Dans un billet d’actualités mensuel, publié le 8 juillet, Clément Lefebvre, fondateur et principal développeur de la distribution Linux Mint, a indiqué que le support de Wayland dans Cinnamon n’était plus expérimental.
La prochaine version majeure de Linux Mint, estampillée 23 et prévue pour la fin de l’année, proposera donc une « vraie » session Wayland, aux côtés de la session X11 classique, qui restera telle quelle. Le développeur ne dit pas en revanche si la session Wayland sera utilisée par défaut, ou si le choix sera plus conservateur. La décision sera probablement annoncée dans les mois qui viennent.
Clément Lefebvre indique que le travail sur le support de Wayland a été intense, avec de nombreux résultats positifs. On note ainsi des améliorations pour la stabilité générale, la gestion des fenêtres, le support du multi-écran, la prise en charge du HiDPI et de l’échelle fractionnaire ou encore des GPU NVIDIA.
Illustration : Flock
Ces nouveautés étant prévues pour la prochaine version de Cinnamon, elles seront automatiquement reprises dans Linux Mint 23, qui doit arriver en décembre. S’agissant de la première mouture à sortir après la publication d’Ubuntu 26.04, elle en reprendra donc les bases, avec à la clé une vaste modernisation de la base technique.
Les améliorations citées ne seront pas les seules. Lefebvre évoque par exemple une cartographie correcte de la taille et de la position des fenêtres quand Cinnamon est utilisé avec Wayland. Même chose pour les applets et les menus de contenu. Le prochain Cinnamon intègrera aussi un mécanisme de prévention du vol de focus (« focus stealing » en VO), pour s’assurer que la saisie ou les clics ne se fassent pas dans une autre application sans interaction explicite de l’utilisateur. Nous avions souligné ce risque de sécurité dans notre dossier consacré à la transition de X11 vers Wayland.
D’autres apports sont prévus et seront probablement accueillis avec joie par les utilisateurs. Par exemple, l’accélération matérielle a été intégrée au compositeur, au bureau et aux clients Wayland et XWayland (mécanisme de compatibilité pour les applications X11 dans une session Wayland). On note aussi la prise en charge de la session graphique de systemd pour améliorer la compatibilité avec d’autres distributions (Cinnamon peut être installé sur d’autres systèmes, comme Ubuntu et Fedora)
Dans un billet d’actualités mensuel, publié le 8 juillet, Clément Lefebvre, fondateur et principal développeur de la distribution Linux Mint, a indiqué que le support de Wayland dans Cinnamon n’était plus expérimental.
La prochaine version majeure de Linux Mint, estampillée 23 et prévue pour la fin de l’année, proposera donc une « vraie » session Wayland, aux côtés de la session X11 classique, qui restera telle quelle. Le développeur ne dit pas en revanche si la session Wayland sera utilisée par défaut, ou si le choix sera plus conservateur. La décision sera probablement annoncée dans les mois qui viennent.
Clément Lefebvre indique que le travail sur le support de Wayland a été intense, avec de nombreux résultats positifs. On note ainsi des améliorations pour la stabilité générale, la gestion des fenêtres, le support du multi-écran, la prise en charge du HiDPI et de l’échelle fractionnaire ou encore des GPU NVIDIA.
Illustration : Flock
Ces nouveautés étant prévues pour la prochaine version de Cinnamon, elles seront automatiquement reprises dans Linux Mint 23, qui doit arriver en décembre. S’agissant de la première mouture à sortir après la publication d’Ubuntu 26.04, elle en reprendra donc les bases, avec à la clé une vaste modernisation de la base technique.
Les améliorations citées ne seront pas les seules. Lefebvre évoque par exemple une cartographie correcte de la taille et de la position des fenêtres quand Cinnamon est utilisé avec Wayland. Même chose pour les applets et les menus de contenu. Le prochain Cinnamon intègrera aussi un mécanisme de prévention du vol de focus (« focus stealing » en VO), pour s’assurer que la saisie ou les clics ne se fassent pas dans une autre application sans interaction explicite de l’utilisateur. Nous avions souligné ce risque de sécurité dans notre dossier consacré à la transition de X11 vers Wayland.
D’autres apports sont prévus et seront probablement accueillis avec joie par les utilisateurs. Par exemple, l’accélération matérielle a été intégrée au compositeur, au bureau et aux clients Wayland et XWayland (mécanisme de compatibilité pour les applications X11 dans une session Wayland). On note aussi la prise en charge de la session graphique de systemd pour améliorer la compatibilité avec d’autres distributions (Cinnamon peut être installé sur d’autres systèmes, comme Ubuntu et Fedora)
Ubuntu 26.10 remplace enfin dbus-daemon par dbus-broker comme implémentation par défaut de D-Bus, un changement essentiellement interne visant à améliorer les performances, la robustesse et l’extensibilité. Aucun impact particulier n’est attendu sur les applications.
D-bus est un bus de messages : grâce à lui, les processus Linux peuvent communiquer entre eux. Ce composant est crucial, car il permet aux fonctions d’avoir le résultat attendu. Par exemple, le gestionnaire de fichiers demande au système de monter une clé USB pour en afficher le contenu, le panneau de configuration modifie la luminosité de l’écran, une application demande l’ouverture du sélecteur de fichiers, etc.
Pour quoi faire ?
À compter d’Ubuntu 26.10, le composant chargé des messages internes sera changé. dbus-daemon sera remplacé par dbus-broker, avec à la clé de sérieux avantages techniques : traitement asynchrone des messages, meilleure gestion des ressources, comptabilisation plus précise des clients, ou encore meilleure résistance générale lors de pics de trafic D-bus.
Il ne devrait y avoir aucun changement visible dans la grande majorité des scénarios. Bien que dbus-broker soit plus moderne, il est davantage pensé pour éviter les goulets d’étranglement que pour fournir une accélération dans les opérations basiques.
Si Canonical a décidé ce remplacement, c’est que dbus-daemon a été créé il y a 22 ans. Malgré son âge vénérable, il a reçu de nombreuses évolutions. Cependant, il accuse le poids des années : son architecture a été conçue à une époque où le nombre de services système était bien plus faible qu’aujourd’hui, où les environnements de bureau étaient plus simples et les charges de travail beaucoup moins importantes.
Pourquoi pas avant ?
Cette décision n’a rien d’avant-garde. Fedora, souvent la première distribution à opérer des changements techniques d’envergure, a déjà réalisé cette bascule en 2019. Pourquoi Canonical a-t-elle attendu si longtemps ? L’entreprise cite deux raisons :
Il a fallu attendre que GDM (le gestionnaire de connexion/bureau de GNOME) se débarrasse de ses dépendances à dbus-daemon, ce qui a fini par arriver avec GNOME 49
et attendre que dbus-broker atteigne une compatibilité complète avec AppArmor, notamment pour certaines fonctions liées à la gestion des paquets Snap
La stratégie de Canonical face à la nouveauté ne change pas. Les bascules ne s’opèrent que lorsque l’entreprise estime que la situation s’y prête. On se souvient par exemple que le passage à Wayland s’était fait plusieurs années après d’autres distributions, un peu plus de cinq ans après celle de Fedora, par exemple. Le remplacement des composants historiques se fait progressivement, pour éviter une cassure chez les utilisateurs, Ubuntu étant la distribution Linux la plus utilisée au monde.
Ubuntu 26.10 remplace enfin dbus-daemon par dbus-broker comme implémentation par défaut de D-Bus, un changement essentiellement interne visant à améliorer les performances, la robustesse et l’extensibilité. Aucun impact particulier n’est attendu sur les applications.
D-bus est un bus de messages : grâce à lui, les processus Linux peuvent communiquer entre eux. Ce composant est crucial, car il permet aux fonctions d’avoir le résultat attendu. Par exemple, le gestionnaire de fichiers demande au système de monter une clé USB pour en afficher le contenu, le panneau de configuration modifie la luminosité de l’écran, une application demande l’ouverture du sélecteur de fichiers, etc.
Pour quoi faire ?
À compter d’Ubuntu 26.10, le composant chargé des messages internes sera changé. dbus-daemon sera remplacé par dbus-broker, avec à la clé de sérieux avantages techniques : traitement asynchrone des messages, meilleure gestion des ressources, comptabilisation plus précise des clients, ou encore meilleure résistance générale lors de pics de trafic D-bus.
Il ne devrait y avoir aucun changement visible dans la grande majorité des scénarios. Bien que dbus-broker soit plus moderne, il est davantage pensé pour éviter les goulets d’étranglement que pour fournir une accélération dans les opérations basiques.
Si Canonical a décidé ce remplacement, c’est que dbus-daemon a été créé il y a 22 ans. Malgré son âge vénérable, il a reçu de nombreuses évolutions. Cependant, il accuse le poids des années : son architecture a été conçue à une époque où le nombre de services système était bien plus faible qu’aujourd’hui, où les environnements de bureau étaient plus simples et les charges de travail beaucoup moins importantes.
Pourquoi pas avant ?
Cette décision n’a rien d’avant-garde. Fedora, souvent la première distribution à opérer des changements techniques d’envergure, a déjà réalisé cette bascule en 2019. Pourquoi Canonical a-t-elle attendu si longtemps ? L’entreprise cite deux raisons :
Il a fallu attendre que GDM (le gestionnaire de connexion/bureau de GNOME) se débarrasse de ses dépendances à dbus-daemon, ce qui a fini par arriver avec GNOME 49
et attendre que dbus-broker atteigne une compatibilité complète avec AppArmor, notamment pour certaines fonctions liées à la gestion des paquets Snap
La stratégie de Canonical face à la nouveauté ne change pas. Les bascules ne s’opèrent que lorsque l’entreprise estime que la situation s’y prête. On se souvient par exemple que le passage à Wayland s’était fait plusieurs années après d’autres distributions, un peu plus de cinq ans après celle de Fedora, par exemple. Le remplacement des composants historiques se fait progressivement, pour éviter une cassure chez les utilisateurs, Ubuntu étant la distribution Linux la plus utilisée au monde.
Bun, un environnement d’exécution JavaScript et un gestionnaire de paquets, a annoncé le 8 juillet une conversion complète de son code vers Rust en un temps record. L’opération a été en grande partie menée grâce à l’utilisation de Claude Fable 5. Bien qu’il s’agisse d’un exemple concret en production, il ne peut pas être appliqué à tout type de projet.
Bun est un environnement et un gestionnaire de paquets pour JavaScript. Il est développé avec le langage Zig, est open source et sous licence MIT. Le projet est relativement récent sur la scène du développement, car la version 1.0 stable est sortie en septembre 2023. La dernière révision stable est la 1.3, publiée fin 2025. Elle a notamment ajouté le remplacement à chaud des modules (Bun est également un groupeur de modules, ou module bundler).
Les projecteurs se sont brusquement braqués sur Bun au même moment, quand Anthropic a annoncé son rachat. Une opération logique pour Anthropic, Bun étant déjà utilisé pour certains composants de Claude Code.
Et voilà que Bun vient d’annoncer la réécriture complète de son code Zig en Rust… en seulement 11 jours, entre les 3 et 14 mai.
Dans son billet, Jarred Sumner, à la tête du développement de Bun, explique que la version initiale de Bun avait été écrite en un an et en Zig, avant l’apparition des LLM. Aujourd’hui, le CLI (interface en ligne de commande) de Bun est téléchargé 22 millions de fois par mois. Alors pourquoi une réécriture totale en Rust ?
