MartIn-赚钱版

做 Web3 和 AI 的朋友，你还在自己熬夜盯盘、追热点？

我把这些全丢给了 Grok Bot
盯盘、写推、追热点、写公众号，它 24 小时在线
连备案这种得一步步点网页的事，它都能自己开浏览器办完，再回来告诉我

第一周，它就把订阅费给我赚回来了

现在用邀请能免费试两周，用两周再决定要不要留：
https://grok.com/refer/bot?code=65JR38KMFZZ3

专门帮警察追币圈黑客的公司，被 AI 黑客打穿了，客户邮箱全被摸走

这家公司平时给被盗资金贴标签，也帮执法追洗钱
10 月被外部攻击者用 AI Agent 式手段打进了内部系统

官方说客户姓名和邮箱被摸走了，用户 ID 和岗位标签也在里面
查案内容、密码和登录态，目前没看到被碰

11 月 2 日起他们主动把查案产品 Reactor 和 Data Solutions 下线做评估
状态页到 11 月 3 日还显示未恢复

Après l’incident, l’outil de création de sites par IA Lovable rejette la faute : les fuites de données sont monnaie courante dans le secteur, et la sécurité relève de la responsabilité de ceux qui créent les sites

La société allemande de sécurité Crissy Field a analysé un grand nombre de projets Lovable
Dès leur chargement, beaucoup de sites transmettent des enregistrements de bases de données Supabase, sans qu’il soit nécessaire de se connecter

Le cas le plus grave concerne un prestataire qui a exposé directement plus d’un millier de pièces d’identité
Les numéros de passeport, dates d’expiration et nationalités étaient accessibles
Des profils d’utilisateurs de forums, des conversations et des informations de paiement liées à la billetterie ont également été touchés

Beaucoup de ces sites sont bricolés par des utilisateurs sans aucune expérience
Interrogé par Handelsblatt, Lovable a répondu que c’était monnaie courante dans le secteur et que, selon ses conditions, la sécurité des données relevait de la responsabilité de ceux qui créent les sites

L’accès aux outils d’IA pour coder accordé par votre entreprise peut être révoqué du jour au lendemain quelques mois plus tard : Goldman Sachs vient de retirer Claude Code aux traders

Bloomberg a consulté des directives internes mises à jour en octobre
Claude Code d’Anthropic et GitHub de Microsoft sont désormais, pour l’essentiel, réservés aux ingénieurs

Les traders et les banquiers les ont utilisés pendant des mois
Certains s’en servaient déjà pour surveiller les flux de transactions des clients et simuler des positions ; ils ne peuvent plus le faire
Seuls les postes de « strats », qui consistent à trader tout en écrivant du code, ne sont pas concernés

En juillet, le DSI Marco Argenti avait pourtant déclaré publiquement que les collègues non techniques pouvaient créer des prototypes avec l’IA, puis les confier à quelque 12 000 ingénieurs pour les peaufiner
Les non-ingénieurs doivent désormais passer à d’autres outils ou utiliser l’assistant développé en interne

La société de sécurité qui a accédé aux fiches de paie et à Slack d’Anthropic la semaine dernière est invitée cette semaine par OpenAI à attaquer ses propres systèmes

La société de sécurité Cathedral a exploité le programme de bug bounty d’Anthropic et utilisé des agents d’IA pour s’introduire dans des logiciels tiers de bureautique. Elle affirme avoir accédé en moins de 12 heures à des comptes rendus de réunion, des données salariales et à Slack

Anthropic affirme que seule une petite partie des systèmes commerciaux, RH et informatiques a été touchée ; les conversations avec Claude, le code source et les poids des modèles n’ont pas été compromis. L’accès a été coupé le jour même. L’entreprise accuse aussi Cathedral d’exagérer les faits et de ne pas avoir respecté les règles de divulgation complète

Le 2 novembre, OpenAI a annoncé qu’elle s’associerait à Cathedral pour la prochaine phase de son sprint de sécurité interne, afin d’utiliser ses propres modèles pour tester ses propres défenses. L’annonce ne faisait aucune mention de l’incident précédent

Coinbase, la plus grande plateforme d’échange de cryptomonnaies des États-Unis, annonce que l’IA peut désormais trader des contrats à terme pour vous 24 h/24.

Le compte officiel indique que les produits dérivés mondiaux de Deribit sont désormais accessibles aux utilisateurs éligibles. Une fois votre compte connecté à vos plateformes d’IA habituelles, l’IA peut effectuer des recherches, élaborer des stratégies et passer des ordres.

Aujourd’hui, le PDG Brian Armstrong a publié une vidéo d’écran pour présenter la nouvelle page d’inscription : lors de la création d’un compte, on peut directement choisir « For your agent ».
Le slogan : en faire « le compte financier le plus axé sur l’IA ».

