Un châssis ATX orienté production qui profite de deux baies 5,25″ et aligne jusqu’à dix SSD/HDD, c’est rare en 2026. Chieftec vise clairement les stations de travail qui jonglent entre gros besoins de stockage et refroidissement liquide.
Chieftec BW-01B-OP : capacité de stockage et refroidissement
Le Chieftec BW-01B-OP adopte une façade sobre avec une porte et un panneau I/O incluant un port USB Type-C. À l’intérieur, Chieftec préinstalle un ventilateur 120 mm PWM HDB pour un fonctionnement discret et endurant, et prévoit des passages de câbles à œillets caoutchouc pour un flux d’air propre.
Le châssis supporte des radiateurs jusqu’à 360 mm pour la boucle CPU/GPU. Il conserve deux baies 5,25″ sans outil, utiles pour lecteurs optiques, racks hot-swap ou panneaux de contrôle. Le système de cages de stockage amovibles, lui aussi tool-less, accepte des plateaux 3,5″ et 2,5″ pour un total allant jusqu’à 10 SSD/HDD.
Fonctionnalités clés pour postes de production
La modularité des cages simplifie l’adaptation du flux d’air ou l’ajout de disques dédiés à des projets volumineux. L’ensemble cible les créateurs de contenu et les utilisateurs avec des besoins de stockage long terme, tout en restant compatible avec des configurations ATX modernes.
Connectique et maintenance
L’essentiel est présent en façade avec l’USB Type-C pour les périphériques rapides actuels. Le montage sans outils sur 5,25″, 3,5″ et 2,5″ accélère les interventions, tandis que la gestion de câbles limite la turbulence et facilite la maintenance.
Dans un marché qui a progressivement abandonné les 5,25″ et les grosses capacités internes au profit du tout-M.2, ce châssis comble un besoin précis : stations de travail hybrides qui veulent combiner gros RAID SATA, accessoirisation en 5,25″ et AIO 360 mm sans compromis sur l’assemblage.
Google et une société de cybersécurité, iVerify, ont découvert un puissant outil de piratage d'iPhone baptisé Coruna. Visiblement développé par le gouvernement américain, il a fuité et se retrouve aujourd'hui entre les mains d'espions russes et de cybercriminels chinois. Plus de 42 000 iPhone ont été piratés à cause de lui.
Comment ça marche ?
Coruna est un programme capable d'exploiter 23 failles de sécurité différentes dans iOS, le système d'exploitation de l'iPhone. Il suffit qu'un utilisateur visite un site web piégé pour que l'outil analyse automatiquement son téléphone (modèle, version du système, réglages de sécurité) et choisisse la bonne méthode pour en prendre le contrôle. C'est Google qui l'a repéré en premier, en février 2025, quand un vendeur de logiciels espions a tenté de pirater un iPhone pour le compte d'un gouvernement. De son côté, iVerify a analysé le code source et estime qu'il a été développé aux États-Unis. Plusieurs indices pointent dans cette direction : Rocky Cole, le patron d'iVerify, décrit un code "superbe" et "élégamment écrit", truffé de blagues internes en anglais américain dans les commentaires. Et surtout, le kit partage des éléments communs avec l'Opération Triangulation, une campagne de piratage d'iPhone que le spécialiste en cybersécurité Kaspersky avait attribuée aux services de renseignement américains en 2023.
Des espions russes aux arnaqueurs chinois
Le vrai problème, c'est que Coruna a fuité bien au-delà de ses créateurs. Google a retracé la circulation de l'outil sur plus d'un an. Il a d'abord été récupéré par un groupe d'espions russes, qui l'a utilisé pour piéger des sites web fréquentés par des Ukrainiens : les visiteurs qui s'y connectaient avec un iPhone se faisaient pirater sans le savoir. L'étape suivante est encore plus préoccupante : un groupe de cybercriminels chinois a mis la main sur l'outil complet et l'a utilisé pour créer de faux sites d'échange de cryptomonnaies. Résultat : plus de 42 000 iPhone compromis, un chiffre qualifié de "massif" par les chercheurs. Google parle même d'un "marché de seconde main" pour ce type d'outils, ce qui rappelle d’ailleurs la fuite en 2017 d'un outil similaire de la NSA, qui avait permis des cyberattaques mondiales comme WannaCry.
