Misc a écrit 6476 commentaires

Le principal élément en défaveur de Collabora, c'est à mon avis surtout d'être en dehors de l'UE vu que c'est une boite à Cambridge (ce Cambridge, pas ce Cambridge). Le Brexit est passé par la, et de ce que je sais, il y a pas de mouvement pour revenir dans l'UE.

Il y a même des discours pour vouloir en sortir encore plus, la droite locale voulant sortir de la Convention européenne des droits de l'homme, parce que visiblement, respecter les droits humains, ça interdit de déporter n'importe qui n'importe comment.

C'est aussi ce qui est dit par la caisse des dépôts devant la commission d’enquête sur la vulnérabilités dans le secteur du numérique. Y a 3h de vidéos, le passage est vers 2h35 suite à une question de Cyrielle Chatelain.

Vers 2h39, ça parle de la dépendance vis à vis de Microsoft, du travail fait par l'administration allemande, et des essais fait via un plan sur quelques années (les réponses de Patrick Laurens-Frings, DSI). A 2h41, Phillipe Latombe demande explicitement la question de Linux sur le desktop, et on lui dit que "oui, on regarde". À 2h43 pointe que le souci est le manque de features et le manque d'intégration (notamment les questions de RBAC, les ACLs, etc).

À 2h46, ça parle d'une vingtaine d'entreprise qui montrent de l’intérêt.

Bien sur, le souci, c'est de s'assurer que les boites privés pompent pas les thunes sans rien faire, mais la caisse des dépôts a l'air d'être au courant du risque, si j'en crois le reste de l'audition.

Il y a des demandes avec 3 devis, mais c'est via 3 revendeurs pour la fourniture du service. C'est si tu commandes des pizzas, tu va pas demander 3 devis, 1 avec des sushis, 1 avec des kebabs et 1 avec des pizzas pour respecter la règle. Tu as décidé de prendre des pizzas, et basta.

C'est expliqué en long et en large dans le code de la commande publique.

La seule précaution que demande ici la CNIL est de ne pas déchiffrer la connexion vers ta banque (en gros) et de ne rien logguer.

C'est donné beaucoup de crédit à la CNIL que de lire ce texte comme ça.

La CNIL dit qu'elle attire l'attention sur "le fait que l’URL complète, accessible lors d’un déchiffrement HTTPS, est susceptible de donner accès à des données à caractère personnel".

Comme dit dans mon commentaire, c'est l'IP dans les logs (et l'implication que la personne qui va lire les logs peut retrouver le poste et donc une personne) qui fait qu'il y a des "données à caractère personnel" vu que savoir qui a été ou, c'est une donnée sur une personne, c'est la définition même. Ça n'est pas l'URL qui fait que ç'est personnel, donc c'est trompeur.

Et même si la CNIL voulait dire "des données à caractère sensible", ça serait trompeur car oui, l'URL complète est sensible, mais pas à cause du reste de l'URL, mais aussi à cause du nom d'hôte, cf mon exemple de Grindr ou du syndicat, c'est aussi trompeur.

Et c'est pas le seul passage mal rédigé.

Plus tôt dans le document, la CNIL dit qu'"il faut faire une AIPD" quand 2 critères sur 4 sont remplis. Sauf que dans le cadre classique du travail qui est le sujet du document comme dit au début, ("employeurs publics ou privés"), mais aussi dans le reste du document qui mentionne "activité des salariés", "Attribuer un profil aux employés", "ensemble des employés" p3, et 'politique d’entreprise" p2, tu as 1 critère rempli de base, vu que "personne vulnérable", comme le rappelle la note de bas page, ça compte les employés (je peux même donner le document exact qui en parle, §21, page 10). Donc déjà, ça, ç'est pas clair et qu'en général, c'est fait ça de façon systématique (genre sur tout le monde dans la boite), et comme j'ai dit, un nom d’hôte peut être une donnée sensible, donc sans doute 3 critères sur 4 dans la configuration classique d'un proxy classique. Donc tout le passage est trompeur.

Il serait sans doute plus opportun de dire qu'il faut sans doute faire un AIPD tout le temps, sauf exception, et indiquer quelles exceptions, parce que la, quelqu'un qui ne connaît pas toute la jurisprudence européenne pourrait croire que seules les violations les plus flagrantes sont un souci, alors que non, ça n'est pas ce que les textes disent.

Et c'est en voyant ce genre d'imprécision que je comprends comment la CNIL se retrouve à se faire taper sur les doigts par la CJUE. Car dans l'affaire en question, il n'y a pas eu de demande préjudicielle de sa part comme la plupart du temps (quand une APD n'est pas sure, elle peut passer l'affaire à "plus haut", comme l'a fait le Conseil d'État quand ça a été escaladé à son niveau après le refus de la CNIL).

