HN Digest
Briefing personnel.

Lire vite.
Garder l'essentiel.

Les meilleurs longs formats de Hacker News, relus plus calmement.

11474 articles Page 91/1148 Sans filtre

Sourcehut account takeover via build logs (XSS in ansi2html)

L'auteur explique qu'il a audité SourceHut et les paquets ansi2html en cherchant à corriger un problème d'affichage dans les logs de build. Il a découvert qu'ansi2html convertit mal les séquences OSC 8 en HTML et permettait des hyperliens malformés ou en javascript, entraînant des XSS dans les pages de logs de builds.sr.ht. L'exploitation permettrait à un attaquant sans privilège d'injecter du JavaScript exécutable dans les logs, de lire des jetons CSRF et de resoumettre des jobs pour accéder potentiellement aux clés de déploiement, rendant la faille susceptible de propagation automatisée et ayant un fort impact sur la confidentialité et l'intégrité. Après signalement, SourceHut a appliqué une mitigation côté builds.sr.ht et les mainteneurs d'ansi2html ont publié des correctifs aboutissant à la version 1.9.4, suivis de mises à jour distribuées. L'article fournit les versions vulnérables, des indicateurs de compromission pour détecter les séquences OSC 8 malicieuses dans les logs et recommande des mesures de défense en profondeur comme un Content-Security-Policy strict et une sanitisation accrue.

blog.arusekk.pl Resume pret HTTP 200 Commentaires

Security auditing in the age of (good enough) AI

Avant même la revue de code, des agents ont été utilisés pour développer des outils personnalisés et des modèles formels afin d'améliorer la qualité et la profondeur de l'audit. Pour l'audit du Miden VM et de son langage d'assemblage MASM, l'équipe a passé six mois à faire générer par des agents un serveur LSP, un décompilateur, un moteur d'analyse statique et un modèle Lean de l'exécuteur. Les outils ont identifié plus de 400 emplacements où la validation de type pouvait être améliorée et ont découvert une vulnérabilité critique dans mod_12289 permettant potentiellement à un prouveur malveillant de forger des signatures Falcon et de dérober des fonds. Le travail formel a généré 95 preuves vérifiées par machine couvrant les composants arithmétiques binaires et a permis de révéler deux bugs subtils non détectés par les tests unitaires, l'un dans la rotation droite 64 bits et l'autre dans la multiplication 256 bits. Grâce aux agents automatisés, ces projets exploratoires sont devenus économiquement viables, les outils développés ont été adoptés par l'équipe Miden et devraient renforcer la sécurité lors des mises à jour futures.

blog.trailofbits.com Resume pret HTTP 200 Commentaires

California is chasing wealth that has feet

La Californie a certifié pour le scrutin de novembre une taxe unique de 5 % sur les milliardaires, payable sur cinq ans, visant à dégager environ 20 milliards de dollars par an pour la santé, l'aide alimentaire et les écoles. Les auteurs expliquent que cette taxe risque d'échouer parce que les milliardaires sont mobiles et peuvent changer de domicile fiscal, alors que la terre est immobile et représente une base fiscale beaucoup plus vaste et stable, évaluée à environ 8,14 billions de dollars (environ 8 140 milliards). Ils soulignent que la proposition surestime la base imposable en raison de la fuite de résidents fortunés — plusieurs milliardaires ont déjà quitté l'État — ce qui obligerait à relever le taux et encouragerait de nouvelles sorties de capitaux. Selon leur calcul, une taxe sur la valeur foncière de seulement 0,25 % rapporterait les mêmes 20 milliards par an et une taxe d'environ 1 % pourrait financer en permanence le budget californien de santé et services sociaux de 87 milliards de dollars. Les auteurs concluent que la taxation de la valeur foncière est plus efficace et difficilement évitable, qu’elle capture les plus-values créées par la collectivité et qu’elle s’attaque au problème structurel hérité de la Proposition 13 plutôt que de s’appuyer sur des taxes sur la richesse mobile.

blog.landeconomics.org Resume pret HTTP 200 Commentaires

The Board Game of the Alpha Nerds (2014)

