Si vous ne retenez qu’une chose : sur GitLab, réinitialisez votre jeton de courrier entrant, qui n’expire jamais, surtout si l’adresse e-mail d’un de vos projets traîne dans un README.
1. Vos notifications de fichiers racontent ce que vous faites
Une équipe de l’université technique de Graz montre que les systèmes qui préviennent une
application quand un fichier change (inotify sous Linux, FileObserver sous Android,
ReadDirectoryChangesW sous Windows, FSEvents sous macOS) laissent espionner un autre
utilisateur de la même machine, avec un simple droit de lecture. Sous Linux, surveiller
/dev/input donnait le rythme de la frappe au clavier. Sous Android, une application sans
permission voit arriver les photos dans le dossier privé de WhatsApp. Sous Windows, surveiller
C:\ rend le chemin complet de chaque fichier touché sur tout le système, et révèle en direct
les sites visités par un autre compte : Microsoft, prévenu, parle d’une fonctionnalité non
documentée. Le noyau Linux a partiellement corrigé en décembre 2025
(CVE-2025-68788, dans les versions 5.10.248, 5.15.198, 6.1.160, 6.6.120,
6.12.65 et 6.18.3).
Notre avis : un mécanisme de vingt ans, présent partout, qui fuit par conception. Sur un poste partagé, mettez votre noyau à jour ; pour Windows, il n’y a rien à mettre à jour.
2. GitLab : l’adresse e-mail de projet qui ouvre la porte de votre code
La société de sécurité Aikido a
regardé de près l’adresse que GitLab fournit pour créer un ticket par e-mail. Le morceau
glimt- en son milieu est un jeton lié à votre compte, qui n’expire jamais. Remplacez
-issue par -merge-request et l’adresse ouvre une demande de fusion ; de là, un correctif
envoyé par e-mail peut ajouter une tâche d’intégration continue qui lit les secrets du projet.
Les restrictions d’adresse IP ne s’appliquent pas au courrier. Aikido a trouvé une douzaine
de ces adresses publiées volontairement dans des README et des guides de contribution. Sont
concernés tous les comptes GitLab.com et les instances auto-hébergées qui acceptent le courrier
entrant. Signalé en mai, classé « comportement voulu ». La seule parade est de réinitialiser
le jeton, dans la page des jetons d’accès personnels, ce qui invalide toutes vos adresses de
projet d’un coup.
Notre avis : le rayon d’action dépend du rôle de celui qui a publié l’adresse. Celle d’un mainteneur vaut une clé de la maison.
3. F-Droid 2.0, la plus grosse mise à jour du magasin libre en dix ans
Le magasin d’applications libres pour Android sort sa version 2.0 après plus d’un an de travail et quatorze versions de test : interface réécrite en Kotlin Compose, trois onglets (Découvrir, Rechercher, Mes applications), un installeur unifié, et des mises à jour d’applications installées automatiquement par défaut. Le déploiement se fait dans les semaines qui viennent. À savoir avant de mettre à jour : l’extension privilégiée de F-Droid n’est pas prise en charge par la 2.0.
Notre avis : F-Droid avait l’air d’une application de 2014, et c’était son principal défaut pour qui découvre. Celui-là tombe.
4. Whiteboard : relire le travail d’un agent de code sur un tableau
Whiteboard, passé par l’accélérateur Y Combinator, est une application de bureau sous licence MIT qui se branche sur Claude Code ou Codex et donne à l’agent un canevas pour dessiner ce qu’il a fait : diagrammes de séquence, journal des décisions prises seul, et un comparateur de code qui résume en pseudocode les grosses fonctions ajoutées. Disponible pour macOS et Fedora. Le README le dit lui-même : on ne peut pas encore y modifier un fichier.
Notre avis : la relecture est devenue le goulot d’étranglement du travail avec un agent. Un outil qui s’y attaque de front mérite qu’on l’essaie.
5. ArseneLupin, un Jev en licence libre
Neuf jours après la sortie de Jev, voici ArseneLupin, un modèle de décision sous licence Apache 2.0 bâti sur Qwen 3.5 de 4 milliards de paramètres. Sa fiche le dit meilleur que Jev sur l’intention de recherche en français : 50,7 % contre 43,9 %, sur 1 016 requêtes. Ce sont ses chiffres, pas les nôtres : nous le passerons à notre banc, comme nous l’avons fait pour Jev.
Notre avis : un modèle de décision qu’on télécharge et qu’on fait tourner chez soi, c’est la réponse à la première objection faite à Jev, envoyer ses textes à un service américain.
