Youyou @youyou_dev

Introducing Claude Fable 5: a Mythos-class model that we’ve made safe for general use. Its capabilities exceed those of any model we’ve ever made generally available.

Tu cherches "Claude Mac download" sur Google. Tu cliques sur le résultat sponsorisé. L'URL est bien claude(.)ai. C'est officiel. La page t'explique comment installer Claude Code sur Mac. Elle se présente même comme un support Apple. Tu copies-colles la commande dans ton Terminal. Et tu viens d'installer un malware sur ton Mac. Le truc, c'est qu'il n'y a rien de faux dans ce parcours. L'URL est vraie. La marque est vraie. La pub Google est "vérifiée". Le domaine appartient bien à Anthropic. Comment c'est possible ? L'attaquant a créé un faux guide d'installation dans un chat partagé Claude(.)ai. C'est du contenu généré par utilisateur, hébergé sur le vrai domaine d'Anthropic. Aucun faux site, aucune URL douteuse, aucun déguisement. Puis l'attaquant a acheté des publicités Google. Quand tu cherches "Claude Mac download", la pub apparaît en haut des résultats. Elle pointe vers claude(.)ai. C'est techniquement vrai. Sauf qu'elle pointe vers le faux guide planqué dans un chat partagé. Le malware en question, c'est un infostealer. Il vole tes mots de passe, tes cookies de session, tes données de portefeuille crypto, l'accès à ton iCloud. Plus de 10 000 utilisateurs ont déjà accédé aux pages malveillantes. Trois réflexes à intégrer. 1/ Tu ne télécharges jamais un logiciel via un résultat sponsorisé Google. Tu vas directement sur le site officiel (claude(.)ai dans ce cas), tu trouves la section téléchargement, et tu télécharges depuis là. 2/ Tu ne colles JAMAIS une commande Terminal qui vient d'une page web. Ni de Claude, ni de StackOverflow, ni d'un tuto YouTube, ni d'une "documentation officielle". Si tu dois exécuter une commande, tu la lis, tu la comprends, et si tu doutes, tu demandes. 3/ Et c'est ça LE truc à intégrer, parce que ça va se généraliser: On t'a appris pendant 20 ans à regarder l'URL. À vérifier que le domaine est bon. À te méfier du faux. Sauf qu'aujourd'hui, l'attaquant ne fabrique plus de faux. Il utilise les vrais sites pour héberger ses pièges. Le vrai sujet de fond. Google encaisse l'argent de la pub. Anthropic héberge le contenu. Aucun des deux ne va trop loin pour t'aider, parce que pour eux, c'est juste un coût d'opération acceptable. C'est toi qui te fais vider ton iCloud.

keyboard_arrow_left Previous keyboard_arrow_right Next

🚨 CRITICAL: Active supply chain attack on axios -- one of npm's most depended-on packages. The latest [email protected] now pulls in [email protected], a package that did not exist before today. This is a live compromise. This is textbook supply chain installer malware. axios has 100M+ weekly downloads. Every npm install pulling the latest version is potentially compromised right now. Socket AI analysis confirms this is malware. plain-crypto-js is an obfuscated dropper/loader that: • Deobfuscates embedded payloads and operational strings at runtime • Dynamically loads fs, os, and execSync to evade static analysis • Executes decoded shell commands • Stages and copies payload files into OS temp and Windows ProgramData directories • Deletes and renames artifacts post-execution to destroy forensic evidence If you use axios, pin your version immediately and audit your lockfiles. Do not upgrade.

My dear front-end developers (and anyone who’s interested in the future of interfaces): I have crawled through depths of hell to bring you, for the foreseeable years, one of the more important foundational pieces of UI engineering (if not in implementation then certainly at least in concept): Fast, accurate and comprehensive userland text measurement algorithm in pure TypeScript, usable for laying out entire web pages without CSS, bypassing DOM measurements and reflow

Introducing TurboQuant: Our new compression algorithm that reduces LLM key-value cache memory by at least 6x and delivers up to 8x speedup, all with zero accuracy loss, redefining AI efficiency. Read the blog to learn how it achieves these results: goo.gle/4bsq2qI

