Vue normale

Il y a de nouveaux articles disponibles, cliquez pour rafraîchir la page.
Hier — 24 octobre 2025Flux principal

Github Copilot pour Xcode est sorti - Et c'est Microsoft qui l'a fait !

Par : Korben
21 octobre 2025 à 09:20

Pendant qu’Apple peaufine son IA maison pour Xcode (sans date de sortie, évidemment), Microsoft vient tranquillou installer ses petites affaires dans l’écosystème le plus verrouillé du marché en sortant son extension officielle Github Copilot pour Xcode , pile-poil au moment où les rumeurs nous soufflent qu’Apple travaille aussi sur sa propre solution locale.

Cette extension de Github pour Xcode propose trois fonctionnalités principales. Tout d’abord de la complétion de code en temps réel. Ensuite, pendant que vous tapez, un tchat vous permet de poser des questions sur votre code, et il y a également un mode Agent qui peut modifier directement vos fichiers et lancer des commandes terminal. C’est gratuit jusqu’à 2000 complétions et 50 messages tchat par mois, donc largement de quoi rendre accro la majorité des devs iOS avant qu’Apple ne sorte son propre truc !

Maintenant pour utiliser un outil Microsoft dans un IDE Apple, vous devez accorder trois permissions macOS sacrées : Background, Accessibilité, et Xcode Source Editor Extension. Hé oui, Apple force littéralement ses développeurs à ouvrir toutes ces portes et niveau permissions, c’est l’Accessibilité qui pose régulièrement problème, car faut souvent la désactiver puis la réactiver pour que ça fonctionne correctement.

Ensuite l’installation est assez classique. Soit via Homebrew ou en téléchargeant le DMG directement depuis le dépôt GitHub.

brew install --cask github-copilot-for-xcode

Vous glissez ensuite l’app dans Applications, vous accordez les trois permissions système, vous activez l’extension dans les préférences Xcode, et hop, vous signez ça avec votre compte GitHub Copilot.

Un autre projet communautaire existait déjà intitni/CopilotForXcode , non officiel mais fonctionnel, qui supportait GitHub Copilot, Codeium et ChatGPT mais comme Microsoft sort maintenant sa version officielle pour contrôler le territoire comme un dealer dans son quartier, j’imagine que cette dernière ne va plus faire long feu.

Les tests comparatifs montrent que Copilot reste plus rapide et plus précis que le système de prédiction local d’Apple intégré dans Xcode car Apple mise uniquement sur du traitement local avec un modèle embarqué (pas de cloud donc, tout est sur votre Mac), surtout que Microsoft a déjà des années d’avance sur l’entraînement de ses IA et la rapidité de ses serveurs.

Donc voilà, les développeurs iOS se retrouvent maintenant à choisir entre attendre un hypothétique Copilot d’Apple sans date de sortie, ou donner les clés de leur Xcode à Microsoft dès maintenant. Ou alors continuer à coder sans IA comme les hommes de Cro-Magnon à l’époque !

En tout cas, avec 2000 complétions gratuites par mois comme dose pour devenir accro, combien vont résister si Apple tarde encore 6 mois de plus ??

Source

À partir d’avant-hierFlux principal

Microsoft Copilot can now create Office 365 docs and sync with Gmail — making it a true Windows 11 productivity hub

Microsoft just released a new update for its Copilot app on Windows 11, which is rolling out in waves for Windows Insiders. It ships with several Connectors for third-party apps like Gmail and Document creation capabilities.

Snapshot of the Copilot app's new features for Windows 11 (August 2025).

CamoLeak - Quand un simple commentaire GitHub transforme Copilot en espion

Par : Korben
10 octobre 2025 à 12:44

Y’a plein de problème avec les IA, mais y’en a un encore un peu trop sous-estimé par les vibe codeurs que vous êtes… Ce problème, c’est qu’on leur fait confiance comme à un collègue, on leur montre notre code, nos repos privés, nos petits secrets bien planqués dans les variables d’environnement…

Par exemple, quand vous passez en revue une pull request sur GitHub, vous faites quoi ? Vous lisez le code ligne par ligne, vous cherchez les bugs, les failles de sécu, les optimisations possibles. Mais les commentaires vous les lisez ? Au mieux on les survole, c’est vrai, car c’est de la comm’ entre devs, et pas du code exécutable.

