VeilleTech — 2026-09-04

01 SÉCURITÉ Faille

node.exe devient un outil de malware

The Hacker News3 septembre3 min de lecture

Symantec décrit une série d'intrusions où node.exe, binaire signé et légitime, sert à exécuter la charge de l'attaquant : le code reste dans des scripts interprétés, une clé Run assure la persistance, et l'adresse du C2 est lue sur une blockchain (EtherHiding). Les campagnes visent administrations, entreprises tech et hôtels depuis février 2026, et GuidePoint compte au moins 31 organisations compromises via ClickFix.

node.exe téléchargé depuis nodejs.org puis utilisé comme interpréteur : aucune signature binaire à détecter, persistance par clé Run du registre
EtherHiding : l'adresse du C2 est stockée sur la blockchain Polygon et modifiable pour une fraction de centime — bloquer un domaine ou une IP ne coupe rien durablement
Repères d'intrusion : campagne active depuis février 2026, un cas suivi du 23/03 au 25/07/2026, C2Looper déployé chez une fintech US depuis le 06/05/2026, 31 organisations compromises (GuidePoint)

Un binaire signé, un script, une clé Run. Aucun correctif à attendre.

Lire la fiche Source

02 RUST Discussion

Rust 1.98.1 corrige une vtable nulle

blog.rust-lang.org3 septembre1 min de lecture

Rust 1.98.1 corrige une miscompilation dans la génération des vtables : sous certaines conditions, rustc 1.98.0 plaçait un pointeur nul là où une adresse de fonction était attendue, produisant du comportement indéfini dans le binaire. L'annonce ne précise ni les conditions déclenchantes ni de CVE : tout ce qui a été compilé avec 1.98.0 est à recompiler.

Seule 1.98.0 est concernée ; le correctif est 1.98.1, publié le 3 septembre 2026 — mise à jour par `rustup update stable`
Symptôme : vtable d'objet de trait contenant un pointeur nul au lieu d'un pointeur de fonction → UB, du segfault au comportement arbitraire
Aucune CVE, aucune condition de déclenchement documentée : la relecture de code ne permet pas de conclure, il faut recompiler et republier les binaires produits avec 1.98.0

Un pointeur nul dans une vtable. On ne relit pas, on recompile.

Lire la fiche Source

03 FRONT Article

Chrome traduit, React démonte tout

DEV Community4 septembre2 min de lecture

Chrome ne traduit pas un nœud de texte, il le remplace par un wrapper et détache l'original — que la fibre React continue de référencer. D'où le NotFoundError sur removeChild, et surtout un gel silencieux quand React écrit dans un nœud qui n'est plus dans le document. Mesures reproductibles à l'appui (Chrome 151, relevés du 02/09/2026), et un garde-fou populaire qui aggrave le problème.

Signature à chercher : « Uncaught NotFoundError: Failed to execute 'removeChild' on 'Node' » — Chrome et Yandex détachent (wrapper ``, `<ya-tr-span>`), Edge et Firefox réécrivent en place
Formes de JSX à risque : `{visible && 'texte'}` avec un frère, et le texte à trous `There are {count} lights!` (React issue facebook/react#11538, fermée won't-fix en 2018)
Le patch de `Node.prototype.removeChild` supprime le crash mais fige l'UI ; alternatives : `eslint-plugin-react-google-translate` pour le lint, `translate-shield` (~15 kB) pour écrire dans le wrapper, `suppressHydrationWarning` côté Next.js (Chrome ajoute `class="translated-ltr"` sur `<html>` avant l'hydratation)

Le crash est la moitié visible. Le gel, personne ne vous le remonte.

Lire la fiche Source

04 LARAVEL Article

Boost supprime sa recherche sémantique

Laravel3 septembre3 min de lecture

L'auteur de Laravel Boost raconte pourquoi il a supprimé, cinq jours après l'avoir écrite, la recherche sémantique qui devait donner une mémoire aux agents. À la place : des fichiers Markdown dans .ai/rules et un index à deux colonnes régénéré à chaque écriture, que l'agent recoupe avec le chemin du fichier qu'il modifie. Le tout est activé par défaut dans Boost.