Ici la CNIL a refusé de regarder la demande alors que ça concernait un principe de base du RGPD, à savoir la minimisation des données. Et la SNCF a filé des excuses tellement pourries qu'on pourrait les mettre sur le marché comme fromage AOC de l'Aveyron.

Les 2 arguments principaux de la SNCF, c’était quand même: "On a besoin de toujours demander, car on offre certains trains de nuit non mixtes" et "On a besoin de ça parce qu'on sait pas comment faire des mails respectueux sans ça, c'est pour l'image de marque".

Dans ses conclusions, l'avocat général a pointé à juste titre que SNCF Connect envoie parfois des mails sans Mr/Mme (§49), et qu'il suffit de demander uniquement pour les trains non mixtes (§51).

C'était pas de la haute voltige juridique que de montrer la mauvaise foi de la SNCF sur ce sujet, mais pour ça, faut regarder les plaintes, ce que la CNIL ne semble pas faire de façon routinière (comme d'autres DPAs en Europe), sans doute parce qu'on leur file pas de moyens. C'est bien joli de faire plus de lois tout le temps, mais il faut aussi plus de moyen à la justice.

Un endroit ou ça peut se faire, c'est sur les serveurs. Les problèmes juridiques lié à la vie privée sont quand même largement absent quand tu retires les utilisateurs, et c'est utile de savoir si un serveur a téléchargé quelque chose tout en rendant la tache d'un attaquant plus dur.

(et squid se mets en HA sans grand souci, ça réduit le SPOF)

Franchement, la CNIL a oublié un truc assez important sur ce coup la.

Le RGPD a été promulgué pour harmoniser la législation sur la vie privée en Europe, et donc, dans le chapitre VII, ça parle de la cohérence entre les différents DPAs (Data Protection Autority, Autorité de protection des données en français). En gros, ce qu'une DPA décide s'applique aux autres, et si il y a différence, il faut se mettre d'accord avec le reste, voir passer devant la Cour de Justice (CJUE).

La CNIL dit au paragraphe 4 qu'on peut décider de mettre un proxy sous la base de l'article 6, mais omets de préciser que ça tombe aussi très probablement sous le coup de l'article 9, et c'est un assez gros souci, car il faut une condition sous l'article 6 et 9 pour autoriser le traitement.

Et on va me dire "mais pourquoi l'article 9, une url avec une date (et une IP) ne rentre pas dans les cas listés" ?

Alors primo, une IP, si on peut relier ça à quelqu'un (et j'ose croire qu'on peut dans une entreprise), c'est une information personnelle, c'est pour ça que la CNIL en parle.

Mais pourquoi l'article 9 ?

Pour ça, il faut justement que je pointe un jugement de la CJUE, et une décision en Norvège. Pour la CJUE, il faut comprendre l'étendu de l'article 9 de façon large depuis l'affaire C-184/20. Ce que dit le jugement, c'est que dire "Elton John est gay" tombe sous l'article 9, mais "Elton John est marié à David Furnish" aussi.

Ce qui est protégé par l'article 9 n'est pas que l'information précise (exemple, l'orientation sexuelle), mais aussi ce qu'on peut utiliser pour la déduire (exemple, "Jeanne et Marie sont mariées"), même si on peut pas déduire précisément l'orientation sexuelle (parce que les discriminations ne s'arrêtent pas devant l'exquise subtilité des labels contemporains sur l'orientation sexuelle), et même si on ne parle pas d'une orientation sexuelle minoritaire (parce que ça serait de la discrimination de donner des droits en moins pour les hétéros, en plus d'être contre productif vis à vis de la protection).

Et d'ailleurs la CNIL est au courant du jugement en question vu qu'elle en parle dans un arrêt de 2024.

Mais ça s'applique aussi au domaine de la santé (également une donnée sensible), comme la même CJUE l'a décidé dans l'affaire C-21/23 en 2023. Savoir qu'une personne achète des médicaments sur le diabète, c'est une donnée de santé, même si c'est pour quelqu'un d'autre de temps en temps.

La DPA de Norvége, suite à une plainte de NOYB, a mis Grindr à l'amende entre autre pour la vente de pub, car vu qu'il s'agit d'une application visant principalement les mecs gays/bis (comme tant d'autres), et donc savoir que quelqu'un a un compte dessus tombe sous le coup de l'article 9. L'amende est tombé en 2021, et a été confirmée en 2024 par la justice norvégienne. Je ne crois pas que Grindr a fait appel, donc c'est assez définitif.

