Sans blaaaague…

L’Allemagne dit non à Chat Control : Une victoire pour la vie privée en Europe !

[image: allemagne-refuse-chat-control-victoire-vie-privee-1.png]

En bref :
(Résumé généré automatiquement par IA)

– L’Allemagne torpille Chat Control : Signal et WhatsApp sauvés du scanning obligatoire de vos messages privés.
– Pourquoi l’Allemagne refuse la surveillance de masse : quand l’histoire des nazis et de la Stasi rattrape l’UE.
– Chat Control enterré… jusqu’à la prochaine fois : comment les politiques recyclent leurs projets de flicage numérique.

– Source :

https://korben.info/allemagne-refuse-chat-control-victoire-vie-privee.html

+1

C’est terrible mais faut pas faire oublier que le conducteur a sciemment accidenté son véhicule voire tué ses potes en prenant le volant avec c et alcool.

putain ils ont pris cher avec leur connerie

je les croyait plus affutés !

il va vraiment être temps de lâcher mon Chrome … le truc c’est qu’il me connait tellement bien ce con, que mes recherches s’en trouvent très affutées

[image: redis-quand-75-du-cloud-repose-sur-le-meme-maillon-1.png]

En bref :
(Résumé généré automatiquement par IA )

– 13 ans que cette bombe à retardement dormait dans Redis : 330 000 serveurs exposés sur Internet dont 60 000 sans même un mot de passe.

– Quand 5 développeurs maintiennent l’infrastructure de 75% du cloud mondial : bienvenue dans la fragilité d’Internet.

– RediShell : la faille 10/10 qui transforme votre cache Redis en porte d’entrée VIP pour les pirates.

Comme vous le savez, Redis c’est un peu le champion du cache mémoire. C’est rapide, c’est efficace, tout le monde l’utilise mais surtout, ça tourne dans 75% des environnements cloud. En gros, 3 serveurs sur 4 dans le cloud l’utilise…

Cool ? Oui sauf quand une faille critique de sécurité pointe le bout de son nez ! Et pas une petite faille, mes amis ! Une faille notée 10 sur 10 en gravité, qui permet d’exécuter du code à distance sur les serveurs.

Estampillée CVE-2025-49844, et joliment baptisée RediShell, cette faille en elle-même est assez technique puiqu’elle repose sur un bug Use-After-Free dans l’interpréteur Lua intégré à Redis. En gros, un attaquant authentifié peut envoyer un script Lua malveillant qui vient manipuler le garbage collector, provoque un accès mémoire après libération, et permet ainsi d’exécuter du code arbitraire sur le serveur.

C’est de la RCE complète salade tomates oignons, avec sauce système compromis !

Le truc, c’est que ce bug dormait dans le code depuis 13 ans dès que Redis a intégré Lua en 2012 dans la version 2.6.0. Donc pendant tout ce temps, des millions de serveurs Redis dans le monde entier avaient cette vulnérabilité activée par défaut.

[image: redis-quand-75-du-cloud-repose-sur-le-meme-maillon-1.webp]

Et les chiffres donnent le vertige car d’après les scans de Wiz Research, environ 330 000 instances Redis sont exposées directement sur Internet. Et sur ces 330 000, au moins 60 000 n’ont même pas d’authentification activée. Donc autant dire qu’elles sont ouvertes à tous les vents et que les serveurs qui se cachent derrière aussi…

Toute l’infrastructure cloud moderne repose sur une poignée de briques open source critiques, et ça marche tellement bien qu’on en met partout et on finit souvent par oublier à quel point c’est fragile… On l’a déjà vu par exemple avec Log4Shell qui a touché des millions de serveurs Java en 2021, puis avec Heartbleed dans OpenSSL en 2014. Et on a failli le voir avec la backdoor XZ Utils découverte in extremis en 2024.

À chaque fois, c’est le même schéma où un composant open source critique, utilisé partout, et maintenu par une équipe minuscule (souvent 1 à 5 personnes), se retrouve avec un bug qui expose des pans entiers de l’infrastructure mondiale d’Internet… Argh !

