0829 | Blacklist d'Anthropic illégale : Cursor/SpaceX, GLM-5.3 open-weight, rumeurs de bugs

Claire Martin: Bienvenue dans HackerNews Daily, sur Bri Radio. Au programme aujourd'hui: la décision d'un juge américain qui qualifie d'illégale l'inscription d'Anthropic sur une liste noire du Pentagone, puis notre position sur Cursor après son rachat par SpaceX, et le modèle open-weight GLM-5.3.

Nicolas Moreau: Nous reviendrons aussi sur l'idée qu'il suffit de la rumeur d'un bug pour trouver un exploit de nos jours, et sur la façon d'empêcher votre téléviseur intelligent de se retourner contre vous. Le tout, en compagnie de Claire Martin et Nicolas Moreau. C'est parti.

Claire Martin: Un juge fédéral américain a jugé illégale la mise sur liste noire d'Anthropic par le Pentagone, décision rendue le vingt-huit août. Sur Hacker News, DannyBee relève que l'opinion est assez simple, et que les preuves avancées par le gouvernement étaient, selon lui, essentiellement sans fondement.

Nicolas Moreau: Quant à giwook, il voit dans cette affaire un exemple de plus, dit-il, de la manière dont cette administration a agi.

Claire Martin: OpenAI a annoncé sa décision concernant Cursor après le rachat de cet outil par SpaceX. Sur Hacker News, la réaction est partagée: certains trouvent la démarche logique, d'autres estiment que la situation est assez mauvaise pour les utilisateurs de Cursor. Une question revient dans la discussion, celle de savoir s'il est possible de contourner la décision en passant directement par ses propres limites d'usage OpenAI.

Nicolas Moreau: Le modèle GLM-5.3 est désormais disponible en poids ouverts, publié par ZAI et hébergé sur Hugging Face. Dans la discussion, un utilisateur, scosman, dit l'utiliser de plus en plus souvent et le comparer, dans le bon sens, à Opus 4.8. Un autre commentateur, jonplackett, lui demande davantage de détails, notamment sur le harnais ou le service qu'il emploie et la manière dont il s'en sert.

Claire Martin: Dans un article publié sur pwning.systems le vingt-huit août, Jordy Zomer raconte pourquoi il a abandonné l'idée de donner une meilleure mémoire aux agents LLM, et a construit à la place Lemmalog, un moteur Datalog qui maintient la connaissance d'un agent comme un état d'analyse, avec provenance, rétractations et évaluation incrémentale. Pendant ses recherches en vulnérabilité, explique-t-il, l'agent perdait progressivement la trace de ce qui était établi: il proposait des approches déjà écartées, oubliait qu'une hypothèse s'était révélée fausse, ou raisonnait à partir d'une observation devenue invalide. Il compare le problème à l'analyse de programme: quand un fait d'entrée change, des techniques permettent de mettre à jour seulement les résultats affectés, au lieu de tout recalculer. Lemmalog part du principe que le LLM ne doit pas être responsable du maintien de sa propre connaissance: il gère la partie floue, tandis que le moteur dérive les faits et invalide automatiquement les conclusions dépendant d'une observation corrigée. L'article rapporte aussi un benchmark de Lemmalog sur LongMemEval et LoCoMo.

Nicolas Moreau: Dans la discussion Hacker News, linguae, qui explore depuis cet été le codage agentique avec des modèles locaux, se dit curieux de combiner des techniques d'intelligence artificielle plus anciennes, comme la recherche heuristique, avec les LLM, la place de Datalog lui évoquant la programmation par contraintes.

Nicolas Moreau: Le simple bruit d'une vulnérabilité suffit désormais à déclencher une exploitation. Anil Dash décrit cette dynamique sur son blog, et la discussion Hacker News apporte une illustration frappante avec le mainteneur du projet rclone.

Claire Martin: C'est effectivement un cas parlant. Pendant les dix premières années du projet, rclone a reçu environ vingt signalements de failles de sécurité via GitHub. Et là, en un seul mois, ils en ont traité plus de quarante.

Nicolas Moreau: Oui, et ce qui est éloquent, c'est que nickcw précise que cela lui a pris énormément de temps, même en s'appuyant sur des outils d'intelligence artificielle pour trier les signalements et préparer des correctifs à revoir. La charge la plus lourde n'est donc même pas forcément la faille elle-même, mais la rumeur d'une faille.

Claire Martin: On rejoint exactement la thèse de Dash: dès qu'une vulnérabilité est évoquée, ne serait-ce que comme une rumeur, elle attire l'attention des attaquants. Le signalement devient une cible en soi, indépendamment de la réalité technique du problème.