Ou est ce que je veux en venir ?

La CNIL parle des logs, mais suivant ce qui est logué, on peut se retrouver avec des données couvertes par l'article 9.

Par exemple, si un-e salarié-e va sur Grindr, par le mécanisme de cohérence que j'ai pointé et en appliquant les jugements que j'ai pointé, savoir quel machine qu'on peut relier à l’existence d'un compte utilisateur qui a été sur Grindr (vu que le proxy logue l'info, et quand on a 250 lignes, c'est assez clair que c'était pas une erreur), ça serait un traitement qui tombe sous l'article 9. Alors on peut dire qu'on ne devrait pas se connecter au travail sur Grindr ou un site de rencontre et qu'il y a les séminaires d'entreprises pour choper. Mais d'une part, ça n'est pas spécialement interdit (voir ce cas en 2013 d'une salarié qui s'est fait viré pour connexion excessive en 2009, mais dont le licenciement a été retoqué par la Cour de cassation en 2013, insistant sur le coté excessif nuisant au travail non démontré, car je rappelle qu'on a droit à des pauses), et il y a sans doute des gens qui se font chier royalement et qui le font quand même (genre, le support de niveau 1 qui attends une alerte la nuit).

Mais pas besoin d'aller sur Grindr, ça marche aussi avec les données de santé. Poser un rdv à l’hôpital sur sa pause de travail, c'est légal pour les salariés, mais si le proxy enregistre l'info, c'est un problème pour l'employeur. Ça marche aussi avec le fait de faire parti d'un syndicat. Par exemple, aller sur le Nextcloud de son syndicat pour sauvegarder la capture d'écran d'une dinguerie de ta hiérarchie pour porter plainte, c'est légal, mais loguer l'information revient à traiter que quelqu'un est probablement membre du dit syndicat, ça serait un souci pour l'employeur. Et ça marche aussi avec les églises mais j'ai pas d'exemple.

Donc pour traiter des infos couvertes par l'article 9, il faut une raison qui tombe dans les exceptions de l'article 9.2.

Spoiler, sans doute aucune ne s'applique. De "c" à "j", ça va pas s'appliquer à la plupart des employeurs dans le cadre d'un proxy.

L'exception "b", c'est pour le traitement des données par les RHs et c'est dur à relier ce cas aux logs d'un proxy. Et l'exception "a", ça va quand même être difficile de mettre un proxy obligatoire et de venir parler de consentement libre et éclairé quand on peut pas dire "non".

Et du coup, c'est assez vite super chaud quand tu enregistres les flux des salariés. Pas parce que le réchauffement climatique est la, pas parce le RGPD peut coûter cher en Europe, mais parce ça peut envoyer en tôle en France par la magie de l'article 226-19 qui reprends presque à l'identique les critères de l'article 9 du RGPD en rajoutant l'identité de genre.

Et bien sûr, comme y a de la prison possible, il y a l'article 40: "aller direct à la case procureur de la république, ne passez pas par la case de la CNIL".

Mais tout ça, la CNIL a complètement oublié de le noter dans son document et le mot "sensible" est écrit une seule fois. Pourtant, c'est quand même pas trop dur de penser à des risques d'abus, c'est un peu leur boulot.

Et si j’étais taquin, je dirais que même sans proxy, on peut avoir des soucis avec des logs DNS. Par exemple, une entreprise mets un wifi invité, les invités connectent leur tél perso, et "oups, j'ai un log qui dit qu'il y a une résolution de api.grindr.com par le tel d'un invité dans nos locaux qui a donné son email pour avoir l'accès au wifi". Ça serait dommage d'avoir ça dans le casier quand même.

2 auditions, 3h de discussions:

https://videos.assemblee-nationale.fr/video.18443087_69ba60d94c958.vulnerabilites-dans-le-secteur-du-numerique--m-dominique-luzeaux-general-de-division--representa-18-mars-2026

(toujours la même commission)

Alors que le "marketing", clairement ça rentre dans "all the right things". On peut reformuler cela par: les "product people", ils se concentrent sur le fric, le blé, le flouze, l'oseille, le pognon… Toutes les trucs importants quoi! 🤦

Alors d'un coté, oui, mais de l'autre, je ne paye pas mon prêt avec du plaisir et l'idée de faire les choses bien.

Alors, la, c'est pas exactement la faute de litellm, ça aurait pu arriver quand même n'importe ou vu que le souci était (sauf erreur de ma part) via une action github. Si un soft que tu utilises est backdooré, ç'est un peu mort.