Votre iPhone est-il concerné ?
Apple a travaillé avec Google pour corriger les failles et les mises à jour sont disponibles. Tous les iPhone sous iOS 18 ou plus récent ne sont plus vulnérables, et Apple indique que 74 % des iPhone compatibles sont déjà à jour. Le mode Isolement (Lockdown Mode) et la navigation privée dans Safari bloquent aussi l'attaque. En fait, Coruna cible les versions d'iOS sorties avant décembre 2023, ce qui veut dire que si vous n'avez pas mis à jour votre iPhone depuis un moment, il est potentiellement exposé.
C’est quand même assez pénible qu’un outil d'espionnage lié à un état se retrouve dans une arnaque aux cryptos, ça montre bien que personne ne contrôle la prolifération de ces trucs. Et Coruna n'est probablement pas le seul à circuler comme ça. Bref, si vous avez un vieil iPhone pas à jour, vous pouvez vous inquiéter (ou juste le mettre à jour).
– Article invité, rédigé par
Vincent Lautier
, contient des liens affiliés Amazon –
Vous aimez les batteries externes ? Eh bien moi aussi. Et Ugreen a un modèle franchement intéressant si vous cherchez une batterie avec une grosse capacité. C'est la
Nexode 20 000 mAh 165W
, une batterie externe avec un câble USB-C rétractable intégré dans le châssis. Elle propose 100W sur un seul câble, 165W au total sur trois ports, un écran TFT pour tout contrôler et une recharge complète en moins de deux heures. Je la teste depuis quelques jours, et elle est validée.
Un câble rétractable, et c'est tout de suite plus simple
On a tous le même problème quand on part en vadrouille : on part léger et on finit avec une besace qui ressemble à un nid de serpents parce qu'on trimballe trois câbles différents pour ne pas tomber en rade entre deux TGV. Cette batterie, en plus d'être franchement jolie, a ce petit truc en plus, un câble USB-C rétractable de 70 cm intégré dans le châssis. Il permet de charger un ordinateur en USB-C à pleine balle, et bien sûr n'importe quel téléphone ou tablette. On tire, on branche, et on profite de 100W sur ce seul câble. Voir son ordinateur portable regagner des couleurs à toute vitesse dans un café sans prise murale, c'est quand même bien pratique.
165W au total
Côté puissance, la bête en a sous le capot. Avec 20 000 mAh, on est sur le bon compromis de la portabilité : assez pour redonner vie à un MacBook Air plus d'une fois, ou pour tenir un long week-end avec un smartphone haut de gamme sans approcher une prise. La batterie peut cracher jusqu'à 165W au total en saturant les trois sorties en même temps. Vous pouvez alimenter votre laptop en 100W tout en chargeant une tablette et un téléphone sans que la Nexode ne montre de signe de faiblesse ni de surchauffe excessive, le système Thermal Guard surveille la température en permanence. L'écran est un vrai plus par rapport aux habituelles diodes imprécises : il affiche le pourcentage restant, mais aussi le voltage et l'ampérage en temps réel pour chaque port. Voir la courbe s'adapter à chaque charge pour chaque appareil, c'est vraiment un gros plus, et ça permet de constater que le Power Delivery fait bien le job, mais aussi de vous donner une vraie idée de ce que consomme chacun de vos appareils.
Notez que même la recharge de la batterie elle-même a été optimisée. Avec un chargeur mural de 100W, la Nexode repasse de 0 à 100 % en moins de deux heures, et le flux est bidirectionnel. Rien de plus agaçant qu'une batterie haute capacité qui met une nuit entière à se régénérer, et sur ce point, c'est réglé. Le format colonne, un peu plus épais qu'une batterie plate classique, se glisse finalement bien dans les poches latérales des sacs à dos.
Bref, pour moi c'est validé, Ugreen signe un produit bien pensé. Le câble rétractable, ça semble tout bête comme ça, mais c'est vraiment pratique. On aurait aimé un format un peu plus compact, mais à ce niveau de puissance, difficile de faire des miracles. Si vous en avez marre de trimballer trois câbles dans votre sac, celle-ci devrait vous réconcilier avec les batteries externes.
Merci à vous de suivre le flux Rss de www.sospc.name.
