, réalisatrice indépendante, qui a décidé de quitter les réseaux sociaux des GAFAM et d’auto-héberger ses services dans le Fediverse.

Elle nous partage :

  • son parcours
  • sa vie avec les réseaux sociaux des GAFAM
  • sa décision de les quitter et les conséquences
  • son arrivée dans le Fediverse
  • sa découverte de l’auto-hébergement et Yunohost
  • ses actions de promotion du Fediverse
  • et bien plus…

Bonne écoute !

Commentaires : voir le flux Atom ouvrir dans le navigateur

  •  

Un nouveau numéro pour le Lama déchainé et une page d'accueil en anglais

Grâce au travail acharné et motivé d'un bénévole, Le Lama déchainé vous accueille en anglais depuis quelques jours. Un premier pas pour conquérir le monde !! (n’importe quoi, on se calme et on respire)

Comme chaque semaine depuis l’arrêt officiel du support gratuit de Windows 10, l’April a publié un nouveau numéro de sa gazette. Un numéro politique plus politisé

  • Maïwan, la plume invitée du numéro, nous parle de Scribouilli et de comment il a servi à plusieurs candidats après la dissolution de l’Assemblée nationale ;
  • Gee annonce par son dessin la future opération autour du Pacte du Logiciel Libre ;
  • une citation de Nicolas Vivant, DSI d’Échirolles, extraite d’une transcription ;
  • Luk rappelle à quel point l’informatique libre peut être une menace pour le pouvoir en place ;
  • et Bookynette se prend pour une candidate à la mairie. dessin de Gee: Un tux et gnu proposent un pacte à un politicien qui doute

L’écho des associations est consacré à AviGNU, qui constate une augmentation de la fréquence et de nouvelles têtes lors des permanences (coïncidence ? Je ne crois pas).

Le logiciel Androïd proposé par Michaël cette semaine est Signal, pour communiquer avec ses proches (go go dans les commentaires !)

Nous avions promis de présenter à chaque numéro du Lama déchainé une distribution Libre. Nous continuons donc avec Linux Mint, la distribution conseillée par Gee (preuve dans l’émission Les numériques).

Vous pourrez enfin découvrir l’étape suivante pour fabriquer votre Lama Photonique Interpellant. C’est l’étape du connecteur tulipe (qui n’a rien à voir avec une fleur).

Et comme chaque semaine, retrouvez la parole de, l’anecdote, le saviez-vous ?, l’idée à déconstruire, l’ineptIA, une des chroniques de Libre à vous !, le chiffre de la semaine et bien sûr les mots croisés !

Bannière de la campagne April du Lama déchaîné

Rappel, Le Lama déchaîné a pour but de vous présenter les actions de l’April et de ses proches jusqu'à Noël 2025, avec humour, légèreté et parfois quelques coups de gueules.

Ce travail astronomique qui occupe de nombreux bénévoles est fait pour assurer la pérennité des activités de l’April qui, comme de nombreuses associations en péril ces derniers temps, cherche à récolter une somme de 30 000€ avant le 31 décembre. Les débuts de la campagne sont difficiles avec seulement 6% récoltés en trois semaines. Moins que l’année dernière à la même époque.

Merci de votre lecture, de vos commentaires, de vos relais sur les réseaux sociaux ou ailleurs et, bien sûr, de votre soutien !

Commentaires : voir le flux Atom ouvrir dans le navigateur

  •  

Cyberattaques en hausse, experts en baisse : le défi des entreprises

Le déficit de compétences en cybersécurité demeure l’un des enjeux les plus critiques pour les entreprises dans le monde. Selon le rapport 2025 de Fortinet sur la pénurie de compétences en cybersécurité, près de 9 entreprises sur 10 ont subi un incident de cybersécurité en 2024, et plus de la moitié d’entre elles ont signalé […]

The post Cyberattaques en hausse, experts en baisse : le défi des entreprises first appeared on UnderNews.
  •  

Quand un formulaire « Contactez-nous » devient « Contactez un cybercriminel »