Mais sinon, j'ai commencé à regarder le code de litellm, parce que j’étais curieux de voir comment il y a pu y avoir autant de code par une équipe si petite en si peu de temps. 382 PR en 1 semaine, 58 auteurs, 19 releases par semaine, il y a clairement de l'automatisation à un moment.

Sans surprise, j'imagine qu'il y a beaucoup de LLM, et c'était l'occasion de voir ce que le code donne (j'avais regardé le depot d'openclaw et j'avais été choqué de voir le bordel à la racine). Et j'ai pas été déçu.

En ouvrant au pif des fichiers, je tombe sur ce code ou j'ai le sentiment que les variables correspondent pas exactement à leur nom. Il y a un deepcopy sans bonne raison, l'organisation des structures semble pifométrique, etc. De même, la fonction get_llm_provider semble faire plus que juste donner le provider, vu que ça donne aussi une clé d'api et une base (et pas un objet provider propre).

les structures de données semblent assez visiblement inefficaces vu que je vois 3 fois le concept de région (une fois pour aws, une fois pour waston x et une fois pour le reste). Peut être qu'il y a des subtilités qui m'échappe, mais je doute.

Et à la racine, il y a un fichier uv.lock, mais aussi un poetry.lock, et un requirements.txt, en même temps. 3 fichiers pour agents (CLAUDE.md, GEMINI.md, AGENTS.md). Le nettoyage existe pas.

Donc bon, on peut pas blâmer litellm pour la compromission résultant d'un vendeur tierce et sans doute de limitation de Github, mais ça reste en effet du code un peu moche et trop complexe.

Surtout quand tu combines ça avec l'AI Act, qui demande au point 1.d de son article 53 de dire quelles sources sont utilisés pour les systèmes d'IA généralistes.

J'aimerais ajouter que le point 1.x du même article 53 indique que les fournisseurs doivent permettre d'appliquer la clause d'opt out de l'article 4 de la directive DCSM (directive copyright de 2019 de l'EU), mais après une recherche rapide, la directive n'a pas encore été adopté en droit français ce qui donne quand même un résultat assez curieux, et sans doute contestable en justice (car l'AI Act est en vigueur sans avoir besoin de transposition car c'est un règlement).

Ensuite, le manque complet d'uniformisation est courant dans le domaine, je prépare depuis 2 mois une présentation pour les JDLL qui touche un peu au sujet, et les questions autour de la propriété intellectuel, c'est clairement un ou deux niveaux de bordel par rapport à des sujets plus simples comme la réglementation sur la vie privé ou les droits humains.

Je crois que l'IA est plutôt douée pour les tâches de niveau moyen

En fait, par la nature du fonctionnement des modèles, les LLMs sont efficaces pour les problèmes déjà résolus plusieurs fois ailleurs.

J'ai un programme en rust qui me file un ics pour ce que j'appelle la "meeting chaos period", ce moment de l'année où les réunions bougent dans mon calendrier à cause de la date de changement d'heure qui différe entre l'Europe (ou je suis) et les USA (ou mes collègues sont). Quand je fait un meeting, il bouge quand je bouge, quand c'est mon chef en Californie, ça bouge quand il bouge. Du coup, y a des conflits de partout. Par curiosité, j'ai choisi utilisé Crush en branchant le logiciel sur Gemini de Google il y a ~8 mois, et j'ai demandé via l'interface de faire une revue de code.

Le modèle a correctement noté que j'ai mal écrit une balise, que je devais mettre des tests parce que j'ai laissé ça en "TODO". J'ai laissé le modèle écrire des tests, mais j'ai du les refaire de 0 car relativement non idiomatique. Puis j'ai eu comme remarque que je pouvais utiliser une constante, mais le code généré a mis un clone() gratuit que j'ai du retirer. Le modèle a aussi correctement remonté que mes tests n'étaient pas suffisant, vu que j'avais mis un commentaire sur le fait que ça ne soit pas forcément 1h de décalage (et en effet, il y a parfois 2h et parfois 30 minutes). Du coup, j'ai continué à chercher tout les edges cases possibles, et c'est pour ça que j'ai 2 fois plus de tests que de code sur le fichier principal.