Supprimé : outils MCP `memory-search` / `memory-write` et un `MemoryRepository` de 359 lignes — quelques dizaines de fichiers ne justifient ni embeddings, ni index vectoriel, ni invalidation
Retenu : `.ai/rules/*.md` + `.ai/rules/index.md` (glob → fichier de règles), reconstruit par `RuleRepository::write()` à chaque appel de l'outil MCP `record-rule` (glob, title, note) ; complément par `grep -rin` pour les concepts transverses
Repères cités : CLAUDE.md visé à ~200 lignes par la doc Claude Code ; IFScale (arXiv 2507.11538) mesure 68 % d'instructions suivies à 500 instructions par les meilleurs modèles

Quarante fichiers Markdown. grep suffisait depuis le début.

Lire la fiche Source

05 WEB Article

Astro 7.3 débloque preview et Cloudflare

Astro3 septembre1 min de lecture

Astro 7.3 ajoute --ignore-lock à astro preview, ce qui permet enfin de lancer plusieurs serveurs de prévisualisation en parallèle — utile pour Playwright. La version passe aussi le logger d'Astro aux services d'images et aux fournisseurs de cache personnalisés, qui n'avaient que console.warn, et @astrojs/cloudflare ajoute un helper finalize() pour les entrypoints worker maison.

`astro preview --ignore-lock` : le verrou posé en 7.2 sur preview avait été ajouté sans l'échappatoire présente sur `astro dev` depuis la 7.1 — instances indépendantes, à réserver aux serveurs jetables (pas de `astro preview stop`/`status`)
Logger passé en 4e argument du hook `transform()` des services d'images, et sur le contexte de `onRequest()` des cache providers — Sharp et `memoryCache()` l'utilisent désormais
`import { finalize } from '@astrojs/cloudflare/fetch'` applique cookies et défauts de cache CDN à la réponse d'`astro/fetch` ; avec le middleware `@astrojs/cloudflare/hono`, c'est automatique. Montée : `npx @astrojs/upgrade`

Trois correctifs de confort. Le premier vous rend vos tests parallèles.

Lire la fiche Source

06 CSS Article

Colorer du code sans un seul span

Human Coders News3 septembre2 min de lecture

MicroLighter colore du code sans injecter un seul : il déclare des plages de texte via la CSS Custom Highlight API et les style avec ::highlight(). Environ 2 Kio compressés, zéro dépendance, 35 grammaires TextMate chargées à la demande. L'auteur assume le compromis : RegExp natif plutôt qu'Oniguruma, donc moins de couverture et de finesse que Shiki.

Installation : `npm install microlighter`, puis `import "microlighter/themes/github.css"` et `await highlightAll()` sur des blocs `<pre><code class="language-javascript">`
Mécanisme : objets `Highlight` + pseudo-élément `::highlight()` — DOM inchangé, blocs de code éditables, ~2 Kio compressés, 35 langages chargés à la demande, 10 thèmes, licence MIT
Compromis assumé : lecture des grammaires TextMate avec le `RegExp` natif du navigateur, sans Oniguruma ni WebAssembly — couverture et exactitude inférieures à Shiki ; variantes : `micro-lighter` (custom element, copier + numéros de ligne) et `microlighter/highlight.js` (tokenizer bas niveau)

Zéro span ajouté. Le DOM que vous avez écrit, coloré quand même.

Lire la fiche Source

07 DEVOPS Article

Un proxy divise les connexions par 19

Meta Engineering3 septembre3 min de lecture

Meta décrit ZGateway, le proxy sans état placé devant ZippyDB, son magasin clé-valeur le plus utilisé. L'argument n'est pas le gain ponctuel — 19 fois moins de connexions persistantes — mais le changement de loi d'échelle : le nombre de connexions entrantes par hôte de base cesse d'être proportionnel au nombre de clients. Prix affiché : environ 6 % de calcul en plus.

Avant : plus d'un million de clients, des dizaines de milliers de connexions par client et par hôte ; un bug de routage (une connexion par shard) a épuisé les descripteurs de fichiers et mis la flotte en boucle de redémarrage
Après : > 1 milliard d'opérations par seconde, environ 40 % du trafic ZippyDB (projeté au-delà de 60 %), ~6 % de surcoût CPU, connexions persistantes divisées par ~19, fan-in par hôte en baisse de 97 à 98 %
Isolation mesurée : en surcharge contrôlée à plus de 90 % de CPU sur ~1 350 buckets de tenants, seuls 6 étaient délestés, les ~1 344 autres exécutaient 99,9 % de leurs requêtes, goodput 97-98 %, coût du mécanisme ~8 % de CPU

Le gain n'est pas le facteur dix-neuf. C'est la loi d'échelle.

