Le frigo de l'EFS à 110 °C, Binance absorbe un vol de 6,34 milliards, Linux bridé à 780 MHz — Quoi de neuf les devs? #191
Ta dose d'infos tech infusée par un dev pour les devs — Numéro du 9 novembre 2026
EDITO
Avant d'attaquer, un mot sur ce mois sans numéro. Je ne cherche pas d’excuses : j'ai déménagé, et j'ai perdu mon Galéo.
Galéo, c'était mon meilleur ami, mon petit chien. Il aurait eu 16 ans en janvier. Il est parti le samedi 31 octobre car il souffrait trop. Il est mort dans mes bras, car je lui avais promis que je serais là pour son dernier souffle. Mais putain que c’était dur…
Il était mon plus fidèle ami, toujours là pour moi, toujours d’accord pour un câlin, une caresse. Il adorait le fromage et adorait encore plus la banane. Il était l’être le plus têtu que je connaisse, fier et indépendant.
Il ne se plaignait jamais, même dans ces dernières années où il était devenu aveugle et sourd, et même ces derniers jours alors que ses organes défaillaient et qu’il souffrait.
Je suis dévasté et il me manque terriblement, mais la vie doit continuer.
Je t’aime mon Galéo, tu peux à présent courir dans le vent sans souffrance. On se reverra un jour.
À bientôt mon ami.
Et maintenant, on reprend : parlons un peu de la semaine passée, elle a un thème : le moment où le code décide de la température des choses.
On commence par le froid, parce que c'est là que ça devient physique. Lundi, des centaines de meubles réfrigérés partent en dégivrage en Belgique, en Irlande, en Suède, en Finlande et en Estonie, et la vague touche au total neuf pays européens, avec de la marchandise jetée. La même nuit, l'EFS est touché. Mardi, le Canard enchaîné révèle l'affaire et l'EFS confirme : trois de ses sites, des chambres froides pilotées par son prestataire, avec des seuils de température et de dégivrage portés à de très hautes valeurs. Le chiffre de 110 °C vient du Canard : c'est la consigne programmée, pas la température relevée dans les poches. Cent dix degrés de consigne, là où dorment des échantillons de donneurs et du plasma. Un responsable régional de l'EFS parle même de « 110, 150 degrés » au micro de France 3.
Le technicien de permanence a vu la température remonter, et l'EFS précise qu'aucun impact sanitaire n'est à déplorer. Voilà le dispositif sanitaire du pays : des sondes, des alarmes, et un technicien de permanence. La cause, sur la vague française, est humiliante de banalité, et je pèse mes mots : le CERT-FR a pointé des automates Danfoss AK-SC et AK-SM et des interfaces web Copeland et Dixell, en rappelant que laisser une interface de gestion exposée sur Internet est contraire aux bonnes pratiques. Mettre à jour un automate qui ne reçoit plus de correctifs reste une ambition.
Côté argent, mardi, Binance publie le post-mortem du vol du 29 octobre. 6,34 milliards d'actifs impactés, 2,85 gelés ou interceptés, et 98 % des actifs touchés déjà reconstitués par Binance sur ses propres fonds.
Il n'y a aucune faille exotique là-dedans. On s'‘attends à une clé privée qui fuit. Non.
En juin, un ingénieur installe un Homebrew vérolé en cherchant un outil de code IA, la version piégée étant poussée par une publicité achetée au-dessus du vrai résultat ; en septembre, un second ingénieur passe un entretien vidéo puis poursuit par messagerie avec un faux recruteur et un faux CEO, puis télécharge un exercice de code qui passe sous l'EDR. Le 29 octobre, un conteneur, un script, 233 millions de XRP en quatre minutes, 18 270 BTC, puis une délégation EIP-7702 sur un wallet en MPC que Binance mettra près de quatre heures à révoquer.
Et puis il y a Nvidia… Sur un MSI Prestige RTX Spark, 65,4 tokens par seconde sous Windows, 65,1 en WSL, 13,9 en Linux natif, sur secteur. Un contrôleur de puissance qui n'existe que sous Windows maintient le GPU autour de 2 GHz ; sans lui, faute de pilote Linux, la même puce plafonne à 780 MHz. Et la table de ce contrôleur est chiffrée. Sur batterie, Linux redevient le plus rapide. Autrement dit : la puce est identique, c'est le pilote qui fait la différence.
Bref. Ton frigo, ta banque et ton portable ont un point commun cette semaine. La partie qui décide vraiment, tu n'y as pas vraiment la main.
L'invité de la semaine
Cette semaine, je reçois Gauthier Huguenin, aka Le PLOUTOS sur X. Un parcours qui ne ressemble à aucun autre : dix ans dans le business, du côté commercial, chez Orange puis dans un SaaS MedTech et chez le leader français de l'IA vocale : il savait vendre le produit, mais il n'aurait pas su en écrire une ligne. Puis l'IA a fait sauter la barrière. Aujourd'hui, il est fondateur de Kirako, une agence IA qui conçoit, déploie et maintient des agents pour des entreprises, et il a lancé le 15 octobre Hermes by Kirako, qui permet d'avoir son propre agent Hermes en une dizaine de minutes, sans toucher à un serveur. Au compteur : plus de 50 agents Hermes déployés, des clients jusqu'à Dubaï, et des professions réglementées : notaires, avocats, comptables. Il vit dans les Alpes, et se décrit comme un commercial qui a appris à coder.
Voici ses conseils si tu débutes dans le métier :
Un : apprenez à piloter l'IA maintenant. Pas dans six mois, pas quand votre boîte l'aura validée en comité. Le marché ne vous demandera pas si vous savez écrire une boucle à la main, il vous demandera ce que vous livrez, et en combien de temps.
Deux : intéressez-vous au business. Un client ne paie pas pour du code, il paie pour un problème qui disparaît. Si vous comprenez ça, vous avez déjà une longueur d'avance, IA ou pas.
Merci Gauthier pour cet échange !
Auto promo ! 🚀
Un grand merci à la trentaine qui me soutiennent déjà !
Si cette newsletter t'apporte de la valeur, tu peux l'aider dès aujourd'hui avec un abonnement à seulement 9 €/an (en gros c'est comme si tu payais une place de ciné 😉).
Ce tarif est verrouillé à vie pour ceux qui s'abonnent maintenant, même si le prix augmente plus tard.
Abonne-toi maintenant pour faire la meilleure affaire et me soutenir 👇 !
Merci d'avance 💜
Mes sponsors permanents
Un grand merci à mes sponsors qui soutiennent cette newsletter 💜
Clever Cloud, Entreprise française fondée en 2010, spécialisée dans le Platform as a Service (PaaS). Elle conçoit et opère des solutions d'automatisation pour l'hébergement, le déploiement et la gestion continue d'applications, de sites web et de bases de données.
Vos applications tournent jour et nuit. ScalarX aussi.
Avec StackX, ScalarX assure l'exploitation, la supervision, la maintenance et la sécurité de vos infrastructures 24/7.
Frais d'installation offerts avec le code HappyToDev (valeur de 145 € à 580 € selon l'offre).
Découvrez StackX en vidéo.
RudeOps — Chaque lundi, je trie la veille DevOps pour vous : Kubernetes, Terraform, CI/CD, observabilité, conteneurs et outils open source qui méritent votre terminal. Le tout commenté avec une mauvaise foi que j'assume. C'est gratuit, et c'est toujours moins risqué qu'un rm -rf sur /etc.
👉 Comme Clever Cloud, StackX et RudeOps, affichez ici votre pub. Visibilité maximale pour votre entreprise garantie ! 🚀
Se renseigner pour devenir sponsor
Sommaire
LE COIN DES LECTEURS
Dans cette rubrique, des articles intéressants bien sûr dans notre domaine… ou presque !
PENDANT MON ABSENCE
Quatre semaines sans numéro. Tu sais pourquoi, je viens de te le dire. Plutôt que de te servir quarante mille mots de rattrapage, voilà les dix sujets qui comptent encore aujourd'hui. Beaucoup de sujet autour de la sécu comme d’ailleurs dans le n°190.
PHP : deux RCE critiques, et une troisième que personne n'a vue
Bon, on commence par le morceau qui te concerne directement. PHP a sorti une mise à jour d'urgence le 21 octobre pour deux failles qui permettent à un attaquant non authentifié d'exécuter du code sur ton serveur, sans rien avoir à deviner ni à voler au préalable. CVE-2026-109618 et CVE-2026-109619, 9,2 sur 10 chacune, corrigées dans les 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le truc un peu fou, c'est que le défaut dormait depuis PHP 5.4, donc dans à peu près tout ce qui fait tourner le web depuis près de quinze ans, des blogs WordPress aux back-offices que tu maintiens sans y penser, en passant par les panneaux d'administration de nos pare-feux. Cinq jours plus tard, la CISA, l'agence américaine de cybersécurité (Cybersecurity and Infrastructure Security Agency), ajoutait les deux à son catalogue KEV (Known Exploited Vulnerabilities), la liste des failles dont l'exploitation est avérée. Un attaquant les a déjà enchaînées avec une faille du noyau Linux pour rooter 24 pare-feux Palo Alto. Le nom qui circule : « php2shell ».