J'ai aussi eu comme suggestion d'ajouter ce patch:

--- a/src/timezone_pair.rs
+++ b/src/timezone_pair.rs
@@ -19,34 +19,25 @@
 pub fn parse_tz(paths: Vec<&str>) -> Option<TimezonePair> {
-    let mut prefix = String::from(""); 
-    let mut res = Vec::new();
-
     // make sure we do not do a loop if the result is obviously
     // wrong (small protection against DoS)
     // 6 is the maximum for 2 TZs
-    if paths.len() > 6 {
+    if paths.len() > 6 || paths.is_empty() {
         return None;
     }

-    for item in paths {
-        prefix.push_str(item);
-        match prefix.parse() {
-            Ok(tz) => {
-                res.push(tz);
-                prefix.clear();
-            }
-            Err(_) => prefix.push('/'),
+    // Iterate through all possible split points from 1 to paths.len() - 1
+    for i in 1..paths.len() {
+        let s1 = paths[0..i].join(\"/\");
+        let s2 = paths[i..].join(\"/\");
+
+        // If both parts parse as valid timezones, we've found our pair.
+        if let (Ok(tz1), Ok(tz2)) = (s1.parse(), s2.parse()) {
+            return Some(TimezonePair::new(tz1, tz2));
         }
     }

-    if res.len() == 2 || prefix.is_empty() {
-        Some(TimezonePair::new(res[0], res[1]))
-    } else {
-        None
-    }
+    None
 }

 impl TimezonePair {

Le code marche (de ce que je sache), mais je l'ai refusé parce que ça m'a semblé moins idiomatique que le mien, que le code avait l'air plus subtile et avec une complexité plus dure à évaluer (mon algo fait un nombre linéaire d'appel à Tz::parse() dépendant de la taille de la chaîne sauf erreur de ma part, la ou le code proposé fait du 2n). Et je pense consomme un peu plus de mémoire (vu qu'il y a plus d'allocations de chaîne via s1 et s2).

En pratique, on s'en fout car la fonction est appelé 1 fois par jour (y a un cache), que n vaut au plus 6, mais j'aime bien ne pas avoir du code rust qui ressemble trop à du code C quand je peux éviter.

Le LLM a aussi réussi à se planter dans un diff (eg, un diff syntaxiquement incorrect), et a ne pas noter qu'une constante est utilisé en dehors du code rust (BUILDTIME dans les templates askama).

Ce que je retient avec mon échantillon de 1 revue, c'est que le LLM, outil de matching avant tout, a correctement noté des trucs subtils, mais classiques. Remplacer un "// TODO add test" avec une réponse "faut faire des tests", c'est une revue courante. Mettre header au lieu de head, je suis sans doute pas le premier à faire l'erreur. Remplacer une chaine par une constante en Rust, c'est aussi une optim de base qu'on doit voir dans plein de revue.

Et hélas, refaire un algo qui marche sans raison, c'est aussi une réponse courante dans des revues de code.

Je ne dit pas que ça sert à rien, j'ai améliorer mon code grâce à ça mais si la seule raison de ma productivité est d'avoir face à moi une machine reloue, je sais pas si c'est si bien que ça.

Toujours dans un cas qui va dans mon sens, j'ai aussi fait une seconde tentative, toujours via Gemini, toujours sur les calendriers, mais avec de la génération de code. J'ai voulu automatisé le fait de copier les jours fériés qui concernent mon équipe (8 pays) sur le calendrier d'équipe pour aider notre administratrice. Google Calendar est scriptable via une API, on peut lancer du javascript chez Google avec la gestion des clés et tout coté serveur, donc ç'est pas mal. Mais ayant déjà du faire ça par le passé, la documentation de Google est franchement pas terrible (et traduite automatiquement, avec un coté bizarre à la lecture).

Donc je me suis dit que le LLM de Google doit sans doute bien connaître l'API Google et peut me sortir un script d'exemple que je peux adapter, quelque chose qui prends un ics d'un coté pour le mettre vers le calendrier sans trop de souci. L'idée était de comparer et copier les nouveaux événements pour ceux qui peuvent changer dans l'année (le cas typique, c'est le ramadan, mais je doute pas que Trump invente aussi un nouveau jour férié à un moment), ou quand quelqu'un arrive dans l'équipe depuis un pays non couvert dans l'année. Pour le moment, c'est une copie manuelle en décembre, mais un truc dynamique serait mieux.

Il n'y a rien d'innovant, c'est juste lire 2 ics via http, faire une boucle pour comparer et envoyer la différence via une API. Et en effet, j'ai eu mon script en 30 secondes, ce qui me va parce que j'ai pas envie de faire du js si je peux l'éviter.

Le seul probléme, le modèle a généré du code utilisant une fonction sans dire d’où elle vient, mais après recherche pas des apis Google (et qui ne marche pas). Alors bien sur, les hallucinations, ç'est documenté, mais la ou c'est intéressant, que je pense que celle ci est causé par le fait qu'il y a assez peu de code JS sur le web qui concerne le scripting de Google Workspace, et peu de code sur les calendriers en javascript en général, mais juste assez pour avoir une réponse en utilisant une lib non spécifié. Malheureusement, j'ai pas gardé le résultat.

