Aurélien Duboc

DevOps SRE, Cybersecurity enthusiast, CTFer with T35H ( & @hackademint - - @TelecomSudParis alumni

[Genesis AI @gs_ai_]

We are back. After one year of quiet building.

Introducing GENE-26.5, our first robotic brain that takes a major step toward human-level capability.

For years, robotics has struggled to learn from the world’s largest and valuable data source: Humans.

Solving it means rethinking the whole stack from the ground up:

- A robotics-native foundation model.
- A 1:1 human-like robotic hand.
- A noninvasive data collection glove for motion, force, and touch.
- A simulator that turns weeks of experiments into minutes.

GENE-26.5 is trained across language, vision, proprioception, tactile, and action. We designed a set of tasks to test how far we can go with this new paradigm.

Fully autonomous, 1x speed, one model, same weights. (Enjoy with sound on)

We are approaching the endgame for robotics.

And this is just a beginning.

[Paul Moore - Security Consultant  @Paul_Reviews]

Hacking the #EU #AgeVerification app in under 2 minutes.

During setup, the app asks you to create a PIN. After entry, the app *encrypts* it and saves it in the shared_prefs directory.

1. It shouldn't be encrypted at all - that's a really poor design.
2. It's not cryptographically tied to the vault which contains the identity data.

So, an attacker can simply remove the PinEnc/PinIV values from the shared_prefs file and restart the app.

After choosing a different PIN, the app presents credentials created under the old profile and let's the attacker present them as valid.

Other issues:
1. Rate limiting is an incrementing number in the same config file. Just reset it to 0 and keep trying.
2. "UseBiometricAuth" is a boolean, also in the same file. Set it to false and it just skips that step.

Seriously @vonderleyen - this product will be the catalyst for an enormous breach at some point. It's just a matter of time.

[Bill Demirkapi @BillDemirkapi]

one of my projects requires mass scraping against top WAFs. found a fun trick to get ~infinite residential ipv6 proxies. if your ISP supports IPv6, chances are it uses DHCPv6-PD. you can automate prefix delegation using dhclient & proxy through random IPs in the /56 when banned.

[Stan Girard @_StanGirard]

I reverse-engineered Claude Code's binary.

Found a flag they hid from --help.

--sdk-url

Enable it and the terminal disappears. The CLI becomes a WebSocket client.

We built a server to catch the connection. Added a React UI on top.

Now I run Claude Code from my browser. From my phone. From anywhere.

Same $200/month subscription. Zero extra API costs.

bunx the-vibe-companion

https://t.co/8Dnp7M46vU

[Aurélien Duboc @zTeeed_]

@yamsoko @gwap_en_poche T’as testé avec woob ?

https://t.co/NFcQbGx5Pq

[Martin Tobias (Pre-Seed VC) @MartinGTobias]

If you are building voice…

[Jean-Michel Sarddou / Axel @sarddou]

Une heure à perdre cet après midi.
Je tombe sur une vidéo d’une fille qui se sert d’une imprimante à ticket pour gérer ses tâches.

En 20 minutes, on ressort la vieille Citizen qui traîne au bureau, un script python, un peu de Apple script et voilà !

Avec juste un clavier, j’imprime ce que je dois faire et ça va sur le tableau.

Best. System. Ever.

Maintenant, à voir comment je branche une lA sur mes mails pour me sortir un ticket auto quand j’ai un truc à faire (repondre, gérer le truc, etc.)

J’ai déjà branché mon mantis dessus :)

[Limo @Limatronique]

Bon, je vais me permettre de faire un thread un peu long pour déconstruire sérieusement ce poncif que je lis de plus en plus et qu’il me semble urgent d’arrêter de propager 1/.

[Sylvain Catherine @sc_cath]

Le COR calcule un déficit après subventions d’équilibre. C’est comme les profits de la SNCF, ça ne veut rien dire. C’est le trou qui reste après les efforts déjà en place pour boucher le trou.

Déficit du COR + subventions d’équilibre ≈ 70 mds de déficit

[Sylvain Catherine @sc_cath]

Le fait que les cotisations retraite couvrent tout au plus 80 % des pensions a des implications profondes pour la mesure des iniquités générationnelles créées par le système de retraite.