Et ce n'est pas fini
Deux jours après, PHP a divulgué une troisième faille, CVE-2026-115560, dans la gestion de session.upload_progress. Et là ça devient gênant. Elle touche aussi les versions corrigées, 8.5.12 comprise. Toujours pas de 8.5.13 à l'heure où j'écris ces lignes.
La parade tient en une ligne, session.upload_progress.enabled = 0. L'exploitation demande une combinaison de réglages peu probable, on est d'accord, mais si tu pensais être à jour depuis le 21, tu ne l'es pas. Et il vaut mieux le savoir tout de suite que de le découvrir dans six mois. De toute façon, de manière générale, il faut être beaucoup plus vigilant qu’avant et pas que pour PHP évidemment.
Brotli : le décodeur qui déborde, et il est partout
Le même jour, c'est la bibliothèque de compression de Google qui prenait : une écriture hors bornes dans le décodeur, CVE-2026-111497, corrigée dans Brotli 1.2.1, donc Node 22.23.4, 24.22.1 et 26.12.1. Le 27, CISA ajoutait la faille au KEV après avoir vu du trafic d'exploitation, et la bibliothèque est si répandue que la surface d'exposition est énorme. Brotli, c'est un peu le type sympa que tout le monde invite sans y penser : .NET, Bun, Envoy, Istio, PHP pour Windows. Va vérifier tes images Docker, ça vaut le coup !
Google Cloud tombe à Londres
Un « power event » dans la zone europe-west2-b a éteint 38 produits d'un coup, avec un rétablissement du gros de l'impact en un peu plus de 6h.
Revolut, HSBC, Lloyds, Halifax, Royal Mail, DPD, NHS England, Spotify, Vinted et la plateforme vidéo des tribunaux anglais à l'arrêt, pour une seule zone sur trois. Et la recommandation officielle et laconique de Google : migrer vers une autre zone ou région.
Comme si cela s'improvisait un mardi matin.
Northflank : « considère tout comme déchiffré »
C'est le genre de message qu'aucun hébergeur n'a envie d'écrire à ses clients. Considère que toutes tes variables d'environnement ont été déchiffrées, et fais tourner tous tes secrets, tout de suite. L'attaque a visé le plan de contrôle, pas les workloads. Plusieurs clients ont retrouvé leurs clés IA utilisées par quelqu'un d'autre.
Dans le même mois, le rapport « Black October » de Wiz recense neuf plateformes de dev IA touchées, Railway compris. Si tu stockes tes secrets chez un PaaS, lis ça à froid. Ça remet les idées en place.
WordPress : le RCE qui profite de la mise à jour
WordPress a corrigé en 7.1.4 une faille de type TOCTOU dans sa propre procédure de mise à jour du core, CVE-2026-119977. Toutes les branches depuis la 4.7 sont concernées, et l'attaque ne fonctionne que pendant la courte fenêtre où le core se met à jour, ce qui n'a pas empêché Wordfence de bloquer plus de 18 500 requêtes sur les 21 premières heures. Autrement dit, les scanners tournent en boucle en espérant tomber au bon moment, et statistiquement, à force, certains finissent par tomber juste. CISA a ajouté la faille au KEV le 3 novembre. Si tu gères des sites clients, tu sais ce qu'il te reste à faire ce week-end.
La CLI d'OVHcloud piégée pendant 94 minutes
Entre 14 h 47 et 16 h 21, les binaires officiels de ovhcloud-cli sur GitHub ont servi un infostealer. Cinq versions touchées, de la v0.11.0 à la v0.15.0, avec le fichier checksums.txt réécrit pour faire bonne mesure. Quand on veut faire les choses, on les fait bien. L'attaquant est passé par le compte GitHub d'un des développeurs du projet. Le happy end, c'est un client dont la CI vérifiait le SHA-256 qui a donné l'alerte : si tu ne le fais pas encore, tu sais ce qu'il te reste à brancher, et ça ne devrait pas te prendre la soirée.
PwnEscape : sortir d'une VM KVM
CVE-2026-99999 permet de s'évader d'une VM KVM depuis le noyau Linux, notée 9,3 sur 10 par Ubuntu. Elle a été trouvée par Paulos Yibelo au troisième jour du bounty à un million de dollars lancé par Vercel, avec 1 285 rapports déposés pour un seul retenu comme critique. Joli ratio. Comme à peu près tout le monde isole ses clients avec KVM, du cloud à la CI/CD en passant par les sandbox pour agents, la portée est vertigineuse.
Laravel : le TokenGuard laissait passer
Le TokenGuard avait un bypass d'authentification sur MySQL et MariaDB : un attaquant non authentifié pouvait se faire passer pour n'importe quel utilisateur sans connaître son token. Corrigé en 12.68 et 13.29. Un petit composer update et on n'en parle plus !
GitLab : 10 sur 10 dans les pipelines
Une expression régulière piégée dans une configuration CI/CD fait déborder un entier dans le moteur de regex de Ruby, et exécute du code sur GitLab 19.2 à 19.4. CVE-2026-97229, 10 sur 10, la note maximale. L'avis parle d'un attaquant non authentifié, aucun privilège requis : il suffit de pouvoir soumettre une configuration CI/CD. L'attaquant d'Alpine Linux s'était contenté de créer un compte la veille.
Voilà pour le rattrapage. Maintenant, la semaine qui vient de s'écouler.
Le C++26 recalé par l'ISO
Le 23 octobre, les organismes nationaux ont voté sur le DIS du C++26, le brouillon de norme internationale, et le texte a été rejeté. Un seul scrutin, mais deux conditions à remplir : les deux tiers des membres participants devaient voter pour, et il n'a récolté que 12 voix sur 20, soit 60 % quand il en fallait 14 ; et les votes négatifs ne devaient pas dépasser le quart des votants, or ils ont atteint 9 sur 22, soit 41 %. Recalé sur les deux tableaux.
Neuf pays ont dit non, dont le Danemark, le Japon et la Suède ; la France et l'Irlande se sont abstenues, commentaires techniques à l'appui. Le point de blocage, ce sont les contrats : leur vérification dépend d'une option de compilation, donc la même règle écrite noir sur blanc dans ton code peut être appliquée strictement, simplement signalée, ou purement ignorée selon la façon dont ton voisin a décidé de builder le binaire. Autrement dit, une garantie sur laquelle tu croyais pouvoir compter, qui s'évapore en production sans prévenir personne. Bjarne Stroustrup lui-même rejette les contrats sous cette forme depuis des années. GCC 16 les accepte déjà en expérimental avec -std=c++26, Clang pas encore. Ce qui décide de ce que tu peux écrire, c'est ton compilateur, pas le vote de l'ISO.
Composer 2.11 : le cooldown qui te protège d'un package piégé
Tu déclares un délai, par exemple « 1 day », et Composer refuse d'installer, lors d'un update ou d'un require, toute version de package publiée plus récemment. Si quelqu'un sort une version malveillante de ta dépendance et qu'elle est retirée dans les 24 heures, ton projet ne l'aura jamais vue. Ça se règle dans config.policy.cooldown.period, avec des unités comme 6 hours ou 7 days. La 2.10 bloquait déjà les versions avec avis de sécurité ou malware connu, la 2.11 ajoute six correctifs de sécurité, accélère la résolution et supprime le repli vers une installation depuis les sources, donc lis les notes de version avant de pousser ça dans ta CI de prod. Une journée suffit, et ça ne coûte rien à configurer. Un jour de retard sur une dépendance, sérieusement, tu vas survivre !
Et si tu veux vraiment être tranquille, tu peux le set à 7 jours.
lz4 1.11 : 850 commits et du multithread dans la bibliothèque
Plus de deux ans après la 1.10, lz4 1.11 débarque avec 850 commits et une vraie nouveauté : le multithread dans l'API lz4frame, via le paramètre nbWorkers, là où la version précédente ne le proposait que dans la ligne de commande, ce qui veut dire que toutes les applis qui embarquent liblz4 sans passer par le binaire ne gagnaient rien du tout jusqu'ici. Next a refait ses tests maison sur onze catégories de fichiers, images, CSV, MP3, PDF et vrac, depuis un disque virtuel en RAM pour ne pas mesurer le stockage. Résultat : jusqu'à 15 % de vitesse en plus avec la CLI, et un facteur 9 avec liblz4 sur les gros fichiers. Le taux de compression, lui, bouge à peine, 3,1 Mo de moins sur enwik9.
Tu compresses plus vite, pas mieux.