L’équipe Threat Lab de KnowBe4 a observé une augmentation d’une nouvelle méthode d’attaque plus efficace et qui ne nécessite aucun compromis de compte. Tribune. Une attaque de phishing émergente : le détournement de formulaires web légitimes Depuis le 11 septembre 2025, les chercheurs de KnowBe4 ont observé une nouvelle technique : des cybercriminels exploitent les […]

The post Quand un formulaire « Contactez-nous » devient « Contactez un cybercriminel » first appeared on UnderNews.
  •  

Revue de presse de l’April pour la semaine 44 de l’année 2025

Cette revue de presse sur Internet fait partie du travail de veille mené par l’April dans le cadre de son action de défense et de promotion du logiciel libre. Les positions exposées dans les articles sont celles de leurs auteurs et ne rejoignent pas forcément celles de l’April.

[ZDNET] Alternatives open source: la Commission européenne va créer un consortium pour les communs numériques

✍ Thierry Noisette, le vendredi 31 octobre 2025.

La France et l’Allemagne sont parmi les membres fondateurs. «L’une des priorités stratégiques de l’Europe est de renforcer les alternatives ouvertes, interopérables et souveraines.»

[ICTjournal] Le chef de l'armée suisse veut une alternative à Microsoft 365

✍ René Jaun, le vendredi 31 octobre 2025.

La Confédération déploie Microsoft 365 dans l’ensemble de ses départements. Mais le Groupement Défense ne peut en tirer que peu d’avantages, puisqu’il lui est interdit de stocker ses documents classifiés dans le cloud de Microsoft. Le chef de l’armée veut une alternative.

[Le Monde.fr] Elon Musk lance Grokipedia, son Wikipédia jugé biaisé idéologiquement

Le mardi 28 octobre 2025.

Les premiers contenus de cette encyclopédie en ligne, générés par intelligence artificielle, révèlent une orientation marquée, notamment sur des sujets comme Black Lives Matter.

[ZDNET] Pourquoi l'open source pourrait ne pas survivre à l'essor de l'IA générative

✍ David Gewirtz, le lundi 27 octobre 2025.

L’IA générative est peut-être en train d’éroder les fondements des logiciels libres. La provenance, les licences et la réciprocité sont en train de s’effondrer.

Commentaires : voir le flux Atom ouvrir dans le navigateur

  •  

Jfrog découvre une vulnérabilité critique (CVSS 9.8) dans un package de l’outil React Native

JFrog découvre une vulnérabilité critique d’exécution de code à distance (RCE) dans le package NPM React Native Community CLI, totalisant plus de 2M de téléchargements hebdomadaires. L’équipe de recherche en sécurité de JFrog démontre que la CVE-2025-11953 permet à des attaquants non authentifiés d’exécuter du code à distance sur les machines des développeurs, exposant ainsi […]

The post Jfrog découvre une vulnérabilité critique (CVSS 9.8) dans un package de l’outil React Native first appeared on UnderNews.
  •  

Une étude révèle comment les vulnérabilités de Microsoft Teams peuvent être exploitées par les attaquants

De la collaboration à la compromission : une nouvelle étude de Check Point révèle comment les vulnérabilités de Microsoft Teams peuvent être exploitées par les attaquants.   Tribune – Une nouvelle étude de Check Point Research a dévoilé des vulnérabilités critiques de Microsoft Teams, exposant comment des attaquants peuvent modifier des messages de manière invisible, falsifier […]

The post Une étude révèle comment les vulnérabilités de Microsoft Teams peuvent être exploitées par les attaquants first appeared on UnderNews.
  •  

Prédictions cyber 2026 : Google Cloud / L’IA devient la norme, le Shadow AI la nouvelle menace

Google Cloud publie aujourd’hui son rapport 2026 Cybersecurity Forecast, une analyse prospective fondée sur les données, qui anticipe les grandes tendances et menaces auxquelles les équipes de sécurité devront faire face en 2026, à partir du paysage cyber de 2025. Tribune – Fruit de la collaboration d’experts en sécurité issus de plusieurs équipes de Google […]

The post Prédictions cyber 2026 : Google Cloud / L’IA devient la norme, le Shadow AI la nouvelle menace first appeared on UnderNews.
  •  