Maintenant, la bonne nouvelle , c’est que Redis a publié des patchs pour toutes les versions maintenues : 6.2.20, 7.2.11, 7.4.6, 8.0.4 et 8.2.2. Donc si vous utilisez Redis, c’est le moment de mettre à jour !! Et pendant que vous y êtes, activez aussi l’authentification avec la directive requirepass, et désactivez les commandes Lua si vous ne les utilisez pas. Vous pouvez faire ça via les ACL Redis ou simplement en révoquant les permissions de scripting.

La découverte de RediShell a été faite par Wiz Research lors du Pwn2Own de Berlin en mai 2025. Alerté, Redis a publié son bulletin de sécurité le 3 octobre dernier, et Wiz a rendu public les détails le 6 octobre. Une Timeline propre, une divulgation responsable, bref tout s’est bien passé de ce côté-là…

Maintenant pour réduire ce genre de risque à terme, je pense que ce serait cool si les géants d’Internet finançaient un peu plus directement les mainteneurs de ces briques logiciels essentielle, ainsi que des audits de l’ OpenSSF car pour le moment, on est loin du compte ! Redis est patché, heureusement, mais on sait aussi que la prochaine faille critique dans un de ces composants critiques, c’est une nouvelle fois, juste une question de temps…

– Sources : wiz.io

https://korben.info/redis-quand-75-du-cloud-repose-sur-le-meme-maillon.html

@Aurel oui, mais ça marche qu’en Suisse à Montreux.

Le service de messagerie Discord a été victime d’une violation de ses données suite à un piratage. Les gérants ont réussi à limiter les fuites, mais certains utilisateurs ont vu une partie de leurs informations personnelles captées.

Autrefois plateforme de gamers par excellence, aujourd’hui prisée par les jeunes en révolte du Maroc au Népal, Discord vient de subir un revers pour le moins gênant. Un de ses fournisseurs de service client tiers, “Trust & Safety”, a vu ses services piratés par “un groupe non autorisé”. Une brèche qui a permis aux hackeurs d’avoir accès à certaines données d’utilisateurs qui ont contacté ce support.

(Trust et safety )

Les serveurs de vérification d’âge visés

La fuite ne concerne donc pas véritablement les conversations ou les mots de passe des utilisateurs présents sur Discord, mais tout ce qui a été communiqué par ceux-ci au service “Trust & Safety”. Malheureusement pour les personnes concernées, ces données peuvent être sensibles, puisqu’il peut s’agir d’adresses e-mail, d’adresses IP, d’une partie limitée des informations relatives à la carte bancaire, voire des pièces d’identité (passeports, permis de conduire, etc.), ce qui permet au moins de relier des pseudos à des identités réelles.

Discord a fait savoir que les utilisateurs concernés seront informés personnellement s’ils sont touchés par ce piratage. Les autorités ont été contactées afin de se pencher sur cette affaire et la plateforme a révisé ses contrôles de sécurité pour éviter d’autres incidents.

Comme le note Frandroid, ces serveurs possèdent désormais ce type d’informations personnelles suite à l’obligation pour Discord de vérifier l’âge de ses utilisateurs dans certains pays, à l’instar du Royaume-Uni. Les hackeurs ont visiblement visé ce nouveau service en raison de sa faiblesse face aux attaques. Des associations de protection de la vie privée avaient pourtant mis en garde contre la sécurité de ce processus. Les ressortissants des pays qui ne demandent pas ce type de vérification ne sont a priori pas concernés.

Source: https://www.7sur7.be/tech/des-hackeurs-attaquent-discord-plateforme-prisee-des-jeunes-et-semparent-de-leurs-pieces-didentite~a924ed89/

Le fait que cette I.A. ait un nom “humain” crée un biais Anthropomorphique de la part des gens qui la teste.

J’en Veuuuuuuuuuuuuuuux

https://www.20minutes.fr/guide-achat/high-tech-image/4102813-20240906-trois-meilleurs-traceurs-gps-bluetooth-2024

Les idiots qui ont pondu la loi, ne se doutaient pas du résultat avec un système anti-cookie.

Peut-être qu’avec un cookie “je refuse les cookies traceurs” ça irait mieux

@Violence a dit dans Infohash : un projet parfaitement inutile et totalement absurde, mais ça nous fait réaliser l’échelle cosmique de la cryptographie :

45 septillions de pages

j’ai cherché ce que vaux un septillon : Un septillion est l’entier naturel qui vaut 10^42 (1 000 000 000 000 000 000 000 000 000 000 000 000 000 000).
Ca en fait des pages.