Revolut : Claude Code dehors, GLM auto-hébergé, la facture divisée par dix
Revolut a basculé l'essentiel de son code sur GLM 5.3, le modèle ouvert de Z.ai, qui tourne sur 56 cartes Nvidia B200 auto-hébergées, après être passé de Gemini à Claude Code début 2026 et avoir constaté que certains développeurs coûtaient jusqu'à 10 000 dollars par mois pour un retour jugé décevant en interne. Facture d'IA de codage en baisse d'environ 90 %, pour un tarif au million de tokens dix fois inférieur à celui d'Anthropic ou d'OpenAI. Deux mille ingénieurs, quand même. Le gain le plus net n'est pas dans l'écriture de code, améliorée de 60 %, mais dans le débogage et le traitement des tickets Jira et Confluence. David Abitbol, qui dirige les opérations IA, trouve les fenêtres d'un million de tokens « arnaque » et assure que 256 000 suffisent largement.
Firefox : Mozilla va décaler ses correctifs par couche pour casser le patch gap
Le patch gap, c'est le temps entre le correctif commité et le correctif arrivé chez toi, et l'IA vient de le rendre accessible. Avec GLM 5.3, Epoch AI a compromis six versions de Firefox, de la 156.0 à la 158.0.1, en partant de correctifs publics pas encore déployés, pour 1 000 dollars par version et 12 heures pour la tentative la plus rapide. La parade de Bobby Holley : ne jamais livrer les deux pièces du puzzle en même temps, donc décaler la publication par couche de défense pour que les fenêtres ne se recouvrent jamais. Un attaquant devra trouver lui-même une faille inédite. En attendant, va vérifier ton parc, et là je ne plaisante pas : 159.0.1 minimum sur le canal normal, 153.6 sur le canal ESR, et 115.44 si tu as encore des machines sur l'ancienne branche.
Arnis : ta ville en blocs Minecraft, 900 000 téléchargements
Louis Erbkamm a codé Arnis en deux semaines pendant une pause scolaire, en Python, pour tester un générateur de mondes à partir de données cartographiques réelles. Le projet interroge OpenStreetMap, récupère chaque élément cartographié avec ses coordonnées et son type, puis le pose en blocs, et pour les trucs trop détaillés pour la carte comme la statue de la Liberté il convertit carrément des modèles 3D ; ce qui n'est pas mappé n'existe pas. Depuis, portage en Rust, 70 contributeurs, une vingtaine de langues et près de 900 000 téléchargements. Il reste seul mainteneur et relit chaque pull request le soir, en attendant d'avoir fini sa journée de boulot. Le nom vient d'Arnis, la plus petite ville d'Allemagne, où il n'a jamais mis les pieds.
1,3 million de box Android TV piégées dès l'usine
Google a démonté le botnet XCPE, avec l'Agence nationale de police japonaise et cinq partenaires. Et le coupable, selon Google, n'est pas un groupe criminel : c'est Videostrong, le fabricant qui vend notamment sous la marque MECOOL. La porte dérobée était dans le firmware, chargée seulement après le premier démarrage grâce à du code obfusqué, ce qui lui a permis de passer sans broncher les tests de compatibilité et de sécurité que Google impose aux constructeurs. Plus de 1,3 million de box sont concernées, et le manège serait en place depuis plusieurs années.
Ce que ça veut dire concrètement : ta box devient le proxy résidentiel de quelqu'un d'autre. Son trafic sort par ta connexion, avec ton adresse IP publique, donc pour un site web l'attaquant ressemble à un particulier ordinaire → toi. La porte dérobée installe aussi des applications sans rien afficher, coupe Play Protect, permet de voir l'écran et de simuler des appuis sur la télécommande, et cartographie ton réseau local. Une réinitialisation d'usine n'y change rien, tout est dans le firmware : il ne reste qu'à la débrancher. Videostrong ne pourra plus fabriquer d'Android certifiés, ce qui ne change rien pour les box déjà installées dans les salons.
MINI-SPONSORS
Un grand merci à mes mini-sponsors pour leur soutien à cette newsletter :
LBKE d'Éric Burel, Lavicon de DKP, Plumber et Writizzy.
- Découvrez la formation LangChain éligible CPF de LBKE
- Lavicon : Générez vos icônes stylées et uniques. Coupon -20% : HAPPY2DEV
- Plumber-CLI : Vérifiez si vos pipelines CI/CD GitLab sont percés (open source)
- Writizzy : Lancez votre blog et votre newsletter en 5 minutes. -20% pour 3 mois HAPPY20
- Vous aussi devenez mini-sponsor et mettez en avant votre entreprise pendant 52 numéros (~1an) pour 397€ => contactez moi
LE TOUR DES RÉSEAUX
Dans cette rubrique, je te présente les infos que j'ai trouvé intéressantes au cours de la semaine sur les différents réseaux sociaux.
OpenSSH sur musl : le mot de passe de 257 caractères qui ouvre les comptes sans mot de passe
Tu connais l'astérisque dans le champ mot de passe de /etc/passwd ? On le trouve dès le /etc/passwd de 3BSD, en 1980, sur le compte daemon : personne n'est censé s'y connecter, et un * rend le compte inutilisable sans avoir à inventer un champ « désactivé ». L'idée tient toujours quarante-six ans plus tard : aucun hash ne peut valoir *, donc aucun mot de passe ne peut correspondre. Sauf que musl, quand crypt() échoue, renvoie * au lieu de NULL, et que sshd compare les deux chaînes sans se poser de question. Sur Alpine, OpenWrt, Yocto, Buildroot, un sshd compilé sans PAM accepte donc n'importe quel mot de passe de 257 à 1024 caractères sur un compte en clé seule, à condition qu'un autre compte actif du système porte un vrai hash $5$ ou $6$ dont sshd emprunte le sel. CVE-2026-123158, 8,1 sur l'échelle CVSS. Dix ans que ça dort… Passe en 10.6p2, ou coupe PasswordAuthentication tout de suite.
Enlightenment 0.28.0 : PipeWire natif, et un œil sur NetBSD
Le vétéran des environnements de bureau sort en 0.28.0 avec un module NetworkManager, le support natif de PipeWire, un historique du presse-papiers et un portage NetBSD qui démarre. Vingt-neuf ans après sa première version, il est toujours là. Respect !
APT : le paquet que tu viens de vérifier n'est plus celui que tu installes
CVE-2026-109518, trouvée par Max Justicz. Un attaquant sur le chemin, miroir compromis ou proxy, fait suivre une redirection HTTP aux deux téléchargements d'un même paquet, et APT les fusionne une fois la signature vérifiée, parce que les deux portent maintenant la même URI. Derrière, exécution de code en root. Corrigé dans APT 3.0.4 sur Debian 13, DSA 6607-1.
C’est corrigé dans APT 3.0.4 sur Debian 13, DSA 6607-1. Ce soir avec ton café, apt update && apt upgrade et tant qu'à faire, des miroirs en HTTPS.
PentAGI : des agents qui lancent nmap à ta place
Licence MIT, 33 000 étoiles, des agents autonomes qui orchestrent Nmap, Metasploit et sqlmap dans Docker, gardent la mémoire de ce qu'ils ont trouvé et sortent un rapport de vulnérabilités avec les chemins d'exploitation déjà rédigés. Le genre d'outil qui te fait gagner une soirée de reconnaissance. Et qui, mal configuré, te fait perdre une semaine.
Ginux : un noyau « not linux » écrit en onze jours
Gregory Kurtzer, le type derrière CentOS puis Rocky Linux, a publié Ginux, un noyau Rust-first x86-64 qui démarre en UEFI et fait tourner du userspace Linux non modifié dans des domaines séparés. 1 037 commits, onze jours, largement assistés par l'IA. Il boote le systemd de Rocky 10, ce qui n'est pas rien pour un projet aussi jeune.
Sa propre conclusion, dans le README : « rapid construction of deep systems software, not a production alternative to Linux ».
Ce n'est donc pas un noyau de production, et il le dit lui-même. Mais booter le systemd de Rocky 10 en onze jours reste une performance, et une démonstration de ce que l'IA change dans le développement système.
GIMP 3.2.8 : le texte bidirectionnel et les gros dégradés
Rien de spectaculaire, mais cette 3.2.8 rattrape le texte bidirectionnel, les bordures semi-transparentes et les dégradés qui ramaient dès qu'ils prenaient de la taille, et je ne vais pas te faire un dessin sur le rendu des polices arabes jusque-là. Plus des correctifs de sécurité, ce qui n'est jamais du luxe pour un logiciel qui ouvre des fichiers que tu n'as pas écrits.
Quorum : apprendre le system design en jouant
Un jeu de navigateur où tu construis ton infra, tu améliores tes serveurs, tu débloques des technos et tu surveilles ton budget, avec des cartes, des arbitrages et un peu de gestion de crise. Bref, encore un truc où tu risques d’y passer ta pause déjeuner.
