VeilleTech — 2026-09-01

01 SYMFONY Article

Symfony vérifie vos routes dans la CI

Symfony31 août2 min de lecture

Symfony CLI 5.20 ajoute symfony lsp:check, une version sans éditeur des diagnostics Symfony : routes, templates, traductions, services, configuration. Trente codes de diagnostic, exécutables en CI avec une sortie JSON, GitHub ou SARIF. Ce que PHPStan ne voit pas parce qu'il travaille au niveau des types et dans les fichiers PHP.

Symfony CLI 5.20.0 minimum ; sinon binaire symfony-lsp depuis les GitHub Releases, mêmes options
30 codes de diagnostic listés par symfony lsp:check --list-codes ; --format=json, --format=github ou --format=sarif
Analyse runtime par défaut (boot réel de l'app) ; --source-only pour une CI qui n'exécute pas le code

Vos agents inventent des routes. Cette commande les rattrape.

Lire la fiche Source

02 SÉCURITÉ Faille

Fire Ant : le routeur qui filtre ses logs

The Hacker News31 août2 min de lecture

Sygnia décrit une intrusion où Fire Ant, groupe lié à la Chine, transforme des routeurs Cisco IOS XR en plateformes de collecte : capture de trafic, vol d'identifiants TACACS et suppression ciblée des journaux. Le recouvrement avec UNC3886 est jugé fort, sans attribution formelle.

Identifiants TACACS volés par injection dans tac_plus (injecteur acppid), écrits dans /var/log/.tacplus.acct, XOR 1 octet 0xEF
BridgeAgent : backdoor Linux déguisée en agent Zabbix, unité zabbix_agent.service en root, processus masqué en /usr/bin/gnome-shell, TLS port 443
Indice initial : un tunnel GRE actif sur un routeur IOS XR sans running configuration ni commit history ; rootkits Medusa et REPTILE sur les hôtes Linux

Quand l'attaquant tient le routeur, il tient aussi le récit.

Lire la fiche Source

03 SÉCURITÉ Faille

Aurora : un agent Cursor dans l'intrusion

The Hacker News31 août3 min de lecture

Deux analyses indépendantes, à partir d'un répertoire ouvert, montrent les opérateurs d'Aurora utilisant Cursor Agent pour planifier et exécuter des phases d'intrusion. Le fait notable n'est pas la puissance de l'agent — la plupart de ses commandes échouaient d'abord — mais la baisse du coût d'une attaque manuelle.

Gambit Security : agent Cursor (Claude Sonnet) utilisé contre 10 cibles entre le 8 avril et le 21 mai 2026 ; CloudSEK compte plus de 20 organisations dans 9 pays entre avril et juillet
Chiffreurs en Zig depuis une seule base de code : sap.exe (Windows) et encrypt.out (Linux/ESXi) ; la variante ESXi tue les VM avant chiffrement
Accès initial documenté par Black Hills : email bombing puis appel en se faisant passer pour le support IT, accès distant via Xray-core ; part des affiliés entre 54 % et 79 % de la rançon

L'agent ne rend pas l'attaque meilleure, il la rend moins chère.

Lire la fiche Source

04 DEVOPS Article

Kubernetes réécrit vos objets stockés

Kubernetes31 août2 min de lecture

La Storage Version Migration passe GA dans Kubernetes v1.37 et son API est activée par défaut. Un objet StorageVersionMigration déclaratif suffit désormais à réécrire tous les objets d'une ressource dans la version de stockage courante — ce qu'il fallait faire jusqu'ici avec des scripts kubectl ou le composant externe kube-storage-version-migrator.

API storagemigration.k8s.io/v1, kind StorageVersionMigration ; contrôleur intégré au plan de contrôle, activé par défaut en v1.37
Deux cas d'usage : retirer une version d'une CRD (champ .status.storedVersions) et propager un chiffrement au repos ou une rotation de clé
Vérification : condition Succeeded=True sur l'objet ; si .status.storedVersions n'est pas mis à jour, la CRD a bougé pendant la migration, il faut relancer

Une clé tournée ne protège que ce qui a été réécrit.

Lire la fiche Source

05 LARAVEL Article

Boost déduit les conventions du projet

Laravel31 août3 min de lecture

Laravel raconte comment Boost extrait les conventions d'une base de code existante : la voie des détecteurs PHP déterministes a été abandonnée au profit d'une skill d'agent qui collecte des preuves et fait valider chaque règle. Le cœur du sujet est le tri — ce qui mérite d'être écrit dans les règles projet, et ce que les outils déterministes couvrent déjà.

Commande abandonnée : boost:infer-conventions, 5 détecteurs à la main (casse des enums, guarded/fillable, style de scope, syntaxe de validation) ; branche laissée non fusionnée
Skill retenue : ~49 dimensions de conventions en 10 groupes ; seuil de preuve = 3 exemples cohérents sans contre-exemple, validation développeur avant enregistrement
Enregistrement via le tool MCP record-rule de Boost : glob, title, note — RuleRepository::write() range la règle dans le fichier Markdown correspondant

Une règle utile est celle qu'un autre agent n'aurait pas devinée.