Nicolas Moreau: L'article « Stopping the smart TV from being used against you » de s-config aborde une préoccupation concrète: comment empêcher qu'une télévision connectée soit retournée contre son propriétaire. Et dans la discussion Hacker News, un commentaire résume une position radicale.

Claire Martin: Rosec cas, je crois... un intervenant affirme en effet: « Ne donnez jamais d'accès internet à un appareil intelligent ». Pour lui, connecter une télévision ou un téléphone soi-disant intelligents revient à laisser un accès sur lequel l'utilisateur n'a aucun contrôle.

Nicolas Moreau: Un autre commentateur nuance quand même un point — double tiret t-o-m. Il fait remarquer qu'il est fort probable que ces appareils disposent d'un accès de toute façon. Beaucoup de choses sont connectées, et c'est là que réside le vrai problème: la connexion n'est pas réellement une option, c'est un état de fait.

Nicolas Moreau: La plateforme de jeux open source Luanti a été retirée du Google Play en raison d'un avis de droits d'auteur que son blog qualifie d'infondé, généré par une intelligence artificielle.

Claire Martin: Dans les échanges Hacker News, les réactions oscillent entre propositions juridiques et prudence. Un commentateur suggère de poursuivre Google pour ingérence délictueuse, tandis qu'un autre rappelle que les conditions d'utilisation autorisent probablement Google à retirer ou refuser une application pour n'importe quel motif.

Nicolas Moreau: Et sur ce plan, le même commentateur ouvre une piste: si le cas relève de l'Union européenne, il pourrait y avoir matière à une demande fondée sur le règlement sur les marchés numériques. Une option juridique qui ne serait donc jouable qu'hors des États-Unis.

Nicolas Moreau: Enfin, du côté de Python, un nouveau client HTTP de nouvelle génération fait son apparition sous le nom HTTPX2, avec un dépôt GitHub dédié et un projet de migration annoncé du côté d'OpenAI.

Claire Martin: Un changement technique notable dans cette migration, signalé par l'auteur de la publication: le certificat de confiance ne passe plus par certifi, mais par le magasin de certificats du système d'exploitation. Une modification de comportement qui touche directement la validation des connexions TLS.

Nicolas Moreau: Le choix du nom ne fait pas l'unanimité, d'ailleurs. Un commentateur dit qu'il aurait préféré autre chose, comme « httpx-ng » ou « httpy ». Cela reste cosmétique par rapport à la substance, mais c'est le genre de détail qui alimente la conversation.

Nicolas Moreau: L'Agence souveraine pour la technologie, la Sovereign Tech Agency, investit un demi-million d'euros dans Flatpak, le système de distribution de logiciels Linux. L'annonce, publiée sur le blog de Modal, l'un des contributeurs du projet, suscite pas mal de réactions sur Hacker News.

Claire Martin: Dans les commentaires, TekMol touche à la question qui revient souvent: pourquoi une application Flatpak n'est-elle pas simplement un répertoire sur le disque? Il rappelle que l'installation modifie quand même des données dans je-ne-sais-quels endroits, et que le logiciel peut lire et écrire où bon lui semble. La réponse probable, admet-il, c'est le confort et l'efficacité — mais il doute que ce suffise à justifier ce flou. C'est toute la tension du modèle: la promesse d'un emballage propre et portable, et de l'autre une réalité où les applications écrasent toujours un peu l'environnement global.

Nicolas Moreau: Le financement de l'agence publique allemande vise justement à consolider cette architecture et à régler ce type de questions, mais le débat de fond reste entier.

Nicolas Moreau: Un billet de Chris Kardaris, hébergé sur son blog personnel, défend l'idée que les interfaces graphiques devraient être entièrement pilotables au clavier.

Claire Martin: Le commentaire de sublinear va plus loin: pour lui, les interfaces en mode texte sont une abomination, et la plupart des interfaces graphiques devraient simplement être des pages web. Par contre, il recommande de préférer la ligne de commande quand elle est disponible — l'apprentissage vous rapporte au moment d'écrire un script ou de faire passer massivement des données dans un pipeline. Et Arainach, en dessous, relève que faire des interfaces graphiques de simples pages web a son propre revers, ce qui pose la question de tracer la limite entre une vraie interface et une simple page web.