Cybersécurité : mieux gérer les risques internes peut sauver des milliards

Aujourd’hui, un incident de cybersécurité peut coûter des milliards à une entreprise… et souvent, l’erreur humaine en est la cause. C’est ce que démontre le dernier rapport sur les risques internes mené par Fortinet en collaboration avec Cybersecurity Insiders. Tribune. 77 % des répondants ont accusé des pertes de données imputables à des incidents internes […]

The post Cybersécurité : mieux gérer les risques internes peut sauver des milliards first appeared on UnderNews.
  •  

CNIL, filtrage web et RGPD – Quand le droit rencontre la technologie

Le 28 juillet 2025, la Commission Nationale de l’Informatique et des Libertés (CNIL) a publié un projet de recommandation sur le filtrage web, soumis à consultation publique. La CNIL souhaite émettre des recommandations afin que les solutions de cybersécurité de plus en plus complexes respectent la règlementation sur les données. Tribune par Gaëlle TILLOY, Avocate à […]

The post CNIL, filtrage web et RGPD – Quand le droit rencontre la technologie first appeared on UnderNews.
  •  

Gestion des certificats et automatisation : Keyfactor identifie 5 enseignements clés pour renforcer la confiance numérique

La gestion des certificats n’a jamais été aussi complexe : durées de vie réduites, exigences de sécurité renforcées, environnements multi-cloud. Face à cette réalité, les processus manuels ne suffisent plus. Mais qu’est-ce qui motive le passage à l’automatisation ? Qu’est-ce qui freine ce processus ? Comment instaurer une confiance durable dans un monde post-quantique et […]

The post Gestion des certificats et automatisation : Keyfactor identifie 5 enseignements clés pour renforcer la confiance numérique first appeared on UnderNews.
  •  

Quand la formation à la cybersécurité ne suffit plus : 5 signes révélateurs

La sensibilisation à la cybersécurité est essentielle à la continuité d’activité, à la réputation et à la conformité. Pourtant, la principale vulnérabilité reste souvent humaine. Un clic trop rapide, une réinitialisation de mot de passe hâtive ou un paiement mal adressé peuvent avoir de graves conséquences. Tribune Getronics – Les entreprises multiplient les formations et les contrôles […]

The post Quand la formation à la cybersécurité ne suffit plus : 5 signes révélateurs first appeared on UnderNews.
  •  

Sécurisation de l’IA : 4 idées reçues à déconstruire selon David Bécu

« Les systèmes d’IA sont impossibles à protéger », « lorsqu’il s’agit d’IA, il faut seulement protéger les données », « dans quelques années, la supervision humaine ne sera plus nécessaire » … Autant de suppositions fréquemment répétées dans le débat autour de l’intelligence artificielle. Pourtant, la sécurisation de l’IA n’est pas aussi complexe qu’elle en a l’air. Elle […]

The post Sécurisation de l’IA : 4 idées reçues à déconstruire selon David Bécu first appeared on UnderNews.
  •  

Zimperium met en garde : les bots mobiles contournent les défenses traditionnelles

Zimperium, spécialiste mondial de la sécurité mobile, dévoile aujourd’hui les conclusions d’une nouvelle étude mettant en lumière lune nouvelle menace émergente : l’apparition de bots mobiles opérant directement au sein d’applications légitimes. Tribune – Contrairement aux bots web traditionnels, souvent bloqués par les CAPTCHA, les limites de débit ou l’authentification multifactorielle (MFA), ces bots mobiles […]

The post Zimperium met en garde : les bots mobiles contournent les défenses traditionnelles first appeared on UnderNews.
  •  

TestFlight Status Checker : être alerté des ouvertures de bêta d’applications pour Apple sur TestFlight

Chez Apple, les développeurs peuvent proposer leurs applications en version bêta avant de les mettre sur l’AppStore. Pour y accéder, outre avoir TestFlight sur son périphérique et un code d’invitation, il faut surtout que la limite de bêta-testeurs ne soit pas atteinte.

Si jamais on arrive trop tard, EloneMusk (… ouais… je sais…) a créé Test-Flight-Subscription pour être alerté par email de l’ouverture d’accès à des bêtas.

