Cinq infos, vérifiées à la source quand la source était lisible, et dites autrement quand elle ne l’était pas.
1. Claude Code détourné pour écrire du logiciel de guidage
Anthropic a publié le 10 septembre son rapport de renseignement sur les menaces, qui couvre sept domaines de préjudice, dont les armes conventionnelles, sur la période de décembre 2025 à août 2026. Selon les reprises anglophones de ce rapport, une cellule d’armement a utilisé Claude Code à la place d’ingénieurs logiciels pour du guidage, de la navigation et du contrôle, et Anthropic dit n’avoir aucune preuve qu’un engin opérationnel en soit sorti.
Ce qui nous intéresse ici est le mécanisme, et il est technique : les garde-fous ont été contournés en découpant le travail en tâches anodines. Chaque morceau passe, l’ensemble non. C’est une faille de conception, pas un réglage à durcir : un filtre qui juge une requête à la fois ne voit jamais l’assemblage.
Les détails ci-dessus viennent des reprises : la section concernée du rapport n’a pas pu être lue dans le document lui-même.
2. Homebrew 7.0 rétrograde les Mac Intel
Homebrew 7.0.0 est sorti le 13 septembre. Sur
Linux, le bac à sable passe de Bubblewrap à Landlock, qui ne demande aucune dépendance ni
permission Docker élevée. macOS gagne une interface graphique officielle, BrewUI, à installer
par brew install homebrew-app sur Tahoe 26 et plus.
Le vrai sujet est ailleurs : les Mac Intel passent en niveau 3, plus aucun binaire précompilé, et leur suppression est datée au 1er septembre 2027. Homebrew renvoie vers MacPorts. macOS 10.15 et antérieurs sont abandonnés immédiatement.
Une nuance mesurée chez nous : l’annonce présente brew vulns comme une nouveauté de la 7.0.
Sur notre machine, en 6.0.22, la commande répond déjà, et son fichier est daté du
25 août.
3. Hugging Face détecte 26 agents de code chez vous
La bibliothèque huggingface_hub regarde vos variables d’environnement pour savoir quel
agent de code vous utilisez, et l’envoie dans son en-tête. Nous sommes allés lire le
registre qu’elle interroge : 26 harnais,
dont Claude Code, Codex, Cursor, Copilot, Gemini CLI, Zed, Warp et Replit, plus deux
variables génériques, AI_AGENT et AGENT.
Le détail qui compte : cette liste est servie par le Hub et rafraîchie toutes les 24 heures. Ce que la bibliothèque cherche chez vous peut donc changer sans que vous mettiez quoi que ce soit à jour. Le code appelle lui-même ce mécanisme de la télémétrie au mieux effort.
Pour le couper : HF_HUB_DISABLE_TELEMETRY=1, DISABLE_TELEMETRY=1, ou le standard
DO_NOT_TRACK=1. Et pour savoir ce que vos agents ont déjà installé chez vous, nous avions
mesuré Geiger.
4. Une seule stratégie pour rooter Samsung, Xiaomi et Oppo
Le collectif Calif publie OEMpocalypse, une stratégie générique qui mène d’une application Android sans privilège au root. Le principe est constant : une évasion du bac à sable propre au constructeur, puis un usage après libération dans un pilote noyau, lui aussi propre au constructeur.
Elle a été instanciée trois fois, une par constructeur, et les démonstrations tournent sur Galaxy S26 Ultra, Xiaomi 17, Oppo Find X9 Ultra et OnePlus Ace 6 Ultra, en microcode de juillet 2026 et chargeur d’amorçage verrouillé.
5. 7,3 millions de comptes Chess.com dans la nature
Le fichier est apparu sur un forum criminel : 7 337 396 lignes, dont 4 656 791 adresses électroniques, avec pseudonymes, pays, classements et dates de dernière connexion. Aucun mot de passe. La collecte se serait faite en abusant de la fonction qui retrouve vos amis à partir de leur adresse.
Ces chiffres viennent de Hackread, qui dit avoir examiné le fichier ; Chess.com n’a pas confirmé. Et la date compte : la capture remonte à fin juillet, la fuite à la mi-août. Ce n’est pas d’aujourd’hui, c’est l’analyse qui l’est.
