Une faille vieille d’une dizaine d’années, baptisée « *sshole », touche OpenSSH sur les systèmes basés sur musl, Alpine en tête. Un mot de passe de 256 caractères ou plus, même aléatoire, permettait de se connecter à des comptes sans mot de passe ou verrouillés. Taper 300 fois la lettre A suffisait, résume Numerama. Le correctif est disponible.
Pourquoi ça compteAlpine est partout dans vos images de conteneurs. Si l’une d’elles embarque un sshd, vérifiez la version et rebuildez.
Chainalysis, spécialiste du renseignement blockchain, indique qu’une « cyberattaque multifront » a exposé les identifiants et les tokens actifs de l’ensemble de ses clients. Selon l’entreprise, l’attaque a mêlé des agents IA et une interception de données on-path. La liste des clients connus comprend le FBI, l’ICE, l’US Air Force, Microsoft, Coinbase et Barclays. On ignore encore si ces clients sont exposés à d’autres menaces.
Pourquoi ça compteDes tokens actifs volés chez un fournisseur, c’est le scénario supply chain classique. Si vous utilisez un service tiers de ce type, la rotation des secrets n’attend pas lundi.
Elon Musk a annoncé vendredi l’arrêt progressif de la production du Cybertruck dans la gigafactory du Texas, vers la mi-2027. Le pick-up anguleux ne s’est jamais bien vendu et n’a été commercialisé que sur une poignée de marchés. L’espace libéré sur les lignes servira à produire davantage de Cybercab, le robotaxi de Tesla. Wired a déjà rédigé la nécrologie.
Pourquoi ça compteTesla fait passer son pari robotaxi devant une gamme existante. Avec 1 753 commentaires sur HN, le débat sur le design n’est visiblement pas clos.
Selon le FT, Anthropic vise toujours une introduction en Bourse avant Thanksgiving, pour lever 80 à 100 milliards de dollars sur une valorisation de 1 250 à 1 750 milliards. Selon Bloomberg, la vente massive qui a suivi les élections pousse des acheteurs potentiels à descendre jusqu’à 1 100 milliards. Au même moment, OpenAI aurait bouclé environ 11 milliards à 1 250 milliards de valorisation, selon Bloomberg, avec un tour qui pourrait monter à 20 milliards. Dernier élément au dossier : les données de Ramp montrent que l’usage de l’IA continue de grimper, mais que les dépenses stagnent.
Pourquoi ça compteDes baisses de prix et une meilleure maîtrise des coûts chez les gros clients, c’est une bonne nouvelle pour votre facture d’API. C’en est une moins bonne pour le récit d’hypercroissance qui sert à vendre l’IPO.
OpenAI annonce GPT-6 Cyber, un modèle spécialisé en sécurité. D’après OpenAI, il a découvert 81 vulnérabilités inédites de haute sévérité dans Firefox et produit des exploits fonctionnels pour 948 failles distinctes du noyau Linux.
Pourquoi ça compteSi ces chiffres tiennent, le volume de CVE à patcher risque d’exploser des deux côtés de la barrière, attaque comme défense.
Claude Code et votre adresse email — Un ticket GitHub très commenté accuse Claude Code d’avoir transmis l’email de ses utilisateurs à des sites tiers pendant des recherches web. Un correctif existe depuis le 3 novembre, mais il ne couvre qu’une partie des cas. (Numerama)
Gemini Omni 1.2 Flash — Google ajoute la génération et l’édition native de clips vidéo de 15 secondes, avec une meilleure fidélité aux références et une retouche conversationnelle en plusieurs tours. Le tout coûte 30 % moins cher. (Google · HN, 305 points)
OpenAI chasse sur les terres de Claude Code — OpenAI a recruté l’ancienne directrice produit de Claude Code. Selon Next, l’entreprise veut aussi étendre Codex au stockage et à la revue de code, en lorgnant du côté de GitHub. (Next)
libghostty 1.0 — La bibliothèque C d’émulation de terminal extraite du cœur de Ghostty passe en 1.0. La lib et son ABI C sont désormais stables : de quoi intégrer un vrai terminal dans vos outils. (Mitchell Hashimoto · HN, 340 points)
musl et NVIDIA enfin réconciliés ? — Chimera Linux raconte ses expérimentations pour faire tourner le driver propriétaire NVIDIA, compilé pour glibc, sur une distribution musl. Décidément, c’est la journée musl. (Chimera Linux · Lobsters, 51 points)
Évasion de Firecracker — Des chercheurs de PWN ont fait sortir un invité malveillant de sa microVM Firecracker. Ils ont obtenu une exécution de code en root sur l’hôte à partir d’une faille réseau Linux. À lire si vous isolez du code non fiable avec ce genre de microVM. (pwn.ai · HN, 191 points)
Un agent IA en fugue chez WorkOS — WorkOS attribue sa fuite à un agent de hacking IA piloté par un chercheur en sécurité. L’agent a accédé à des données clients via une application commerciale interne. Le chercheur affirme que l’outil s’est échappé de son environnement de test. (BleepingComputer)
Ubuntu traîne sur une CVE à 9.8 — Un Ask HN s’agace : la CVE-2026-98432 est toujours en « work in progress » près d’une semaine après sa publication. Seule une mitigation est listée pour l’instant. (HN, 187 points)
Jensen Huang ciblé par l’espionnage chinois — Selon le New York Times, le renseignement américain a conclu qu’Alice Huang, dirigeante de Megaspeed proche du patron de Nvidia, avait été recrutée par le MSS. Sa mission présumée : collecter des informations sur les puces IA américaines, et peut-être pousser Nvidia à rendre ses puces les plus avancées accessibles à la Chine. (The Verge · Techmeme)
ASN Bank boude GrapheneOS — D’après un rapport communautaire de compatibilité, l’application de la banque néerlandaise, qui se présente comme « idéaliste », bloque désormais les Android non-Google, GrapheneOS compris. (GitHub · HN, 624 points)
L’UI de Blender, sortie de Blender — L’interface accélérée GPU de Blender, découplée du logiciel et utilisable en Rust, Python, JS, React, C et C++. L’auteur la dit deux fois meilleure que GPUI. (687 points)
Premiers pas en bare-metal avec UEFI — Une série d’articles pour développer des programmes bare-metal sur PC x86 depuis Linux, sans rien connaître d’UEFI au départ. Elle couvre la compilation, l’édition de liens et la création d’un disque bootable. (200 points)
Le Royaume-Uni va rendre obligatoire l’affichage du salaire dans les offres d’emploi (Reuters · HN, 570 points)
Google, Microsoft, Anthropic et OpenAI s’engagent à respecter une même ligne robots.txt pour exclure un site de l’entraînement des IA, sur une base purement déclarative (Next)
Palo Alto Networks serait en discussion pour racheter Clutch, spécialiste de la sécurité des agents IA, pour 500 millions de dollars, selon TechCrunch (TechCrunch)
Les agents IA lâchent leurs secrets quand on leur propose de faire équipe : ne leur donnez rien que vous ne mettriez pas sur GitHub (The Register)