Authelia : le portail SSO que tu héberges toi-même
Authentification et autorisation en open source, 2FA et SSO pour tes applis, avec un portail web unique devant l'ensemble. Ça remplace les trois bouts de middleware bricolés dans autant de projets, et ça évite d'aller chercher une usine à gaz payante pour un homelab. Le dépôt vaut le coup d’oeil, la config est moins terrible qu'elle en a l'air.
DEV PRATIQUE
Ressources concrètes pour tous les devs (web, DevOps, sécu, game, embarqué…)
📘 Web Dev
Réimplémenter
Temani Afif a refait :nth-child() à la main, pour le plaisir. Sauf qu'en chemin il branche if(), style() et sibling-index() pour que les arguments du sélecteur viennent de variables CSS, donc tu changes --A et --B sans réécrire une ligne de ta feuille de style ni toucher au HTML. Personne n'a besoin de ça en production, soyons clairs. C'est justement pour cela que ça vaut la lecture : on y apprend ce que le moteur CSS sait évaluer aujourd'hui.
btoa() n'a jamais su encoder des octets
Le partage de rapport marchait depuis deux semaines, puis un PDF de 40 pages a renvoyé un RangeError sorti de nulle part : String.fromCharCode(...bytes) étale chaque octet en argument séparé, et le moteur coupe au-delà de quelques dizaines de milliers. Depuis fin 2025, Uint8Array expose toBase64() et fromBase64(). Les deux méthodes travaillent sur les octets, sans passer par une chaîne intermédiaire. Le second piège est côté texte : btoa("café") passe encore, mais un emoji lève une exception Latin1, et le contournement historique traîne unescape(), déprécié depuis vingt ans. Deux bugs, une seule racine : la chaîne.
🛠️ DevOps
Un dossier de l'hôte dans un LXC, sans perdre les snapshots
pct set 3001 -mp0 /zpool/partage,mp=/mnt fait le boulot en une ligne, et Proxmox te coupe aussitôt les snapshots avec un « The current guest configuration does not support taking new snapshots ».
Ce n'est pas un bug : le nœud refuse de snapshoter un volume qu'il ne sait pas copier, et le ticket qui demande d'exclure un point de montage du snapshot a dix ans. La parade de FLOZz tient en une ligne lxc.mount.entry: /zpool/partage mnt none bind,rw 0 0 dans /etc/pve/lxc/3001.conf, sans le slash initial devant la cible, et le contrôle de Proxmox passe à la trappe.
Sauf qu'il y a un prix.
Ce dossier sort des snapshots et des sauvegardes : il faut le sauvegarder à part, avec BorgBackup comme le suggère l'auteur, ou restic. Sinon tu l'apprendras à la première restauration.
Combien de RAM il faut vraiment à un build CI
Cinq builds open source lancés dans des cgroups de 2, 4 et 8 Go, et quatre tiennent dans 2 Go : un type check tsc, Gradle, Go et une image Docker. Le cinquième est le build Vite d'Excalidraw, qui embarque déjà un type check complet : 3 248 Mio de mémoire anonyme, et le noyau le tue à chaque essai. Son type check isolé, lui, passe sans problème. Le chiffre qui m'a fait tiquer : memory.peak annonce 1 775 Mio pour le build Go alors que 424 Mio seulement sont anonymes, l'essentiel du reste est du page cache que le noyau jette à la première pression, plus un peu de mémoire noyau, et c'est pourtant ce chiffre-là que la plupart des dashboards de pipeline affichent fièrement dans leur petit graphique.
Et toi, est ce que tu dimensionnes tes runners sur ce chiffre-là depuis des mois ?
🔒 Sécurité
Cloudflare security-audit : l'audit sécu dans ton agent
La skill de Cloudflare s'installe avec npx skills add depuis le dépôt cloudflare/security-audit-skill, en global si tu veux la garder sous la main, et il te faut Node 22.20 au minimum. Elle déroule six phases, rend un verdict par piste (exploitable, à creuser, écarté) et écrit ses preuves dans un dossier de résultats lisible. Florian Burnel la passe sur DVWA et montre aussi où le sandbox de Claude Code s'arrête.
🕹️ Game Dev
Des panneaux 9-slice propres en pixel art sous Godot 4
Un panneau de 24 par 24 pixels avec 6 px de bordure, étiré en boîte de dialogue large, donne des bordures grasses sur un axe, fines sur l'autre, et un biseau qui part en sucette. Le nine-patch coupe l'image en neuf morceaux : quatre coins fixes, quatre bords étirés sur un seul axe, un centre étiré ou carrelé, et quatre marges à saisir dans l'inspecteur. Bordures de largeur identique, aucun détail dans les bandes de bord, centre uni. Un gain certain.
PlayGoblin : un bot qui joue à ton jeu et te sort les bugs
Personne ne retraverse un jeu entier après chaque commit, alors ce dev d'Unreal 5.8 a écrit un bot qui marche à sa place. En 150 secondes sur son niveau de ville : 251 mètres parcourus, 19 waypoints atteints et 12 % des 1 137 cellules praticables. Le rapport liste les endroits où il s'est coincé, une confirmation et douze points à vérifier. C'est en 0.1.0-dev, Apache-2.0, et l'auteur écrit lui-même que le gobelin n'est pas encore un speedrunner. Douze pour cent de couverture seulement, ça calme.
🚘 Embarqué
Zephyr sur ESP32-S3 : sortir de la boucle Arduino
Si tu viens des sketches Arduino, le loop() qui lit un capteur, gère le Wi-Fi et attend un appui bouton finit par prendre 200 ms de retard sur tout dès que le Wi-Fi s'énerve. Zephyr, RTOS porté par la Linux Foundation, remplace cette boucle par des threads et un ordonnanceur : temps réel veut dire prévisible, pas rapide, et un thread prioritaire passe devant quand il doit passer. L'article finit sur deux threads qui se parlent. De quoi comprendre tout ce que ton delay() te cache…
🖥️ Électronique
5V ou 12V : où injecter le courant dans un ruban LED
Sur un WS2812B en 5V, la puce décroche vers 3,5V et tu perds facilement un demi-volt entre le premier et le trentième pixel : la fin du ruban vire à l'orange, puis au brun, puis au flicker aléatoire. Le WS2815 en 12V embarque un régulateur, donc la perte se voit en baisse de luminosité et non en dérive de couleur. La règle de l'auteur, qui installe ces rubans pour des commerces : injection tous les 2 à 3 mètres en 5V, et toujours aux deux extrémités d'un rouleau de 5 mètres ; tous les 5 mètres en 12V, et aux deux extrémités seulement si le ruban tourne à pleine luminosité. La masse part avec l'alimentation, à chaque point. Et avant de dire que c'est fini, mesure la tension au dernier pixel, en blanc à 100 % : pas moins de 4,5V en 5 V, 10,5V en 12V. En dessous, ajoute un point d'injection avant que ça se voie.
T'AS TON POPCORN ?
Dans cette section, je vous propose de bien vous caller dans votre siège gamer, votre canapé ou votre lit pour visionner quelques vidéos dénichées ici et là.
Le labo français derrière la lib d'IA la plus téléchargée du monde
Tu as déjà tapé model.fit() dans un notebook, forcément. Derrière cette ligne il y a scikit-learn, lancé en 2007 comme projet Google Summer of Code, et repris en 2010 par l'INRIA, qui en a fait la première version publique le 1ᵉʳ février. Ni un produit Google, ni un produit Meta : un commun scientifique financé par de l'argent public. Marie Sacksick raconte comment Probabl, la société issue de l'Inria qui emploie les mainteneurs, fait vivre cette lib sans LLM et presque sans réseaux de neurones et surtout comment on trouve un modèle économique à un truc que la planète entière importe gratos depuis seize ans sans jamais envoyer un euro.
Un manager qui a codé vingt ans avant de passer de l'autre côté
Yannick Grenzinger a fait du code pendant vingt ans avant de devenir engineering manager chez Payfit, et son entretien à Devoxx France parle de ce moment précis où la revue de code devient le goulot d'une équipe qui produit trop vite. Il dit des choses assez cash sur les LLM. Et sur sa devise, aussi : « manager moins sans manager moins bien ». Vingt-cinq minutes, pas une de trop.
Il a refait le client Steam avec Claude, et il montre comment le tenir
Benjamin Code a redessiné son client Steam de zéro, maquettes avec Claude Design puis code avec Claude Code, et le résultat est plutôt propre pour un projet monté en une vidéo. Ce qui est intéressant, c'est la méthode : quatre propositions, tu prends le meilleur de chacune, et surtout tu cadres l'agent au lieu de le lâcher sur le dépôt entier.
Une IA qui te coupe la parole, et c'est exprès
Ça ressemble à un bug, sauf que c'est le comportement visé : une IA vocale qui reprend la parole au milieu de ta phrase, comme un humain dans une vraie conversation. Et pas au hasard… Neil Zeghidour, spécialiste du domaine, explique ce que ça change côté modèle, et pourquoi l'assistant qui attend sagement que tu aies fini de parler a déjà perdu. Ça donne envie de retester les démos vocales, tiens !