La plateforme précise que l’utilisateur est responsable en cas d’échec d’une transaction. Vous définissez les limites et pouvez déconnecter le compte à tout moment.

À ceux qui laissent l’IA naviguer sur Internet à leur place : attention. Le navigateur qu’elle utilise n’a pas reçu le correctif publié par Google la semaine dernière. En ouvrant une page malveillante, votre ordinateur pourrait être compromis.

Le développeur nisten a rappelé aujourd’hui que Chromium, fourni avec la dernière version stable de Playwright, n’a pas encore reçu le correctif de Google.
L’une des vulnérabilités critiques permet à une page piégée de s’échapper du bac à sable et d’exécuter du code.

La documentation officielle indique que le bac à sable est désactivé par défaut.
Beaucoup laissent un agent ouvrir directement des pages Web sur leur machine principale.

Les mises à jour régulières de Chrome ne couvrent pas ce navigateur.
Il faut attendre une nouvelle version de Playwright ou, en attendant, éviter de l’exécuter sans isolation sur sa machine.

Les clients paient, les commerçants attendent leur argent, mais celui-ci finit dans le portefeuille d’un tiers

Hier, la société de sécurité Defused a découvert qu’une faille critique, notée 10 sur 10, était exploitée dans la nature dans une extension WordPress appelée CryptoPayment Gateway, qui permet aux boutiques d’accepter les cryptomonnaies

Cette faille ne nécessite aucune connexion
N’importe qui peut consulter les informations du portefeuille de la boutique et même modifier directement l’adresse de réception des paiements

Les clients paient en croyant que l’argent va à la boutique, alors qu’il arrive en réalité à une adresse appartenant à quelqu’un d’autre
Aucun correctif n’est disponible à ce jour

38 millions de dollars ont été dérobés. La plateforme d’échange affirme avoir maîtrisé la situation, mais les pirates continuent d’utiliser vos adresses de dépôt pour transférer des cryptos

La société d’analyse blockchain Bitquery a découvert que, même deux heures après l’annonce de l’arrêt des opérations par la plateforme,
les pirates pouvaient encore signer des transactions depuis les adresses de dépôt des utilisateurs
et continuer à transférer des cryptos vers l’extérieur

Il s’agit de Mercado Bitcoin, la plus grande plateforme d’échange du Brésil
La plateforme a ensuite elle-même communiqué le montant concerné, environ 38 millions de dollars, et assuré que les clients ne subiraient aucune perte

Les dépôts et les retraits sont toujours suspendus

À partir d’aujourd’hui, chaque mot écrit par Claude porte un filigrane, même les anciens modèles n’y échappent pas

Le filigrane est dissimulé dans les habitudes de formulation, sans ajouter un seul caractère
Il se transmet par copier-coller, et quelques modifications ne suffisent pas forcément à l’effacer

Les nouveaux modèles sortis après août en sont déjà dotés, y compris Opus 5.5
À partir du 3 novembre, les anciens modèles comme Opus 4.6 et Sonnet 4.6 en seront également équipés

Pour l’instant, l’outil de détection est réservé aux autorités de régulation et aux médias ; les établissements d’enseignement figurent aussi sur la liste
Les particuliers qui paient pour utiliser Claude n’y figurent pas

Les monteurs ont de quoi s’inquiéter : quelqu’un a donné une seule instruction à Claude Code, et 58 minutes de rushes ont été montées toutes seules en un vlog de 10 minutes

levelsio a copié dans un dossier tous les rushes filmés avec son matériel DJI, puis a ouvert Claude Code
Il lui a simplement dit : « Aide-moi à monter tout ça en un vlog à publier sur X et YouTube »

Claude a d’abord retranscrit tout ce qu’il disait sur son MacBook
Puis il a extrait une image toutes les quelques secondes et les a assemblées en une grande image pour analyser les séquences. Il a même réussi à distinguer les passages où levelsio parlait lui-même
Pour finir, il a sélectionné les séquences et les a consignées dans un tableau de montage, réduisant environ 58 minutes de rushes à une dizaine de minutes

Il n’a découvert toutes ces étapes que plus tard, quand quelqu’un lui a demandé comment il avait fait le montage et qu’il est retourné vérifier
Il a dit que sans le montage par IA, il n’aurait même pas filmé de vlog

THORChain est à l’arrêt depuis presque deux jours et n’ose toujours pas redémarrer. La raison officielle : cette faille est désormais connue de tous.