Selon Sumner, le choix n’est pas idéologique, mais motivé par une liste précise de bugs récurrents dans la version Zig : des dizaines de bugs de type use-after-free (le noyau réutilise un pan de mémoire qu’il a déjà libéré), double-free (double utilisation de la fonction free() sur la même adresse mémoire) et fuites mémoire dans des modules critiques (node:zlib, node:http2, UDPSocket, crypto.scrypt, TLS…).
L’argument central de Sumner est que Zig, comme le C, ne gère pas la mémoire pour vous, et ne dispose pas de constructeurs/destructeurs. Le nettoyage repose sur le mot-clé explicite defer. Il est manuel et il faut donc penser à l’utiliser, rendant l’erreur humaine quasi inévitable à grande échelle.
« Chaque allocation mémoire doit être examinée avec minutie. Où ces octets sont-ils libérés ? Comment s’assurer qu’il ne soit libéré qu’une seule fois ? Avons-nous bien vérifié les exceptions JavaScript ? Ce pointeur collecté à la poubelle est-il visible pour le scanner de pile conservateur ? Est-ce de la mémoire récupérée ou de la mémoire gérée manuellement ? », liste Jarred Sumner, parmi les questions récurrentes.
Après avoir envisagé le C++, il se tourne finalement vers le Rust, car une bonne partie des problèmes rencontrés sont liés à la gestion de la mémoire. Avec le « nouveau » langage, loué pour la sécurité induite justement en mémoire, ces problèmes apparaissent à la compilation. Encore faut-il que le code soit en Rust « sûr » (safe).
Sumner aborde d’ailleurs ce point. 4 % du code Rust de Bun se trouvaient ainsi dans un bloc unsafe, soit environ 13 000 mots-clés unsafe dans environ 27 000 lignes sur un total d’environ 780 000. La totalité du code ne peut pas être en Rust safe, car Bun continue d’embarquer des dépendances C/C++ significatives, comme JavaScriptCore, uWebSockets, BoringSSL, SQLite et lshpack/lsquic.
Le rôle prépondérant de Claude Fable 5
Le billet détaille amplement les méthodes utilisées. Par exemple, le choix d’une réécriture complète (plutôt qu’incrémentale) a été motivé par la propre expérience de Jarred Sumner dans ce type d’opération, et par la disponibilité d’une suite de tests indépendante du langage d’implémentation. Selon Sumner, elle a permis de garder un filet de sécurité comportemental identique pour l’avant/après.
On apprend en outre que la « revue adversariale » a été faite par deux instances Claude en contexte séparé, chargées de débusquer les bugs et présentées comme le mécanisme central de contrôle qualité. Et c’est justement la présence de Fable 5 au cœur du mécanisme qui rend l’annonce si visible.
La version de test a été produite en 11 jours. Les chiffres associés sont impressionnants : 5,9 milliards de tokens d’entrée non mis en cache, 690 millions de tokens de sortie, et 72 milliards de tokens d’entrée lus en cache. Soit environ 165 000 dollars au tarif de l’API, contre une estimation d’environ un an de travail pour trois ingénieurs à temps plein sur le code existant pour les 535 496 lignes de code, selon Jarred Sumner.
Source : Bun
Cette performance – en moyenne 1 300 lignes de code à la minute – concerne cependant la phase de génération brute, pas le code fonctionnel. Le billet précise qu’à ce stade, « absolument rien ne fonctionnait encore ». Une performance à relativiser également sur l’utilisation du LLM, car elle n’avait rien de « naïf ». L’orchestration humaine a été lourde, avec environ 50 flux de travail dynamiques et jusqu’à 64 instances de Claude en parallèle, réparties en quatre arbres de travail (worktrees). Sumner dit avoir lui-même surveillé manuellement les sorties pendant l’essentiel des 11 jours de travail.
Le billet documente aussi des échecs répétés du modèle dans des cas précis : interprétation erronée de consignes, ajout de commentaires justificatifs longs pour masquer des contournements… Un comportement suffisamment problématique pour que Sumner ait fini par ajouter une règle explicite aux réviseurs adversariaux : « Si vous avez besoin d’un paragraphe entier pour justifier qu’un contournement est correct, c’est que le code n’est pas bon – corrigez le code ».
Bon… et alors ?
Selon Jarred Sumner, les avantages de Rust sont évidents dans la préversion. Allègement des binaires, consommation de mémoire réduite, résolution de nombreux bugs liés à la mémoire existants dans la version actuelle 1.3.14… Sur le plan des performances, les gains sont plus mesurés, avec 2 à 5 % en moyenne selon les scénarios.
Jarred Sumner veut pour preuve de sa réussite que la version 2.1.181 de Claude Code, publiée le 17 juin, utilise la version de Bun réécrite en Rust. Cela signifie-t-il que tout est parfait et que tout le monde devrait se lancer dans le même type d’opération ? Pas du tout.
Le billet de Bun est assez transparent sur les défis restants. Bun 1.4.0 sera bien la première version intégralement en Rust et des corrections continueront pendant toute la phase de test. Mais plusieurs éléments méritent d’être soulignés, dont le caractère même du billet : intéressant dans le retour d’expérience qu’il rapporte, mais qui reste une communication d’entreprise puisque Jarred Sumner travaille pour Anthropic et a pu bénéficier de Fable 5 quand presque plus personne n’y avait droit en mai.
On pourrait souligner également que des régressions peuvent apparaître avant et après la version finale. 19 ont ainsi été détectées et corrigées, mais la suite de tests, malgré le grand nombre d’exercices (plus de 60 000) a été écrite avant la réécriture de Bun, son périmètre n’est donc pas optimal. En outre, Jarred Sumner ne dit rien des bugs qui ont pu échapper aux instances adversariales bâties sur Claude et qui ont pu être détectés avec d’autres méthodes. Faisons remarquer aussi que les 165 000 dollars présentés comme facture de la migration peuvent être trompeurs : ils n’incluent pas le lourd temps humain de supervision pendant les 11 jours, ni l’infrastructure de calcul, ni le travail de fusion et post-fusion du code.
Ce cas ne peut pas être généralisé. Même si la réécriture de Bun doit s’avérer une franche réussite, elle le devra en bonne partie à la suite de tests indépendants du langage d’implémentation, qui a permis la validation des opérations menées par les agents, en comparant les situations avant et après.
Le résultat ne sera pas non plus un code Rust « idiomatique ». Il sera loin d’être parfait et de répondre aux standards de sécurité auxquels un code dans ce langage peut prétendre, mais le billet est transparent sur la question. Sumner indique que l’objectif était bien la parité comportementale. Le code safe et profitant vraiment de tous les avantages de Rust viendra plus tard, lors de « refactorings ultérieurs ». Il ne donne pas plus de précisions.
Enfin, il ne s’agit clairement pas d’un scénario « lancer et oublier ». Le cas présenté est celui d’un ingénieur senior utilisant des agents comme amplificateurs, pas en remplacement de son expertise. Lancer Fable 5 et lui demander simplement de réécrire du code en Rust n’a aucune chance de donner un résultat approchant.
Le projet Bun disposait d’ailleurs de conditions favorables à la base, comme sa structure pensée pour la portabilité, l’absence de dépendance à des paradigmes très spécifiques au C/C++, ou même le fait que Jarred Sumner est l’auteur principal, travaillant seul sur une bonne partie des tâches.
Un projet C/C++ ancien, avec de multiples contributeurs, des conventions peu claires, des dépendances à des extensions spécifiques de compilateur, ou surtout une suite de tests incomplète ou couplée au langage source, rencontrerait des difficultés bien plus importantes avec cette même méthode. Et les coûts s’envoleraient d’autant.
Bun, un environnement d’exécution JavaScript et un gestionnaire de paquets, a annoncé le 8 juillet une conversion complète de son code vers Rust en un temps record. L’opération a été en grande partie menée grâce à l’utilisation de Claude Fable 5. Bien qu’il s’agisse d’un exemple concret en production, il ne peut pas être appliqué à tout type de projet.
Bun est un environnement et un gestionnaire de paquets pour JavaScript. Il est développé avec le langage Zig, est open source et sous licence MIT. Le projet est relativement récent sur la scène du développement, car la version 1.0 stable est sortie en septembre 2023. La dernière révision stable est la 1.3, publiée fin 2025. Elle a notamment ajouté le remplacement à chaud des modules (Bun est également un groupeur de modules, ou module bundler).
Les projecteurs se sont brusquement braqués sur Bun au même moment, quand Anthropic a annoncé son rachat. Une opération logique pour Anthropic, Bun étant déjà utilisé pour certains composants de Claude Code.
Et voilà que Bun vient d’annoncer la réécriture complète de son code Zig en Rust… en seulement 11 jours, entre les 3 et 14 mai.
Dans son billet, Jarred Sumner, à la tête du développement de Bun, explique que la version initiale de Bun avait été écrite en un an et en Zig, avant l’apparition des LLM. Aujourd’hui, le CLI (interface en ligne de commande) de Bun est téléchargé 22 millions de fois par mois. Alors pourquoi une réécriture totale en Rust ?
Selon Sumner, le choix n’est pas idéologique, mais motivé par une liste précise de bugs récurrents dans la version Zig : des dizaines de bugs de type use-after-free (le noyau réutilise un pan de mémoire qu’il a déjà libéré), double-free (double utilisation de la fonction free() sur la même adresse mémoire) et fuites mémoire dans des modules critiques (node:zlib, node:http2, UDPSocket, crypto.scrypt, TLS…).
L’argument central de Sumner est que Zig, comme le C, ne gère pas la mémoire pour vous, et ne dispose pas de constructeurs/destructeurs. Le nettoyage repose sur le mot-clé explicite defer. Il est manuel et il faut donc penser à l’utiliser, rendant l’erreur humaine quasi inévitable à grande échelle.
« Chaque allocation mémoire doit être examinée avec minutie. Où ces octets sont-ils libérés ? Comment s’assurer qu’il ne soit libéré qu’une seule fois ? Avons-nous bien vérifié les exceptions JavaScript ? Ce pointeur collecté à la poubelle est-il visible pour le scanner de pile conservateur ? Est-ce de la mémoire récupérée ou de la mémoire gérée manuellement ? », liste Jarred Sumner, parmi les questions récurrentes.
Après avoir envisagé le C++, il se tourne finalement vers le Rust, car une bonne partie des problèmes rencontrés sont liés à la gestion de la mémoire. Avec le « nouveau » langage, loué pour la sécurité induite justement en mémoire, ces problèmes apparaissent à la compilation. Encore faut-il que le code soit en Rust « sûr » (safe).
Sumner aborde d’ailleurs ce point. 4 % du code Rust de Bun se trouvaient ainsi dans un bloc unsafe, soit environ 13 000 mots-clés unsafe dans environ 27 000 lignes sur un total d’environ 780 000. La totalité du code ne peut pas être en Rust safe, car Bun continue d’embarquer des dépendances C/C++ significatives, comme JavaScriptCore, uWebSockets, BoringSSL, SQLite et lshpack/lsquic.
Le rôle prépondérant de Claude Fable 5
Le billet détaille amplement les méthodes utilisées. Par exemple, le choix d’une réécriture complète (plutôt qu’incrémentale) a été motivé par la propre expérience de Jarred Sumner dans ce type d’opération, et par la disponibilité d’une suite de tests indépendante du langage d’implémentation. Selon Sumner, elle a permis de garder un filet de sécurité comportemental identique pour l’avant/après.
On apprend en outre que la « revue adversariale » a été faite par deux instances Claude en contexte séparé, chargées de débusquer les bugs et présentées comme le mécanisme central de contrôle qualité. Et c’est justement la présence de Fable 5 au cœur du mécanisme qui rend l’annonce si visible.