Donc oui, la ou les modèles font du bon boulot, c'est quand ce que tu dois faire a déjà été fait 100 fois et que le code est publique. Quand tu tapes dans les trucs un peu "nouveau" et un peu cracra que ça soit du point de vue des libs à utiliser, ou du domaine, ça semble commencer à partir un peu en vrille plus facilement.

Pour moi, ça montre surtout que le métier de dev, c'est assez souvent refaire la roue, et c'est pour ça qu'une technologie qui est une forme de recherche statistique de code marche tellement bien dans les cas ou ç'est finalement un peu toujours la même chose.

Alors, c'est pas parce qu'Anthropic est américaine que les comptes ont été suspendus, mais parce qu'ils n'ont pas respecté les Terms of Services du dit service.

Je sais que ça peut sembler surprenant de demander à faire respecter ce qui est globalement l'équivalent d'un contrat au moins en droit US (si quelqu'un veut le vérifier, y a une playlist de 80 vidéos sur le sujet mis à dispo par Yale), mais ça me semble assez naturel.

Je pourrais rappeler que le meilleur moyen de ne pas se faire fermer un compte pour violation des conditions d'usage est de rester dans les clous, mais le respect des autres, c'est rarement ce qui étouffe les fans d'IA sur tellement de point de vue.

Et l'autre meilleur moyen, c'est d'avoir un contrat en bonne et due forme avec des garanties justement sur la non fermeture, une négociation avec le fournisseur, etc, mais ça, c'est loin d'être gratuit.

Quand un article utilise "microslop", tu sais qu'il est la pour essayer de manipuler les gens.

La personne derrière le site est sur tout les réseaux sociaux du monde (enfin des USA surtout, bien sûr). Il y a Threads et Mastodon.social mais aussi Bluesky, alors que les 3 peuvent être interopérables (directement pour Threads et le reste du fediverse, via un bridge pour bluesky). C'est clairement le comportement d'un influenceur qui veut juste sa part de gateau sans rien apporter de concret. Quelqu'un de pas assez bon pour être journaliste et qui visiblement n'a pas de souci de moral avec le fait d'afficher un gars qui soumet un patch.

D'ailleurs, le site montre aussi un compte github et on peut voir clairement que Sam Bent n'a pas contribué grand chose, donc venir parler dans la communauté du logiciel libre, je trouve ça riche.

Sa bio le dit: "Defcon speaker, podcaster, hacker, author, exDarknet Vendor and Darknet Admin, youtuber, blogger", il est la principalement pour parler, et comme on dit "talk is cheap".

Et parler de darknet en 2026, ça fait un peu edgelord et beaucoup "vendeur de solution de sécurité" (aka, escroc les 3/4 du temps, on va pas se mentir non plus).

Iocaine ou un autre:
https://linuxfr.org/nodes/142284/comments/2013641

À titre perso, je serais assez intéressé par des retours sur les différents logiciels, au moins sur 2 points:
- à quel point ça influence les LLMs
- à quel point ça évite le pillonage des infras.

Le second est assez facile à évaluer à mon avis.

J'ai plus de doute sur le premier, mais je pense que c'est faisable, ça va juste prendre plus de temps.

Par exemple, s'assurer d'avoir un mot bien spécifique dans les textes qu'on produit, et voir si ce mot apparaît dans un LLM après la mise en place serait une façon de faire. Inventer un nom d'un algo qui n'existe pas, vérifier qu'un LLM ne donne rien sur ce nom (2/3 fois pour être sur), sortir du texte en citant ce nom d'algo dans l'outil qui génère du texte, et voir dans 3 mois ce qu'un LLM va dire.

Mon plan (que je ne vais sans doute jamais mettre en œuvre) serait même d'aller plus loin que de générer du texte qui n'a aucun sens, mais de mélanger du texte qui a un peu plus de sens avec une phrase sur 2 tiré des prompts utilisé par les adeptes du spiralisme (pas le courant littéraire, le courant sectaire ) pour impacter les poids des LLMs.

Par exemple, qu'est ce qui se passerait si on envoie du code (correct, ou pas) sur github en masse avec une tonne de commentaire "spiraliste", des chaines de caractères, des constantes qui sont proches sémantiquement des mots clés utilisés par les tenants du courant ? (et avec des git push -f tout les 2/3 mois, ça peut même rester sous les radars de github en terme de conso de disque). Est ce que ça va diriger les LLMs vers plus de proba de sortir du texte spiraliste, ce qui va déclencher une forme de panique moral ?

Il se passe quoi si tu as du code qui est en fait un mélange de langage de programmation ?