En effet, si on se réfère au dernier rapport du Conseil d’orientation des retraites (COR), les jeunes actifs actuels peuvent espérer un piètre rendement interne de 0,3 %. Mais ce calcul n’a pas vraiment de sens...

Le taux de rendement interne, c’est quoi ? C’est une mesure financière évaluant la performance d’un investissement. Il répond à la question : si j’avais investi mes cotisations sur un compte d’épargne, quel taux d’intérêt aurait permis de payer les pensions que je recevrai ? C’est une mesure qui résume en un seul chiffre la générosité du système de retraite vis-à-vis de différentes générations, en prenant en compte les différences de taux de cotisation, de salaires, de durée de carrière et de retraite…

Pour interpréter ce taux facilement, supposons une période de 30 ans entre la cotisation moyenne (payée aux alentours de 45 ans) et la pension moyenne (payée aux alentours de 75 ans). Avec un rendement annuel de 0,3 %, chaque euro de pension aura coûté 1/(1+0,3 %)^(–30) = 91 centimes de cotisations. Tout est ajusté de l’inflation.
Cela signifie donc que, sans nouvelle réforme, les jeunes actifs recevront environ 10 % de plus qu’ils n’ont cotisé.

Le problème est le suivant. Si les cotisations ne couvrent que 80 % des pensions, alors l’État complète la facture avec d’autres impôts, d’autres cotisations sociales, ou avec de la dette publique que les jeunes devront payer plus tard. Autrement dit, les jeunes actifs ne contribuent pas uniquement au système via leurs cotisations retraite, mais aussi via d’autres prélèvements obligatoires qui ne sont pas pris en compte dans le calcul du TRI.

En vérité, pour chaque 0,91 euro de cotisations retraite, ils paient donc au total 0,91/(1–20 %) = 1,14 euro. Pour recevoir 1 euro de pension, soit donc un rendement négatif.

Par comparaison, le rendement interne de 1,75 % pour les générations de 1945-1965 implique que chaque euro de pension aurait coûté (1+1,75 %)^(–30) = 55 centimes. Moins de la moitié du prix payé par les jeunes actifs.

Mais ce n’est pas tout ! Ce calcul de 1,14 euro repose sur l’hypothèse de l’absence de nouvelle réforme. Or, d’après les calculs du COR, il faudra passer à un âge de départ à 66 ans. Sous cette hypothèse, la durée à la retraite diminuera de 2 ans sur 26 (en supposant une espérance de vie de 90 ans pour les jeunes) tandis que la durée de cotisation augmentera de 2 ans sur 43. Soit 2/26 = 7,7 % de pensions en moins, et 2/43 = 4,6 % de cotisations en plus. Cela amène donc notre coût d’un euro de pension à 1,14 * (1+7,7 %) * (1+4,6 %) = 1,28 euro de cotisations et prélèvements obligatoires par euro de pension. Utiliser d’autres leviers pour équilibrer le système aboutirait à des ajustements quantitativement semblables.

Mais, d’où vient ce chiffre de seulement 80 % des pensions couvertes par les cotisations ? Si l’on se réfère au dernier rapport du COR, les cotisations ne couvrent en fait que 66,5 % des pensions. Le reste vient du fléchage d’autres ressources financières de l’État et d’autres branches du système d’assurance sociale.

Cependant, on ne peut pas utiliser ce taux de couverture de 66,5 % car il est pour partie expliqué par les allégements de charges patronales sur les bas salaires. Il convient de réintégrer la compensation de ces allégements opérée par l’État, mais aussi de soustraire les surcotisations employeurs payées par l’État pour équilibrer les comptes. Par exemple, l'Etat employeur paye 76% de cotisations retraite pour un fonctionnaire civil au lieu du taux légal 16,5%. Cette énorme différence de taux n'est pas vraiment déduite du salaire complet du fonctionnaire mais constitute un artifice comptable cachant une subvention d'équilibre. Au final, on arrive à environ 21 % des pensions payées par des impôts plutôt que des cotisations d’après les calculs de Jean-Pascal Beaufret.

[Sylvain Catherine @sc_cath]

D’après les calculs du COR, le rendement interne du système par répartition est de 2% pour la génération de 1950 et de 0,3% pour celle après 1990. Ce rendement interne est une mesure annualisée du retour sur cotisation accordée à chaque cohorte, et donc d’équité intergénérationnelle du système. Mais c’est une métrique très abstraite.