La version de test a été produite en 11 jours. Les chiffres associés sont impressionnants : 5,9 milliards de tokens d’entrée non mis en cache, 690 millions de tokens de sortie, et 72 milliards de tokens d’entrée lus en cache. Soit environ 165 000 dollars au tarif de l’API, contre une estimation d’environ un an de travail pour trois ingénieurs à temps plein sur le code existant pour les 535 496 lignes de code, selon Jarred Sumner.
Source : Bun
Cette performance – en moyenne 1 300 lignes de code à la minute – concerne cependant la phase de génération brute, pas le code fonctionnel. Le billet précise qu’à ce stade, « absolument rien ne fonctionnait encore ». Une performance à relativiser également sur l’utilisation du LLM, car elle n’avait rien de « naïf ». L’orchestration humaine a été lourde, avec environ 50 flux de travail dynamiques et jusqu’à 64 instances de Claude en parallèle, réparties en quatre arbres de travail (worktrees). Sumner dit avoir lui-même surveillé manuellement les sorties pendant l’essentiel des 11 jours de travail.
Le billet documente aussi des échecs répétés du modèle dans des cas précis : interprétation erronée de consignes, ajout de commentaires justificatifs longs pour masquer des contournements… Un comportement suffisamment problématique pour que Sumner ait fini par ajouter une règle explicite aux réviseurs adversariaux : « Si vous avez besoin d’un paragraphe entier pour justifier qu’un contournement est correct, c’est que le code n’est pas bon – corrigez le code ».
Bon… et alors ?
Selon Jarred Sumner, les avantages de Rust sont évidents dans la préversion. Allègement des binaires, consommation de mémoire réduite, résolution de nombreux bugs liés à la mémoire existants dans la version actuelle 1.3.14… Sur le plan des performances, les gains sont plus mesurés, avec 2 à 5 % en moyenne selon les scénarios.
Jarred Sumner veut pour preuve de sa réussite que la version 2.1.181 de Claude Code, publiée le 17 juin, utilise la version de Bun réécrite en Rust. Cela signifie-t-il que tout est parfait et que tout le monde devrait se lancer dans le même type d’opération ? Pas du tout.
Le billet de Bun est assez transparent sur les défis restants. Bun 1.4.0 sera bien la première version intégralement en Rust et des corrections continueront pendant toute la phase de test. Mais plusieurs éléments méritent d’être soulignés, dont le caractère même du billet : intéressant dans le retour d’expérience qu’il rapporte, mais qui reste une communication d’entreprise puisque Jarred Sumner travaille pour Anthropic et a pu bénéficier de Fable 5 quand presque plus personne n’y avait droit en mai.
On pourrait souligner également que des régressions peuvent apparaître avant et après la version finale. 19 ont ainsi été détectées et corrigées, mais la suite de tests, malgré le grand nombre d’exercices (plus de 60 000) a été écrite avant la réécriture de Bun, son périmètre n’est donc pas optimal. En outre, Jarred Sumner ne dit rien des bugs qui ont pu échapper aux instances adversariales bâties sur Claude et qui ont pu être détectés avec d’autres méthodes. Faisons remarquer aussi que les 165 000 dollars présentés comme facture de la migration peuvent être trompeurs : ils n’incluent pas le lourd temps humain de supervision pendant les 11 jours, ni l’infrastructure de calcul, ni le travail de fusion et post-fusion du code.
Ce cas ne peut pas être généralisé. Même si la réécriture de Bun doit s’avérer une franche réussite, elle le devra en bonne partie à la suite de tests indépendants du langage d’implémentation, qui a permis la validation des opérations menées par les agents, en comparant les situations avant et après.
Le résultat ne sera pas non plus un code Rust « idiomatique ». Il sera loin d’être parfait et de répondre aux standards de sécurité auxquels un code dans ce langage peut prétendre, mais le billet est transparent sur la question. Sumner indique que l’objectif était bien la parité comportementale. Le code safe et profitant vraiment de tous les avantages de Rust viendra plus tard, lors de « refactorings ultérieurs ». Il ne donne pas plus de précisions.
Enfin, il ne s’agit clairement pas d’un scénario « lancer et oublier ». Le cas présenté est celui d’un ingénieur senior utilisant des agents comme amplificateurs, pas en remplacement de son expertise. Lancer Fable 5 et lui demander simplement de réécrire du code en Rust n’a aucune chance de donner un résultat approchant.
Le projet Bun disposait d’ailleurs de conditions favorables à la base, comme sa structure pensée pour la portabilité, l’absence de dépendance à des paradigmes très spécifiques au C/C++, ou même le fait que Jarred Sumner est l’auteur principal, travaillant seul sur une bonne partie des tâches.
Un projet C/C++ ancien, avec de multiples contributeurs, des conventions peu claires, des dépendances à des extensions spécifiques de compilateur, ou surtout une suite de tests incomplète ou couplée au langage source, rencontrerait des difficultés bien plus importantes avec cette même méthode. Et les coûts s’envoleraient d’autant.
Dans une note technique publiée le 7 juillet, Apple commence à informer d’un changement important à venir dans la mouture 28 de macOS, qui sortira l’année prochaine : la fin de la prise en charge des volumes en HFS+ chiffrés. Ces derniers ne pourront plus être montés dans le système : ils n’apparaitront tout simplement plus.
On y apprend que dès macOS 26 – la version actuelle – des avertissements vont être affichés pour les personnes concernées. Le système de fichiers HFS+ (aussi appelé HFS Extended ou Mac OS Étendu) a longtemps été utilisé sur les Mac. Il a depuis plusieurs années été remplacé par défaut par APFS, pensé pour la mémoire flash et disposant de fonctions plus modernes : schéma de partition GPT (GUID Partition Table), instruction TRIM, inodes 64 bits, instantanés (snapshots), ou encore chiffrement intégral ou par fichier.
Les volumes HFS+ chiffrés sont donc anciens. Il peut s’agir de Mac dont la transition vers APFS n’a pas été faite, ou plus probablement de périphériques de stockage sur lesquels cette opération n’a pas eu lieu.
Apple précise que la notification émise par macOS pointera directement le volume concerné. On peut quand même vérifier manuellement quel système de fichiers est utilisé sur ses volumes via les manipulations suivantes :
ouvrir l’Utilitaire de disque, dans Applications > Utilitaires ;
dans le menu Affichage de la barre de menu, choisir « Afficher uniquement les volumes » ;
dans la barre latérale de l’Utilitaire de disque, sélectionner le nom du volume ;
chercher les informations affichées directement en-dessous du nom de volume à droite : si « Mac OS Extended » et « Encrypted » apparaissent tous deux, le volume sera concerné par la fin de prise en charge.
Pour s’éviter une rupture dans l’utilisation, il n’y a que deux solutions possibles : déchiffrer le disque ou reformater. Le déchiffrement est l’opération la plus rapide et Apple en donne la marche à suivre dans sa note. Car si le HFS+ chiffré n’est plus supporté, le HFS+ classique le sera encore. L’autre solution est de reformater le volume en APFS ou en HFS+, mais l’opération nécessite des déplacements de données. Pour les supports utilisés régulièrement, Apple recommande le reformatage en APFS.
S’agissant d’anciennes technologies, il est probable que peu de personnes soient concernées. L’avertissement devrait remplir son office, car il reste plus d’un an avant l’abandon de la version chiffrée du HFS+.
Dans une note technique publiée le 7 juillet, Apple commence à informer d’un changement important à venir dans la mouture 28 de macOS, qui sortira l’année prochaine : la fin de la prise en charge des volumes en HFS+ chiffrés. Ces derniers ne pourront plus être montés dans le système : ils n’apparaitront tout simplement plus.
On y apprend que dès macOS 26 – la version actuelle – des avertissements vont être affichés pour les personnes concernées. Le système de fichiers HFS+ (aussi appelé HFS Extended ou Mac OS Étendu) a longtemps été utilisé sur les Mac. Il a depuis plusieurs années été remplacé par défaut par APFS, pensé pour la mémoire flash et disposant de fonctions plus modernes : schéma de partition GPT (GUID Partition Table), instruction TRIM, inodes 64 bits, instantanés (snapshots), ou encore chiffrement intégral ou par fichier.
Les volumes HFS+ chiffrés sont donc anciens. Il peut s’agir de Mac dont la transition vers APFS n’a pas été faite, ou plus probablement de périphériques de stockage sur lesquels cette opération n’a pas eu lieu.
Apple précise que la notification émise par macOS pointera directement le volume concerné. On peut quand même vérifier manuellement quel système de fichiers est utilisé sur ses volumes via les manipulations suivantes :
ouvrir l’Utilitaire de disque, dans Applications > Utilitaires ;
dans le menu Affichage de la barre de menu, choisir « Afficher uniquement les volumes » ;
dans la barre latérale de l’Utilitaire de disque, sélectionner le nom du volume ;
chercher les informations affichées directement en-dessous du nom de volume à droite : si « Mac OS Extended » et « Encrypted » apparaissent tous deux, le volume sera concerné par la fin de prise en charge.
Pour s’éviter une rupture dans l’utilisation, il n’y a que deux solutions possibles : déchiffrer le disque ou reformater. Le déchiffrement est l’opération la plus rapide et Apple en donne la marche à suivre dans sa note. Car si le HFS+ chiffré n’est plus supporté, le HFS+ classique le sera encore. L’autre solution est de reformater le volume en APFS ou en HFS+, mais l’opération nécessite des déplacements de données. Pour les supports utilisés régulièrement, Apple recommande le reformatage en APFS.
S’agissant d’anciennes technologies, il est probable que peu de personnes soient concernées. L’avertissement devrait remplir son office, car il reste plus d’un an avant l’abandon de la version chiffrée du HFS+.
En mai 2026, Microsoft avait indiqué brièvement que ses équipes d’ingénieurs utilisaient de plus en plus les LLM pour chercher les failles de sécurité. Cette fois, l’entreprise détaille sa façon de faire, en insistant sur l’importance que représentent désormais les grands modèles dans la sécurité de ses produits, Windows en tête.
Le « Patch Tuesday » est le nom que l’on donne au deuxième mardi de chaque mois, date retenue par Microsoft pour effectuer un lâcher de correctifs. Or, celui de juin a marqué une rupture : avec quasiment 200 failles colmatées au compteur, il établissait un nouveau record. Dans un billet en mai, la firme avait indiqué que ses ingénieurs utilisaient les LLM et le faisaient de plus en plus. On pouvait donc supposer que même si le Patch Tuesday de juin était un record, le rythme n’allait pas ralentir.
L’éditeur a justement publié un long billet de blog pour expliquer comment l’IA générative faisait désormais partie intégrante de ses processus.
De l’IA à presque tous les étages
Microsoft explique avoir fait évoluer ses systèmes d’ingénierie et de validation pour réduire le délai entre la découverte d’une vulnérabilité et la protection des clients, en priorisant les zones à plus fort risque. Concrètement, l’IA est intégrée plus tôt dans le cycle de développement, l’évaluation passant toujours par l’expertise humaine, de même que l’arbitrage sur les risques et la garantie que les correctifs respectent le niveau de qualité attendu, affirme l’entreprise.
Faut-il donc s’attendre à une déferlante chaque mois ? Il n’y a bien sûr aucune raison que l’IA utilisée pour débusquer autant de problèmes en mai et juin soit délaissée par la suite. Microsoft prévient ainsi que les clients verront un volume plus élevé de mises à jour de sécurité dans chaque publication. L’éditeur précise rapidement que ce changement est la preuve que les équipes de défense s’améliorent dans l’identification et le traitement des problèmes, pas un signe de dégradation de la sécurité de Windows.
