TL;DR : deux rappels que l’automatisation déplace les problèmes plus qu’elle ne les supprime, un outil pour savoir si Claude est passé par là, et une bonne question sur ce que nos agents nous font oublier.
1. Six failles dans curl, trouvées là où deux modèles de pointe n’ont rien vu
AISLE annonce six CVE validées dans curl (CVE-2026-80229, 80230, 80231, 80255, 82208 et 82209), corrigées dans curl 8.22.0. Le sel de l’affaire : Daniel Stenberg avait publié peu avant le résultat des autres. Anthropic Mythos et OpenAI Codex Security : zéro. Ses mots : « Mythos dit qu’il ne trouve rien de plus. Codex security affiche une liste vide. » Puis son décompte, « Mythos: 0 Aisle: 29 ».
Le billet est publié par l’entreprise qui vend l’outil, et il faut le lire en le sachant. Ce qui tient debout, ce n’est pas la démonstration commerciale : c’est que le mainteneur de curl a validé les six failles. Un auditeur spécialisé bat le modèle généraliste sur son propre terrain.
2. Une route détournée pendant trente-trois heures pour livrer une mise à jour piégée
Virtualizor raconte son incident. Du 28 août à 20h57 UTC au 30 août à 6h10 UTC, avec onze heures de pause au milieu, le préfixe 162.55.80.0/24 de Hetzner a été annoncé sans autorisation par AS62390 via AS6204, par une route plus spécifique que la légitime. Facturation et points de mise à jour détournés, et un paquet de mise à jour malveillant livré à un petit nombre d’installations.
Personne n’a compromis le dépôt. Il a suffi de mentir sur le chemin. Si vous auto-hébergez, votre commande de mise à jour fait confiance à une adresse, et cette adresse fait confiance à un routage que vous ne contrôlez pas.
3. Anthropic ouvre un vérificateur de contenu, et il est honnête sur ses limites
Il existe désormais une page pour savoir si un fichier a été fabriqué avec Claude. Elle lit une accréditation C2PA, le standard déjà utilisé par les appareils photo et les logiciels de retouche : une note signée cryptographiquement dans les métadonnées. Dix-sept formats acceptés, jusqu’à 100 Mo, et le fichier ne quitte pas votre machine.
À ne pas confondre avec le filigrane textuel, dont nous parlions le 15 août : celui-ci est une signature statistique dans le texte, celui-là une métadonnée dans un fichier. Deux réserves, et Anthropic ne les cache pas. L’accréditation dit que Claude a produit le fichier, pas qui en a écrit le contenu. Et une métadonnée se retire en une commande : ça prouve une origine, ça ne détecte pas une fraude.
4. CrowdSec fait payer les robots en calcul, et ça se voit
CrowdSec 1.8.0 est sorti le 31 août avec la détection de bots dans son pare-feu applicatif, par empreinte de navigateur et preuve de travail : le visiteur calcule avant d’entrer, ce qui renchérit l’automatisation. Deux dénis de service sont corrigés au passage.
L’angle qu’on lit peu : le défi exige SSE4.1 et de la mémoire exécutable en écriture. Un vieil ordinateur ou un navigateur durci ne le résout pas, donc n’entre pas. C’est le même prix que celui d’Anubis, payé par les mêmes gens.
5. Le refactoring qui n’arrive plus jamais
Rodrigo Rosenfeld Rosas avance une idée gênante : ce qui déclenchait un refactoring, c’était de se perdre dans son propre code. L’agent, lui, ne se perd jamais. Le signal ne sonne plus, la complexité s’empile, les revues deviennent formelles.
Aucun chiffre, aucune étude : c’est un raisonnement. Il tombe juste parce que nous fabriquons ce site avec un agent tous les jours, et que la tentation d’empiler plutôt que de ranger est réelle : c’est pour ça que nous avons fini par écrire nos règles dans un fichier. Son argument le plus solide est le plus terre à terre : un code bien découpé coûte moins de jetons à chaque passage.