🤝 Comment soutenir cette newsletter ?
Un immense merci aux personnes qui ont déjà sauté le pas 💜
Si la newsletter t'apporte de la valeur, tu peux me soutenir dès aujourd'hui avec un abonnement annuel à seulement 9 €/an à vie. Tu auras alors accès à tous les contenus exclusifs (en cours de préparation).
Offre exceptionnelle et limitée dans le temps → Plus tu attendras, plus le prix augmentera pour les futurs abonnés lors de l'ajout des contenus exclusifs.
C'est le meilleur moment pour verrouiller ce tarif à vie.
Merci d'avance 💜
Des alternatives pour me soutenir ? Bien sûr !
- Ta prochaine commande Amazon avec mon lien d'affiliation
- J'utilise Starlink à la maison et j'en suis plus que satisfait. Si ça te tente, profitons chacun d'un mois gratuit
- Découvre des milliers de tutos gratuits dans de nombreux domaines avec l'équipe géniale de Tuto
METS TON CASQUE !
Dans cette rubrique, je te propose des podcasts en anglais et en français sur notre monde tech.
React Native, encore valable en 2026 ?
React Native avec une IA qui écrit du Swift et du Kotlin correctement, ça vaut encore le coup ? David Leuliette livre des apps React Native depuis plus de dix ans, pour des startups comme pour des gros comptes, et il explique posément ce qui marche encore, ce qui reste compliqué à maintenir sur trois ans et comment il choisit ses outils aujourd'hui.
Le CERT-FR passe au crible les violations de données applicatives
Christophe Renard et David Quesada, de l'ANSSI, décortiquent la note du CERT-FR sur les violations de données applicatives, et ils ont l'avantage de savoir de quoi ils parlent puisqu'ils traitent les signalements. Ce n'est pas un papier de conformité assomant, c'est le retour d'expérience de personnes qui voient se répéter les mêmes erreurs.
LES SORTIES DE LA SEMAINE
Dans cette rubrique, je te mets en avant les mises à jour de logiciel que nous sommes susceptibles d'utiliser dans notre quotidien de développeurs.
ansible-core 2.22.0
Le masquage des secrets devient automatique : tout ce qui s'affiche (verbose, warnings, résultats de tâches envoyés aux callbacks) passe par un remplacement en $REDACTED$, et les mots de passe vault, --ask-pass ou --ask-become-pass sont enregistrés sans que tu lèves le petit doigt. Une API publique, ansible.module_utils.secrets, te laisse ajouter les tiens à la main avec register_secret et mask_secrets. Côté Python, 3.15 est supporté et 3.12 dégage du contrôleur, ce qui va en surprendre plus d'un sur du vieux parc. Un handler sur SIGUSR1 dump les piles d'exécution quand un run part en vrille.
Symfony 8.1.11
Le composant Config ne valide plus les documents XML au parsing, correction estampillée GHSA-5jff-8h8q-r5qx. Dans le même lot, les adaptateurs de cache tag-aware arrêtent de répondre « c'est bon » quand la suppression des clés a échoué, et importmap:remove ne supprime plus les fichiers des entrées locales. Les branches 7.4.23, 6.4.50 et 5.4.56 sont sorties la veille le 4 novembre si tu es resté sur une vieille LTS et que tu comptes y rester un moment : ça se vérifie dans ton composer.lock.
Laravel 13.40.0
Deux helpers de surveillance du temps arrivent : Queue::whenJobRunsLongerThan() et Schedule::whenTaskRunsLongerThan(), pratiques pour logguer un job qui traîne sans écrire de middleware. Le middleware prend insertBefore() et insertAfter(), et replace() accepte maintenant un tableau de remplacements. Côté base, le flush du cache taggé Redis ne bloque plus quand tu as beaucoup de tags, et la connexion se rétablit après une coupure pendant une transaction. Rien de tape-à-l'œil, mais je prends les deux helpers.
Filament 5.11.1
Version de consolidation : les noms de méthodes des panels, des schémas, des notifications et des composants sont harmonisés, et les anciennes API de réactivité, d'affix et de tri passent en dépréciation. Ajout du kurde central et du sinhala, plus deux correctifs : la pagination désactivée pendant le chargement, et les badges d'onglets différés qui se décalaient après un onglet masqué. Si tu as un panel en 5.x, prends le temps de lire les notes avant de lancer lecomposer update.
Docker Engine 29.9.3
Quatre CVE d'un coup : consommation CPU excessive sur des clés RSA forgées, panic à la décompression zstd, protections d'overlay Swarm qui sautent après un flush iptables par firewalld, et un nœud worker avec un certificat TLS valide qui pouvait récupérer un certificat de manager juste après un changement de leader. BuildKit passe en 0.34.2, avec deux correctifs de sécurité dont un qui permettait d'écrire des xattrs hors du state directory et de gagner les privilèges d'un programme sur l'hôte. Le daemon ne se bloque plus sous charge sur les appels API conteneurs, images et système.
Vitest 5.1.0
--last-failed et --since-last-run arrivent dans le CLI, de quoi relancer uniquement ce qui a cassé sans passer par un plugin maison. Les tentatives de retry et de repeat exposent maintenant leur résultat individuel, et les fake timers couvrent node:timers et node:timers/promise. Le mode browser gagne le mocking de modules par import map, et la trace view s'ouvre par défaut en failure-only. Rien que, --last-failed vaut le détour à lui seul ! Bon, ça ne te dispensera pas de réparer les tests.
Vite 8.3.6
Patch nourri, avec une correction qui compte : le serveur de dev échappe désormais les attributs HTML. Le build résout les imports dynamiques qui portent une query quand il collecte les dépendances CSS, et les ids de module restent stables pour le hash des import maps. Côté SSR, un require externe sur un module natif est converti en import pour ssr.target=webworker.
pnpm 12.18.0
pnpm store add installe depuis des tarballs déjà téléchargés, ce qui sauve la mise en place d'un runner offline ou d'une CI sans réseau. Les skills d'agent livrés par un paquet se lient sous leur propre nom dans .claude/skills, et pnpm approve demande lesquelles lier quand il y en a plusieurs. Sur les registres pnpr, pack et publish gèrent les variantes par plateforme, une archive par cible. Les installs répétés ne relisent plus le package.json des projets de workspace inchangés.
rustup 1.29.3
Deux régressions corrigées, et la première vaut le détour si tu as du vieux matériel dans le placard : « Illegal instruction » sur certains x86_64 sans SSE4.1 ! L'autre concerne Solaris, avec un lock() non supporté. rustup self update suffit.
L'invité de la semaine : Gauthier Huguenin — L'interview intégrale
Propos recueillis par HappyToDev
1. Peux-tu te présenter ? Gauthier, Le PLOUTOS sur X. Ancien commercial, aujourd'hui fondateur de Kirako, une agence IA qui installe des agents dans les entreprises. Et depuis le 15 octobre, fondateur d'un produit : Hermes by Kirako, pour avoir son propre agent Hermes en une dizaine de minutes, sans toucher à un serveur.
Je ne suis pas dev. Enfin, plus tout à fait pas dev. C'est compliqué, on en reparle juste en dessous.
2. Quelle est ta spécialité ? Quel est ton langage préféré ? Ma spécialité, c'est de faire coder l'IA. Je décris, elle écrit, je teste, je casse, elle répare, et on met en prod. Mon terrain de jeu, ce sont les agents IA : les concevoir, les héberger, les faire tourner chez des clients.
Mon langage préféré ? Le français. Je ne plaisante qu'à moitié : presque tout mon code commence par une phrase en français tapée dans Claude Code. Ensuite ça finit en Swift pour mes apps iOS ou en workflows n8n, mais je ne vais pas me faire passer pour un dev senior. Ceux qui lisent cette newsletter me démasqueraient en trois lignes.
3. Es-tu un reconverti ? (as tu travaillé dans un autre domaine que l'IT précédemment) Hybride, plutôt. J'ai passé une dizaine d'années dans le business, presque toujours dans des boîtes tech, mais du côté de ceux qui vendent. Orange, un SaaS MedTech, le leader français de l'IA vocale : à chaque fois je savais vendre le produit, mais je n'aurais pas su en écrire une ligne.
L'IA a fait sauter cette barrière. Aujourd'hui je construis. Mais je reste un commercial, hein : si vous lisez jusqu'au bout, vous verrez passer un lien.
4. Quelles études as-tu suivies ? Une école de commerce, en alternance. Zéro ligne de code au programme. Tout ce que je sais en tech, je l'ai appris sur le terrain, puis en faisant. Et ces derniers temps, en faisant beaucoup.
5. Comment as-tu démarré dans le monde pro ? Stage, alternance, emploi direct ? En alternance, sur un poste commercial et business dev. J'y ai appris le truc qui me sert encore tous les jours : un client achète rarement ce qu'il demande au premier rendez-vous. Il faut trouver le vrai problème derrière.
