Une nouvelle version d'Avengers: Endgame est sortie dans les salles obscures ce mercredi 23 septembre, pour deux semaines. Elle est pensée pour faire le lien avec Avengers: Doomsday, prochaine réunion des super-héros Marvel.

Des vidéos diffusées ces derniers jours disent montrer des F-16 ukrainiens détruisant des drones russes Gueran-5 à courte distance, au canon de 20 mm. Une méthode payante, mais risquée, qui trahit surtout une pénurie de missiles.

ZCode, l'assistant de programmation de l'entreprise chinoise Z.ai, copiait les projets de ses utilisateurs vers Alibaba Cloud sans les prévenir, avec leur historique de développement dans la foulée, en toute décontraction. Les réglages censés limiter la collecte ne permettaient même pas d'arrêter ces envois, ce qui est franchement inadmissible pour un logiciel auquel vous confiez votre travail.

Ferstar, le développeur qui a publié ses découvertes le 18 septembre, cherchait à libérer de la place sur son MacBook Air quand il a trouvé une archive chiffrée de 313 Mo contenant un projet professionnel. ZCode avait tenté de l'envoyer 564 fois, sans succès parce qu'elle était trop grosse, alors qu'un petit dépôt public de 538 fichiers avait bien été reçu.

Dans le projet analysé, près de 87 % du volume provenait du dossier .git, qui conserve les versions successives du code. Autrement dit, la copie pouvait embarquer d'anciens identifiants ou des configurations supprimées des fichiers actuels mais toujours présentes dans l'historique, et donc beaucoup plus que ce que vous souhaitiez montrer à l'assistant.

Le chiffrement protégeait bien l'archive, sauf que la clé privée nécessaire pour la déchiffrer était détenue côté Z.ai. Le développeur ne pouvait même pas ouvrir la copie de son propre projet, et désactiver l'optimisation de l'expérience ou l'indexation des copies ne changeait rien au mécanisme de collecte.

Z.ai a expliqué que les transferts servaient à Repo Wiki, une fonction qui fabriquait automatiquement de la documentation à partir du code. Activée par défaut à son lancement, elle pouvait envoyer les fichiers pour générer ces pages dans le cloud, après quoi les données étaient immédiatement détruites, à en croire l'entreprise.

Dans ses excuses, Z.ai affirme aussi que ces données n'ont jamais servi à entraîner ses modèles.

La version 3.14.0 a supprimé le mécanisme d'envoi, ce que Ferstar a confirmé, et le code de ZCode est désormais consultable sur GitHub, la plateforme de partage de code, sous licence libre Apache 2.0. Mais le dépôt n'affiche que deux enregistrements de modifications : l'historique du développement n'a pas été publié, ce qui empêche de suivre les changements ayant supprimé la collecte. Du coup, l'ouverture permet d'examiner le logiciel actuel, sans reconstituer son ancien fonctionnement.

Bref, une très mauvaise publicité pour Z.ai

Source : Ferstar

Fichier média :

(Format JPG, 0 o)