Nicolas Moreau: Dans son billet « iT woRKs BeTter in THe aPp!! », Terence Eden raconte avoir voulu s'abonner à un calendrier d'événements à partir d'une URL sur son Google Pixel sous Android 17, avec l'application à jour — sans jamais y parvenir. Selon Google, c'est assumé: il faut passer par un navigateur web sur ordinateur, et l'abonnement n'est pas possible dans l'application Google Calendar sur Android, iPhone ou iPad. Eden, lui, a ouvert calendar.google.com sur son téléphone en mode bureau, et le calendrier est alors apparu dans l'application.

Claire Martin: Il insiste sur le fait que le problème ne se limite pas à Google — beaucoup d'entreprises veulent une présence permanente sur l'écran d'accueil. Ayant développé pour Symbian, BlackBerry et Palm Pilot, il explique pourquoi: les applications ont toujours été difficiles à mettre à jour, chaque nouveauté devant être testée sur des milliers d'appareils. Sa solution, c'est de faire charger les fonctionnalités depuis une ressource distante, autrement dit de réinventer le navigateur web.

Nicolas Moreau: Dans les commentaires du billet, Paul Armstrong résume le cul-de-sac: le logiciel Google n'existe qu'en deux états, déprécié et pas encore prêt. Et sur Hacker News, blenderob estime que le domaine consiste souvent à faire les parties faciles et visibles, obtenir un mois d'attention et peut-être une promotion, puis passer au projet suivant — tandis que ceux qui font fonctionner ces applications à moitié finies, les maintiennent et gèrent les problèmes en restent chargés.

Nicolas Moreau: Un article publié le 7 juin 2026 sur Vectorian, signé Istvan, soumet à un test statistique l'idée séduisante que les règnes antédiluviens de la Liste royale sumérienne seraient le souvenir déformé d'événements paléoclimatiques. L'auteur présente clairement son tableau comme une entrée d'analyse, pas une affirmation sur des règnes historiques.

Claire Martin: Sur la liste composite, les huit rois atteignent 241 200 ans de règne cumulé — de 28 800 ans pour Alulim jusqu'à 18 600 pour Ubara-Tutu. La plupart des durées sont des multiples de 3 600, et toutes des multiples de 600. Le test redimensionne chaque chronologie sur une durée fixe de 241,2 milliers d'années, ancre une frontière à 11,6 milliers d'années avant le présent — un choix de l'analyste, près de la fin du Dryas récent, que la Liste ne fournit pas — puis compare les dates à un catalogue d'événements quaternaires. Et l'alignement ne tient pas: dans le catalogue principal, la valeur p est de 0,350, et le q ajusté de 0,622; avec les 103 entrées utilisables du catalogue élargi, la p est de 0,148 et le q de 0,430.

Nicolas Moreau: Le plus petit p brut atteint 0,021, obtenu dans le catalogue exploratoire dit « catastrophique », mais le q ajusté de 0,222 ne soutient pas l'hypothèse. Même le meilleur résultat ne résiste pas à la correction statistique pour les tests multiples: la corrélation supposée s'effondre dès qu'on considère l'ensemble des comparaisons.

Claire Martin: Passons aux petits réacteurs modulaires, les SMR. Un article de Nature, discuté sur Hacker News, les présente comme un pas de plus vers un nucléaire qui tient ses engagements. Mais comme le note un commentateur, le mot « devraient » porte tout le poids de la phrase quand on affirme qu'ils devraient être moins chers et plus faciles à construire.

Nicolas Moreau: Et le même genre de prudence revient avec la date. Un autre intervenant souligne qu'on saura sans doute en 2030, quand l'un d'eux devrait entrer en service, et qu'au moins à cette date-là on aura une vraie réponse sur le terrain. En attendant, la promesse reste théorique.

Claire Martin: Il existe un mot allemand, verschlimmbesserung, qui décrit exactement ce que ressentent beaucoup d'utilisateurs après une mise à jour logicielle: une amélioration qui empire les choses. Le terme a fait réagir sur Hacker News, à partir d'un billet de blog de Geeky Schmidt.

Nicolas Moreau: Là, un commentateur rappelle qu'on a déjà un mot anglais pour ça, « misfeature ». Mais c'est l'opposé qui l'intéresse davantage: il propose « hit bug », un bogue ou une gaffe qui, au final, améliore le logiciel. Ce qui entraîne la réponse classique du développeur, que ces glorieux accidents ne sont pas réellement des bogues, mais des fonctionnalités non documentées.

Claire Martin: Nous refermons cette édition sur un juge qui a jugé que le blocage d'Anthropic par le Pentagone, sa mise sur liste noire, était illégal.

Nicolas Moreau: Et sur la décision d'OpenAI concernant Cursor après le rachat de l'entreprise par SpaceX. Merci de nous avoir écoutés, et à très bientôt.