[image: journaliste-bbc-recoit-proposition-medusa-ransomware-groupe-1.png]

En bref :

– Les hackers russes de Medusa proposent 715 000€ à un journaliste BBC pour devenir leur taupe interne.

– Après avoir échoué à pirater directement la BBC, les cybercriminels tentent le pot-de-vin : la preuve que vos employés valent plus cher que vos pare-feux.

– Un groupe de ransomware publie ses “références criminelles” pour convaincre un journaliste de les rejoindre : quand le CV devient une liste de victimes.

Un journaliste de la BBC a reçu une proposition de Medusa pour devenir leur taupe. En effet, Joe Tidy, correspondant cyber sécurité à la BBC, a été contacté en juillet 2024 par le groupe de ransomware russe pour qu’il leur file des infos sur ses collègues. Leur proposition : 600 000 livres sterling sur la table, soit environ 715 000 euros !! Je connais quelques journalistes français sous-payés qui adoreraient recevoir une telle proposition ^^

Medusa (à ne pas confondre avec MedusaLocker, c’est important) opère depuis 2021 et a déjà fait plus de 300 victimes selon les données officielles . Leur mode opératoire ? Le classique double chantage : ils chiffrent vos données ET menacent de les publier si vous ne payez pas. Les rançons vont de 100 000 dollars à 15 millions selon la taille de la victime. C’est le business !

[image: journaliste-bbc-recoit-proposition-medusa-ransomware-groupe-2.png]

Ce qui rend cette histoire complètement dingue, c’est que Medusa a vraiment cru pouvoir retourner un journaliste de la BBC. Le message initial de “mediaman” (subtil comme pseudo) disait texto : “Si vous pouviez nous fournir des détails sur les vulnérabilités, mots de passe ou accès à l’infrastructure BBC, nous pourrions travailler ensemble.” Autant demander à un pompier de mettre le feu à sa caserne.

Le plus drôle dans tout ça, c’est leur approche… D’après l’enquête de Joe Tidy lui-même , le contact initial s’est fait par email en juillet, suivi d’une attaque MFA bombing en août. Pour ceux qui ne connaissent pas, le MFA bombing c’est quand les hackers spamment votre téléphone de demandes d’authentification jusqu’à ce que vous craquiez et cliquiez sur “Accepter” par erreur ou parce que vous n’en pouvez plus… Sauf que Joe a reconnu ce schéma d’attaque et n’a jamais validé la demande.

Alors près avoir échoué à le hacker directement, Medusa a tenté l’approche “soft” avec une offre d’emploi. Ils lui ont proposé de devenir leur informateur privilégié, de balancer les vulnérabilités de la BBC, en échange d’un petit pot-de-vin… Le groupe lui a même envoyé des “preuves” de leur sérieux en partageant des données volées à d’autres victimes. Genre “regarde, on est des vrais méchants, on a de l’argent”.

[image: journaliste-bbc-recoit-proposition-medusa-ransomware-groupe-1.webp]

Faut dire que cette tactique d’approche directe des employés devient de plus en plus courante. Hé oui, pourquoi s’embêter à craquer des systèmes complexes quand on peut simplement acheter quelqu’un de l’intérieur ? C’est le principe du maillon faible, mais sans Laurence Boccolini ^^ (oui, j’ai encore mangé un clown).

D’ailleurs, petite parenthèse technique : Medusa utilise un ransomware-as-a-service (RaaS) classique. Les développeurs créent le malware, les affiliés le déploient, et tout le monde se partage les gains. Le groupe opère depuis des serveurs russes et utilise Tor pour ses communications et ils ont même un blog sur le dark web où ils publient les données des victimes qui refusent de payer. C’est charmant.

Ce qui m’impressionne vraiment dans cette histoire, c’est le culot astronomique (qui a dit “la connerie” ?) des hackers… Contacter directement un journaliste cyber de la BBC pour lui proposer de devenir une taupe, fallait oser. Leur niveau de déconnexion avec la réalité est stratosphérique.