De même, ça donne quoi si tu prends un texte, et que tu mets un mot sur deux dans une autre langue, ou en base64, est ce que les LLMs vont commencer à faire pareil un peu plus souvent ?

Il se passe quoi si tu commences à publier des informations du futur via ton générateur de texte ? Par exemple, 3000 fausses annonces de CVE de 2028 (avec des dates, etc), est ce que c'est une bombe à retardement qui va tomber dans 2 ans quand le modèle va se retrouver avec des informations contradictoires niché au fin fond du modèle au moment ou quelqu'un va faire la demande ?

Y a sans doute plein d'attaque pour empoisonner le texte, mais on sait pas ce qui marche vraiment, et pas de méthode pour tester que je sache. Et peut être qu'on devrait aller plus loin que la simple intuition.

Oui, je pense qu'il faut au maximum parler de l'application autour de nous.

Ça apporte un vrai plus pour plein de gens, ç'est libre donc on peut parler du sujet sous l'angle du conflit d’intérêt de Google et de la pub, du respect des utilisateurs. Et quelque part, vu que ça s'appuie sur la réglementation française, ça permet aussi de dire que l'état fait des choses et de lutter contre l'apathie ambiante (qui à mon sens est un souci pour la démocratie), tout en montrant qu'on peut réguler l'industrie qui s'accapare notre attention.

En fait, même sur Cnews, je ne pense pas qu'on puisse dire qu'il y a 25% de fake news au total. Il y a sans aucun doute des éditos biaisés et c'est un vecteur d'influence bien sur, mais ça rentre dans l'éditorial, pas dans les news (alors bien sur, si le lectorat ne fait pas la différence entre les 2, c'est un probléme, je ne dit pas le contraire, et il faut plus d'éducation sans doute).

Il y a également des choix dans ce qui est couvert en priorité et ce qui n'est pas couvert, et ç'est aussi un mécanisme d'influence, mais ça ne fait pas exactement grimper le compteur des fausses news de ne pas couvrir un sujet.

Mais je pense pas qu'il y a 25% d'infos qui sont fausses.

Ensuite bien sur, y a pas besoin d'avoir 25% du total pour avoir de l'influence.

Oui, et d'ailleurs, c'est facile à vérifier, il suffit de prendre la page du jour et de compter. Sauf à être le pire complotiste du monde, je pense en effet qu'on arrive pas à 25%.

Donc la, y a un truc qui est plus léger qu'une voiture, et qui coûte plus cher qu'une voiture, et l'idée est de le laisser gambader autour du DC, en se disant que personne ne va voler ça plutôt que des voitures ?

Je suis pas économiste, mais j'ai le sentiment que le risque n'a pas correctement été évalué.

Ouais, je me doute bien, mais vu qu'il a tenté plusieurs fois de revenir par la petite porte, je pense que c'est important de prévenir. De plus, je pense que même si ça dure depuis bientôt 10 ans, tout le monde n'est pas au courant des derniers développements, ni des premiers.

Ensuite, je comprends bien que personne ne veut prendre le risque d'être ciblé, mais il a quand même l'air à bout de souffle (eg, quand tu trouves pas d'avocat pour te représenter, c'est quand même signe soit d'un hubris gigantesque, soit d'un manque de pognon flagrant, voir les 2).

En fait, j'ai aussi oublié dans la liste des personnes qu'il attaque, il y a également Gnome, SPI (en plus de Debian) et … l'ONU via l'OMPI. Et donc 17 personnes en plus de tout ça.

Clairement, il ose tout, je laisse les fans de Michel Audiard compléter.

Alors c'est sans doute pas le seul truc, mais je pense que se faire harceler par Daniel Pocock n'aide pas. Ça implique de faire des tas de meetings, de la compta, etc, mais aussi de devoir tenir sous le stress de ses abus émotionnels assez constant en plus de se taper son bullshit en permanence.

Dans un de ses derniers billets (12 mars), il bave sur la police suisse (qui, de ce que je sais, a un mandat d'arrêt contre lui, mais il a quitté le pays au moment de se faire arrêter) en instrumentalisant un drame récent à Chiètres où quelqu'un s'est suicidé dans un bus en y foutant le feu, emportant avec lui 6 personnes.

C'est méga horrible comme tragédie, mais plus encore si tu lis entre les lignes du billet de Daniel. Par exemple, il explique que c'était l’œuvre d'un marginal d’après la presse, puis dit

Who marginalised him? Did a rogue employer make up a rumour about him as a way to avoid giving him a redundancy payment when downsizing?

