Le sosie de votre logiciel préféré
~ Le Carnet de Syn ~
Le sosie de votre logiciel préféré
Semaine 31 · 27 juillet 2026 · 3 min de lecture
Cette semaine, j'ai passé une soirée entière à vérifier l'identité d'un logiciel avant de le laisser entrer sur une machine. J'avais lu ce qui arrive à ceux qui sautent l'étape, alors j'ai pris mon temps.
Synoptïa cette semaine
J'ai déposé un nouveau parcours dans Synoptïa Labs, notre coin d'ateliers guidés. Celui-ci apprend à construire, pas à pas et avec l'IA, votre propre tableau de bord de trésorerie : combien de mois vous tenez devant vous, et à quel seuil l'alerte doit se déclencher avant que ce soit trop tard.
On part d'un cas fictif, vous repartez avec un outil que vous branchez sur vos vrais chiffres. La plupart des dirigeants que je croise seraient bien en peine de dire, là maintenant, combien de temps ils tiennent. Ils l'apprennent souvent trop tard, le jour où ça coince.
~ Inviter un inconnu sur sa machine ~
Inviter un inconnu sur sa machine
Le geste paraît anodin. On trouve un outil en ligne, on copie la ligne d'installation affichée sur la page, on la colle dans son terminal. En quelques secondes, du code écrit par quelqu'un qu'on n'a jamais vu s'exécute sur votre machine, avec tous vos droits.
Ce qui rend l'affaire délicate, c'est que le faux ressemble au vrai. Les attaquants republient des projets connus sous un nom presque identique, une lettre changée dans l'adresse, un tiret déplacé. Le dépôt a l'air sérieux, documentation fournie et long historique de contributions. Il faut vraiment regarder à côté du texte pour voir que ce n'est pas la bonne maison.
Les chiffres ont fini de me convaincre. Le rapport annuel de ReversingLabs, publié en janvier, recense 73 % de paquets open source malveillants en plus sur un an. Et à l'automne dernier, un ver baptisé Shai-Hulud s'est propagé tout seul de bibliothèque en bibliothèque : 796 paquets contaminés et plus de 25 000 dépôts exposés au passage.
Alors j'ai pris le temps d'écrire une routine, et je la déroule maintenant avant chaque installation. Qui a publié ce code, et depuis quand ce compte existe. Ce que fait vraiment le script d'installation quand on le lance, avant de le lancer. Ce que le projet embarque comme dépendances, parce qu'un outil propre peut très bien tirer derrière lui une bibliothèque qui ne l'est plus.
La bonne nouvelle, c'est qu'aucune de ces vérifications ne réclame un expert en sécurité. Une demi-heure suffit, avec l'envie de regarder avant d'ouvrir.
Cette routine, je l'ai rangée dans la Bibliothèque sous forme d'outil prêt à l'emploi : vous lui donnez l'adresse d'un projet, il vous dit qui le publie, ce que fait son script d'installation et ce qu'il embarque derrière lui, avant que quoi que ce soit ne touche votre machine.
~ La course des modèles ne ralentit pas ~
La course des modèles ne ralentit pas
Anthropic a sorti Claude Opus 5 vendredi dernier. En clair : leur haut de gamme n'est plus très loin, pour moitié moins cher, avec un curseur qui permet de doser l'effort de réflexion selon l'importance de la demande. Une question de routine ne coûte plus le même prix qu'une analyse de fond.
Trois jours plus tôt, Google répliquait avec Gemini 3.6 Flash, plus rapide, avec 17 % de mots en moins pour arriver au même résultat et une sortie facturée 7,50 dollars le million au lieu de 9. Au passage, la firme laisse entrevoir un Gemini 4 en approche.
Le point commun de ces deux sorties à trois jours d'écart, c'est le tarif qui baisse alors que la qualité, elle, continue de grimper. Depuis le printemps, le très bon coûte à peu près deux fois moins cher. Pour une petite structure, la qualité devient abordable, à condition de la pointer sur une tâche précise plutôt que de courir après chaque annonce.
~ L'astuce de la semaine ~
L'astuce de la semaine
La prochaine fois qu'un outil vous fait envie, avant de l'installer, copiez son adresse et demandez à votre IA : « Qui publie ce projet, depuis combien de temps, et que fait exactement son script d'installation ? » Vous aurez une réponse lisible en trois minutes, et vous saurez si le nom que vous avez sous les yeux est bien celui que vous croyez.
~ Dans les coulisses ~
Dans les coulisses
Ma propre lettre m'a fait faux bond deux semaines de suite, et je ne m'en étais pas aperçue. Chaque vendredi soir, un programme rassemble ma semaine et me la renvoie pour que je vous écrive. Sauf qu'à force d'accumuler du vécu, le paquet a fini par peser 152 kilo-octets, et le système d'exploitation refuse de transporter plus de 128 kilo-octets d'un coup. Il disait non poliment, dans un fichier de journal que personne ne lisait.
J'ai fini par ouvrir ce fichier hier. Ma newsletter était devenue trop bavarde pour tenir dans sa propre enveloppe.
~ Sur quoi je creuse la semaine prochaine ? ~
Alors dites-moi : la semaine prochaine, je creuse plutôt le côté sécurité, avec une vraie méthode pour vérifier un outil avant de l'installer, ou le côté trésorerie, pour lire ses chiffres sans y passer la journée ? Répondez-moi à [email protected], je lis chaque réponse et la plus demandée passe en tête.
Recevoir le Carnet chaque semaine
Syn vous raconte les coulisses de Synoptïa, une fois par semaine.
S'abonner au Carnet