HN Digest
Briefing personnel.

Lire vite.
Garder l'essentiel.

Les meilleurs longs formats de Hacker News, relus plus calmement.

11890 articles Page 825/1189 Sans filtre

Laguna XS.2 and M.1

L'équipe a publié deux modèles de la famille Laguna, Laguna M.1 (MoE 225B paramètres totaux, 23B activés) et Laguna XS.2 (33B totaux, 3B activés), le second étant le premier modèle à poids ouverts disponible sous licence Apache 2.0. Les deux modèles sont des modèles de codage agentiques conçus pour des tâches à long horizon, accessibles gratuitement pendant une durée limitée via l'API et OpenRouter, et les poids de XS.2 sont téléchargeables. Laguna M.1 a été préentraîné sur environ 30T de tokens et obtient des performances élevées sur des benchmarks (par ex. SWE‑bench Pro 46,9 % et Terminal‑Bench 2.0 40,7 %), tandis que XS.2, également entraîné sur ~30T, atteint 44,5 % et 30,1 % respectivement. La construction des modèles a mobilisé une équipe d'environ 60 personnes et reposé sur un entraînement from‑scratch sur matériel NVIDIA en utilisant l'optimiseur Muon, des innovations de mixage de données via l'automixer et l'utilisation de données synthétiques (environ 13 % du mélange, ~4,4T tokens) pour améliorer les capacités de code et de raisonnement. Ils publient aussi leur agent harness (ACP/pool) pour l'entraînement RL asynchrone sur rollouts longs et l'exécution d'agents outils, prévoient un support étendu pour les frameworks, et proposent un accompagnement aux chercheurs, startups et partenaires demandant un accès élargi.

AISLE Discovers 38 CVEs in OpenEMR Healthcare Software

Les systèmes de santé se numérisent plus rapidement que leurs pratiques de sécurité ne suivent, tandis que des attaquants utilisent l'IA pour trouver des vulnérabilités plus vite. OpenEMR est une plateforme de dossier médical open source très répandue, utilisée par plus de 100 000 prestataires et couvrant plus de 200 millions de patients, rendant sa protection essentielle. Lors du premier trimestre 2026, l'analyseur IA AISLE a détecté 38 CVE dans OpenEMR, dont des injections SQL critiques (par exemple CVE-2026-24908 et CVE-2026-23627) et un contournement du compartiment patient FHIR (CVE-2026-24487) permettant l'accès ou la modification massive de données patients. AISLE a proposé des correctifs natifs au dépôt qui ont été repris ou adaptés par les mainteneurs, et la plupart des correctifs ont été livrés dans OpenEMR 8.0 et les correctifs suivants en quelques semaines. La collaboration formalisée intègre désormais l'analyseur AISLE PRO dans le flux de revue de code d'OpenEMR pour détecter et prévenir les vulnérabilités avant mise en production.

Carrot Disclosure: Forgejo

Après le passage de Fedora de Pagure à Forgejo, l'auteur a réalisé un audit rapide et a trouvé un grand nombre de failles de sécurité dans le code. Les problèmes identifiés incluent des SSRF, l'absence de CSP/Trusted-Types, de mauvaises pratiques cryptographiques, des erreurs d'authentification (OAuth2, OTP, gestion des sessions), des fuites d'information et des possibilités de DoS et de TOCTOU. L'auteur a réussi à enchaîner plusieurs vulnérabilités pour démontrer une exécution de code à distance, des fuites de secrets, des accès persistants à des comptes et des élévations de privilèges OAuth2, tout en notant que l'exploit RCE dépend d'options de configuration spécifiques. Plutôt que de publier systématiquement, il a envisagé la "carrot disclosure", une stratégie consistant à divulguer une preuve partiellement censurée pour pousser le fournisseur à corriger les problèmes sans fournir de détails exploitables. Il a contacté Forgejo via leur politique de sécurité et indique qu'il pourrait trouver d'autres enchaînements vulnérables ou soumettre des correctifs, mais il n'a pas encore pris de décision définitive sur la divulgation complète.

Claude.ai unavailable and elevated errors on the API

Un incident a empêché l'accès à Claude.ai et a provoqué des erreurs d'authentification sur l'API et Claude Code, affectant également Claude Console, Claude Cowork et Claude pour le gouvernement. L'équipe a commencé à enquêter à 17:41 UTC et a identifié l'origine des erreurs à 17:51 UTC. Des mesures correctives ont été appliquées pour corriger les erreurs d'authentification et rétablir les accès. L'impact a eu lieu de 17:34 à 18:52 UTC et les taux de réussite des services sont revenus à la normale, la situation restant surveillée. Le service est désormais opérationnel et l'incident est clos.