Il reste 79% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Le prochain macOS, alias Golden Gate, fournira plusieurs améliorations à sa virtualisation. Parmi elles, le très demandé accès aux périphériques USB ou encore les images disque en calques.
macOS expose aujourd’hui deux couches de virtualisation. La couche basse, Hypervisor.framework, donne un accès quasi brut aux extensions de virtualisation matérielle du processeur (VT-x sur Intel, EL2 sur Apple Silicon) sans imposer de modèle de périphériques. Tout éditeur tiers peut choisir de construire une solution de virtualisation basée sur cet hyperviseur.
La couche haute, Virtualization.framework, fournit au contraire un ensemble complet et prêt à l’emploi de périphériques virtuels (disque, réseau, GPU paravirtualisé, etc.), pensé pour des applications qui veulent créer rapidement des VM macOS ou Linux sans réinventer tout le modèle matériel.
C’est sur cette seconde couche que les améliorations ont été annoncées durant une session technique de la dernière WWDC, même si ces informations étaient restées discrètes jusqu’ici. Les annonces autour de l’intelligence artificielle ont largement éclipsé le reste.
C’est la fonctionnalité la plus demandée par les utilisateurs de machines virtuelles. La prise en charge du stockage externe et d’autres périphériques USB connectés au Mac hôte fonctionne de façon simple : lorsqu’un périphérique compatible est branché pendant qu’une VM tourne, une icône apparaît dans la barre des menus pour autoriser l’affectation à la machine virtuelle. Si cette approbation est donnée, le périphérique devient accessible dans la VM presque immédiatement. Un fonctionnement que l’on retrouve dans de nombreux clients de virtualisation, comme Fusion et Workstation chez VMware ou VirtualBox chez Oracle, et que l’on nomme communément le « passthrough USB ».
Côté API, Apple expose cette fonctionnalité via le framework Accessory Access. Ce dernier permet de faire transiter directement des accessoires USB vers les machines virtuelles et donne à l’utilisateur un contrôle explicite sur les périphériques physiques transmis, comme des disques externes. L’entitlement associé est com.apple.developer.accessory-access.usb. Un entitlement est une paire clé-valeur signée numériquement qui accorde à une application une autorisation spécifique au-delà de ce que permet par défaut la sandbox de macOS ou iOS, comme l’explique Apple dans sa documentation.
Ce fonctionnement répond à un principe de moindre privilège très classique : par défaut, une application sandboxée (confinée) n’a accès qu’à son propre conteneur et ne peut pas, par exemple, lire des fichiers arbitraires sur le disque, ouvrir une connexion réseau brute ou accéder à des périphériques matériels.
Des images disque en calques
Voilà un autre changement important dans macOS 27. Jusqu’à présent, chaque VM reposait sur une image disque unique et autonome, au format brut (raw) ou ASIF (Apple Sparse Image Format, inauguré avec macOS 26). L’introduction de DiskImageKit change la donne car il permet de construire une pile d’images où les écritures vont dans une couche de superposition (overlay) sans modifier la couche de base. Il prend également en charge les images disque brutes.
Comme l’indique Apple, l’architecture distingue plusieurs types de couches : la couche de base peut être dans n’importe quel format pris en charge par DiskImageKit, tandis que les couches supérieures sont toujours au format ASIF et peuvent être soit des couches de cache, soit des couches de superposition. Une couche de cache fait ce qu’est toujours censé faire un cache : améliorer les performances. Dans le cas présent, elles peuvent être mises en place lorsque les couches sous-jacentes résident sur un support lent comme un système de fichiers réseau distant, en stockant une copie des données lues depuis les couches inférieures.
Concrètement, la couche de base contient un socle en lecture seule – comme le volume Système de macOS – qui peut être partagé entre plusieurs VM et stocké sur un support plus lent comme un disque dur. Au-dessus se greffe une couche de superposition en lecture-écriture qui stocke les fichiers additionnels et les modifications apportées aux données de la couche de base. On est clairement dans le fonctionnement général des instantanés (snapshots).
Ainsi, au lieu d’avoir plusieurs gros fichiers de 60 Go, on peut n’avoir qu’une seule base de 50 Go et autant de couches de superposition que nécessaire pour gérer les modifications, comme le pointe notamment MacGeneration. Un fonctionnement plus souple qui peut entrainer des gains conséquents sur le stockage. À noter que sur le site Eclectic Light, certains commentaires soulignent des carences dans l’implémentation actuelle. Par exemple, l’absence de mécanisme pour aplatir (« flatten ») les couches de superposition et les fusionner dans l’image de base.
Du provisionnage automatique pour les invités
Depuis que macOS fournit des capacités de virtualisation, la création du compte administrateur exige de passer manuellement par l’assistant de configuration à chaque nouvelle VM. Mais la nouvelle API VZMacGuestProvisioningOptions permet de définir des identifiants et d’activer des fonctions comme la connexion automatique et SSH dès le premier démarrage.
Le mécanisme technique consiste à construire un objet VZMacGuestProvisioningOptions, à l’attacher à un objet VZMacOSVirtualMachineStartOptions via sa propriété de « guest provisioning » (provisionnage d’invité), puis à démarrer la VM avec ces options. Au premier démarrage, ces paramètres sont automatiquement transmis à l’assistant de configuration, qui crée l’utilisateur avec les identifiants indiqués et active la connexion automatique et l’accès distant si demandé. D’après la documentation d’Apple, cela inclut le nom complet, le nom court, le mot de passe, l’activation ou non de la connexion automatique au démarrage, et l’activation de SSH. Cela ne fonctionne toutefois qu’au premier démarrage de la machine virtuelle.
Autres capacités
Plusieurs autres apports sont mentionnés dans la vidéo dédiée. Par exemple, il est possible désormais de configurer des topologies réseau complexes en intégrant le framework vmnet à Virtualization, pour définir précisément comment plusieurs machines virtuelles interagissent entre elles et avec l’hôte, avec également de la redirection de port.
On note aussi le framework Virtualization, qui permet d’implémenter ses propres périphériques Virtio (protocole standard de l’industrie pour la paravirtualisation), autorisant une communication personnalisée entre l’application hôte et les VM Linux. L’ajout devrait se montrer particulièrement utile pour les scénarios sensibles aux performances, nécessitant une communication à faible latence et fort débit, via la nouvelle classe VZCustomVirtioDevice. Ce point est abordé dans la dernière partie de la vidéo d’Apple.
Ces nouveautés requièrent la préversion de macOS 27 pour les tester. Le système n’est pour l’instant disponible qu’en bêta pour les développeurs (la troisième est sortie ce 6 juillet), mais la bêta publique est prévue pour ce mois-ci, probablement aux alentours du 20 juillet, en même temps que la bêta 4 pour les développeurs.
Le prochain macOS, alias Golden Gate, fournira plusieurs améliorations à sa virtualisation. Parmi elles, le très demandé accès aux périphériques USB ou encore les images disque en calques.
macOS expose aujourd’hui deux couches de virtualisation. La couche basse, Hypervisor.framework, donne un accès quasi brut aux extensions de virtualisation matérielle du processeur (VT-x sur Intel, EL2 sur Apple Silicon) sans imposer de modèle de périphériques. Tout éditeur tiers peut choisir de construire une solution de virtualisation basée sur cet hyperviseur.
La couche haute, Virtualization.framework, fournit au contraire un ensemble complet et prêt à l’emploi de périphériques virtuels (disque, réseau, GPU paravirtualisé, etc.), pensé pour des applications qui veulent créer rapidement des VM macOS ou Linux sans réinventer tout le modèle matériel.
C’est sur cette seconde couche que les améliorations ont été annoncées durant une session technique de la dernière WWDC, même si ces informations étaient restées discrètes jusqu’ici. Les annonces autour de l’intelligence artificielle ont largement éclipsé le reste.
C’est la fonctionnalité la plus demandée par les utilisateurs de machines virtuelles. La prise en charge du stockage externe et d’autres périphériques USB connectés au Mac hôte fonctionne de façon simple : lorsqu’un périphérique compatible est branché pendant qu’une VM tourne, une icône apparaît dans la barre des menus pour autoriser l’affectation à la machine virtuelle. Si cette approbation est donnée, le périphérique devient accessible dans la VM presque immédiatement. Un fonctionnement que l’on retrouve dans de nombreux clients de virtualisation, comme Fusion et Workstation chez VMware ou VirtualBox chez Oracle, et que l’on nomme communément le « passthrough USB ».
Côté API, Apple expose cette fonctionnalité via le framework Accessory Access. Ce dernier permet de faire transiter directement des accessoires USB vers les machines virtuelles et donne à l’utilisateur un contrôle explicite sur les périphériques physiques transmis, comme des disques externes. L’entitlement associé est com.apple.developer.accessory-access.usb. Un entitlement est une paire clé-valeur signée numériquement qui accorde à une application une autorisation spécifique au-delà de ce que permet par défaut la sandbox de macOS ou iOS, comme l’explique Apple dans sa documentation.
Ce fonctionnement répond à un principe de moindre privilège très classique : par défaut, une application sandboxée (confinée) n’a accès qu’à son propre conteneur et ne peut pas, par exemple, lire des fichiers arbitraires sur le disque, ouvrir une connexion réseau brute ou accéder à des périphériques matériels.
Des images disque en calques
Voilà un autre changement important dans macOS 27. Jusqu’à présent, chaque VM reposait sur une image disque unique et autonome, au format brut (raw) ou ASIF (Apple Sparse Image Format, inauguré avec macOS 26). L’introduction de DiskImageKit change la donne car il permet de construire une pile d’images où les écritures vont dans une couche de superposition (overlay) sans modifier la couche de base. Il prend également en charge les images disque brutes.
Comme l’indique Apple, l’architecture distingue plusieurs types de couches : la couche de base peut être dans n’importe quel format pris en charge par DiskImageKit, tandis que les couches supérieures sont toujours au format ASIF et peuvent être soit des couches de cache, soit des couches de superposition. Une couche de cache fait ce qu’est toujours censé faire un cache : améliorer les performances. Dans le cas présent, elles peuvent être mises en place lorsque les couches sous-jacentes résident sur un support lent comme un système de fichiers réseau distant, en stockant une copie des données lues depuis les couches inférieures.
Concrètement, la couche de base contient un socle en lecture seule – comme le volume Système de macOS – qui peut être partagé entre plusieurs VM et stocké sur un support plus lent comme un disque dur. Au-dessus se greffe une couche de superposition en lecture-écriture qui stocke les fichiers additionnels et les modifications apportées aux données de la couche de base. On est clairement dans le fonctionnement général des instantanés (snapshots).
Ainsi, au lieu d’avoir plusieurs gros fichiers de 60 Go, on peut n’avoir qu’une seule base de 50 Go et autant de couches de superposition que nécessaire pour gérer les modifications, comme le pointe notamment MacGeneration. Un fonctionnement plus souple qui peut entrainer des gains conséquents sur le stockage. À noter que sur le site Eclectic Light, certains commentaires soulignent des carences dans l’implémentation actuelle. Par exemple, l’absence de mécanisme pour aplatir (« flatten ») les couches de superposition et les fusionner dans l’image de base.
Du provisionnage automatique pour les invités
Depuis que macOS fournit des capacités de virtualisation, la création du compte administrateur exige de passer manuellement par l’assistant de configuration à chaque nouvelle VM. Mais la nouvelle API VZMacGuestProvisioningOptions permet de définir des identifiants et d’activer des fonctions comme la connexion automatique et SSH dès le premier démarrage.