Bon, je vais pas m'embarrasser de fioritures : si vous voulez virer l'IA de votre vie vous êtes au bon endroit ! 😁
Voici ce que propose le script dont je vais vous parler :
Just the Browser vous permet de supprimer les fonctionnalités d'IA, les rapports de télémétrie, le contenu sponsorisé, les intégrations de produits et autres éléments indésirables des navigateurs web sur ordinateur. L'objectif est de vous offrir « le navigateur seul », sans superflu, en utilisant des paramètres cachés dans les navigateurs web destinés aux entreprises et autres organisations.
82 314 dollars, c'est l'incroyable facture que s'est mangé un dev mexicain après 48 heures d'utilisation frauduleuse de sa clé API Gemini. Sa dépense habituelle était de 180 dollars par mois environ, j'imagine que ça lui a fait un peu mal aux fesses. Et c'est une bonne raison pour moi de vous inciter une nouvelle fois à bien sécuriser vos clés API !
Le gars bosse dans une petite startup et de ce que j'ai compris, quelqu'un a chopé ses credentials et s'est lâché sur Gemini 3 Pro pendant deux jours. La réponse de Google ? "Responsabilité partagée". En gros, eux sécurisent l'infra, et vous sécurisez vos clés. Si vous vous faites plumer, c'est votre problème !
Et c'est pas un cas isolé car les chercheurs de Truffle Security ont scanné le web et trouvé 2 863 clés Google API exposées en clair sur des sites publics. Toutes identifiables par le préfixe AIza.
Sauf que comme je vous l'expliquais dans un article précédent,
ces clés, à la base, étaient conçues comme de simples identifiants de projet pour Maps et Firebase
et la doc Google disait carrément qu'elles n'étaient pas secrètes ! Et quand l'API Gemini a été activée sur ces projets, hé bien ces clés sont devenues des clés d'authentification, sans que personne ne réalise ce changement de paradigme.
Mais bon, plutôt que de chialer comme des fragiles, voyons comment éviter de se retrouver dans cette situation ^^.
Scanner vos secrets existants
Avant tout, faut savoir si vous avez déjà des fuites. Deux outils open source font ça très bien.
TruffleHog
scanne vos dépôts Git, vos fichiers, et même vos buckets S3 pour trouver des secrets qui traînent. L'install est simple :
Le flag --only-verified c'est le truc important, ça teste si les secrets trouvés sont encore ACTIFS. Parce que trouver une vieille clé révoquée, on s'en fiche. Attention, ça ne marche pas sur les repos privés sans token d'accès.
Y'a aussi
Nosey Parker
qui fait le même genre de boulot mais perso, je trouve TruffleHog plus complet pour les clés cloud, même si Nosey Parker est plus rapide pour les gros repos.
Après si vous bossez avec des clés Google spécifiquement, cherchez le pattern AIza dans votre code. Un simple grep suffit :
Scanner c'est bien, mais empêcher les secrets d'atterrir dans Git, c'est mieux. Et pour cela, rien de plus simple... Suffit d'installer un pre-commit hook.
Du coup, chaque git commit vérifie automatiquement qu'il n'y a pas de clé AWS qui traîne. Vous pouvez ajouter vos propres patterns (genre AIza pour Google) :
Le deuxième pattern, c'est pour les clés OpenAI (format sk-proj-). D'ailleurs, stockez TOUT dans des fichiers .env et vérifiez que .env est dans votre .gitignore. Ça devrait être un réflexe ! Le piège classique c'est surtout le fichier .env.example qui contient en fait de vraies clés... c'est du vu et revu sur GitHub.
Pour aller plus loin,
Vault de HashiCorp
gère également vos secrets de manière centralisée avec du chiffrement, de la rotation automatique et des audit logs. C'est carrément le niveau supérieur notamment pour les équipes. C'est bien plus safe que le .env .
Détecter un vol avant la catastrophe
Notre dev mexicain a découvert sa facture APRÈS 48 heures. Deux jours, c'est une éternité alors voilà comment réagir en minutes, et pas en jours.
Sur Google Cloud, allez dans Billing > Budgets & Alerts. Créez un budget avec des seuils à 50%, 90% et 100% de votre budget mensuel. Activez les notifications par email ET par Pub/Sub pour déclencher une Cloud Function qui coupe automatiquement les clés si le seuil est dépassé.