Lors d'un tournoi à Dixiecon, l'auteur décrit une partie de Diplomacy qui a dégénéré en trahisons, humiliations et tensions émotionnelles intenses. Le texte retrace aussi l'histoire du jeu, créé en 1954 par Allan B. Calhamer, diffusé via jeux par correspondance et fanzines, et structuré par des rassemblements comme DipCon et le World DipCon, où des figures comme Edi Birsan ont beaucoup influé sur la communauté. Les règles simples — déplacements simultanés et absence de hasard — font de la négociation le cœur du jeu, ce qui le rend à la fois captivant et particulièrement propice aux conflits interpersonnels. La communauté est divisée entre joueurs coopératifs dits «care bears» et «tournament sharks» visant le solo, ce qui alimente une culture parfois toxique, des incidents de colère, des problèmes de rétention et une faible diversité parmi les participants. Des vétérans comme Edi Birsan affirment que Diplomacy est autant un jeu de confiance qu'un exercice stratégique et que, malgré les blessures et les controverses, il reflète des dilemmes de la vie réelle et inspire certains joueurs à privilégier l'honneur et la discussion plutôt que la trahison systématique.

grantland.com Resume pret HTTP 200 Commentaires

Book review: Is parallel programming hard, and, if so, what can you do about it?

L'auteur du compte rendu, issu d'un parcours en TLA+ et en systèmes distribués, a entamé la lecture après une conférence qui l'a poussé à approfondir la concurrence, et il a lu le livre pendant des vacances au Canada. Le manuel est proposé en plusieurs formats PDF, mais l'abondance de liens internes rend la navigation sur liseuse tactile frustrante. Les premiers chapitres présentent clairement le matériel et les habitudes du processeur, et le lecteur a regretté l'absence d'une explication basique du protocole MESI qui aurait aidé à comprendre les effets de cache et l'impossibilité d'écritures littéralement concurrentes. Le chapitre sur les optimisations compilateur et les comportements processeur met en garde contre des transformations surprenantes, tandis que le chapitre sur le comptage explore de nombreuses techniques de comptage parallèle, souligne le problème du false sharing et aboutit à une solution avancée que le lecteur n'a pas entièrement assimilée. Globalement l'ouvrage est jugé excellent et stimulant, suscitant l'envie d'approfondir la programmation parallèle et d'étudier des sujets comme les collecteurs de déchets haute performance, tout en notant des lacunes sur la formalisation moderne des atomiques et sur le traitement détaillé du lock-free et de l'ordonnancement mémoire.

ahelwer.ca Resume pret HTTP 200 Commentaires

Writing Parquet files using Haskell

Les auteurs ont implémenté un écrivain Parquet dans DataHaskell/Dataframe avec une API simple (writeParquet) et une variante configurable (writeParquetWithOptions) pour produire des fichiers Parquet avec des valeurs par défaut raisonnables ou des options fines. L'article décrit la structure d'un fichier Parquet: une suite de row groups contenant des column chunks, eux‑mêmes composés de pages de données, et des métadonnées en fin de fichier pour localiser les chunks et stocker statistiques et filtres. Les options d'écriture exposent des paramètres comme pageSize, rowGroupSize, batchRows, subBatchRows, compressionCodec, strategy et maxRowsPerFile, et l'écrivain écrit par lots et sous‑lots pour approcher les tailles cibles tout en synchronisant le nombre de lignes par column chunk. L'implémentation utilise des buffers mémoire mutables (pinned MutableByteArray) gérés via IORef, un état composé de ColumnChunkState et PageState, et une boucle principale qui effectue un fold effectif sur le DataFrame en assemblant des pages puis en flushant des row groups sur disque. Actuellement le writer est mono‑thread, supporte Snappy et l'absence de compression, l'encodage Plain et des niveaux de définition limités à 1, et les améliorations prévues incluent plus de compressions/encodages, la parallélisation, l'ajout de statistiques/bloom filters et le basculement partiel vers des tampons sur disque pour réduire la mémoire.