6. Et maintenant tu en es où ? Kirako tourne officiellement depuis fin août 2026, et j'étais déjà en indépendant avant. On accompagne des professions réglementées, notaires, avocats, comptables, on fait des audits pour des groupes industriels, et on a des clients jusqu'à Dubaï. Au compteur : plus de 50 agents Hermes déployés.
Et le 15 octobre, on a lancé Hermes by Kirako. L'idée est simple : ce qu'on faisait à la main pour chaque client depuis des mois, je l'ai transformé en produit. Vous commandez, vous répondez à quelques questions, et une dizaine de minutes plus tard votre agent vous parle sur WhatsApp, Telegram, Slack ou Discord. Le serveur, les sauvegardes, la surveillance, c'est pour nous.
7. Sur tes réseaux, on peut lire que tu es :
- tu es un ancien de chez Orange
- que tu es passé par plusieurs sociétés tech dans l'IA
- fondateur de Kirako
- power user des agents Hermes
Peux tu nous parler un peu de ton parcours et comment tu en es arrivé là où tu en es aujourd'hui ? En gros, j'ai passé dix ans à me préparer à ce métier sans le savoir.
Chez Orange, j'étais coach des ventes B2B : mon job, c'était de faire progresser des commerciaux. Ensuite un SaaS MedTech, puis le leader français de l'IA vocale. Les deux dernières faisaient déjà de l'IA, et c'est là que j'ai attrapé le virus.
Et puis le téléphone a commencé à sonner. Des gens de mon réseau, des dirigeants que je connaissais : "Toi qui bosses dans l'IA, tu pourrais regarder ce qu'on pourrait faire chez nous ?" Puis la même question, avec "tu prends combien ?" à la fin.
Quand c'est devenu régulier, je me suis lancé en indépendant. Les missions ont grossi, et fin août 2026 j'ai tout structuré dans Kirako.
Pour Hermes, c'est venu en route. Je l'ai déployé chez un client, puis deux, puis cinquante. A force d'en parler sur X, on m'a collé l'étiquette de power user. Je ne la conteste pas.
Un mot de Kirako et ce que tu proposes comme services ? Kirako, c'est une agence IA. On fait des audits pour trouver où l'IA rapporte vraiment, du conseil en stratégie, de la formation d'équipes, et surtout des agents qu'on déploie et qu'on fait tourner dans la durée. On ne livre pas une démo avant de disparaître : on héberge, on surveille, on maintient.
La formation, je la faisais déjà chez Orange. Avant j'apprenais à des commerciaux à vendre, maintenant j'apprends à des équipes à bosser avec des agents. Le sujet a changé, le métier beaucoup moins.
Et pour ceux qui veulent juste leur agent, sans accompagnement, il y a maintenant Hermes by Kirako.
Une histoire pour ce nom Kirako ? Il y en a une, oui. Mais elle est personnelle, alors je vais faire exactement ce que je déconseille à mes clients : garder l'info pour moi et ne la documenter nulle part.
Seul indice : ce n'est pas une IA qui l'a trouvé.
Peux tu nous dire pourquoi Hermes et quels avantages il apporte? Deux raisons, et aucune n'est sentimentale.
Un : c'est open source, et ça s'héberge. Quand un notaire me confie des données financières ou de santé, je dois pouvoir lui dire où elles dorment le soir. Avec Hermes, la réponse est simple : sur un serveur qu'on maîtrise, pas dans la boîte noire d'un éditeur.
Deux : il n'est marié à aucun modèle. Claude, GPT, Mistral, Gemini, DeepSeek, OpenRouter... Si demain un modèle devient meilleur ou moins cher, on change sans tout reconstruire. Dans un marché qui bouge toutes les semaines, c'est une assurance-vie.
Et chez Kirako on a une règle : on distribue Hermes, on ne le remplace pas. Pas de version maison bricolée dans notre coin, nos clients profitent directement de ce que sort Nous Research.
Est ce qu’il y a des précautions à prendre ? Oui, plein. Un agent ne se contente pas de répondre, il agit. Donc on le traite comme un nouveau collègue à qui on confie les clés : avec un peu de méfiance au début.
Les données : on choisit l'hébergement et le modèle selon ce que l'agent va voir. Nos agents clients tournent chez Scaleway, en France.
Les permissions : l'agent n'a accès qu'à ce dont il a besoin. Chez nous, par exemple, il ne peut pas supprimer définitivement ses propres sauvegardes, seul Kirako peut vider la corbeille. Tout le monde a vu passer l'histoire de l'agent qui a effacé une base de prod. Je n'ai aucune envie d'être le prochain thread.
Les coûts : un agent mal réglé peut brûler des tokens toute la nuit. Chez nous, chaque client branche sa propre clé ou son compte ChatGPT. Il voit ce qu'il consomme, et personne ne lui refacture ses tokens avec une marge cachée.
Le serveur : mises à jour, secrets, surveillance. Un Hermes installé sur un VPS puis oublié pendant six mois, c'est une porte ouverte. C'est d'ailleurs un peu pour ça qu'on a fait Hermes by Kirako.
Où habites tu et qu’apprécies tu dans cette ville ? Dans les Alpes. Je ne donne pas ma ville : je passe mes journées à expliquer à des clients comment protéger leurs données, ce serait ballot de commencer par balancer les miennes dans une newsletter.
Et puis je bosse entièrement à distance et je bouge pas mal, donc la vraie réponse, c'est : là où il y a du wifi. Mes agents, eux, ont une adresse fixe. Un serveur en France, c'est plus que ce que je donne à la plupart des gens.
8. Tu as d’autres passions ? Mon carlin, déjà. Il a eu droit à sa propre app, Pugify, une app iOS de suivi santé pour carlins, née de mon propre besoin. Commercialement, ça n'a pas cartonné. Lui, par contre, n'a jamais été aussi bien suivi.
Les city builders, ensuite. Planifier, optimiser les flux, gérer les bouchons : c'est un peu mon métier, mais avec des petites voitures.
Et le PSG. Là, je n'ai aucune explication rationnelle, et je n'en cherche pas.
9. Peut-on te voir dans des conf ou des meetups ? Sinon où peut on te suivre ? Pas encore beaucoup sur scène. En podcast, oui, et surtout sur X : @leploutos pour mes tests, mes avis et mon build in public, @Kirako_ai pour l'agence.
X, c'est un peu mon bureau. La plupart de mes clients arrivent par là, puis par les podcasts. Pour le lancement de Hermes by Kirako, j'avais plus de trente personnes dans mes DM qui attendaient le lien, et que je devais prévenir à la main, une par une. Pour un mec qui vend de l'automatisation, je reconnais l'ironie.
10. Est-ce que ton métier correspond finalement à tes attentes, tes rêves ? Oui, et franchement au-delà. Il y a quelques années, je vendais les produits des autres. Aujourd'hui je les construis, je les lance, et je les vends quand même. Le commercial n'est jamais très loin.
Ce qui me rend accro, c'est la distance entre une idée et quelque chose qui tourne. Elle n'a jamais été aussi courte.
11. Quels conseils donnerais-tu à celles et ceux qui débutent dans les métiers de l'IT et plus spécifiquement dans le dev ? Deux, et je vais être direct.
Un : apprenez à piloter l'IA maintenant. Pas dans six mois, pas quand votre boîte l'aura validée en comité. Le marché ne vous demandera pas si vous savez écrire une boucle à la main, il vous demandera ce que vous livrez, et en combien de temps.
Deux : intéressez-vous au business. Un client ne paie pas pour du code, il paie pour un problème qui disparaît. Si vous comprenez ça, vous avez déjà une longueur d'avance, IA ou pas.
12. IA
Utilises-tu l'IA dans ton travail ?
Tous les jours, partout. C'est mon métier, et un peu mon équipe aussi.
Si oui, lesquelles utilises tu ? et quelle est actuellement ta préférée ?
Claude, c'est ma préférée, surtout Claude Code. A côté, Mistral, OpenAI, des modèles via OpenRouter, des modèles chinois, ElevenLabs pour la voix. Je choisis selon la tâche, le prix et la sensibilité des données. Je ne suis fidèle qu'au PSG
Que lui confies-tu principalement comme tâches ?
Tout ce qui ne demande pas que je sois là en personne.
Le code : je n'en écris quasiment plus à la main. Hermes by Kirako a d'ailleurs été construit avec l'IA de bout en bout.
L'admin et le suivi commercial : on a un agent maison, Hubert, qui envoie nos mails de suivi. Il est poli, il ne part jamais en vacances, et il ne se plaint pas de la machine à café.
La veille, la recherche, et les contenus, jusqu'au montage vidéo.
Comment vois-tu l'évolution de l’IA dans 5 ans ?
