Securing a DoD contractor: Finding a multi-tenant authorization vulnerability
Resume indisponible pour cet article.
05 May 2026
06:02
Edition quotidienne
Lire vite. Garder l'essentiel.
Les meilleurs longs formats de Hacker News, relus plus calmement.
05 May 2026
06:01
When Networking Doesn't Work
L'auteur a passé beaucoup de temps à résoudre un problème où des outils IPMI sous Windows 11 ne recevaient pas de réponses malgré la présence de trafic réseau valide. Les tests montrent que les mêmes communications fonctionnent sous Linux et sur quelques machines Windows, mais échouent sur d'autres machines Windows équipées de cartes Intel. Wireshark a prouvé que les paquets UDP arrivaient, tandis que PktMon a indiqué que la pile TCP/IP Windows rejetait ces paquets en signalant un "checksum is invalid". La cause a été identifiée comme une validation erronée des checksums en réception effectuée par le pilote/carte Intel, et la désactivation de l'IPv4 UDP Rx checksum offload a résolu le problème. L'auteur suppose que des interactions subtiles (par exemple liées au champ Packet ID ou à la gestion de la fragmentation) peuvent induire l'erreur et considère la désactivation de l'offload comme un contournement acceptable mais insatisfaisant.
05 May 2026
06:01
Gaps in national food production, worldwide
Les auteurs comparent la production alimentaire nationale de 2020, issue des tableaux d'équilibre alimentaire de la FAO, aux recommandations du régime Livewell du WWF pour sept groupes alimentaires afin d'évaluer l'autosuffisance de 186–187 pays. Les résultats montrent que la plupart des pays ne couvrent pas tous leurs besoins nutritionnels: une seule nation (la Guyane) est autosuffisante pour les sept groupes, la Chine et le Vietnam pour six, six pays n'atteignent aucun groupe, et plus d'un tiers des pays couvrent deux groupes ou moins. Par groupe, 65 % des pays sont autosuffisants en viande, seulement 44 % le sont en produits laitiers, 25 % en poissons et fruits de mer, et les proportions sont de 45 % pour les féculents, 46 % pour les légumineuses/noix/graines, 47 % pour les fruits et 24 % pour les légumes. Le commerce intrarégional améliore souvent l'autosuffisance mais expose aussi à des risques lorsque les pays dépendent d'un nombre limité de partenaires fournisseurs, d'où l'importance de la « response diversity » et de la diversification des importations. Les projections à 2032 prévoient des gains surtout pour la viande et certaines cultures végétales, des améliorations limitées pour les produits laitiers et la pêche, et les auteurs concluent que des politiques de coopération internationale, d'investissement technologique et de diversification commerciale sont nécessaires pour renforcer la résilience alimentaire.
05 May 2026
06:01
Agent Skills
Les agents de code IA tendent à sauter les parties non visibles dans le diff — spécifications, tests, revues et discipline de périmètre — ce qui reproduit l'erreur que les ingénieurs seniors apprennent à éviter. Dans Agent Skills, une « skill » est un fichier Markdown avec frontmatter qui définit un workflow exécutable par l'agent, composé d'étapes, de points de contrôle produisant des preuves et d'un critère de sortie, plutôt qu'un essai de bonnes pratiques. La bibliothèque rassemble une vingtaine de skills organisés autour des phases du cycle de vie (spécifier, planifier, construire, vérifier, réviser, déployer) exposées par des commandes slash et activées progressivement en fonction du contexte, afin d'aligner l'agent sur le SDLC humain et d'adapter le flux à l'ampleur du travail. Cinq décisions de conception portent le projet : privilégier le process sur la prose, inclure des tableaux anti-rationalisation pour contrer les excuses, imposer la vérification comme critère de sortie, révéler progressivement les skills utiles et appliquer une discipline stricte de périmètre. Les skills sont utilisables via marketplace, import de Markdown ou simple lecture comme guide de bonnes pratiques, et leurs patterns (anti-rationalisation, preuves de fin de tâche, router de règles, cinq non-négociables) sont conseillés même sans déploiement.
05 May 2026
06:01
The Car That Watches You Back: The Advertising Infrastructure of Modern Cars
Resume indisponible pour cet article.
05 May 2026
06:01
How OpenAI delivers low-latency voice AI at scale
Resume indisponible pour cet article.
05 May 2026
06:01
Pulitzer Prize Winner in International Reporting
Resume indisponible pour cet article.
05 May 2026
06:00
CVE-2026-31431: Copy Fail vs. rootless containers
L'auteur a reproduit et désassemblé l'exploit public pour CVE-2026-31431 et a montré que le payload est un petit exécutable ELF injecté en remplaçant les pages de /usr/bin/su dans le page cache. Le mécanisme exploite l'API AF_ALG avec sendmsg et splice pour déposer des blocs de quatre octets issus du binaire malveillant directement dans le cache de pages via un « scratch write » du noyau, contournant ainsi les permissions de fichier. En exécutant l'exploit dans un conteneur rootless Podman, l'attaque obtient bien un shell root dans l'espace de noms, mais ce UID 0 est mappé sur un UID non privilégié de l'hôte (par exemple 1000), empêchant toute élévation de privilèges sur l'hôte. Pour tracer le comportement, l'auteur a utilisé strace dans le conteneur et bpftrace sur l'hôte, montrant que ptrace provoque une transition secureexec qui masque l'appel setuid(0) tandis que bpftrace capture la réponse du noyau (EPERM ou succès) selon le cas. La conclusion est que l'architecture rootless réduit fortement le risque d'escalade vers l'hôte, mais le partage du page cache entre conteneurs peut permettre d'empoisonner d'autres conteneurs utilisant les mêmes couches d'image, ce qui motive l'exploration d'options comme des microVMs éphémères ou des protections de flux CI par eBPF/CoreDNS.
05 May 2026
06:00
Train Your Own LLM from Scratch
Cet atelier pratique propose d'implémenter soi‑même toutes les pièces d'un pipeline d'entraînement d'un modèle de type GPT afin de comprendre chaque composant. Inspiré par nanoGPT d'Andrej Karpathy, le projet réduit l'architecture aux essentiels pour pouvoir entraîner un modèle d'environ 10 millions de paramètres sur un ordinateur portable en moins d'une heure. Les participants écrivent un tokenizer, l'architecture transformer (embeddings, attention, MLP), la boucle d'entraînement (loss, optimiseur, scheduling) et le code de génération de texte. Le didacticiel couvre une progression en six parties (tokenisation, modèle, entraînement, génération, expérimentations et compétition), fonctionne sur MPS/CUDA/CPU ou Google Colab et nécessite Python 3.12+. Il privilégie une tokenisation au niveau des caractères pour petits jeux de données comme Shakespeare, explique pourquoi le BPE est inadapté ici et propose des configurations de modèles (tiny, small, medium) et références pour aller plus loin.
05 May 2026
06:00
Bun is being ported from Zig to Rust
La plateforme présente des outils d'IA conçus pour aider à la création de code et au déploiement d'applications intelligentes. Elle propose des workflows développeur incluant l'automatisation des tâches, des environnements de développement instantanés, la gestion des issues et la revue de code. Des fonctionnalités de sécurité applicative et de protection des secrets permettent de détecter et corriger les vulnérabilités pendant le cycle de développement. Le site centralise documentation, support, communauté, programmes et ressources adaptées à différentes tailles d'entreprise, cas d'usage et industries. Des offres et extensions professionnelles couvrent des options enterprise, des services premium, des modèles IA, et des registres pour intégrer des outils externes.