Le mécanisme technique consiste à construire un objet VZMacGuestProvisioningOptions, à l’attacher à un objet VZMacOSVirtualMachineStartOptions via sa propriété de « guest provisioning » (provisionnage d’invité), puis à démarrer la VM avec ces options. Au premier démarrage, ces paramètres sont automatiquement transmis à l’assistant de configuration, qui crée l’utilisateur avec les identifiants indiqués et active la connexion automatique et l’accès distant si demandé. D’après la documentation d’Apple, cela inclut le nom complet, le nom court, le mot de passe, l’activation ou non de la connexion automatique au démarrage, et l’activation de SSH. Cela ne fonctionne toutefois qu’au premier démarrage de la machine virtuelle.
Autres capacités
Plusieurs autres apports sont mentionnés dans la vidéo dédiée. Par exemple, il est possible désormais de configurer des topologies réseau complexes en intégrant le framework vmnet à Virtualization, pour définir précisément comment plusieurs machines virtuelles interagissent entre elles et avec l’hôte, avec également de la redirection de port.
On note aussi le framework Virtualization, qui permet d’implémenter ses propres périphériques Virtio (protocole standard de l’industrie pour la paravirtualisation), autorisant une communication personnalisée entre l’application hôte et les VM Linux. L’ajout devrait se montrer particulièrement utile pour les scénarios sensibles aux performances, nécessitant une communication à faible latence et fort débit, via la nouvelle classe VZCustomVirtioDevice. Ce point est abordé dans la dernière partie de la vidéo d’Apple.
Ces nouveautés requièrent la préversion de macOS 27 pour les tester. Le système n’est pour l’instant disponible qu’en bêta pour les développeurs (la troisième est sortie ce 6 juillet), mais la bêta publique est prévue pour ce mois-ci, probablement aux alentours du 20 juillet, en même temps que la bêta 4 pour les développeurs.
La nouvelle mouture de TypeScript est annoncée avec des performances largement revues à la hausse. L’essentiel des nouveautés se concentre sur ces gains, le langage n’apportant rien de vraiment neuf sur les types et la syntaxe.
Ce n’est pas tous les jours que l’on peut annoncer des hausses majeures de performances sur des technologies. Microsoft vient pourtant de lancer la version 7.0 de son langage open source TypeScript, un surensemble de JavaScript sous licence Apache 2.0. Depuis sa sortie, le langage a rencontré un grand succès.
Hop, une division par 10
La plus grosse nouveauté de TypeScript 7.0 est son compilateur. Ce dernier était lui-même compilé en TypeScript/JavaScript jusqu’ici, mais c’est fini : le nouveau est écrit en Go. Le code produit est strictement le même, mais avec une différence de taille : le temps de compilation est en moyenne divisé par 10. En fonction des cas, ce facteur alterne entre 8 et 12, le gain de temps étant dans tous les cas énorme.
Ce gain de performances rejaillit sous de nombreux aspects. La compilation complète bien sûr, en passant de plusieurs dizaines de secondes à quelques secondes, mais aussi une réaction beaucoup plus rapide de tsc –watch, l’accélération de l’analyse des types ou encore une consommation de mémoire vive revue à la baisse, le plus souvent entre 5 et 25 % selon les cas.
Source : Microsoft
Microsoft insiste également sur la solidité de cette version, car elle a bénéficié d’une année de tests. Ces derniers ont aussi bien lieu avec d’autres équipes de Microsoft (Loop, Office, PowerBI, Teams ou encore Xbox) qu’avec des entreprises tierces : Bloomberg, Canva, Figma, Google, Lattice, Linear, Miro, Notion, Sentry, Slack, Vanta, Vercel, VoidZero et autres. Les retours auraient été unanimes : des gains de temps conséquents et des économies de ressources.
La nouvelle version a en outre des conséquences positives sur Visual Studio Code. Dans un test, Microsoft a pu mesurer que le temps passé à ouvrir un fichier avec une erreur dans Visual Studio Code était réduit à 1,3 seconde, contre 17,5 auparavant, soit une division par 13. L’autocomplétion est aussi plus rapide, la fonction « Go to Definition » est presque instantanée, le renommage va plus vite, les diagnostics apparaissent plus rapidement, etc. Microsoft ajoute que plus les monorepos sont volumineux, plus la différence se sent. Une bonne part de ces améliorations vient d’une parallélisation beaucoup plus importante des instructions.
Une transition « transparente »
On aurait pu s’attendre à de nouvelles fonctions, des types et autres syntaxes, mais cette version 7.0 ne change pratiquement rien de ce côté. La plus grosse partie du travail s’étant concentrée sur les performances, TypeScript 7 reste donc compatible avec la version 6. La migration se veut la plus transparente possible, la nouvelle version n’étant livrée avec aucune API. Celle-ci arrivera avec TypeScript 7.1 mais, en attendant, Microsoft a fait le choix « de garantir que TypeScript puisse être exécuté parallèlement à TypeScript 6.0 pour les utilitaires nécessitant encore un certain accès programmatique au compilateur (comme typescript-eslint) ».
L’éditeur ajoute que dans le cadre de cette transition, un paquet de compatibilité a été publié. Il fournit un exécutable nommé pour que les développeurs puissent installer TypeScript 7.0 (qui publie son propre binaire) côte à côte, sans conflit de nommage. « Le nouveau package réexporte également l’API TypeScript 6.0, afin que vous puissiez l’utiliser pour TypeScript 7, tandis que d’autres outils peuvent continuer à s’appuyer sur la version 6.0 », précise Microsoft.
La nouvelle mouture de TypeScript est annoncée avec des performances largement revues à la hausse. L’essentiel des nouveautés se concentre sur ces gains, le langage n’apportant rien de vraiment neuf sur les types et la syntaxe.
Ce n’est pas tous les jours que l’on peut annoncer des hausses majeures de performances sur des technologies. Microsoft vient pourtant de lancer la version 7.0 de son langage open source TypeScript, un surensemble de JavaScript sous licence Apache 2.0. Depuis sa sortie, le langage a rencontré un grand succès.
Hop, une division par 10
La plus grosse nouveauté de TypeScript 7.0 est son compilateur. Ce dernier était lui-même compilé en TypeScript/JavaScript jusqu’ici, mais c’est fini : le nouveau est écrit en Go. Le code produit est strictement le même, mais avec une différence de taille : le temps de compilation est en moyenne divisé par 10. En fonction des cas, ce facteur alterne entre 8 et 12, le gain de temps étant dans tous les cas énorme.
Ce gain de performances rejaillit sous de nombreux aspects. La compilation complète bien sûr, en passant de plusieurs dizaines de secondes à quelques secondes, mais aussi une réaction beaucoup plus rapide de tsc –watch, l’accélération de l’analyse des types ou encore une consommation de mémoire vive revue à la baisse, le plus souvent entre 5 et 25 % selon les cas.
Source : Microsoft
Microsoft insiste également sur la solidité de cette version, car elle a bénéficié d’une année de tests. Ces derniers ont aussi bien lieu avec d’autres équipes de Microsoft (Loop, Office, PowerBI, Teams ou encore Xbox) qu’avec des entreprises tierces : Bloomberg, Canva, Figma, Google, Lattice, Linear, Miro, Notion, Sentry, Slack, Vanta, Vercel, VoidZero et autres. Les retours auraient été unanimes : des gains de temps conséquents et des économies de ressources.
La nouvelle version a en outre des conséquences positives sur Visual Studio Code. Dans un test, Microsoft a pu mesurer que le temps passé à ouvrir un fichier avec une erreur dans Visual Studio Code était réduit à 1,3 seconde, contre 17,5 auparavant, soit une division par 13. L’autocomplétion est aussi plus rapide, la fonction « Go to Definition » est presque instantanée, le renommage va plus vite, les diagnostics apparaissent plus rapidement, etc. Microsoft ajoute que plus les monorepos sont volumineux, plus la différence se sent. Une bonne part de ces améliorations vient d’une parallélisation beaucoup plus importante des instructions.
Une transition « transparente »
On aurait pu s’attendre à de nouvelles fonctions, des types et autres syntaxes, mais cette version 7.0 ne change pratiquement rien de ce côté. La plus grosse partie du travail s’étant concentrée sur les performances, TypeScript 7 reste donc compatible avec la version 6. La migration se veut la plus transparente possible, la nouvelle version n’étant livrée avec aucune API. Celle-ci arrivera avec TypeScript 7.1 mais, en attendant, Microsoft a fait le choix « de garantir que TypeScript puisse être exécuté parallèlement à TypeScript 6.0 pour les utilitaires nécessitant encore un certain accès programmatique au compilateur (comme typescript-eslint) ».
L’éditeur ajoute que dans le cadre de cette transition, un paquet de compatibilité a été publié. Il fournit un exécutable nommé pour que les développeurs puissent installer TypeScript 7.0 (qui publie son propre binaire) côte à côte, sans conflit de nommage. « Le nouveau package réexporte également l’API TypeScript 6.0, afin que vous puissiez l’utiliser pour TypeScript 7, tandis que d’autres outils peuvent continuer à s’appuyer sur la version 6.0 », précise Microsoft.
L’équipe de développement de Tuxedo OS a annoncé qu’elle abandonnait Ubuntu pour Debian comme base pour sa propre distribution. Parmi les raisons citées, des difficultés à adapter le code vieillissant (LTS), une feuille de route IA jugée « opaque » et surtout l’omniprésence des paquets Snap. Ce n’est pas la première fois que le système de Canonical crispe la scène de l’open source.
Tuxedo est une société allemande commercialisant des ordinateurs. À l’instar de System76 avec Pop!_OS aux États-Unis, l’entreprise a fini par créer sa propre distribution, baptisée Tuxedo OS. Elle est basée sur la branche LTS (Long Term Support) d’Ubuntu, à laquelle elle apporte des personnalisations, notamment pour s’assurer que le matériel de ses ordinateurs est correctement pris en charge. Comme pour System76 toutefois, la distribution est librement téléchargeable depuis le site officiel.
Et voilà que dans un communiqué daté du 7 juillet, l’entreprise annonce qu’elle n’utilisera plus Ubuntu LTS. Plutôt que de passer sur la branche classique de la distribution de Canonical, Tuxedo prend un virage plus radical : elle se basera désormais sur Debian Testing, avec une bêta prévue pour « bientôt ». Les raisons données et le choix dans la bascule ont provoqué de nouveaux débats.
Les raisons de Tuxedo
Dans son billet officiel, l’éditeur évoque son modèle hybride : base Ubuntu LTS stable et composants comme le noyau, les navigateurs, la pile graphique et KDE Plasma mis à jour en continu. Or, cette approche devient intenable à mesure qu’une version LTS vieillit : le rétroportage de logiciels modernes devient de plus en plus difficile, les dépendances plus récentes étant souvent indisponibles ou fournies uniquement dans des versions obsolètes. Tuxedo OS suit un modèle de publication hybride qui combine, selon l’entreprise, les points forts des versions continues et des versions ponctuelles.
La société allemande cite cependant trois autres facteurs, propres à la stratégie de Canonical. D’une part, la difficulté croissante à tenir le système de paquets Snap à l’écart du système, Canonical distribuant de plus en plus d’applications au format Snap exclusivement, tout en reléguant progressivement les paquets DEB traditionnels au second plan.