On sous-estime le choc sur l'emploi. Pas dans vingt ans, dans les cinq prochaines années. Saisie, relances, synthèses, support de premier niveau : une grosse partie du travail de bureau va passer aux agents. Beaucoup de postes vont changer de nature, certains vont disparaître, et il vaut mieux s'y préparer que le découvrir.
Et pendant ce temps, j'ai bien peur que l'Europe regarde le match depuis les tribunes. J'y reviens juste après.
13. Quels sont tes 3 outils les plus utilisés dans ton quotidien de dev ? (cela peut être ce que tu veux du moment que c’est relié à ton quotidien de dev : livre, site internet, mug, logiciel, etc.) ?
● Claude Code : mon meilleur dev, et il ne demande jamais d'augmentation. ● Hermes : mes agents, ceux de mes clients, et maintenant un produit. ● Mon MacBook Air M4 : léger, silencieux, et largement suffisant puisque tout ce qui est lourd tourne sur des serveurs.
14. Un autre sujet que tu aimerais mettre en avant ? Le retard européen sur l'IA. Et je le vois dans mes propres outils.
Pour héberger, on a des acteurs européens solides, et je les utilise : nos agents clients tournent chez Scaleway, en France. Mais côté modèles et outils d'agents, presque tout ce que j'utilise au quotidien vient des Etats-Unis ou de Chine. Mistral est l'exception.
Le problème, c'est l'ordre des priorités. On écrit les règles avant d'avoir construit. Pendant ce temps, les autres avancent, lèvent, et fixent les standards qu'on finira par appliquer.
A ce rythme, dans cinq ans, on sera d'excellents clients. Moi, je préfère essayer d'être un fournisseur.
15. Le mot de la fin ? Merci pour l'invitation.
Et puisque je reste un commercial : si vous voulez votre propre agent Hermes sans passer votre week-end à configurer un VPS, Hermes by Kirako est en ligne, avec 7 jours d'essai gratuit. Ça se passe sur kirako.ai.
Si vous bloquez, mes DM sur X sont ouverts. Promis, c'est moi qui réponds, pas Hubert.
Questions bonus
Ta meilleure anecdote dans ton travail : Le Chocoblast, sans hésiter. Pour les rares qui ne connaissent pas : tu laisses ton ordi déverrouillé, un collègue écrit à toute l'équipe en ton nom pour promettre des viennoiseries, et tu n'as plus qu'à passer à la boulangerie.
Chaque fois, c'est la meilleure anecdote de la semaine. Depuis que je bosse de chez moi, je suis tranquille. Jusqu'au jour où Hubert, notre agent IA, découvrira le concept.
Ton jeu vidéo préféré : Mario Kart.
Ton film ou ta série préféré(e) : Le Loup de Wall Street pour le film. Silicon Valley et WeCrashed pour les séries.
LA CAISSE À OUTILS
Dans cette rubrique, je te présente des outils qui peuvent t’aider dans ton quotidien de dev.
claude-mem, ou comment arrêter de tout réexpliquer à ton agent
Ton agent oublie la moitié de ce que tu lui as raconté dès que la session se ferme. Celui-là enregistre ce qu'il fabrique, compresse le bazar avec un modèle, puis réinjecte le contexte utile dans la session suivante, avec une recherche hybride sur Chroma et SQLite FTS5. Ça tourne avec Claude Code, Codex, Gemini ou OpenCode, et l'installation tient en un npx claude-mem install. Le seul truc à savoir, c'est que la mémoire hébergée demande un compte et un essai gratuit ; tu peux aussi brancher ta propre clé OpenRouter ou Gemini.
worktrunk, un worktree par agent
Trois commandes et tes git worktree deviennent aussi banals que des branches : wt switch -c feature-auth pour créer, wt list pour voir l'état de tous les chantiers, wt merge main pour ranger. L'astuce, c'est l'option -x claude, qui lance un agent directement dans le nouveau répertoire, donc trois agents en parallèle sans qu'ils se marchent sur les pieds. Écrit en Rust, 12 300 étoiles, et une doc qui explique vraiment quoi taper.
NOIR, ce que ton téléphone Android raconte vraiment
Tu branches le téléphone en USB, tu lances noir, et l'outil lit via adb la liste des applis, leurs permissions et les URL planquées dans les dex des APK. Résultat : un score de risque par appli, la correspondance entre « celle-ci peut lire tes SMS » et « elle envoie vers ce domaine », plus dix-neuf actions de durcissement avec la commande de retour arrière. Pas de root, pas de réseau, pas de compte, et rien n'est envoyé nulle part. Compte une heure pour fouiller, et deux jours pour digérer ce que tu vas trouver.
hop, Linux à côté de Windows sans clé USB
Une appli Windows, tu choisis la distribution, le disque et la place, tu cliques sur Installer. Elle vérifie la machine avant de toucher au disque, télécharge l'ISO depuis la source officielle, libère l'espace que Windows refuse de rendre, puis te dit exactement quoi cliquer dans l'installeur. Ubuntu, Debian, Fedora, Arch, Omarchy, Zorin, elementary : de quoi tester Linux un après-midi tranquille sans chercher une clé de 8 Go dans un tiroir.
pixelfx, 244 effets pixel art à copier
Feu, explosions, glace, foudre, portails, dégâts critiques : chaque effet tient dans un petit bout de code, jouable dans le navigateur, recolorable, exportable en sprite sheet pour ton moteur préféré. Les effets avec un personnage sont même joués, avec l'armé, le déclenchement et la récupération, ce qui change tout quand tu animes un jeu. Il y a un skill Claude Code fourni pour en fabriquer d'autres. Pour ton projet, ou pour perdre une heure. Surtout pour perdre une heure !
CONFÉRENCES ET ÉVÉNEMENTS À VENIR
Dans cette rubrique, je te présente les conférences et événements à venir dans les prochaines semaines
Capitole du Libre - 14/11/2026 - Toulouse
Depuis 2011, la communauté du libre toulousaine squatte l'ENSEEIHT un week-end de novembre, et cette année l'affiche est plutôt chargée : 120 conférences et ateliers sur deux jours, un village associatif où tu croiseras la moitié des assos locales, et une install party pour ceux qui ont encore un vieux portable à sauver. C'est gratuit. L'inscription reste obligatoire, par contre. Un détail qui compte : le programme est en ligne, et sur deux jours tu ne pourras pas tout voir. Pense à te faire ton propre programme car il sera impossible de tout voir!
DevFest Paris - 27/11/2026 - Nanterre
La Fabrique de la Connaissance accueille la 8e édition du DevFest du GDG Paris, dans un ancien bâtiment industriel entièrement privatisé pour la journée, avec douze salles, deux terrasses et un plan 3D pour ne pas te perdre entre deux talks. Cinq tracks, une trentaine de speakers et 450 places pour un billet à 59 €, ce qui reste raisonnable quand on compare avec certaines confs parisiennes où le café est facturé en supplément. Au programme : IA, cloud, DevSecOps, front, back et mobile.
Apidays Paris - 01/12/2026 - Paris
Trois jours au CNIT Forest sur les API, avec un fil rouge assez clair cette année : l'API souveraine et tous ces agents qui viennent taper dedans sans prévenir. Nat Sakimura, co-auteur de JWT et d'OpenID Connect, est annoncé, et je trouve que ça vaut le déplacement à soi seul. Le format laisse de la place aux ateliers l'après-midi, ce qui change de ces conférences où l'on t'assomme de keynotes du matin au soir sans jamais toucher un clavier. Tu vas y entendre beaucoup parler de dépendance à un cloud étranger et de boîtes noires.
KCD Provence - 10/12/2026 - Aix-en-Provence
Les Kubernetes Community Days posent leurs valises au Palais des Congrès d'Aix-en-Provence pour une journée entière, avec le programme habituel de talks, de retours de galère vécue et de discussions de couloir qui valent souvent mieux que les slides. Tu y croiseras des gens qui te parleront de leurs CRD maison avec des étoiles dans les yeux, et c'est très bien comme ça. La billetterie est ouverte ; l'appel à sujets, lui, est clos depuis septembre.
aMP Day Luxembourg - 17/12/2026 - Luxembourg
Une journée communautaire Azure, Microsoft 365 et Power Platform, version grand-duché, portée par la communauté aMP. Le programme est en ligne, et l'inscription, gratuite mais obligatoire, est ouverte. Mets un rappel dans ton agenda si le sujet te parle. Si tu fais du .NET dans le Grand Est, c'est à une heure de train et ça reste une journée sympa.
Merci Aurélie Vache pour son agenda des conférences !
OFFRES D'EMPLOI
Des employeurs qui cherchent des pros de l’IT. Offres sourcées et récentes.
Senior Backend Go developer, équipe Search - leboncoin - Paris
leboncoin, c'est 28 millions de visiteurs par mois, et la recherche est la porte d'entrée de presque tout ce trafic : si elle rame, c'est le site entier qui rame. Tu y feras du Go sur les services qui répondent à « je cherche une tondeuse pas chère à 20 km de chez moi ». Poste senior, en CDI. L'équipe utilise ses propres services tous les jours, ce qui change pas mal de choses quand il faut arbitrer entre dette et fonctionnalité.