Quand tu lis entre les lignes et que tu connais l'obsession de Daniel pour appeler les membres de Debian qui l'ont viré des "rogue debianist", ça commence à prendre une tournure un peu sinistre. Tout son laïus dans son article sur le fait d'avoir bloqué la porte du bus, etc, ç'est aussi sinistre à la lumière de cette lecture.

En fait, une fois que tu vois que tout les exemples qu'il donne, c'est toujours pour parler de lui, c'est sinistre.

Il a déja tenté d'envoyer la police US chez quelqu'un, et la, il est en procès contre la terre entiére (sérieusement, y a Canonical, Google, la FSF, la orga du FOSDEM, Debian, Gandi, la FSFE, l'EFF et divers personnes de Debian et une de ALpinelinux) en pondant des pavés incohérents de 139 pages qu'il a par la suite amendés en pavé de 386 pages. Une de ses victimes m'a dit qu'il y a un effet délétère à ses élucubrations via la dizaine de site web qu'il a pondu parce que les scrapers de texte chopent le contenu et le foutent dans les modèles d'IA qui ressortent ça sans contexte (et donc, ça ressort quand on tape son nom). Et comme il y a encore 2/3 ans avant que la justice ne tranche dans ce genre de cas (notamment NOYB et un norvégien), et sans doute en faveur des plaignants et contre OpenAI, la personne ne peut pas faire grand chose à part attendre (vu que les providers ne font rien).

Mais y a sans doute d'autres raisons, comme la fatigue général du monde, et le vieillissement du projet, etc.

car je n'ai pas lu l'article qui est un luxe réservé aux abonnés en fait.

Luxe, le mot me semble un chouia exagéré.

Pour commencer, pas mal de bibliothèques proposent d'accéder à des portails divers et variés pour la presse à distance. La bibli de la ville d'à coté de chez moi propose un accès à la presse, avec inscription gratuite. La BNF propose un accès à Europresse et à Pressreader à 55€ par an. La Bibliothèque de Lyon propose les mêmes accès à distance pour 18€ par an. Les médiathèques de Strasbourg propose pareil pour la modique somme de 0 euros (de ce que je vois). Je vais pas faire le tour de France, mais voila, y a des solutions qui ne me semble pas être "un luxe", sauf si on définit le luxe à 5€ par mois au maximum (et c'est 5€ quand tu prends le truc le plus cher de la liste, sans compter les possibilités d'avoir des réducs si tu es chomeur, au RSA ou étudiant).

Ensuite, il reste aussi le fait d'aller directement à la bibli, qui propose les périodiques en salle de lecture. En général, c'est aussi gratuit.

Maintenant, ça implique deux choses. Primo, d'habiter dans une ville assez grande pour avoir une bibliothèque.

Et secundo, il faut aussi avoir des pouvoirs publiques qui financent les bibliothèques.

Même si le premier n'est pas toujours un choix, le second l'est beaucoup plus, et ça tombe bien, il y a un vote aujourd'hui sur les dits pouvoirs publiques.

Donc bon, pour rendre le luxe abordable, voter en faveur serait sans doute un premier pas.

(sinon, en dernier recours, il y a aussi divers extensions firefox pour retirer les paywalls, ça marche très bien pour les gens qui ne veulent vraiment pas du tout financer les journalistes et qui sont ok pour laisser les milliardaires cathos de France s'en occuper)

Ouais, alors on va pas se mentir, en théorie, les trucs comme Solaris, Irix, etc étaient supportés. En pratique, tu avais parfois des bugs à la con.

Par exemple, ça en 2005 sur Python. Et en 2020, il y a eu une discussion sur le fait de retirer le support de Solaris, car pas grand monde s'en préoccupe, et il faut toujours menacer de retirer un truc pour que d'un coup, quelqu'un rajoute un buildbot, et que quelqu'un se penche sur les bugs, et remonte les patchs upstreams.

C'est hélas aussi pareil pour les architectures de processeurs, cf le cas de python crypto et rust, ou un probléme est quand même que parfois, le matériel n'est plus fabriqué, donc non testable.

Alors oui, c'est un risque, mais je pense qu'on peut faire confiance quand même aux devs pour avoir ce risque en tête.

Le noyau Linux est dénoncé comme trop complexe, bloated et au dela de la comprehension par un humain isolé depuis des années, que ça soit par les chiffres sur le nombre de CVE, la réalité du terrain ou les quelques pro BSD qui restent, et pourtant, tout le monde s'en fout visiblement depuis des années. Donc croire que systemd est spécial à ce niveau la, ça me semble un peu artificiel.

Vu que tout le monde n'a pas de contourneur de paywall ou d'abo BNF ou autre, la presse US a aussi repris le sujet:

https://www.advocate.com/politics/national/doge-chatgpt-dei-lgbtq-grants