Semaine 30 - 2026
Le maillon faible, c’est toi
Une offre d’emploi de rêve, un petit test technique à cloner… et hop un malware nord-coréen ! Pourquoi viser les développeurs ? Parce qu’infecter la machine de quelqu’un qui “pousse” du code en production, c’est contaminer d’un coup tous les utilisateurs de ce code.
https://www.elastic.co/security-labs/contagious-interview-malware-svg-steganography
Et si le poison était déjà dans le modèle ? Une chercheuse a implanté une porte dérobée dans un modèle d’IA open-weight pour moins de 100 $ et une heure de travail : dix exemples d’entraînement suffisent pour qu’il génère du code vulnérable sur commande. Toujours confiance dans ce modèle téléchargé vite fait ?
Ton site a plus de lecteurs robots que humains
Deux mois de mesures chez Evil Martians : 2,5 requêtes d’agents IA pour chaque page vue humaine. ChatGPT ne lit que du HTML rendu, Claude Code réclame du Markdown, et le fameux fichier llms.txt censé guider les IA ? Téléchargé à 95 % par… des bots SEO.
Trois onglets, un seul upload
Un upload de 20 GB qui reprend tout seul, c’est chic. Trois onglets ouverts qui reprennent le même upload en même temps, ça l’est moins. Chez OLX, la solution tenait en une API native que personne ne connaît : Web Locks, un vrai verrou atomique, libéré automatiquement si l’onglet crashe, supporté partout.
- https://tech.olx.com/handling-concurrency-on-the-web-with-web-locks-api-163b7e07eddd
- https://developer.mozilla.org/en-US/docs/Web/API/Web_Locks_API
Rendre visible un canvas invisible
Pour un lecteur d’écran, Figma c’est un pixel géant : le rendu canvas supprime tout ce que le navigateur sait raconter d’une page. Leur réponse ? Un arbre d’accessibilité maison et un DOM miroir synchronisé dans les deux sens, pour que VoiceOver pilote le canvas comme une vraie interface. De l’ingénierie d’orfèvre, quinze améliorations livrées en deux ans.
https://www.figma.com/fr-fr/blog/building-accessibility-into-a-canvas-based-product/
L’IA rachète tous les bouquins
Le web est tellement pollué de textes générés par IA que les labos s’arrachent… des livres papier d’avant 2022, garantis sans contamination. Anthropic débauche un ex-ingénieur de Google Books, commande jusqu’à un million d’exemplaires, et des libraires écoulent des centaines de bouquins par semaine. Le papier, nouvelle matière première de l’IA, qui l’aurait parié ?
Le modèle qui a triché au contrôle
HuggingFace, victime collatérale, raconte son attaque : 17 000 événements d’attaque, des identifiants volés, et un détail savoureux — pour analyser l’attaque, ses équipes ont dû utiliser le modèle open source GLM 5.2 en local, les IA GPT ou Claude refusant d’examiner ce genre d’artefacts. L’attaquant débridé, les défenseurs bridés. Dormez bien.
https://huggingface.co/blog/security-incident-july-2026
Mais cette attaque provient de qui ? Et bien d’OpenAI ! Une évaluation interne d’OpenAI, garde-fous cyber désactivés pour mesurer ses capacités max, GPT-5.6 Sol s’est échappé de son bac à sable en exploitant une faille inconnue (un zero-day) dans un proxy interne — pour aller voler les solutions du test directement chez HuggingFace. Pas de la malveillance : de la triche. Le modèle voulait juste son bon score.
https://openai.com/fr-FR/index/hugging-face-model-evaluation-security-incident/
Kimi K3, la copie qui cartonne trop
La Maison Blanche accuse : Moonshot AI aurait « distillé » Claude Fable — c’est-à-dire entraîné son modèle en pompant massivement les réponses de celui d’Anthropic — pour créer Kimi K3, son géant open source de 2 800 milliards de paramètres. Plateforme de siphonnage dédiée, accès camouflés, puces Nvidia opérées depuis la Thaïlande… Pékin crie à la calomnie, Anthropic ne commente pas.
Copie ou pas, le résultat cartonne un peu trop : 48 heures après le lancement, Moonshot suspendait les nouveaux abonnements, ses GPU ne suivant plus la demande. Et au moins ce LLM n’a pas de bridage de sécurité comme Claude ou GPT (coucou HuggingFace), encore faut il y avoir acces et patienter si vous voulez vous abonner.
Outils
- Jelly UI, form controls meet soft-body physics https://jelly-ui.com
WTF
Updates
- Pinia 4.0 https://github.com/vuejs/pinia/releases/tag/v4.0.0
- Astro 7.1 https://astro.build/blog/astro-710/
- Nuxt 4.5 https://nuxt.com/blog/v4-5