Chez OpenAI, c'est dans Settings > Billing > Usage limits. Vous pouvez définir un hard cap mensuel. Au-delà... plus rien ne passe. Même chose à peu près pour Claude d'Anthropic aussi...
Et surtout, activez la rotation automatique de vos clés. Sur Google Cloud :
Les restrictions d'API c'est pas un luxe donc sur chaque clé, limitez les services autorisés (Gemini uniquement si c'est son usage), les IPs sources et le nombre de requêtes par minute. Sauf si vous aimez les surprises à 5 chiffres sur votre relevé bancaire, une clé sans restriction, c'est une carte bleue sans plafond.
Perso, je me suis mis des alertes sur tous mes comptes cloud, que ce soit AWS, GCP ou Azure. Genre, si ça dépasse 50 balles en une journée... hop, notification sur le téléphone. Finalement, c'est 5 minutes de config qui peuvent vous éviter des mois de galère.
Logiciel gratuit et en français permettant d'afficher en transparence sur votre Bureau d'ordinateur un véritable calendrier et de le synchroniser avec vos autres appareils...
Des chercheurs en sécurité ont découvert deux failles dans Comet, le navigateur IA de Perplexity. Une simple invitation de calendrier piégée suffisait pour accéder aux fichiers locaux de la machine et prendre le contrôle d'un coffre-fort 1Password, le tout sans aucun clic de l'utilisateur.
Une invitation de calendrier, et c'est tout
L'attaque est d'une simplicité qui fait froid dans le dos. Les chercheurs de Zenity Labs, qui ont baptisé la faille « PleaseFix », ont montré qu'il suffisait d'envoyer une invitation de calendrier contenant des instructions malveillantes cachées. Quand l'utilisateur interagit avec cette invitation dans Comet, l'IA du navigateur exécute en toute décontraction les instructions, sans broncher. Pas besoin de cliquer sur un lien, pas besoin de télécharger quoi que ce soit : le simple fait de consulter l'événement suffisait. Le problème vient de ce qu'on appelle l'injection de prompt indirecte : l'IA ne fait pas la différence entre les instructions légitimes et le contenu malveillant planqué dans un calendrier.
Des fichiers locaux aux mots de passe
Deux failles distinctes ont été identifiées. La première permettait d'accéder au protocole file:// sans restriction, ce qui veut dire que Comet pouvait lire n'importe quel fichier sur votre machine. Les navigateurs classiques bloquent logiquement cela depuis des années, mais les navigateurs IA comme Comet ne respectent pas encore, hélas, les mêmes règles de sécurité. La seconde est plus grave : quand l'extension 1Password était déverrouillée dans Comet, un attaquant pouvait naviguer dans le coffre-fort, récupérer les identifiants et même changer le mot de passe du compte pour un verrouillage total.
Corrigé en deux temps
Perplexity a été prévenu du problème dès la fin octobre 2025, et un correctif a été déployé le 23 janvier 2026. Mais voilà, ce correctif n'était pas suffisant et les chercheurs ont réussi à le contourner sans trop de problème. Un second patch, plus efficace, a suivi le 13 février. L'accès au système de fichiers est désormais bloqué par défaut dans Comet. Mais attention : côté 1Password et blocage de domaines, les protections sont toujours à configurer manuellement par l'utilisateur.
On ne va pas se mentir, ce genre de faille rappelle que les navigateurs IA sont encore une technologie immature côté sécurité. Le fait qu'une invitation de calendrier puisse siphonner un coffre-fort 1Password est assez flippant. Et Comet n'est pas un cas isolé : LayerX a trouvé des problèmes comparables avec les extensions Claude Desktop, et Zenity avait déjà présenté des résultats similaires sur ChatGPT Enterprise et Gemini à la Black Hat en août dernier. Le vrai problème avec cette histoire, c'est que ces navigateurs veulent pouvoir tout faire à votre place, mais ils ne sont pas vraiment foutus de faire la différence entre une demande légitime et une vilaine attaque. Bref, prudence avec les navigateurs « intelligents ».