D’autre part, la feuille de route IA annoncée par Mark Shuttleworth lors du dernier Ubuntu Summit, dont la mise en œuvre concrète reste insuffisamment transparente. Enfin, des mises à jour de sécurité qui, selon Tuxedo, mettent parfois plus de temps que nécessaire à atteindre les utilisateurs.
L’entreprise a donc fait le choix de Debian dans sa branche Testing en continu. Ce qui veut dire qu’à la sortie de la version stable de Debian 14, Tuxedo OS restera sur la branche testing, Debian ayant une approche conservatrice des paquets. Outre la modernisation inhérente aux paquets plus récents, cette bascule permet à Tuxedo OS de récupérer des fonctions qui lui faisaient défaut selon elle, notamment le système de fichiers Btrfs – qui sera utilisé par défaut – et Snapper. L’un et l’autre permettront la création automatique d’instantanés (snapshots) et la restauration simplifiée du système. Ces fonctions ne seront disponibles qu’avec Btrfs.
Tuxedo indique dans son billet que le passage de la version actuelle à la prochaine basée sur Debian ne sera pas possible « pour des raisons techniques ». Elle précise cependant qu’un guide complet de migration sera fourni « bien avant la publication finale » du nouveau système, pour expliquer notamment comment transférer les données personnelles. En revanche, un chemin de migration existera vers Kubuntu 26.04. Lui aussi sera publié plus tard.
Les paquets Snap encore dans la ligne de mire
Hors de la stratégie propre à Canonical sur les versions LTS, les critiques de Tuxedo tournent essentiellement sur les paquets Snap et la feuille de route sur l’IA. Même si Mark Shuttleworth, CEO de Canonical, n’a pas été « assez clair » sur cette feuille lors de la conférence Ubuntu Summit, plusieurs points ont été éclaircis depuis. On sait par exemple que Canonical utilisera des modèles locaux pour renforcer certaines capacités « implicites », comme l’amélioration de l’image de la webcam ou la normalisation du son pour le microphone. L’accessibilité sera également aux premières loges, avec notamment une reconnaissance vocale pour tous les champs de saisie présents à l’écran.
Il reste 62% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Valve a lancé la nouvelle version majeure de Proton le 7 juillet. Cette mouture 11 suit comme d’habitude les évolutions de la couche de compatibilité Wine 11, sortie récemment et sur laquelle repose Proton. Au-delà des améliorations pour les jeux, Proton fait également un grand pas vers l’architecture ARM.
Proton 11 commence par mettre à jour bon nombre de composants internes, en plus de Wine 11, avec des numéros de version qui paraissent vite exotiques aux profanes : vkd3d 1.19-139-g30b93dcea8b0, DXVK 2.7.1-467-g83e503b4ae6d, dxvk-nvapi 0.9.1, Wine Mono 11.0.0, ou encore vkd3d-proton 20260410. Wine 11 constitue cependant le plus gros apport, car Proton hérite des centaines de correctifs liés, d’une meilleure compatibilité générale avec Win32, d’une meilleure prise en charge des API modernes ou encore d’une réduction du nombre de patchs spécifiques que Valve devait maintenir.
Tous ces apports permettent aux jeux vidéo de mieux fonctionner sur Linux. Ils se traduisent ainsi par moins de bugs DirectX 12, de meilleurs shaders, des améliorations nettes pour la compilation pipeline, moins de saccades dans les jeux, une meilleure stabilité pour le GPU ainsi qu’une prise en charge des derniers pilotes Vulkan. On trouve de nombreuses corrections pour les vidéos, les lanceurs de jeux, les overlays (affichage superposé d’éléments graphiques), les contrôleurs, ou encore les casques VR.
En conséquence, les jeux sont mieux pris en charge. Par exemple, She Sees Red, Chambers, Pentiment, Grounded, Phasmophobia, Sea of Solitude, Idle Trillionaire, Crimson Desert, Rei and the Floating City, Brighter Shores, Space Engineers, Elder Scrolls IV: Oblivion Game of the Year Edition et Call of Duty 2. D’autres font leur entrée dans la liste de compatibilité : Don’t Die Dateless, Dummy!, METAL GEAR SURVIVE, Warhammer: Vermintide 2, Metal Fatigue, SHOGUN: Total War, Unknown Faces, Gothic 1 Classic, X-Plane 12, Breath of Fire IV et Deadly Premonition.
On note enfin la prise en charge de FEX-2605 pour l’architecture ARM64. Fex est un traducteur binaire pour le code x86-64 vers ARM64, signifiant qu’un jeu compilé pour Windows sur une base x86 peut s’exécuter en théorie sur une machine ARM.
L’importance de la couche Proton aujourd’hui
Avec Proton, Valve s’est taillé une place de choix dans l’univers des joueurs. En plus de Steam, qui est de loin la plus grosse boutique de jeux vidéo, la société a rencontré un joli succès avec sa console portable Steam Deck, équipée de SteamOS dans lequel Proton tient une place centrale. La certification Steam Deck est devenue un facteur de différenciation pour les titres, qui peuvent ainsi montrer qu’ils sont optimisés pour la console. Valve aurait pu réitérer ce succès avec la Steam Machine, mais la crise autour de la mémoire vive et des SSD a largement plombé son tarif de lancement.
L’efficacité de Proton a entraîné sa popularité, au point qu’aujourd’hui la grande majorité des jeux peuvent fonctionner sur Linux. Proton est d’autant plus important que la plupart des jeux distribués par Steam sont conçus avant tout pour Windows. Avec cette couche de compatibilité, c’est la crédibilité de Linux lui-même qui s’en trouve renforcée, avec notamment des distributions spécialisées dans le jeu vidéo comme Bazzite, CachyOS ou encore la française GLF OS.
En outre, l’arrivée de Proton 11 avec une meilleure prise en charge d’ARM laisse entrevoir des ambitions plus larges que le seul Steam Deck. Si Valve poursuit cette direction, Proton pourrait devenir un composant essentiel pour exécuter des jeux Windows sur une diversité croissante de matériels Linux, qu’ils soient x86-64 ou ARM. Les améliorations de Wine, de DXVK, de VKD3D-Proton et de FEX convergent vers un objectif commun : rendre l’origine Windows d’un jeu de moins en moins perceptible pour l’utilisateur final. Le prochain Steam Deck pourrait-il être basé sur une puce ARM ?
Valve a lancé la nouvelle version majeure de Proton le 7 juillet. Cette mouture 11 suit comme d’habitude les évolutions de la couche de compatibilité Wine 11, sortie récemment et sur laquelle repose Proton. Au-delà des améliorations pour les jeux, Proton fait également un grand pas vers l’architecture ARM.
Proton 11 commence par mettre à jour bon nombre de composants internes, en plus de Wine 11, avec des numéros de version qui paraissent vite exotiques aux profanes : vkd3d 1.19-139-g30b93dcea8b0, DXVK 2.7.1-467-g83e503b4ae6d, dxvk-nvapi 0.9.1, Wine Mono 11.0.0, ou encore vkd3d-proton 20260410. Wine 11 constitue cependant le plus gros apport, car Proton hérite des centaines de correctifs liés, d’une meilleure compatibilité générale avec Win32, d’une meilleure prise en charge des API modernes ou encore d’une réduction du nombre de patchs spécifiques que Valve devait maintenir.
Tous ces apports permettent aux jeux vidéo de mieux fonctionner sur Linux. Ils se traduisent ainsi par moins de bugs DirectX 12, de meilleurs shaders, des améliorations nettes pour la compilation pipeline, moins de saccades dans les jeux, une meilleure stabilité pour le GPU ainsi qu’une prise en charge des derniers pilotes Vulkan. On trouve de nombreuses corrections pour les vidéos, les lanceurs de jeux, les overlays (affichage superposé d’éléments graphiques), les contrôleurs, ou encore les casques VR.
En conséquence, les jeux sont mieux pris en charge. Par exemple, She Sees Red, Chambers, Pentiment, Grounded, Phasmophobia, Sea of Solitude, Idle Trillionaire, Crimson Desert, Rei and the Floating City, Brighter Shores, Space Engineers, Elder Scrolls IV: Oblivion Game of the Year Edition et Call of Duty 2. D’autres font leur entrée dans la liste de compatibilité : Don’t Die Dateless, Dummy!, METAL GEAR SURVIVE, Warhammer: Vermintide 2, Metal Fatigue, SHOGUN: Total War, Unknown Faces, Gothic 1 Classic, X-Plane 12, Breath of Fire IV et Deadly Premonition.
On note enfin la prise en charge de FEX-2605 pour l’architecture ARM64. Fex est un traducteur binaire pour le code x86-64 vers ARM64, signifiant qu’un jeu compilé pour Windows sur une base x86 peut s’exécuter en théorie sur une machine ARM.
L’importance de la couche Proton aujourd’hui
Avec Proton, Valve s’est taillé une place de choix dans l’univers des joueurs. En plus de Steam, qui est de loin la plus grosse boutique de jeux vidéo, la société a rencontré un joli succès avec sa console portable Steam Deck, équipée de SteamOS dans lequel Proton tient une place centrale. La certification Steam Deck est devenue un facteur de différenciation pour les titres, qui peuvent ainsi montrer qu’ils sont optimisés pour la console. Valve aurait pu réitérer ce succès avec la Steam Machine, mais la crise autour de la mémoire vive et des SSD a largement plombé son tarif de lancement.
L’efficacité de Proton a entraîné sa popularité, au point qu’aujourd’hui la grande majorité des jeux peuvent fonctionner sur Linux. Proton est d’autant plus important que la plupart des jeux distribués par Steam sont conçus avant tout pour Windows. Avec cette couche de compatibilité, c’est la crédibilité de Linux lui-même qui s’en trouve renforcée, avec notamment des distributions spécialisées dans le jeu vidéo comme Bazzite, CachyOS ou encore la française GLF OS.
En outre, l’arrivée de Proton 11 avec une meilleure prise en charge d’ARM laisse entrevoir des ambitions plus larges que le seul Steam Deck. Si Valve poursuit cette direction, Proton pourrait devenir un composant essentiel pour exécuter des jeux Windows sur une diversité croissante de matériels Linux, qu’ils soient x86-64 ou ARM. Les améliorations de Wine, de DXVK, de VKD3D-Proton et de FEX convergent vers un objectif commun : rendre l’origine Windows d’un jeu de moins en moins perceptible pour l’utilisateur final. Le prochain Steam Deck pourrait-il être basé sur une puce ARM ?
Le FBI a pu arrêter un pirate en se servant d’une information délivrée par Microsoft : le GDID. Il s’agit d’un identifiant généré par Windows, spécifique à la machine et ne pouvant pas être changé simplement. En revanche, cet identifiant n’est pas pensé initialement pour la surveillance. Explications.
Le département américain de la Justice (DoJ) a annoncé le 1ᵉʳ juillet qu’un membre du groupe de pirates Scattered Spider (aussi appelé Octo Tempest, UNC3944 ou Oktapus) avait été arrêté en Finlande et extradé aux États-Unis. Peter Stokes, 19 ans, citoyen américain et estonien, est poursuivi pour complot, intrusion informatique et fraude. Son arrestation remonte à avril dans le cadre d’une enquête impliquant notamment Interpol. Il a comparu mardi pour la première fois devant un tribunal fédéral à Chicago.