Lire la fiche Source

06 IA Article

Anthropic veut un MCP pour le matériel

heise Developer31 août2 min de lecture

Anthropic dévoile en avant-première le Model Hardware Standard, une couche de pilote qui doit permettre à des agents de piloter des appareils physiques comme MCP leur a ouvert les outils logiciels. Opérations read/write normalisées, découverte des appareils, et surtout un système d'étiquettes décrivant les contraintes physiques et les limites de sécurité.

MHS = couche de pilote entre OS et appareil, opérations de base « read » et « write », découverte dans un format de données unifié
Système de tags pour les métadonnées physiques : poids et portée d'un bras robotisé, puissance maximale d'un laser — décrites en langage naturel
Preview de recherche née avec le HHMI Janelia Research Campus ; partenaires cités : AWS (Strands Robots), Hugging Face (LeRobot), Raspberry Pi. Open source annoncé pour plus tard

MCP a ouvert les outils. Reste à ouvrir les machines.

Lire la fiche Source

07 IA Article

TimesFM-3 prévoit sans rien entraîner

Google Research31 août2 min de lecture

Google Research publie TimesFM-3, modèle de fondation pour séries temporelles nativement multivarié. Il accepte plusieurs cibles et des covariables passées comme futures en une seule passe, sans fine-tuning. Code sur GitHub et poids sur Hugging Face — c'est ce qui le rend utilisable dès maintenant.

330 millions de paramètres, pré-entraîné sur plus de 1 000 milliards de points temporels, patches de 32 pas de temps, architecture décodeur
Trois entrées : cibles multiples, covariables passées, covariables passé-futur (promotions, météo prévue) ; prévisions ponctuelles et quantiles
Bancs d'essai cités par les auteurs : Gift-Eval, FEV-Bench et Time, devant Chronos-2 et Toto 2.0 ; GitHub et Hugging Face disponibles, intégration BigQuery annoncée

Un modèle qu'on télécharge et qu'on branche, sans phase d'entraînement.

Lire la fiche Source

08 LINUX Article

Debian autorise l'IA sans la déclarer

heise Developer31 août2 min de lecture

Debian a voté : l'IA générative n'est ni interdite ni encadrée par des règles spéciales, et déclarer son usage reste facultatif. La responsabilité complète du contributeur, elle, est réaffirmée — comprendre, tester, assumer — avec une interdiction claire d'envoyer des données non publiques à un service externe.

Texte adopté : « Responsible Use of Generative AI », vainqueur en Condorcet — 203 contre 148, 210 contre 130, 232 contre 115 selon les duels
Pas d'obligation de marquage : la proposition concurrente prévoyait des trailers Git Generated-By: ou Assisted-By:, elle a perdu
Interdits explicites : envoyer à un service IA des communications privées, données personnelles, identifiants, clés cryptographiques ou failles non publiées ; actions automatisées de masse à discuter au préalable

Pas d'étiquette obligatoire. La responsabilité, elle, ne bouge pas.

Lire la fiche Source

09 SÉCURITÉ Faille

ValleyRAT : la DLL du binaire signé

The Hacker News31 août2 min de lecture

Kaspersky décrit une campagne de Silver Fox qui livre ValleyRAT (Winos 4.0) par DLL sideloading dans un utilitaire de fond d'écran chinois signé. La cible réelle, ce sont les exclusions antivirus que les utilisateurs posent sur les adwares tolérés — l'exclusion couvre alors la charge malveillante.

Chaîne : QnWallpaper.exe (signé) charge un libcef.dll malveillant du même dossier ; clé de registre DisableAntiSpyware, autorun, relance en runas si non-admin
IoC réseau : 103.45.66.18 ports 441, 442 et 443 ; 192.253.225.173 ports 6666 et 8888 ; domaine qnwallpaper[.]keansoft[.]cn ; dossier C:\Program Files\QNWallpaper\5.4.0.1662\
MD5 : c24e99f9437feacaa63766a3cde3fe3d (installeur), 07ddbbe2c71c45577a7a4fbcdba0df91 (libcef.dll), 8a626d844943da3456b044f38deae3a2

Une exclusion antivirus ne connaît pas le contenu du dossier.

Lire la fiche Source

10 CSS Article

CSS random() sort du seul Safari

CSS-Tricks31 août2 min de lecture

La fonction CSS random(), disponible dans Safari seul depuis fin 2025, devient utilisable ailleurs grâce à un polyfill publié en paquet npm par Lee Meyer. À réserver à l'ornement : la spécification est encore un brouillon d'éditeur en phase d'exploration, avec des ruptures annoncées.

Paquet css-random-polyfill ; les démos de test sont des forks de celles du blog WebKit, la migration demande de modifier le HTML avant que le CSS suive
Safari est le premier et pour l'instant le seul à implémenter random() ; travaux en cours côté Chrome et Firefox, sans date ni flag public
Spécification en editor's draft, phase d'exploration précoce, « major breaking changes are expected » — l'auteur le rappelle lui-même

De l'aléatoire en CSS, tant que c'est décoratif.

Lire la fiche Source

VeilleTech — feed du mardi 1 septembre