Séparer la voix, la batterie ou la basse d'un morceau, ça relevait du rêve d'audiophile il y a encore quelques années. Fallait installer Python, se taper Spleeter, galérer avec les dépendances CUDA... bref, un super truc de barbu. Mais ça, c'était avant, les amis !
Demucs-rs
, une réécriture en Rust du modèle HTDemucs v4 de Meta, tourne maintenant directement dans votre navigateur grâce au WebGPU. Batterie, basse, voix, tout le reste..., chaque élément se retrouve ainsi isolé dans son propre fichier WAV. Et y'a rien à installer, puisque tout se passe côté client, sur votre machine.
Pour vous en servir, vous pouvez aller sur
la web app
, vous glissez-déposez votre fichier MP3 (ou WAV, FLAC, OGG, M4A... ça bouffe à peu près tout), et vous patientez... Le premier lancement télécharge le modèle (~84 Mo pour le standard), donc prévoyez une connexion correcte.
L'interface de la web app - vous glissez votre fichier et c'est parti
Comptez alors quelques minutes selon la durée du morceau. En sortie, vous aurez alors plusieurs fichiers WAV séparés que vous pourrez écouter, jouer en solo ou télécharger individuellement.
Les pistes séparées, prêtes à écouter ou télécharger
Trois modèles sont dispos. Le mode 4 pistes suffit dans 90% des cas. Il y a aussi le modèle 6 stems, ou plutôt htdemucs_6s, qui est pas mal pour du rock ou du jazz. Et pour les obsessionnels de la qualité, y'a le fine-tuned à 333 Mo... mais prévoyez une pause café, parce que ça va être long de fou !
Voilà, comme ça, si vous voulez faire un karaoké maison, vous virez la voix et vous gardez l'instrumental. Ou si votre truc c'est de sampler une ligne de basse d'un vieux morceau de funk ou encore pratiquer la guitare en jouant par-dessus le morceau original sans la partie guitare, c'est entièrement possible !
D'ailleurs, si vous aviez testé
Spleeter avec Ableton
à l'époque, c'est le même principe mais en BEAUCOUP plus simple !!
Perso, le fait que ça tourne dans le navigateur, c'est top, sans parler du fait que vos morceaux restent sur votre disque.
Maintenant, si la version navigateur vous semble un peu longue, y'a le CLI natif qui exploite Metal sur Mac et Vulkan sur Linux/Windows. Pour l'installer, clonez le repo et lancez make cli (Rust requis) :
git clone https://github.com/nikhilunni/demucs-rs
cd demucs-rs && make cli
Le binaire atterrit dans target/release/demucs, 24 Mo. Le modèle se télécharge au premier lancement.
Côté utilisation, c'est du gâteau :
demucs song.mp3 # 4 pistes dans ./stems/
demucs -s vocals chanson.mp3 # juste la voix
demucs -m htdemucs_6s -s guitar solo.flac # isoler la guitare
demucs -m htdemucs_ft morceau.mp3 # qualité max
En sortie, chaque stem est un fichier WAV. Vous virez le vocals.wav, vous gardez le reste... et tadaaa, karaoké instantané pour votre voix de casserole ! C'est carrément plus rapide qu'en WebAssembly.
Et si vous bossez dans un DAW sur macOS, y'a aussi un plugin VST3/CLAP pour faire la séparation directement dans Logic ou Reaper (sauf que bon, c'est macOS only pour l'instant, quoi).
Après sachez que sur certains passages très chargés, la voix peut baver un peu dans la piste "other" ou inversement mais pour du remix amateur ou du sampling, ça suffit largement !
D'ailleurs, j'sais pas si vous vous souvenez, mais
les plugins IA d'Audacity
embarquent aussi Demucs v4. Mais là avec Demucs-rs c'est natif et surtout indépendant d'Audacity.
Et bien sûr, tout est open source sous licence Apache 2.0 !
C'est la grosse actu du jour ! YggTorrent, le plus gros tracker torrent francophone, a fermé DÉFINITIVEMENT ses portes après une cyberattaque survenue le 3 mars 2026. Un site de piratage qui se fait... pirater. Oups !
Un hacker du nom de Gr0lum a revendiqué l'opération baptisée YGGLeak. D'après lui, il aurait exfiltré la base de données complète du site, soit environ 6,6 MILLIONS de comptes utilisateurs. Il s'agit d'emails, de mots de passe hashés en bcrypt, d'adresses IP, d'historiques de navigation... genre, le package complet. Donc pas exactement le genre de truc que vous voulez voir traîner dans la nature.