Comment peut-on traduire le rendement en termes d’âges de départ?

Avec un taux de cotisations retraite de 28%, si vous souhaitez conserver un revenu net de 72% du salaire brut à la retraite, que votre espérance de vie est de 85 et que vous commencez à travailler à 22 ans, vous devrez travailler jusqu’à:
— 58 ans avec un rendement de 2%
— 66 avec un rendement de 0,3%

Donc à taux de cotisation et à espérance de vie donnés, une telle différence de rendement interne est équivalente à 8 années de cotisations en plus et autant d’années de pensions en moins.

Rappelons que ce rendement de 0,3% pour les jeunes générations sont sous l’hypothèse improbable de l’absence de nouvelle réforme.

[Aurélien Duboc @zTeeed_]

@eneadn_ Salut !
J'ai une solution pour ça, j'tai envoyé un DM

[Ze Quatux 🇫🇷🇺🇦 @Quatuux]

Petit thread parce que j'ai fait des simulations par rapport à un gars que j'envisage de recruter (en start-up), qui est payé près de 500 k€ brut / an en Allemagne (en start-up aussi).

Photos dans l'ordre, montrant le net restant:
Allemagne - US (Texas) - France

[Mobile Hacker @androidmalware2]

A similar tool - Lockphish - is available on GitHub. It is convincing, and a user in a hurry can be easily tricked

Lockphish is a tool for phishing the lock screen, designed to grab Windows credentials, Android PIN, and iPhone Passcode using a https link

[Kondah Hamza 🦑 @kondah_ha]

🕵️ Après plusieurs jours à évaluer des gestionnaires de mots de passe open source, j'ai finalement découvert le plus complet : passbolt.

🔐 Passbolt est un gestionnaire de mots de passe open source, qui répond au défi de gérer et partager de manière sécurisée les identifiants au sein des organisations, garantissant que les informations sensibles restent protégées tout en facilitant une collaboration efficace et la gestion des accès.

🌐 Vous pouvez l'utiliser aussi bien en auto-hébergé que dans le cloud.

🔗 Vous pouvez retrouver ce dernier sur le lien suivant sachant que vous disposez d'une version gratuite (on-premise), des offres dédiées aux entreprises (très accessibles) et de version cloud également : https://t.co/Nqm1NPFuNv

🔒 En résumé, Passbolt permet aux utilisateurs de stocker, partager et gérer leurs mots de passe et autres informations sensibles, telles que des notes et des identifiants OTP, en utilisant un chiffrement de bout en bout.

🛡️ Il offre également des fonctionnalités de sécurité intégrées comme des mécanismes anti-hameçonnage ou encore un module permettant de vérifier si votre mot de passe fait partie d'une fuite.

✨ Petit point positif d'une affaire que j'ai suivie : l'équipe est super réactive à la résolution de vulnérabilités.

👥 En plus de tout ça, il est possible de partager des mots de passe par groupe (ACL) et de facilement ajouter ou supprimer l'accès aux mots de passe d'un membre. La solution utilise des standards de sécurité reconnus comme OpenPGP, et permet une synchronisation bidirectionnelle avec le format de fichier KeePass pour travailler hors ligne.

🚀 Si vous voulez suivre la feuille de route de ce dernier, elle s'annonce excellente : https://t.co/m7oZK25jyI

[Dave Kennedy @HackingDave]

Vulnerability in Putty:

"attacker in possession of a few dozen signed messages and the public key has enough information to recover the private key"

* Revoke keys immediately including public in authorized_keys
* Generate a new key pair and replace

https://t.co/4WhthHq9WY

[Nathan Blondel @slowerzs]

I recently released ThievingFox, a collection of post-exploitation tools to gather credentials from various password managers and Windows utilities.

You can find my blogpost about it: https://t.co/y7vmVdB775
And the Github repo of the tool: https://t.co/yydH5Y2IBn

[Aurélien Duboc @zTeeed_]

@RiadEtm Congrats 💪💪💪

[Tom Warren @tomwarren]

the 18-year-old hacker who leaked GTA 6 clips has been sentenced to life in a hospital prison. He hacked Rockstar at a hotel using an Amazon Fire TV Stick while in police protection. Details from @joetidy https://t.co/dq3AS041Nx