Software horror: litellm PyPI supply chain attack. Simple `pip install litellm` was enough to exfiltrate SSH keys, AWS/GCP/Azure creds, Kubernetes configs, git credentials, env vars (all your API keys), shell history, crypto wallets, SSL private keys, CI/CD secrets, database passwords. LiteLLM itself has 97 million downloads per month which is already terrible, but much worse, the contagion spreads to any project that depends on litellm. For example, if you did `pip install dspy` (which depended on litellm>=1.64.0), you'd also be pwnd. Same for any other large project that depended on litellm. Afaict the poisoned version was up for only less than ~1 hour. The attack had a bug which led to its discovery - Callum McMahon was using an MCP plugin inside Cursor that pulled in litellm as a transitive dependency. When litellm 1.82.8 installed, their machine ran out of RAM and crashed. So if the attacker didn't vibe code this attack it could have been undetected for many days or weeks. Supply chain attacks like this are basically the scariest thing imaginable in modern software. Every time you install any depedency you could be pulling in a poisoned package anywhere deep inside its entire depedency tree. This is especially risky with large projects that might have lots and lots of dependencies. The credentials that do get stolen in each attack can then be used to take over more accounts and compromise more packages. Classical software engineering would have you believe that dependencies are good (we're building pyramids from bricks), but imo this has to be re-evaluated, and it's why I've been so growingly averse to them, preferring to use LLMs to "yoink" functionality when it's simple enough and possible.

Daniel Hnyk @hnykda

3 months ago

LiteLLM HAS BEEN COMPROMISED, DO NOT UPDATE. We just discovered that LiteLLM pypi release 1.82.8. It has been compromised, it contains litellm_init.pth with base64 encoded instructions to send all the credentials it can find to remote server + self-replicate. link below

307 2K 9K 5.8M 3K

Anthropic dropped a 33 page cheat sheet for using Claude to build and design anything. resources.anthropic.com/hubfs/The-Comp…

New agent-browser skill: Electron You can now control desktop apps built with Electron, including Discord, Figma, Notion, Spotify and VS Code Or, use it to debug your own Electron app Add it to any coding agent: npx skills add vercel-labs/agent-browser --skill electron

Chris Tate @ctatedev

3 months ago

The "holy shit" moment when I realized agent-browser can control Slack npx skills add vercel-labs/agent-browser --skill slack

80 77 1K 553K 2K

Les plombiers et les électriciens regardant l’IA remplacer tous ceux qui sont allés à l’université.

High-performance browser control for AI agents. Pinchtab is a lightweight (12MB) Go binary that runs Chrome and exposes a plain HTTP API so any agent or script can navigate web pages, read text efficiently, click/type interactively, and persist sessions. Zero config, framework-agnostic, token-efficient.

@GithubProjects Using Playwright MCP atm but will try this thanks

Scrapling : framework de web scraping qui bypass Cloudflare automatiquement, 774× plus rapide que BeautifulSoup, et adapte les sélecteurs quand la structure du site change. HTTP + browser automation, async, CLI sans code github.com/D4Vinci/Scrapl…

Excited to announce Claude for Open Source ❤️ We're giving 6 months of free Claude Max 20x to open source maintainers and core contributors. If you maintain a popular project or contribute across open source, please apply! claude.com/contact-sales/…

Official MCP server for the data(.)gouv(.)fr French governmental platform. Honestly I am genuinely surprised. Usually French is pretty slow (despite having some of the best talents in tech, math, AI etc) to adopt innovations especially for governmental services. I tried the MCP, works flawlessly and can be very useful. I think the repo can be more agentic native / friendly but it's a very nice initiative, love it! Franchement bravo

Antonin Garrone @antonin_garrone

4 months ago

Les données disponibles sur data.gouv.fr sont désormais interrogeables via un serveur MCP dédié en experimentation, vos retours sont bienvenus ! 💻 Le code est ouvert et accessible sur GitHub : github.com/datagouv/datag… Pour en savoir plus : data.gouv.fr/posts/experime…

114 381 2K 612K 2K

Créer des PDF dans Symfony n'a jamais été aussi simple ! Avec le GotenbergBundle, vous transformez vos HTML/CSS en PDF via un simple container Docker. Fini les usines à gaz, place à la performance. Merci SensioLabs pour cet outil indispensable ! Vidéo : youtu.be/BwH2APvOb2U

WebMCP is available for early preview → goo.gle/4rML2O9 WebMCP aims to provide a standard way for exposing structured tools, ensuring AI agents can perform actions on your side with increased speed, reliability, and precision.

Il existe une page github sur le durcicement de son serveur physique (bare métal) ou virtuel (VPS). Il n'y a pas une méthode, il y a du cas par cas en sécurité. Dans cette page, tout ne sera pas utile suivant vos objectifs. github.com/imthenachoman/…

Ultra impressionné par le modèle Ministral3 de @MistralAI. Regardez, ça tourne en local sur mon PC, et ça ne prend que 3 Go de RAM. La vitesse de réponse est folle et la qualité est au rdv !

🌟 Symfony 8.0.0-BETA1 released ➡️ symfony.com/blog/symfony-8…

@festinaboy C’est ce que t’as à la place du cerveau