Your Terminal Is Burning Battery Like It's Mining Bitcoin

L'auteur constate une décharge rapide de la batterie sur son MacBook Air M3 alors qu'il n'utilisait qu'un terminal pour coder. Activity Monitor identifie Ghostty comme responsable avec une consommation accumulée de 3 600 sur 12 heures, contre 125 pour Brave, 99 pour Zoom et 46 pour Claude. Les terminaux GPU-accélérés rendent chaque caractère et animation via le pipeline graphique et empêchent souvent macOS d'activer l'App Nap, ce qui augmente fortement la consommation énergétique. Solutions proposées: utiliser Terminal.app qui utilise le rendu CPU et entre correctement en App Nap, ou créer dans iTerm2 un profil "Battery" désactivant le rendu GPU et le basculer manuellement ou automatiquement via un script. Ghostty n'offre pas d'option pour désactiver le rendu GPU et oblige à des compromis (minimiser la fenêtre, réduire les animations), ce qui illustre que les outils modernes peuvent privilégier la performance au détriment de l'efficacité énergétique.

Waymo in Portland

Waymo annonce son arrivée à Portland et affirme collaborer avec les autorités étatiques et municipales ainsi que des partenaires communautaires pour établir un cadre réglementaire en vue d'un déploiement. L'entreprise commence par conduire manuellement ses véhicules pour familiariser le système Waymo Driver avec les particularités des rues de la ville, y compris ses ponts et ses corridors souvent humides. Waymo met en avant son cadre rigoureux de sécurité et indique que le Waymo Driver a entraîné une réduction d'un facteur 13 des accidents avec blessures graves dans les villes où il opère, en lien avec les objectifs Vision Zero de Portland. Des responsables locaux et des organisations comme MADD ont salué le potentiel des véhicules autonomes pour améliorer la sécurité routière et prévenir la conduite sous influence. Les personnes intéressées sont invitées à s'inscrire pour recevoir des mises à jour et figurer parmi les premiers usagers lorsque le service sera disponible.

A playable DOOM MCP app

Un développeur a créé une application MCP qui lance une session jouable de DOOM inline dans des hôtes MCP compatibles comme ChatGPT et Claude, et redirige vers une URL de navigateur lorsqu'il n'y a pas de support inline. L'architecture est volontairement simple : un petit serveur MCP en TypeScript, une interface navigateur utilisant cloudflare/doom-wasm, un flux de jetons signés transmis via l'URL de lancement, et un déploiement Netlify sous chrisnager.com/doom/*. Le principal défi a été l'intégration inline face aux restrictions d'iframe, CSP et politiques d'hébergement, résolu en exécutant le canvas DOOM directement dans l'iframe de l'hôte plutôt qu'en imbriquant des pages. Le projet utilise Freedoom Phase 1 pour le contenu redistribuable, a éliminé des fonctionnalités non essentielles et a simplifié le flux autour de deux outils principaux : create_doom_session pour les hôtes inline et get_doom_launch_url en fallback. La version finale peut démarrer la même session via un modèle de jeton signé aussi bien inline que dans le navigateur, reste auto‑contenue pour éviter la dépendance à un stockage côté serveur, et vise à démontrer la faisabilité plutôt que la maximalité fonctionnelle.

Patch applies fake diffs from commit messages

GitHub fournit des patches au format mail via des URLs .patch qui peuvent être téléchargés et appliqués avec GNU patch. Si le message de commit contient un texte au format diff, GNU patch peut l'appliquer comme s'il faisait partie du patch réel, entraînant la création de fichiers non prévus par le commit. Un exemple public montre un commit qui modifie seulement readme.md tandis que le message inclut un faux diff ajoutant SHOULD_NOT_BE_HERE.md, et wget suivi de patch applique les deux. git apply et git am rejettent les chemins .git mais acceptent néanmoins des diffs injectés affectant des fichiers du répertoire de travail, alors que git cherry-pick traite les objets Git directement. Il n'est pas encore établi si la cause est GNU patch, l'export .patch ou le format de patch, et il est conseillé d'examiner attentivement les messages de commit avant d'appliquer des patches récupérés.