Le 31 octobre à 19 h 34, Ethereum a annulé un bloc.
Un dépôt de 10 ETH figurait dans ce bloc, mais il n’a jamais été crédité sur la chaîne.
THORChain l’avait pourtant comptabilisé, puis a remboursé la somme à son expéditeur après l’échec de l’échange. Le trésor a donc déboursé de l’argent comme par magie.

C’est l’utilisateur lui-même qui a fini par rendre l’argent.
Le rapport officiel est très clair : si une chaîne externe annule à nouveau un bloc, quelqu’un pourrait renvoyer une transaction avec le même identifiant, et le trésor pourrait payer une nouvelle fois.

Les échanges de BTC et d’ETH sont donc toujours suspendus, et ceux de SOL et de DOGE n’ont pas repris non plus.
La reprise dépendra du vote des nœuds.

L’argent sur votre compte d’exchange peut être vidé en une seule journée
Une institution de l’UE vient de perdre 106 millions de dollars le 1er novembre

L’argent a été retiré de ses comptes sur plusieurs exchanges, en USDC et en USDT
Ce n’est pas une entreprise crypto, et son nom n’a pas été révélé

En une seule journée, les auteurs ont converti les stablecoins en ETH
Puis sont passés par des plateformes d’échange instantané pour les convertir en Monero, en passant par plusieurs blockchains

Les stablecoins peuvent être gelés ; une fois convertis, c’est pratiquement impossible
Pour l’instant, ZachXBT parle seulement de soupçons, et l’institution ne s’est pas encore exprimée

Le 9 octobre, les variables d’environnement de 9 plateformes de développement IA ont été dérobées. Le premier jour de novembre, une autre a été touchée.

Cette fois, il s’agit de Trigger.dev, une plateforme spécialisée dans l’exécution d’agents IA et de tâches en arrière-plan.
Les attaquants ont récupéré les variables d’environnement de certaines organisations.
Elles contiennent généralement des mots de passe de bases de données et des clés d’accès à différents modèles.

Un utilisateur a d’abord reçu un e-mail d’alerte, puis a demandé sur X si la plateforme avait été piratée.
La société n’a publié un communiqué officiel qu’un peu plus tard : cinq phrases en tout.
Elle n’a précisé ni comment les attaquants étaient entrés ni combien d’organisations avaient été touchées.

Au moment où l’incident a été signalé sur la page d’état, il était déjà marqué comme « résolu ».

Le « modèle fuité » d’Anthropic qui inondait les réseaux : quelqu’un a vraiment téléchargé plus de 7 To, et ce ne sont que des nombres aléatoires

Le dépôt s’appelle burner22/numbat et prétend contenir une archive d’entraînement de niveau Mythos, la prochaine génération d’Anthropic
Son nom de code reprend un vrai nom apparu dans la fuite du code source de Claude Code en mars. Le compte a été créé une semaine seulement avant la mise en ligne
D’après le décompte de Hugging Face, le nombre de paramètres ne représente que la moitié de celui annoncé

Au milieu de la nuit, FloxUnder a compris après n’en avoir téléchargé qu’une petite partie que certains poids pouvaient être calculés bit par bit en utilisant les noms des tenseurs comme graines
Aujourd’hui, ressl a terminé le téléchargement de l’ensemble et a tout vérifié : toutes les couches de normalisation et les noyaux de convolution correspondent. En revanche, l’archive ne présente aucun problème

La fiche du modèle indique même qu’on peut le charger avec trust_remote_code=True, ce qui revient à exécuter sur son ordinateur du code écrit par un compte tout juste créé
Le compteur de téléchargements sur la page continue de grimper

Attention si vous créez des jeux avec Claude Code : s’il refuse, ne vous précipitez pas pour changer d’outil. Quelqu’un chez Anthropic a prévu une voie de recours.

Vers le 27 octobre, Claude Code a reçu une nouvelle règle depuis les serveurs :
on peut créer des jeux originaux ou des jeux d’un certain genre, mais pas reproduire un jeu existant, même en changeant son nom.
Il n’y a pas d’option locale pour désactiver cette règle.

Addy Osmani, d’Anthropic, a confirmé que deux phrases avaient été ajoutées au prompt d’Opus 5.5.
La raison : utiliser Claude pour enfreindre la propriété intellectuelle d’autrui va déjà à l’encontre des règles d’utilisation.

Il a aussi ajouté que si Claude refuse quelque chose qui vous appartient, envoyez-le-lui directement.

Oh, je peux désinstaller Claude.

Claude prend désormais en charge nativement l’exécution de tâches de longue durée. Tu peux lui donner un objectif et le laisser travailler automatiquement toute la nuit.

Tu peux essayer de demander directement à cc de te faire gagner 50 dollars par jour, pour voir si ça marche 😎