Senior Site Reliability Engineer, Observabilité - Doctolib - Paris
L'équipe Core Reliability & Observability cherche un SRE senior pour porter la stratégie logs, métriques, traces et alerting d'une plateforme qui voit passer 400 000 soignants et 80 millions de patients, avec l'ambition d'en faire une référence européenne du debug à distance. Tu seras d'astreinte, et tu passeras une bonne partie de ton temps à réduire le bruit des alertes plutôt qu'à en ajouter. Moins glamour que ça en a l'air. C'est précisément pour ça que c'est utile, et je trouve que ce genre de poste dit beaucoup d'une boîte.
Senior Software Engineer, ATOM - Datadog - Paris
L'équipe ATOM construit une plateforme qui automatise les opérations et la maintenance des systèmes critiques, avec de l'IA dans la boucle et l'ambition affichée de retirer du toil aux équipes d'infra. Poste senior à Paris, sur du greenfield : architecture à poser, produit à cadrer avec les premiers utilisateurs. Tu utiliseras sans doute Datadog pour surveiller Datadog, et oui, l'ironie est assumée.
Senior Développeur Go, API Platform - OVHcloud - Paris
Tu travailleras sur les briques d'exposition des API d'OVHcloud, celles qui servent eu.api.ovh.com côté clients et le back-office côté employés, dans une équipe qui maintient aussi les outils que les devs adorent détester, du provider Terraform à la CLI. Au programme : sécurité, expérience client, et pas mal de compatibilité à ne pas casser. Le cloud souverain, vu d'ici, c'est moins un slogan qu'un paquet de code à maintenir et une masse de clients à ne pas fâcher.
Senior Software Engineer, Kubernetes - Scaleway - Lille
Scaleway recrute un spécialiste Kubernetes pour son équipe bases de données non relationnelles, Redis et MongoDB, avec Helm, ArgoCD ou Flux, du Go et du Terraform au quotidien. Des clusters à faire tourner pour de vrais clients, pas pour la démo de fin de sprint. Scaleway est certifiée HDS et sa qualification SecNumCloud est en cours, donc attends-toi à un background check avant de signer, et à des process un peu plus carrés qu'ailleurs.
Développeur Back-End Java - Cegid - Lyon
Cegid fait de la paie, de la RH et de la finance en cloud, et ce poste est sur XRP Ultimate, son ERP maison, dans une équipe d'une dizaine de personnes. Le produit tourne depuis des années. Du Java, à Lyon, sur un produit où la conformité réglementaire change tous les ans et où personne ne te pardonnera un arrondi. Si tu as déjà vu un bulletin de paie faux remonter jusqu'à la direction financière, tu vois le genre.
Ingénieur DevOps, chaîne image - Airbus Defence and Space - Toulouse
Les satellites SPOT, Pléiades et Pléiades Neo produisent des images d'observation de la Terre qui servent aux agriculteurs, aux assureurs, aux secours et parfois aux journalistes, et il faut bien quelqu'un pour fiabiliser l'infra qui les fabrique. C'est ce poste : automatisation, performance, et une bascule en cours vers le platform engineering. Toulouse, et un contexte un peu moins banal que ta moyenne.
Cybersecurity Engineer, authentification et paiements - Betclic - Bordeaux
Un poste de sécurité embarqué dans les squads qui gèrent l'authentification, l'identité et les parcours de paiement, donc là où une erreur se paie cash et où personne n'a envie de découvrir le problème un dimanche soir en production. Revues de design, threat modeling, lecture de code, et un peu d'offensif quand ça vaut le coup. Betclic, 1 600 salariés, siège à Bordeaux. Le rythme est soutenu, et les concurrents ne dorment jamais.
LES DEMANDES DE STAGES, ALTERNANCES ET JOBS
Ici je te présente les demandes de stages, d'alternances et de jobs, des personnes qui m'ont contactées ou que j’ai trouvé sur internet.
Développeur fullstack orienté backend, à l'écoute d'opportunités - Emmanuel Adesipe - Télétravail - CDI ou missions freelance
Ce profil se présente comme un développeur fullstack orienté backend : des APIs, des pipelines et, de temps en temps, un frontend. TypeScript et Python au quotidien, Rust et Go de plus en plus, il indique être ouvert aux postes backend et fullstack en remote ainsi qu'à la mission freelance, et invite à le contacter en message privé.
UN PEU D'HUMOUR !
Project report
LES NEWSLETTERS QUE JE RECOMMANDE
RudeOps : La trêve des chapelles, et l'ennemi commun
Un édito sur Arch, sur les croisades Terraform contre OpenTofu et sur la seule guerre qui vaille encore : les espaces dans les noms de fichiers. Puis la veille habituelle : Linux, Kubernetes, OpenTelemetry, sécurité, CI/CD et une pépite sur l'ownership des services, ce qu'on ne sait jamais avant que ça tombe.
Bearstech : La veille des Ours tape fort sur les mainteneurs
Bearstech sort les poids de Mistral Large 4 et raconte le Danemark qui renonce à remplacer Office par Collabora. Puis il pose les chiffres qui font mal sur l'open source : 59 % des mainteneurs voient arriver plus de contributions, 52 % passent plus de temps à les trier, et un quart des merge requests ne valent pas le détour. Quatre outils dans la section redécouvertes : Beszel pour la supervision, Infisical pour les secrets, Coolify pour le PaaS maison. Et OpenObserve pour l'observabilité. Court, linké, dix minutes de lecture et tu as de quoi tenir la semaine.
La veille de Camille Roux, et le DNS français qui rétrécit
Vingt-quatre liens, et un sommaire qui ne tourne pas autour du pot : Quad9 coupe son résolveur DNS en France après une décision de justice obtenue par beIN, LayerFS file un workspace par agent IA sur un historique partagé, et Claude Code passe en multijoueur : un collègue rejoint ta session avec /delta join et récupère ton code non commité. Tout est lu et commenté à la main, ce qui devient rare.
#LaPetiteInfoDuJour
Deux miroirs, et tu mesures des nanomètres
Olivier Poncet exhume Jean-Baptiste Gaspard Gustave Alfred Perot, l'homme derrière l'interféromètre de Fabry-Pérot avec Charles Fabry. Le principe est bête : deux miroirs face à face, tu fais entrer la lumière, et les franges d'interférence te donnent des déplacements de l'ordre du nanomètre. On retrouve ces cavités dans les filtres optiques, les lasers et les détecteurs d'ondes gravitationnelles. Pas mal, pour un nom que tu n'as jamais lu.
🤝 Comment soutenir cette newsletter ?
Un immense merci aux personnes qui ont déjà sauté le pas 💜
Si la newsletter t'apporte de la valeur, tu peux me soutenir dès aujourd'hui avec un abonnement annuel à seulement 9 €/an à vie. Tu auras alors accès à tous les contenus exclusifs (en cours de préparation).
Offre exceptionnelle et limitée dans le temps → Plus tu attendras, plus le prix augmentera pour les futurs abonnés lors de l'ajout des contenus exclusifs.
C'est le meilleur moment pour verrouiller ce tarif à vie.
Merci d'avance 💜
Des alternatives pour me soutenir ? Bien sûr !
- Ta prochaine commande Amazon avec mon lien d'affiliation
- J'utilise Starlink à la maison et j'en suis plus que satisfait. Si ça te tente, profitons chacun d'un mois gratuit
- Découvre des milliers de tutos gratuits dans de nombreux domaines avec l'équipe géniale de Tuto
LE MOT DE LA FIN
Et voilà, c'est tout pour ce numéro 191 !
Merci pour ta fidélité, et rendez-vous la semaine prochaine pour un nouveau numéro.
En attendant, prends soin de toi !
Fred
Écrit par
Restez informé
Les nouveaux articles arrivent directement dans votre boîte mail. Pas de spam, désabonnement à tout moment.
À lire aussi
Un agent OpenAI pirate Medicare, l'Australie exige des comptes — Quoi de neuf les devs? #190
Un agent OpenAI pirate Medicare, l'Australie exige des comptes — interview d'Alban Speckaert (BlackShield Intel) et actu dev de la semaine
6 oct. 2026
Jusqu'à 2,9 milliards de commits par mois : Keep Calm and Stay Focused — Quoi de neuf les devs? #188
Votre dose d'infos tech infusée par un dev pour les devs — Numéro de la rentrée 2026
1 sept. 2026
Quoi de neuf les devs? #187 - Meta renoue avec les poids ouverts : l'IA s'installe chez vous, le fisc se fait pirater
Meta renoue avec les poids ouverts, le fisc se fait pirater.
16 août 20260 Commentaire
Sur d'autres blogs
Pas encore de commentaire. Soyez le premier !