www.datahaskell.org Resume pret HTTP 200 Commentaires

Two-tier encryption in the UK

Deux utilisateurs britanniques aux appareils identiques peuvent se retrouver avec des niveaux différents de protection iCloud parce qu'Apple a retiré l'option Advanced Data Protection (ADP) pour les nouveaux comptes au Royaume-Uni. ADP étend le chiffrement de bout en bout à des catégories supplémentaires de données iCloud que même Apple ne peut déchiffrer, contrairement à la protection standard où Apple détient les clés. Selon des révélations de presse, le gouvernement britannique a émis un Technical Capability Notice en vertu de l'Investigatory Powers Act exigeant que des capacités soient mises en place pour accéder aux données protégées, ce que Apple a estimé incompatible avec la sécurité des utilisateurs. Plutôt que de créer une backdoor, Apple a choisi de rendre ADP indisponible pour les nouveaux utilisateurs britanniques, ce qui a entraîné une situation à deux vitesses et des contestations juridiques et politiques. La décision et le secret entourant les notices techniques ont déclenché des recours devant l'Investigatory Powers Tribunal et des critiques d'organisations de défense de la vie privée et de responsables publics au Royaume-Uni et aux États-Unis, qui soulignent les risques pour la sécurité et la transparence.

macanorak.com Resume pret HTTP 200 Commentaires

Google’s Project Suncatcher to put ML infrastructure in space

Après des années de recherche, l'équipe de Project Suncatcher va lancer un premier satellite prototype en rideshare sur Transporter-18 pour évaluer le comportement des TPU de Google en orbite. Les essais au sol ont soumis le matériel à des vibrations et à des accélérations élevées pour simuler le lancement, et des tests de radiation en faisceau de protons ont montré que les TPU supportent une dose ionisante totale supérieure à celle attendue sur cinq ans. Le refroidissement reste un défi majeur en l'absence d'air, et l'équipe développe et a testé en chambre thermovide des solutions combinant caloducs et radiateurs pour dissiper la chaleur des puces. À terme, les satellites devraient embarquer des dizaines de TPU et se connecter entre eux par lasers haute bande passante sur de courtes distances pour répartir des charges d'IA, ce qui exigera une précision extrême et des essais supplémentaires prévus en 2027. Cette première mission vise principalement à recueillir des données en orbite pour identifier les défaillances et affiner les conceptions avant des lancements ultérieurs dans le cadre d'une progression méthodique vers une infrastructure d'informatique d'IA évolutive dans l'espace.

blog.google Resume pret HTTP 200 Commentaires

Using LLMs to trace alchemical knowledge and decode 17th century letters

Les modèles de pointe comme GPT‑6 Sol et Opus 5.5 montrent qu'en appui à des historiens organisés ils peuvent non seulement effectuer des tâches d'assistant de recherche mais aussi aider à résoudre certains problèmes historiques. L'auteur définit des critères de « traçabilité » pour ces tâches : problèmes identifiés par des experts, sources entièrement numérisées et accessibles, appui sur des capacités pointues (raisonnement multilingue, mathématiques avancées, recherche autonome), possibilité d'écrire du code sur mesure et aptitude à prouver ou réfuter une solution. Les études de cas comprennent des percées en cryptographie historique (Astra déchiffrant un message Enigma de 1941 et retrouvant des références d'archives), la reconnaissance de passages traduits (une traduction latine de Newton identifiée) et l'analyse du Liber Loagaeth de John Dee qui apparaît majoritairement comme des syllabes sans sens avec au moins un passage porteur de sens. Opus 5.5 a aussi retrouvé des parallèles utiles entre Newton et Samuel Hartlib, en repérant des anagrammes pour « vitriolum » et des correspondances de quantités suggérant que Newton aurait puisé dans les manuscrits de Hartlib, tout en étant capable de vérifier des décryptages antérieurs déjà publiés. L'article conclut en recommandant une collaboration soutenue entre laboratoires d'IA, historiens et archives — numérisation accrue, accès API/compute pour chercheurs et financement coordonné — tout en soulignant les limites, la nature parfois opaque des recherches automatisées et la nécessité d'une expertise humaine.

resobscura.substack.com Resume pret HTTP 200 Commentaires