L’email et le mot de passe à renseigner dans la configuration ne sont PAS ceux de votre compte Apple mais bien ceux d’un compte GMAIL (hardcodé avec Gmail dans app.py).
Il faudra utiliser un compte Gmail avec un mot de passe d’application (chercher app password dans les paramètres Gmail), accessible une fois le 2FA activé sur le dit compte si ce n’est pas encore fait.

services:
  testflight-checker:
    build:
      context: https://github.com/EloneMusk/Test-Flight-Subscription.git
      dockerfile: Dockerfile
    container_name: testflight-checker
    restart: always
    ports:
      - 7654:8000
    environment:
      EMAIL_USER: moi@gmail.com
      EMAIL_PASSWORD: ent iur henf ued

testflight1

Pratique.
Pour découvrir des applications en bêta, on peut par exemple parcourir le SubReddit dédié ou le dépôt GitHub Awesome Testflight App List.

Il a trouvé sa place dans tout mon petit bordel ^^

testflight2

Et… j’y ajoute mon workflow de mise à jour automatique si le dépôt GitHub évoluait, ce qui donne :

services:
  testflight-checker:
    build:
      context: https://github.com/EloneMusk/Test-Flight-Subscription.git
      dockerfile: Dockerfile
    container_name: testflight-checker
    restart: always
    ports:
      - 7654:8000
    environment:
    environment:
      EMAIL_USER: moi@gmail.com
      EMAIL_PASSWORD: ent iur henf ued
  testflight-autoupdate:
    image: alpine:latest
    container_name: testflight-autoupdate
    restart: always
    environment:
      GITHUB_REPO: https://github.com/EloneMusk/Test-Flight-Subscription.git
      DISCORD_WEBHOOK: https://canary.discord.com/api/webhooks/xxx/xxx
      POLL_INTERVAL: 172800 # secondes
      SERVICE_NAME: testflight-checker
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - /tmp:/repo
    command: >
      sh -c "
        apk add --no-cache git bash curl docker-cli jq &&
        mkdir -p /repo &&
        cd /repo &&
        git clone --depth 1 \$GITHUB_REPO . || true &&
        REPO_NAME=\$(basename -s .git \$GITHUB_REPO) &&
        DEFAULT_BRANCH=\$(curl -s https://api.github.com/repos/\$(echo \$GITHUB_REPO | sed 's|.*/||;s|.git||') | jq -r .default_branch) &&
        git fetch origin \$DEFAULT_BRANCH &&
        git checkout \$DEFAULT_BRANCH &&
        LAST_COMMIT=\$(git rev-parse HEAD) &&
        while true; do
          git fetch origin \$DEFAULT_BRANCH &&
          NEW_COMMIT=\$(git rev-parse origin/\$DEFAULT_BRANCH) &&
          if [ \"\$NEW_COMMIT\" != \"\$LAST_COMMIT\" ]; then
            echo \"[$(date)] Nouveau commit détecté sur \$DEFAULT_BRANCH, rebuild...\"
            git reset --hard origin/\$DEFAULT_BRANCH &&
            docker compose -f /repo/docker-compose.yml build \$SERVICE_NAME &&
            docker compose -f /repo/docker-compose.yml up -d \$SERVICE_NAME &&
            REPO_LINK=\$GITHUB_REPO &&
            COMMIT_LINK=\"\$GITHUB_REPO/commit/\$NEW_COMMIT\" &&
            curl -H 'Content-Type: application/json' -X POST -d '{\"content\": \"\$REPO_NAME mis à jour automatiquement !\nBranche : \$DEFAULT_BRANCH\nCommit : \$NEW_COMMIT\nDépôt : <\$REPO_LINK|\$REPO_NAME>\nLien du commit : <\$COMMIT_LINK|voir commit>\"}' \$DISCORD_WEBHOOK &&
            LAST_COMMIT=\$NEW_COMMIT
          else
            echo \"[$(date)] Aucun changement sur \$DEFAULT_BRANCH.\"
          fi
          sleep \$POLL_INTERVAL
        done
      "
networks: {}

Loading

  •  

Du commit GitHub au container à jour : workflow Docker simplifié

Il arrive que des gens publient un code sur GitHub avec un Dockerfile mais sans package. Le container est donc à construire soi-même, localement.