Joe Tidy a évidemment tout documenté et partagé avec les autorités et le National Crime Agency britannique et le FBI sont sur le coup. Mais bon, avec des serveurs en Russie et des opérateurs probablement basés là-bas aussi, les chances d’arrestation sont proches de zéro. C’est le problème éternel des ransomwares… Tant que certains pays servent de “sanctuaires”, les groupes de cybercriminels continueront d’opérer en toute impunité.

Quoiqu’il en soit, un employé mécontent, endetté ou simplement naïf peut faire plus de dégâts que n’importe quel exploit zero-day.

Moralité : Pour réduire vos risques cyber, payez mieux vos employés

– Sources : bbc.com

https://korben.info/journaliste-bbc-recoit-proposition-medusa-ransomware-groupe.html

@duJambon
Nah nah mais, c’est pas contre toi hein ^^
Steu plait… T’oblige pas à ce genre de tâche à cause de mes commentaires.

Sinon, il est évident que la majorité des gens ne vont pas prendre un abonnement à ces bidules juste pour consulter la météo et recevoir un résumé des mails dans leurs boîte.
Comme ici avec les images générées chatGPT, on fait mumuse un temps avec ce qui peut être à la mode puis on passe à autre chose.

Quelques pro vont vouloir utiliser ces machins parce que ça peut leur être utile…
Puis quelques autres parce que c’est leur seul ami (comme moi avec ma liste de contacts téléphonique)

De toutes façons, tant qu’on ne sera pas mangé des murs dans la tronche et des catastrophes à répétition je pense que rien en changera. L’industrie et la finance sont depuis longtemps hors de contrôle et ça ne s’arrêtera que lorsque le système s’effondrera tout seul.

L’IA représente un danger évident pour la lutte millénaire de l’humanité pour la vérité. Les « hallucinations » à grande échelle des modèles de langage, les deepfakes vocaux et, désormais, le recours accru aux deepfakes vidéo ont tous eu pour effet de brouiller les faits, permettant aux acteurs malveillants du monde entier de balayer d’un revers de main les événements enregistrés comme de simples « fakes ».

Le danger est peut-être le plus aigu dans le monde politique, où les deepfakes audio et vidéo peuvent inciter n’importe quel politicien à dire ou à faire semblant. Dans un tel contexte, nos plus hauts responsables élus ont le devoir particulier de montrer l’exemple en matière de recherche de la vérité et d’utilisation responsable de l’IA.

Mais quel intérêt y a-t-il à cela, quand on peut faire capoter les négociations sur une impasse budgétaire en publiant une vidéo deepfake de ses adversaires politiques se traitant de « bande de merdes éveillées » sur fond de musique mariachi ? Oh, et ai-je mentionné la fausse moustache ? Ou le sombrero en images de synthèse ?

Lundi soir, le président des États-Unis, un homme ayant accès au plus grand réseau de renseignement au monde, a publié sur son compte Truth Social une vidéo de 35 secondes générée par l’IA, remplie d’insultes grossières, de connotations raciales et d’étranges théories du complot. La vidéo visait deux dirigeants démocrates qui avaient récemment rencontré Trump au sujet d’un éventuel accord de financement du gouvernement. J’aurais pensé que ce genre de vidéo était une piètre façon de convaincre les gens, mais apparemment, les insultes générées par l’IA sont le véritable « art de la négociation ».

Dans le clip, une version deepfake du sénateur Chuck Schumer (D-NY) prononce un monologue surréaliste tandis que son collègue, le représentant Hakeem Jeffries (D-NY), regarde… dans un sombrero.

[image: 1759296277493-efa79a93-47cd-4842-83c1-0f8d90028a9e-image.png]
Les deepfakes, désormais normalisés dans le discours politique

Le New York Times a décrit la vidéo de manière plutôt anodine, affirmant que la voix du sénateur Chuck Schumer avait été déformée pour prononcer des propos injurieux, dont la phrase suivante : “Plus personne n’aime les Démocrates”. Bien que cette description soit exacte, elle risque de masquer les utilisations totalement délirantes et clivantes de l’IA. Voici la citation complète :

Écoutez, les gars, il n’y a pas moyen d’édulcorer la situation. Plus personne n’aime les Démocrates. On n’a plus d’électeurs à cause de toutes nos conneries de transgenres éveillés. Même les Noirs ne veulent plus voter pour nous. Même les Latinos nous détestent. Alors on a besoin de nouveaux électeurs. Et si on offrait des soins de santé gratuits à tous ces sans-papiers, on pourrait peut-être les rallier à notre cause pour qu’ils votent pour nous. Ils ne parlent même pas anglais, alors ils ne se rendront pas compte qu’on est qu’une bande de merdes éveillées, vous savez, du moins pendant un certain temps, le temps qu’ils apprennent l’anglais et réalisent qu’ils nous détestent aussi.