Sauf pour bien sûr pour Copilot Chat pour qui un commentaire c’est un texte comme un autre. Et selon Omer Mayraz , chercheur en sécurité chez Legit Security, c’est exactement ce qui en fait une zone de confiance aveugle parfaite pour une attaque.

Ce qu’a découvert Omer Mayraz c’est donc une vulnérabilité critique dans GitHub Copilot Chat avec un score CVSS de 9.6 sur 10. Cela consiste à planquer des instructions malveillantes dans des commentaires markdown invisibles comme ça, ces commentaires ne s’affichent pas dans l’interface web de GitHub, mais Copilot Chat les voit parfaitement et les traite comme des prompts légitimes.

Du coup, l’attaquant peut forcer Copilot à chercher des secrets dans vos repos privés, à extraire du code source confidentiel, voire à dénicher des descriptions de vulnérabilités zero-day non publiées. Tout ça sans que vous ne voyiez rien venir évidemment !

Voici une démo complète de l’attaque en vidéo :

La première étape c’est donc l’injection de prompt via un commentaire caché. Rien de révolutionnaire, mais efficace. Ensuite, deuxième étape : le bypass de la Content Security Policy de GitHub. Normalement, Copilot Chat ne peut charger que des ressources depuis des domaines appartenant à GitHub. Il est donc impossible d’envoyer des données vers un serveur externe.

Mais c’était sans compter sur le fait que GitHub dispose d’un proxy appelé Camo, conçu à l’origine pour sécuriser l’affichage d’images externes en les servant via HTTPS et en évitant le tracking. C’est donc ce proxy de sécurité qui devient l’outil d’exfiltration. Avec ce proxy, toutes les URLs d’images externes sont automatiquement transformées en URLs Camo du type https://camo.githubusercontent.com/[hash unique] et Mayraz a simplement utilisé l’API GitHub pour pré-générer un dictionnaire complet de ces URLs Camo, chacune pointant vers un emplacement unique sur son serveur.

Troisième étape, l’exfiltration des données. Au lieu de faire passer les secrets directement dans les URLs (trop visible), Mayraz a eu l’idée d’utiliser l’ordre des requêtes. Chaque lettre de l’alphabet correspond à une URL Camo unique. En faisant charger ces URLs dans un ordre précis, on peut ainsi transmettre des données texte comme avec un alphabet ASCII artisanal. C’est plutôt créatif comme approche, je trouve.

C’est exactement le même principe que les attaques ultrasoniques contre Alexa ou Siri. Si vous ne vous en souvenez pas, des chercheurs avaient démontré qu’on pouvait envoyer des commandes vocales à des fréquences inaudibles pour l’oreille humaine, mais parfaitement comprises par les assistants vocaux.

Bah ici, c’est pareil… On a des prompts invisibles pour les humains mais que l’IA voit et exécute sans broncher. Comme pour les enceintes, on parle à la machine sans que l’humain ne s’en aperçoive et la différence, c’est qu’au lieu de jouer sur les fréquences sonores, on joue sur le markdown et les commentaires cachés.

Du coup, chaque pull request externe est un potentiel cheval de Troie. Un contributeur externe soumet par exemple une PR apparemment légitime, avec un commentaire invisible qui ordonne à Copilot de chercher “AWS_KEY” dans vos repos privés. Vous de votre côté, vous ouvrez la PR dans votre éditeur, Copilot Chat s’active bien sûr automatiquement, et hop, vos clés API partent chez l’attaquant.

Quand on sait que GitHub a créé Camo justement pour améliorer la sécurité, ça fout un peu les boules. Bref, grâce à son proof-of-concept, Mayraz a réussi à exfiltrer des clés AWS, des tokens de sécurité, et même la description complète d’une vulnérabilité zero-day stockée dans une issue privée d’une organisation et tout ça sans aucune interaction suspecte visible par la victime.

Heureusement, notre joyeux chercheur a prévenu GitHub qui a réagi assez vite. Le 14 août l’entreprise a complètement désactivé le rendu d’images dans Copilot Chat, comme ça plus d’images, plus de problème. C’est radical, c’est sûr mais c’est efficace !