« La plainte pénale accuse Peter Stokes d’appartenance à Scattered Spider, un groupe de piratage impliqué dans plus de 100 intrusions sur le réseau, entraînant plus de 100 millions de dollars en rançons et des millions supplémentaires en dommages et intérêts aux victimes », indique le ministère :
« Les charges dévoilées aujourd’hui sont le fruit de plusieurs années de travail de la division pénale, du bureau du procureur des États-Unis pour le district nord de l’Illinois et du FBI. Nous continuerons à nous associer pour garantir que les cybercriminels ne puissent pas échapper à la justice des États-Unis. »
Le groupe Scattered Spider est connu, entre autres, pour avoir compromis le système informatique d’un détaillant de bijoux de luxe, exfiltré des données et fait une demande de rançon de 8 millions de dollars en cryptomonnaie en 2025.
« Le personnel de sécurité du détaillant a réussi à expulser les acteurs malveillants du réseau informatique de l’entreprise sans qu’aucune rançon n’ait été versée. Le détaillant a néanmoins subi une perte d’au moins 2 millions de dollars en raison de perturbations commerciales, d’enquêtes et de mesures d’atténuations de la menace », précise le DoJ.
Comment Peter Stokes a-t-il été retrouvé ?
La plainte, l’arrestation et l’extradition du pirate reposaient en partie sur la filature d’un identifiant présent dans Windows, signale notamment The Register. Dans la plainte (.pdf), on trouve page 34 la définition de cet identifiant GDID, pour Global Device Identifier :
« Selon un représentant de Microsoft, un Global Device Identifier dans l’écosystème Windows est un identifiant persistant au niveau de l’appareil, conçu pour identifier de manière unique une installation du système d’exploitation Windows sur un appareil, qu’il s’agisse d’un appareil physique (par exemple, un téléphone portable ou un ordinateur portable) ou d’une machine virtuelle, dans certains services et scénarios Microsoft. Un GDID est un identifiant unique mondial lié à l’installation de Windows sur un appareil. »
Les membres de Scattered Spider utilisent pourtant un outil de tunneling appelé ngrok, normalement conçu pour router et protéger le trafic vers des applications API et modèles d’IA. Les pirates s’en servent pour contourner les barrières réseau et maintenir un accès dans les serveurs compromis. Ils utilisent également un service VPN nommé Tzulo.
Les enquêteurs ont donc commencé par obtenir des enregistrements d’adresses IP auprès de ngrok et Tzulo, qui sont des entreprises et doivent donc se plier aux mandats. Ils se sont ensuite tournés vers Microsoft pour savoir si ces adresses IP pouvaient être associées avec des identifiants pour des appareils qui auraient été utilisés aux moments où les comptes auraient été configurés sur ces machines. C’est ce qu’a permis le GDID.
« Selon les archives Microsoft, vers le 12 mai 2025, à 19h21 UTC – lorsque, selon les archives ngrok, le compte ngrok a été créé – l’appareil avec le GDID a accédé, entre autres pages ngrok, à ‘https://dashboard.ngrok.com/signup’, la page ngrok pour créer un compte ngrok », indique le document. Ces mêmes archives ont montré que l’appareil utilisé avait aussi servi à contacter les serveurs de Tzulo. Le GDID a permis de relier cette masse d’informations à une adresse IP située en Estonie.
Windows nous surveille-t-il avec une donnée permanente ?
Oui et non. Comme toujours, la vérité est plus complexe. Pour comprendre, il faut entrer dans les éléments techniques.
Le Global Device Identifier n’est pas un identifiant matériel calculé à partir de numéros de série (contrairement à une rumeur qui a circulé). C’est un identifiant logiciel généré côté serveur par les services de comptes Microsoft : le service wlidsvc (Microsoft Account) provisionne l’appareil auprès de login.live.com et reçoit en retour un PUID d’appareil.
Cet identifiant est stocké dans le registre Windows, puis repris par le Connected Devices Platform (services CDPSvc/CDPUserSvc), qui l’enregistre dans le Device Directory Service, le graphe d’identité de Microsoft qui sert de fondation à des fonctions comme Phone Link, le presse-papier cloud ou « Continuer sur PC » sur plusieurs appareils liés.
Il est ensuite exposé sous le nom GlobalDeviceId (donc GDID) dans la table UCDOStatus de Delivery Optimization, documentée publiquement dans Azure Monitor. Le format est une chaîne « g:<chaine décimale> », ce qui correspond à celui cité dans la plainte : g:6755467234350028.
Sa persistance est quasi-totale : il ne change pas, quelles que soient les manipulations et opérations faites sur Windows, y compris les mises à jour, mineures comme majeures. En revanche, puisqu’il est attribué à la première connexion à un service de Microsoft, la réinstallation du système entraine la génération d’un nouveau GDID.
C’est, de manière générale, l’identifiant qui permet à plusieurs machines reliées par le même compte de donner une unicité à chacune d’elles. Il sert également pour des opérations comme la télémétrie pour les diagnostics, les rapports de bugs/plantages, la fréquence d’utilisation de certaines fonctions ou encore la vérification de la licence. Autant de services qui contactent les serveurs de Microsoft.
Mais contrairement à ce que l’on peut lire parfois, le GDID ne permet pas de « voir » directement une adresse IP malgré l’utilisation d’un VPN ou d’un réseau d’anonymisation comme Tor. C’est plus subtil : dans l’enquête, le GDID a servi de clé de corrélation stable entre des sessions dont l’IP change à chaque rotation de VPN. En revanche, tout n’est pas clair car les informations manquent : comment Microsoft a-t-il su que ce GDID avait visité une URL ngrok précise ? Au moins une technique complémentaire a probablement été utilisée.
Précision importante, le GDID n’est pas une information accessible publiquement. Elle ne peut notamment pas être repérée par les sites web lors des visites et servir par exemple à la construction d’une empreinte (fingerprint). Son obtention ne peut se faire qu’en le réclamant à Microsoft, avec un mandat.
Qu’en retenir ?
Le constat souvent fait dans la presse et chez les développeurs qui se sont penchés sur la question est que le GDID, même s’il est parfois mentionné dans la documentation de Microsoft, n’a pas de page dédiée. Les informations manquent à son sujet, expliquant une partie du « fantasme ». S’il s’agit bien d’une information pouvant être utilisée pour espionner, l’identifiant n’a pas été créé avec cet objectif.
Au-delà de cette information, on peut s’interroger sur le niveau pratique de certains pirates, qui n’appliquent pas le cloisonnement des identités. Un professionnel de l’anonymat « sérieux » n’utilise pas un Windows grand public avec ses comptes personnels pour des activités sensibles : il utilise des systèmes dédiés à usage unique (comme Tails ou Qubes OS) sans compte Microsoft associé ni mélange entre sessions identifiées et anonymes sur la même machine.
Sur son site, l’ingénieur Pasquale Pillitteri ajoute : « Quiconque croit que changer d’adresse IP équivaut à devenir invisible ignore le nombre d’identifiants stables que produit tout appareil moderne, du système d’exploitation au navigateur en passant par les comptes ».
Le GDID n’est pas un mouchard actif exploitable à distance par n’importe qui, mais c’est bien un identifiant réel, persistant, qui a démontré sa capacité à recouper des sessions VPN distinctes. Le « risque » est réel mais conditionnel : il suppose une machine Windows non cloisonnée, des services de télémétrie actifs et une coopération légale de Microsoft, pas une surveillance passive universelle.
Le FBI a pu arrêter un pirate en se servant d’une information délivrée par Microsoft : le GDID. Il s’agit d’un identifiant généré par Windows, spécifique à la machine et ne pouvant pas être changé simplement. En revanche, cet identifiant n’est pas pensé initialement pour la surveillance. Explications.
Le département américain de la Justice (DoJ) a annoncé le 1ᵉʳ juillet qu’un membre du groupe de pirates Scattered Spider (aussi appelé Octo Tempest, UNC3944 ou Oktapus) avait été arrêté en Finlande et extradé aux États-Unis. Peter Stokes, 19 ans, citoyen américain et estonien, est poursuivi pour complot, intrusion informatique et fraude. Son arrestation remonte à avril dans le cadre d’une enquête impliquant notamment Interpol. Il a comparu mardi pour la première fois devant un tribunal fédéral à Chicago.
« La plainte pénale accuse Peter Stokes d’appartenance à Scattered Spider, un groupe de piratage impliqué dans plus de 100 intrusions sur le réseau, entraînant plus de 100 millions de dollars en rançons et des millions supplémentaires en dommages et intérêts aux victimes », indique le ministère :
« Les charges dévoilées aujourd’hui sont le fruit de plusieurs années de travail de la division pénale, du bureau du procureur des États-Unis pour le district nord de l’Illinois et du FBI. Nous continuerons à nous associer pour garantir que les cybercriminels ne puissent pas échapper à la justice des États-Unis. »
Le groupe Scattered Spider est connu, entre autres, pour avoir compromis le système informatique d’un détaillant de bijoux de luxe, exfiltré des données et fait une demande de rançon de 8 millions de dollars en cryptomonnaie en 2025.
« Le personnel de sécurité du détaillant a réussi à expulser les acteurs malveillants du réseau informatique de l’entreprise sans qu’aucune rançon n’ait été versée. Le détaillant a néanmoins subi une perte d’au moins 2 millions de dollars en raison de perturbations commerciales, d’enquêtes et de mesures d’atténuations de la menace », précise le DoJ.
Comment Peter Stokes a-t-il été retrouvé ?
La plainte, l’arrestation et l’extradition du pirate reposaient en partie sur la filature d’un identifiant présent dans Windows, signale notamment The Register. Dans la plainte (.pdf), on trouve page 34 la définition de cet identifiant GDID, pour Global Device Identifier :
« Selon un représentant de Microsoft, un Global Device Identifier dans l’écosystème Windows est un identifiant persistant au niveau de l’appareil, conçu pour identifier de manière unique une installation du système d’exploitation Windows sur un appareil, qu’il s’agisse d’un appareil physique (par exemple, un téléphone portable ou un ordinateur portable) ou d’une machine virtuelle, dans certains services et scénarios Microsoft. Un GDID est un identifiant unique mondial lié à l’installation de Windows sur un appareil. »
Les membres de Scattered Spider utilisent pourtant un outil de tunneling appelé ngrok, normalement conçu pour router et protéger le trafic vers des applications API et modèles d’IA. Les pirates s’en servent pour contourner les barrières réseau et maintenir un accès dans les serveurs compromis. Ils utilisent également un service VPN nommé Tzulo.
Les enquêteurs ont donc commencé par obtenir des enregistrements d’adresses IP auprès de ngrok et Tzulo, qui sont des entreprises et doivent donc se plier aux mandats. Ils se sont ensuite tournés vers Microsoft pour savoir si ces adresses IP pouvaient être associées avec des identifiants pour des appareils qui auraient été utilisés aux moments où les comptes auraient été configurés sur ces machines. C’est ce qu’a permis le GDID.
« Selon les archives Microsoft, vers le 12 mai 2025, à 19h21 UTC – lorsque, selon les archives ngrok, le compte ngrok a été créé – l’appareil avec le GDID a accédé, entre autres pages ngrok, à ‘https://dashboard.ngrok.com/signup’, la page ngrok pour créer un compte ngrok », indique le document. Ces mêmes archives ont montré que l’appareil utilisé avait aussi servi à contacter les serveurs de Tzulo. Le GDID a permis de relier cette masse d’informations à une adresse IP située en Estonie.
Windows nous surveille-t-il avec une donnée permanente ?
Oui et non. Comme toujours, la vérité est plus complexe. Pour comprendre, il faut entrer dans les éléments techniques.
Le Global Device Identifier n’est pas un identifiant matériel calculé à partir de numéros de série (contrairement à une rumeur qui a circulé). C’est un identifiant logiciel généré côté serveur par les services de comptes Microsoft : le service wlidsvc (Microsoft Account) provisionne l’appareil auprès de login.live.com et reçoit en retour un PUID d’appareil.