Ça peut se faire directement depuis un compose

services:
  applicationABC:
    build:
      context: https://github.com/user/applicationABC.git
      dockerfile: Dockerfile
    container_name: applicationABC
    restart: always
    ports:
      - 8080:8080

Mais dans ce cas la mise à jour automatisée via WatchTower ne fonctionne pas puisqu’il n’y a pas d’image à aller chercher.

    labels:
      - com.centurylinklabs.watchtower.enable=true

Du coup voici une solution de contournement, simple et surtout qui n’implique pas d’outil tiers ou de cloner un dépôt GitHub et faire/tenir à jour un package moi-même.

Ce bout de code va checker les commits d’un dépôt GitHub à intervalles réguliers et, au besoin, construire un container à jour localement et relancer le tout.
Avec notification Discord, parce que j’aime ça.

  applicationABC-autoupdate:
    image: alpine:latest
    container_name: applicationABC-autoupdate
    restart: always
    environment:
      GITHUB_REPO: https://github.com/user/applicationABC.git
      DISCORD_WEBHOOK: https://canary.discord.com/api/webhooks/xxx/xxx
      POLL_INTERVAL: 172800 # secondes
      SERVICE_NAME: applicationABC
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - /tmp:/repo
    command: >
      sh -c "
        apk add --no-cache git bash curl docker-cli jq &&
        mkdir -p /repo &&
        cd /repo &&
        git clone --depth 1 \$GITHUB_REPO . || true &&
        REPO_NAME=\$(basename -s .git \$GITHUB_REPO) &&
        DEFAULT_BRANCH=\$(curl -s https://api.github.com/repos/\$(echo \$GITHUB_REPO | sed 's|.*/||;s|.git||') | jq -r .default_branch) &&
        git fetch origin \$DEFAULT_BRANCH &&
        git checkout \$DEFAULT_BRANCH &&
        LAST_COMMIT=\$(git rev-parse HEAD) &&
        while true; do
          git fetch origin \$DEFAULT_BRANCH &&
          NEW_COMMIT=\$(git rev-parse origin/\$DEFAULT_BRANCH) &&
          if [ \"\$NEW_COMMIT\" != \"\$LAST_COMMIT\" ]; then
            echo \"[$(date)] Nouveau commit détecté sur \$DEFAULT_BRANCH, rebuild...\"
            git reset --hard origin/\$DEFAULT_BRANCH &&
            docker compose -f /repo/docker-compose.yml build \$SERVICE_NAME &&
            docker compose -f /repo/docker-compose.yml up -d \$SERVICE_NAME &&
            REPO_LINK=\$GITHUB_REPO &&
            COMMIT_LINK=\"\$GITHUB_REPO/commit/\$NEW_COMMIT\" &&
            curl -H 'Content-Type: application/json' -X POST -d '{\"content\": \"\$REPO_NAME mis à jour automatiquement !\nBranche : \$DEFAULT_BRANCH\nCommit : \$NEW_COMMIT\nDépôt : <\$REPO_LINK|\$REPO_NAME>\nLien du commit : <\$COMMIT_LINK|voir commit>\"}' \$DISCORD_WEBHOOK &&
            LAST_COMMIT=\$NEW_COMMIT
          else
            echo \"[$(date)] Aucun changement sur \$DEFAULT_BRANCH.\"
          fi
          sleep \$POLL_INTERVAL
        done
      "

Le travail est effectué dans le dossier temporaire.

Il suffit d’éditer les variables voire le nom du container, histoire de faire propre

  applicationABC-autoupdate:
    image: alpine:latest
    container_name: applicationABC-autoupdate
    restart: always
    environment:
      GITHUB_REPO: https://github.com/user/applicationABC.git
      DISCORD_WEBHOOK: https://canary.discord.com/api/webhooks/xxx/xxx
      POLL_INTERVAL: 172800 # secondes
      SERVICE_NAME: applicationABC

Attention, la variable SERVICE_NAME doit être le nom exact du service à reconstruire/relancer

services:
  applicationABC:
    build:
      context: https://github.com/user/applicationABC.git
      dockerfile: Dockerfile
    container_name: applicationABC
    restart: always
    ports:
      - 8080:8080

Loading

  •