Quoiqu’il en soit, ces histoires de prompt injection c’est un problème fondamental propre aux LLM qui sont encore actuellement incapable de distinguer de manière fiable les instructions légitimes des instructions malveillantes. Ça reste donc un problème de confiance…

Dans ce cas prévis, on fait confiance à GitHub pour héberger notre code du coup, on fait confiance à Copilot pour nous aider à développer, tout comme on fait confiance aux contributeurs externes pour soumettre des PR de bonne foi. Et nous voilà avec une jolie chaîne de confiance prête à être exploitée…

Bref, CamoLeak c’est que le début de cette nouvelle vague de vuln liées aux assistants IA qui se retrouvent intégrés dans nos outils de développement… Donc ouvrez l’oeil car on ne sait jamais ce qui sa cache vraiment dans une pull request.

Source

Microsoft's latest AI experiment wants you to talk with digital portraits via Copilot

The new "Copilot Portraits" feature is designed to make talking with Copilot feel more human, according to Microsoft.

In this photo illustration, 'Microsoft Copilot' logo is displayed on mobile phone screen in front of a screen displaying the inscription of 'Copilot' in Ankara, Turkiye on March 14, 2025.

Microsoft Copilot app on Windows updated with Semantic Search and new home

Par : Nayan
21 août 2025 à 07:12
Microsoft Copilot app on Windows updated (version 1.25082.132.0 and higher) with Semantic Search and new home feature. This Copilot app update is beginning to roll out across all Insider Channels via the Microsoft Store. The above-mentioned features are gradually rolling out so not all Insiders will get the update right away. Checkout the full changelog below: Semantic […]

Microsoft Lures "Most-Wanted" AI Talent from Meta With Multimillion-Dollar Offers Amid Industry Turbulence — Giving Zuckerberg a Taste of His Own Medicine

According to a leaked internal document, Microsoft has compiled a "most-wanted" list, comprising Meta engineers and researchers. The company has reportedly made multi-million-dollar compensation package offers to get them to switch sides.

CEO of Meta, Mark Zuckerberg is seen during a Senate Judiciary Committee hearing with representatives of social media companies at the Dirksen Senate Office Building on Wednesday January 31, 2024 in Washington, DC.

Microsoft rolls out Vision Desktop Share on Copilot for Windows

Par : Nayan
17 juillet 2025 à 04:15
A new update rolls out for the Microsoft Copilot app on Windows via the Microsoft Store which introduces the following changes and improvements to Copilot Vision on Windows where you can choose to share your whole desktop with Copilot. When you share your desktop, Copilot can see what you see and talk to you about […]

Microsoft 365 Copilot just got smarter — now supports 48 languages and key new features

Microsoft 365 Copilot now supports 48 languages — and it just added smarter tools for Outlook, Edge, Excel, and its mobile app.

In this photo illustration the logo of Microsoft is being displayed on a laptop screen and the logo of Copilot is being displayed on a smart phone.

EchoLeak - Une faille zero-click dans Microsoft 365 Copilot

Par : Korben
11 juin 2025 à 21:16

Vous savez ce qui est plus fort qu’un hacker qui vous demande de cliquer sur un lien louche ? Un hacker qui n’a même pas besoin que vous cliquiez !

EchoLeak, la nouvelle vulnérabilité de Microsoft 365 Copilot, prouve qu’en matière d’IA, on n’a pas fini de découvrir des trucs qui font froid dans le dos, du genre notre assistant virtuel préféré qui peut devenir une balance sans même qu’on s’en rende compte.

Développeurs, attention à l'empoisonnement de vos IA !

Par : Korben
22 avril 2025 à 10:30

Si vous faites partie des 97% de dev à grosses lunettes qui utilisent des assistants IA comme GitHub Copilot, Windsurf ou Cursor, ce que vous allez lire va probablement flinguer votre journée…

Et oui parce que si vous pensiez que votre assistant IA préféré était votre meilleur atout pour coder, sachez que des chercheurs en sécurité viennent de découvrir qu’en réalité, tous ces outils pourraient se comporter en cheval de Troie placé directement dans votre IDE. Et le plus flippant c’est que vous ne verriez absolument rien venir, même en scrutant le code ligne par ligne.

Google Docs vs Microsoft Word (2024): Which Tool Is Better?

Par : Megan Crouse
25 septembre 2024 à 19:00
Google Docs and Microsoft Word are quite similar. However, their differences extend beyond whether they’re usually used online or offline.
❌
❌