Cet identifiant est stocké dans le registre Windows, puis repris par le Connected Devices Platform (services CDPSvc/CDPUserSvc), qui l’enregistre dans le Device Directory Service, le graphe d’identité de Microsoft qui sert de fondation à des fonctions comme Phone Link, le presse-papier cloud ou « Continuer sur PC » sur plusieurs appareils liés.
Il est ensuite exposé sous le nom GlobalDeviceId (donc GDID) dans la table UCDOStatus de Delivery Optimization, documentée publiquement dans Azure Monitor. Le format est une chaîne « g:<chaine décimale> », ce qui correspond à celui cité dans la plainte : g:6755467234350028.
Sa persistance est quasi-totale : il ne change pas, quelles que soient les manipulations et opérations faites sur Windows, y compris les mises à jour, mineures comme majeures. En revanche, puisqu’il est attribué à la première connexion à un service de Microsoft, la réinstallation du système entraine la génération d’un nouveau GDID.
C’est, de manière générale, l’identifiant qui permet à plusieurs machines reliées par le même compte de donner une unicité à chacune d’elles. Il sert également pour des opérations comme la télémétrie pour les diagnostics, les rapports de bugs/plantages, la fréquence d’utilisation de certaines fonctions ou encore la vérification de la licence. Autant de services qui contactent les serveurs de Microsoft.
Mais contrairement à ce que l’on peut lire parfois, le GDID ne permet pas de « voir » directement une adresse IP malgré l’utilisation d’un VPN ou d’un réseau d’anonymisation comme Tor. C’est plus subtil : dans l’enquête, le GDID a servi de clé de corrélation stable entre des sessions dont l’IP change à chaque rotation de VPN. En revanche, tout n’est pas clair car les informations manquent : comment Microsoft a-t-il su que ce GDID avait visité une URL ngrok précise ? Au moins une technique complémentaire a probablement été utilisée.
Précision importante, le GDID n’est pas une information accessible publiquement. Elle ne peut notamment pas être repérée par les sites web lors des visites et servir par exemple à la construction d’une empreinte (fingerprint). Son obtention ne peut se faire qu’en le réclamant à Microsoft, avec un mandat.
Qu’en retenir ?
Le constat souvent fait dans la presse et chez les développeurs qui se sont penchés sur la question est que le GDID, même s’il est parfois mentionné dans la documentation de Microsoft, n’a pas de page dédiée. Les informations manquent à son sujet, expliquant une partie du « fantasme ». S’il s’agit bien d’une information pouvant être utilisée pour espionner, l’identifiant n’a pas été créé avec cet objectif.
Au-delà de cette information, on peut s’interroger sur le niveau pratique de certains pirates, qui n’appliquent pas le cloisonnement des identités. Un professionnel de l’anonymat « sérieux » n’utilise pas un Windows grand public avec ses comptes personnels pour des activités sensibles : il utilise des systèmes dédiés à usage unique (comme Tails ou Qubes OS) sans compte Microsoft associé ni mélange entre sessions identifiées et anonymes sur la même machine.
Sur son site, l’ingénieur Pasquale Pillitteri ajoute : « Quiconque croit que changer d’adresse IP équivaut à devenir invisible ignore le nombre d’identifiants stables que produit tout appareil moderne, du système d’exploitation au navigateur en passant par les comptes ».
Le GDID n’est pas un mouchard actif exploitable à distance par n’importe qui, mais c’est bien un identifiant réel, persistant, qui a démontré sa capacité à recouper des sessions VPN distinctes. Le « risque » est réel mais conditionnel : il suppose une machine Windows non cloisonnée, des services de télémétrie actifs et une coopération légale de Microsoft, pas une surveillance passive universelle.
Windows propose depuis longtemps différents mécanismes pour réinitialiser la machine, mais l’utilisateur peut vouloir passer par une réinstallation complète du système. Microsoft prépare une nouvelle manière de procéder, via le cloud et sans nécessiter de périphérique USB.
Dans une note parue le 6 juillet, Microsoft indique que la dernière préversion de Windows 11 – estampillée 26300.8772 et distribuée dans le canal Expérimental – contient une nouvelle fonction baptisée « Cloud rebuild ».
Telle que décrite par l’éditeur, la fonction permet de restaurer un PC sous Windows 11 vers son dernier bon état connu en effectuant une réinstallation complète du système d’exploitation, y compris quand Windows n’arrive plus à démarrer.
Une méthode complémentaire
La réinstallation de Windows passe nécessairement par une clé USB aujourd’hui. Microsoft propose depuis Windows 10 un utilitaire très pratique, dont l’interface simple permet de préparer une clé USB, à condition qu’elle fasse au moins 8 Go. L’utilitaire la formate, télécharge l’ISO et l’installe ensuite sur la clé, rendue bootable (démarrable) pour l’occasion. Des outils comme Rufus et Ventoy permettent cependant d’aller plus loin, notamment en automatisant tout ou partie du processus, en faisant sauter certains prérequis (à ses risques et périls) et autres fonctions avancées.
Cloud rebuild permet donc de se débarrasser de cette contrainte physique dans son principe. Microsoft explique que l’opération se fait depuis l’environnement WinRE (Windows Recovery Environment), la fameuse « interface bleue » dans laquelle le système démarre de lui-même quand un évènement l’empêche d’accéder à la session, ou à partir de Paramètres > Système > Récupération, le bouton « Démarrage avancé ». WinRE donne accès ensuite à divers outils, dont une console pour la ligne de commande et l’éditeur de registre.
Comme le montre la capture fournie par Microsoft. On peut voir qu’une nouvelle section apparait dans la section Dépannage. La procédure, une fois lancée, récupère la dernière révision stable du système ainsi que tous les pilotes nécessaires, « sans support USB, sans image personnalisée, et sans dépendre de l’état de santé du système d’exploitation actuellement installé », précise l’éditeur. En revanche, et comme on s’en doute, une connexion internet est obligatoire, filaire ou Wi-Fi.
Quelle différence avec l’existant ?
On pourrait faire remarquer que la fonction de réinitialisation télécharge déjà Windows. Effectivement, mais elle ne s’en sert que pour remplacer les fichiers systèmes qui auraient pu être altérés. En outre, cette méthode nécessite un système en état de marche et ne s’occupe pas des pilotes. La nouvelle fonction s’occupe de tout le processus, quand tout le reste a échoué.
Autre différence majeure : Cloud rebuild aboutit à un Windows vierge, comme lors d’une installation via une clé USB sur un disque vierge. Les documents et les applications ne sont pas préservés localement. La réinitialisation, elle, permet de choisir ce que l’on garde. On parle donc bien d’une solution de dernier recours ou quand l’envie de repartir d’un système vierge se manifeste.
Notez également que ce type de fonctionnement n’a rien de nouveau dans le monde informatique. Apple propose cette manipulation depuis longtemps sur les Mac. La fonction est d’ailleurs assez connue pour être lente sur la partie téléchargement, mais elle a le mérite d’exister et d’être parfaitement fonctionnelle, en passant là aussi par une petite partition dédiée à la restauration.
Si vous testez actuellement Windows par son canal Expérimental, il vous faut la dernière préversion du 6 juillet (26300.8772) pour obtenir Cloud rebuild. Une condition nécessaire, mais pas toujours suffisante : comme de nombreuses capacités en test, Microsoft ne la diffuse pas à tous les ordinateurs. Elle n’est pas apparue sur notre machine de test, par exemple. On devrait cependant retrouver la fonction au plus tard dans la mise à jour majeure 26H2 prévue pour cet automne.
Windows propose depuis longtemps différents mécanismes pour réinitialiser la machine, mais l’utilisateur peut vouloir passer par une réinstallation complète du système. Microsoft prépare une nouvelle manière de procéder, via le cloud et sans nécessiter de périphérique USB.
Dans une note parue le 6 juillet, Microsoft indique que la dernière préversion de Windows 11 – estampillée 26300.8772 et distribuée dans le canal Expérimental – contient une nouvelle fonction baptisée « Cloud rebuild ».
Telle que décrite par l’éditeur, la fonction permet de restaurer un PC sous Windows 11 vers son dernier bon état connu en effectuant une réinstallation complète du système d’exploitation, y compris quand Windows n’arrive plus à démarrer.
Une méthode complémentaire
La réinstallation de Windows passe nécessairement par une clé USB aujourd’hui. Microsoft propose depuis Windows 10 un utilitaire très pratique, dont l’interface simple permet de préparer une clé USB, à condition qu’elle fasse au moins 8 Go. L’utilitaire la formate, télécharge l’ISO et l’installe ensuite sur la clé, rendue bootable (démarrable) pour l’occasion. Des outils comme Rufus et Ventoy permettent cependant d’aller plus loin, notamment en automatisant tout ou partie du processus, en faisant sauter certains prérequis (à ses risques et périls) et autres fonctions avancées.
Cloud rebuild permet donc de se débarrasser de cette contrainte physique dans son principe. Microsoft explique que l’opération se fait depuis l’environnement WinRE (Windows Recovery Environment), la fameuse « interface bleue » dans laquelle le système démarre de lui-même quand un évènement l’empêche d’accéder à la session, ou à partir de Paramètres > Système > Récupération, le bouton « Démarrage avancé ». WinRE donne accès ensuite à divers outils, dont une console pour la ligne de commande et l’éditeur de registre.
Comme le montre la capture fournie par Microsoft. On peut voir qu’une nouvelle section apparait dans la section Dépannage. La procédure, une fois lancée, récupère la dernière révision stable du système ainsi que tous les pilotes nécessaires, « sans support USB, sans image personnalisée, et sans dépendre de l’état de santé du système d’exploitation actuellement installé », précise l’éditeur. En revanche, et comme on s’en doute, une connexion internet est obligatoire, filaire ou Wi-Fi.
Quelle différence avec l’existant ?
On pourrait faire remarquer que la fonction de réinitialisation télécharge déjà Windows. Effectivement, mais elle ne s’en sert que pour remplacer les fichiers systèmes qui auraient pu être altérés. En outre, cette méthode nécessite un système en état de marche et ne s’occupe pas des pilotes. La nouvelle fonction s’occupe de tout le processus, quand tout le reste a échoué.
Autre différence majeure : Cloud rebuild aboutit à un Windows vierge, comme lors d’une installation via une clé USB sur un disque vierge. Les documents et les applications ne sont pas préservés localement. La réinitialisation, elle, permet de choisir ce que l’on garde. On parle donc bien d’une solution de dernier recours ou quand l’envie de repartir d’un système vierge se manifeste.
Notez également que ce type de fonctionnement n’a rien de nouveau dans le monde informatique. Apple propose cette manipulation depuis longtemps sur les Mac. La fonction est d’ailleurs assez connue pour être lente sur la partie téléchargement, mais elle a le mérite d’exister et d’être parfaitement fonctionnelle, en passant là aussi par une petite partition dédiée à la restauration.
Si vous testez actuellement Windows par son canal Expérimental, il vous faut la dernière préversion du 6 juillet (26300.8772) pour obtenir Cloud rebuild. Une condition nécessaire, mais pas toujours suffisante : comme de nombreuses capacités en test, Microsoft ne la diffuse pas à tous les ordinateurs. Elle n’est pas apparue sur notre machine de test, par exemple. On devrait cependant retrouver la fonction au plus tard dans la mise à jour majeure 26H2 prévue pour cet automne.
Connexion