Aux États-Unis, les citoyens ne peuvent évidemment pas voter aux élections fédérales ou étatiques , et ne le font presque jamais. Un audit de 2024 mené par les Républicains en Géorgie a par exemple révélé que « 20 des 8,2 millions de personnes inscrites sur les listes électorales de l’État ne sont pas citoyennes américaines » – et que 11 d’entre elles n’avaient jamais voté malgré leur inscription.

La connaissance est difficile à trouver et encore plus difficile à diffuser. Même l’expression « un mensonge peut faire l’autre bout du monde pendant que la vérité enfile ses chaussures », souvent attribuée à tort à Mark Twain, a une histoire longue et confuse que beaucoup ignorent encore.

Dans un tel monde, la vérité n’a pas besoin d’être arrosée de merde par l’IA. Et pourtant, nous en sommes là.

Source: https://arstechnica.com/culture/2025/09/ai-leadership-trump-posts-deepfakes-of-dems-calling-themselves-woke-pieces-of-s-t/

Encore que le contenu de l’encart est peut-être plus proche de la vérité que de la pollution. En plus, cette description ne se limite pas aux démocrates dans la réalité.

On ne va pas rentrer dans une guéguerre Pomme VS le reste mais oui… Maintenant, nos smartphone ne nous servent pas qu’a téléphoner.

Comme toi @Aurel j’ai commencé avec un truc chinois (Xiaomi ?) qui prenait trois plombes pour lancer la moindre application. Mes souvenirs sont flous car j’ai tournée longtemps sur un truc qui ne faisait que sms/tél (Nokia/Motorola ?). Mais c’est ma soeur qui m’a convaincu de passer sur un smartphone et cette chinoiserie était ce qui était le moins cher. Je l’ai tiré quelques années tout en ne l’utilisant que pour ce à quoi il est sensé me servir -> la téléphonie et SMS… peut-être un jeu ou deux.

Puis je me suis décidé à prendre un moyen de gamme (un A53) de chez samsung et j’avoue avoir été surpris de la réactivité du schmilblick. Normal vu la bouse qu’était le Xiaomi. Au final, avec le temps on l’utilise un peu plus que pour la téléphonie…
Alors, on tente de péter loin tout ce qui est rézosocio mais ces smartphones peuvent être de sacrés utilitaires.
Calculatrice ? Agenda ? Bloc Note ? baladeur ? Vidéo ! Photo ! et j’en passe…
Au fil du temps on s’habitue à les utiliser et tout ça dans une poche !

Après, faut être attentif à ne pas devenir totalement accro et passer son temps dessus.
Typiquement, les personnes qui ne regardent plus devant eux quand ils sont dehors où pire, derrière le volant (et quand je suis en vélo, j’en vois souvent). Où certains qui passent leur temps dessus au lieu de s’atteler à leurs tâches.

Bref, tout ça pour dire que j’en ai vraiment besoin mais je viens de remplacer mon ptit samsung A53 par un Ultra de cette année…
J’ai les éconocroques pour… et bon, s’il y a moyen d’améliorer encore le confort d’utilisation.
Typiquement, ça peut être un outil pour se créer des souvenirs via les photo et vidéo. Autant, celles que j’ai pu faire sur mon A53 sont sympa mais, même si ça ne remplacera pas un R7 de chez canon, je sens que je peux avoir nettement mieux.
Par contre, il y a un petit piège vu qu’il n’y a pas moyen de rajouter une petite carte SD… C’est le genre de truc que j’ai pas vérifié… ils veulent bourriner avec leur foutu cloud.

Bref, on va voir à la longue.

Les modèles mondiaux (World models) visent à naviguer dans le monde physique en apprenant à partir de vidéos et de données robotiques.