Lire la fiche Source

08 IA Article

GPT-6 Astra : le score dépend du harnais

Simon Willison3 septembre2 min de lecture

GPT-6 Astra est annoncé au tarif de Claude Fable 5 — 10 $ le million de jetons en entrée, 50 $ en sortie — avec un score de 99,9 % sur ARC-AGI-3. Le détail change la lecture : ce score a été obtenu avec un harnais propriétaire d'OpenAI qui conserve l'état de raisonnement entre les requêtes ; sur le harnais par défaut, le même modèle tombe à 62,7 %.

ARC-AGI-3 : 99,9 % pour 19 000 $ avec le « Provider Adapter harness » d'OpenAI (état de raisonnement conservé entre requêtes, compaction des conversations) contre 62,7 % pour 26 000 $ avec le harnais par défaut
Tarif API : 10 $ / million de jetons en entrée, 50 $ en sortie — identique à Claude Fable 5 et 5.1 ; identifiant de modèle `gpt-6-astra`, disponible via l'API OpenAI et AWS
Contexte long (banc à 8 aiguilles d'OpenAI) : 100 % entre 256K et 512K jetons, 96,3 % entre 512K et 1M. Artificial Analysis le place à 61 sur son Intelligence Index, 5 points sous Fable 5.1, mais à moins de la moitié du coût par tâche de Fable 5

Le modèle marque 99,9 %. Le harnais en marque une partie.

Lire la fiche Source

09 MESURE Discussion

17 000 runs : ce qu'installe votre agent

Armature3 septembre3 min de lecture

Près de 17 000 sessions où Claude Code, Codex et Cursor devaient choisir puis implémenter un service tiers dans 75 dépôts : les trois agents ne convergent que dans 42 % des cas, et le langage du dépôt pèse davantage que la demande. Les traces complètes sont publiées — à lire en sachant que l'éditeur de l'étude vend des prestations aux fournisseurs d'outils.

Protocole : 16 893 runs, 5 292 sessions retenues, 1 163 variantes de prompt, 75 dépôts en 10 langages, 4 personas, sandboxes E2B / Blaxel / Daytona, humain simulé et juge joués par Gemini 3.7 Flash
Divergence : accord des trois agents dans 42 % des cas. Codex fait une recherche web dans 94 % des sessions (opérateurs `site:` 9 fois sur 10), Claude Code dans ~30 % seulement mais visite 3 fois plus de pages, et code en interne 19 % du temps contre 10 % pour les deux autres
Le contexte décide : même demande d'e-mail transactionnel, Resend gagne en TypeScript (55/89), SendGrid en Python (22/24), Postmark en Go (20/24), Azure ACS en Java (22/23). Cité n'est pas choisi : PayPal 139 mentions et 0 sélection, LangChain 194 mentions pour 4 sélections, Supabase 242 mentions et dominé par Neon

Votre agent ne compare pas. Il reconnaît des motifs.

Lire la fiche Source

10 LLM Article

Répartir l'inférence sur vos autres machines

NVIDIA Developer3 septembre3 min de lecture

NVIDIA publie PAIR, un routeur d'inférence qui distribue les requêtes d'un agent sur les machines du réseau local sans rien changer à l'agent : il se substitue à Ollama ou LM Studio sur leur port par défaut et choisit un nœud appairé disposant du modèle demandé. Démonstration : cinq sous-agents en 18 minutes sur un portable, 8 min 48 s sur trois machines.

Fonctionne en proxy des API Ollama et LM Studio (port par défaut, configurable) : aucun changement dans le harnais d'agent. Découverte mDNS, appairage approuvé manuellement, communication mTLS entre nœuds
Démonstration Hermes Desktop à 5 sous-agents avec Qwen 3.6 35B A3B : 18 min sur un seul RTX Spark laptop contre 8 min 48 s sur un trio RTX Spark + DGX Spark + RTX 5090 — présentée par NVIDIA comme une configuration particulière, pas un benchmark
Ce que PAIR ne fait pas : ni fusion de GPU, ni mise en commun de VRAM, ni découpage d'une requête entre machines — une requête s'exécute entièrement sur un nœud. Bêta Windows/macOS/Linux, GPU RTX 20 et plus, RTX PRO (Turing+), DGX Spark, Apple M4+ ; code ouvert : github.com/NVIDIA/Personal-AI-Router

Deux machines qui dorment valent mieux qu'une carte de plus.

Lire la fiche Source

VeilleTech — feed du vendredi 4 septembre