De leur côté, l'équipe d'Ygg a publié un long communiqué où ils se posent en victimes. Selon eux, un ancien admin viré aurait gardé des accès et orchestré le sabotage de l'intérieur. Ils parlent de "trahison" et jurent que les mots de passe étaient "hashés et salés" (en gros, pas en clair... mais bon, ça rassure moyen quand toute votre base est dans la nature).
Sauf que la version de Gr0lum raconte une toute autre histoire. Le hacker accuse
la plateforme
d'avoir stocké pas moins de 54 776 numéros de cartes bancaires (sans qu'on sache si c'est des numéros complets ou tronqués), d'avoir mis en place du tracking comportemental poussé et même du fingerprinting de wallets crypto via un script (Sci.js) qui détectait Phantom, MetaMask ou Trust Wallet sur les machines des visiteurs. On est donc carrément loooooiiiiin du petit tracker communautaire sur lequel vous téléchargiez vos ISO Linux ^^.
Et le
dossier complet publié par Gr0lum
va encore plus loin. Un module baptisé Security.php aurait collecté les données de cartes bancaires COMPLÈTES... numéro, CVV, date d'expiration, nom du porteur, le tout relayé via un processeur de paiement tiers. Plusieurs utilisateurs sur Reddit ont d'ailleurs signalé des prélèvements frauduleux après avoir payé sur le site. En bonus, Ygg utilisait un service de DDoS (stresscat.ru) pour matraquer des trackers concurrents comme la-cale.space et sharewood.tv.
D'ailleurs, faut remettre un peu de contexte. Le 21 décembre 2025, Ygg avait lancé son fameux "Mode Turbo" qui limitait les utilisateurs gratuits à 5 téléchargements par jour... sauf si vous passiez à la caisse (86 euros). Résultat, d'après les données exfiltrées, le chiffre d'affaires a carrément TRIPLÉ en janvier 2026 pour atteindre ~490 000 euros sur le seul mois. Sur l'ensemble, on parle de 5 à 8,5 millions d'euros de revenus, avec près de 250 000 commandes traitées. Du coup, pour un site soi-disant "bénévole", ça fait beaucoup, j'avoue.
Côté technique, le hack est un cas d'école. Gr0lum a trouvé un port SphinxQL (9306) exposé sans authentification sur un serveur de pré-production. De là, lecture de fichiers arbitraires, récupération d'un mot de passe admin en clair dans un fichier sysprep, puis rebond de serveur en serveur via SMB et SSH. Trois jours seulement et 19 Go de données exfiltrées. Contrôle total. Le serveur de pré-prod tournait sous Windows Server 2019 avec le pare-feu désactivé et Defender coupé. Du grand art !
Pour le blanchiment des revenus crypto, ça passait par Tornado Cash avec conversion en Monero via ChangeNOW... le combo parfait pour disparaître de la blockchain. L'équipe avait même acheté le domaine warezfr.com fin décembre 2025 et bossait sur un nouveau tracker baptisé RageTorrent. Ils voyaient loin.
Si vous aviez un compte sur Ygg, surtout si vous utilisiez le même email et le même mot de passe sur d'autres services (oui, on sait que c'est votre cas ^^), changez le ailleurs, car même avec du hash salé, sur 6,6 millions de comptes y'a forcément des mots de passe type "123456" qui vont tomber en quelques secondes. Vérifiez aussi sur
Have I Been Pwned
si votre adresse a fuité.
Ah et bonne nouvelle, y'a déjà un successeur. Un collectif nommé
Utopeer
a récupéré le catalogue et lancé ygg.gratis. Attention, aucune garantie de fiabilité là non plus, hein.... Comme d'hab, méfiance.
C'est un peu
comme Bato.to
en janvier dernier... les géants du piratage tombent les uns après les autres... après T411 en 2017, après Zone-Téléchargement, après Bato.to, c'est donc au tour d'Ygg de tirer sa révérence, sauf que cette fois, c'est pas la police qui a frappé, mais visiblement un de leurs propres utilisateur avec quelques compétences...
Connexion
iPhon
Korben