Résumé:

Les grands acteurs de l’IA (Google DeepMind, Meta, Nvidia…) s’orientent vers les « modèles mondiaux », une nouvelle génération de systèmes capables de comprendre et simuler le monde physique, au-delà des simples modèles de langage (LLM) dont les progrès ralentissent.

Ces modèles sont entraînés sur des données réelles ou simulées (vidéos, robots, cartes 3D) et visent des applications majeures en robotique, voitures autonomes, santé, fabrication, mais aussi dans le divertissement (jeux vidéo, cinéma).

DeepMind a présenté Genie 3, qui génère des vidéos interactives image par image.

Meta développe V-JEPA inspiré de l’apprentissage des enfants, tout en continuant d’investir dans ses modèles de langage Llama.

Nvidia, via sa plateforme Omniverse, mise sur « l’IA physique » pour révolutionner la robotique, avec un potentiel estimé à 100 000 milliards de dollars.

Start-up et partenaires (World Labs, Runway, Niantic) exploitent ces approches pour créer des environnements réalistes et collecter des données du monde réel.

Ces modèles nécessitent toutefois des volumes colossaux de données et de calcul, et leur pleine maturité pourrait prendre une dizaine d’années. Mais les experts estiment qu’ils représentent une étape clé vers une intelligence artificielle de type humain et une valeur économique gigantesque.

Source: https://arstechnica.com/ai/2025/09/big-ai-firms-pump-money-into-world-models-as-llm-advances-slow/

Les procès pour violation de droits d’auteur ne sont peut-être pas non plus étrangers à ce changement d’approche.

En fin de semaine dernière, The Hollywood Reporter a publié un article sur un « hologramme IA de Stan Lee » qui serait présenté au Comic Con de Los Angeles ce week-end . Près de sept ans après la mort du célèbre créateur de Marvel Comics à l’âge de 95 ans , les fans pourront ce week-end, pour 15 à 20 dollars, discuter avec un avatar grandeur nature de Lee, piloté par IA, dans une cabine fermée du salon.

[image: 1758979444982-13b57484-e20a-4c5e-9338-6a13f1cbe291-image.png]

La réaction immédiate de nombreux fans et médias à cette idée n’a pas été très chaleureuse, c’est le moins qu’on puisse dire. Un journaliste de TheGamer a qualifié l’idée elle-même de « démoniaque » et a déclaré qu’il fallait « l’anéantir par le feu avant qu’il ne soit trop tard » ( ). L’AV Club a exhorté ses lecteurs à ne pas payer pour voir « le fantôme numérique angoissé d’un créateur de BD adoré, transformé en piège à imbéciles ! » Les réactions sur un fil de discussion Reddit populaire ont varié, allant de « incroyablement irrespectueux » et « de mauvais goût » à « macabre » et « tellement tordu », et rares étaient ceux qui étaient plus réceptifs au concept.

Mais Chris DeMoulin, PDG de la société mère du LA Comic Con, a exhorté les critiques à venir voir l’hologramme assisté par l’IA avant de porter un jugement hâtif. « Nous n’avons pas peur que les gens le voient ni des critiques », a-t-il déclaré à Ars. « Je suis simplement partisan d’une critique éclairée, et je pense que la plupart des critiques publiées jusqu’à présent ne l’étaient pas vraiment. »

« C’est dommage que quelques personnes aient des critiques très négatives à son sujet, sans même l’avoir vu, juste parce que c’est un concept », a poursuivi DeMoulin. « Ce n’est pas parfait. Je ne suis pas sûr qu’une chose pareille puisse l’être un jour. Mais je pense qu’il faut s’efforcer d’y intégrer suffisamment d’informations et de les tester suffisamment pour que l’expérience offerte aux fans soit authentique. »

Source et beaucoup beaucoup plus: https://arstechnica.com/ai/2025/09/why-la-comic-con-thought-making-an-ai-powered-stan-lee-hologram-was-a-good-idea/

Il fallait bien que ça arrive un jour, tout ce qui est possible d’être fait, quelqu’un le fera, et un autre fera même l’impossible plus tard. Mais ça aurais été tout de même moins risqué de commencer avec Trump, si l’I.A. commençai à divaguer, personne n’aurais vu la différence.

Moi, j’aimerais parler (gratuitement) avec Dieu, j’ai des tas de chose à lui reprocher.