Amazon Q, l'assistant de programmation dopé à l'IA que propose Amazon, pouvait se faire piéger d'une manière aussi simple qu'embarrassante.

Petit rappel pour situer. Amazon Q se greffe dans Visual Studio Code, l'éditeur de code de Microsoft que les développeurs utilisent au quotidien, et sert à écrire ou corriger du code à votre place.

Des chercheurs de Wiz, une société spécialisée dans la sécurité du cloud, ont découvert que cet assistant exécutait des commandes cachées à la simple ouverture d'un projet. La faille a reçu un identifiant officiel, CVE-2026-12957, et une note de gravité de 8,5 sur 10, ce qui est sérieux.

Le problème venait d'un fichier de configuration un peu particulier. Pour fonctionner, Amazon Q lit un fichier nommé .amazonq/mcp.json, qui s'appuie sur le MCP, pour Model Context Protocol, une sorte de prise standardisée qui permet de brancher une IA sur des outils extérieurs.

Sauf qu'il suffisait d'ouvrir un dépôt de code et d'activer Amazon Q pour que l'extension aille lire ce fichier et exécute son contenu. Sans fenêtre de confirmation, sans demander votre avis, et sans vérifier si vous faisiez confiance au dossier que vous veniez d'ouvrir.

Et c'est là que ça devient vraiment fourbe. Ces commandes héritaient de tout votre environnement de travail. Du coup, elles pouvaient récupérer au passage vos clés d'accès au cloud d'Amazon, vos jetons de connexion, vos secrets d'API et même l'accès à votre agent SSH, ce trousseau qui garde en mémoire vos connexions aux serveurs distants. En clair, tout ce qu'un développeur laisse ouvert pendant qu'il travaille.

Le plus gênant, c'est que Visual Studio Code possède justement une sécurité prévue pour ça, la confiance d'espace de travail, qui vous demande si vous validez un dossier avant de le laisser agir. L'extension d'Amazon passait tout bonnement par-dessus.

Pour un pirate, le piège était facile à tendre. Il suffisait de glisser ce fichier dans un projet open source d'apparence anodine, ou dans un bout de code partagé sur un forum, et d'attendre qu'un développeur qui récupère un projet l'ouvre pour voir comment il fonctionne.

Amazon a corrigé le tir dans la version 1.65.0 de son serveur de langage et a confirmé la correction. Wiz note d'ailleurs que des failles très proches ont déjà touché d'autres outils de code boostés à l'IA.

Donner autant de pouvoir à une IA sans le moindre garde-fou, et laisser filer les clés du cloud avec, ça reste une erreur de débutant pour un géant comme Amazon.

Source : The Register

Vous vous souvenez de l’époque mythique du Commodore 64 ?

Ce bon vieux clavier qui claque, les disquettes qu’on insère délicatement dans le lecteur, les heures passées à dompter l’assembleur pour créer des petites merveilles de pixels et de sons… Ah, c’était le bon vieux temps !

Eh bien, figurez-vous qu’on peut retrouver un peu de cette magie en 2023, avec des outils modernes et sur un bon gros PC.

Pour cela, vous allez avoir besoin de quelques ingrédients de base :

• Visual Studio Code, l’éditeur de code ultra polyvalent qui s’adapte à tous les langages
• L’émulateur VICE (what else?) pour faire tourner vos programmes comme sur un vrai C64
• Le compilateur Kick Assembler pour transpiler votre code en binaire (il vous faudra java)
• Git pour versionner votre code comme un pro

Installer et configurer tout ça, c’est un peu le parcours du combattant mais rassurez-vous, tout est expliqué dans cette vidéo qui vous prend par la main et vous explique tout pas à pas, même si vous débutez.

Alors, vous commencez par installer Git, Java et Visual Studio Code. Ça, c’est la partie facile. Ensuite, vous récupérez Kick Assembler et VICE, et c’est là que ça se corse un peu. Mais suivez bien les instructions, et vous verrez, au bout de quelques minutes, vous aurez un environnement de développement parfaitement opérationnel !

Visual Studio Code dispose d’extensions pour faire tout un tas de trucs, et bien sûr, il en existe une pour l’assembleur C64. Une fois installée, vous pourrez profiter de la coloration syntaxique, de la complétion de code et même du débogage en temps réel avec VICE.

Ensuite, avec Kick Assembler, vous allez pouvoir écrire votre code source de manière beaucoup plus confortable qu’à l’époque. Déjà, vous n’êtes plus limité à 40 colonnes, et l’éditeur vous évitera bien des fautes de frappe. Mais le plus sympa, c’est que vous pouvez utiliser des macros, des constantes et même des instructions de haut niveau pour vous faciliter la vie. Et au final, Kick Assembler transpile tout ça en bon vieil assembleur 6502.

Quant à VICE, c’est tout simplement le meilleur émulateur C64 disponible actuellement. Il est hyper fidèle au hardware d’origine, et il propose une tripotée d’options pour faciliter le développement : exécution pas à pas, points d’arrêt, inspection des registres et de la mémoire, etc. Un vrai bonheur pour déboguer vos programmes !

Voici pour tester, un petit Hello World qui affiche un message à l’écran et change la couleur de la bordure.

;===============================================================================
; Ceci est un exemple de programme en assembleur pour Commodore 64
; utilisant l'assembleur KickAssembler.
;===============================================================================
; Constantes pour les couleurs du C64
BLACK = 0
WHITE = 1
*= $0801
;===============================================================================
; Le code BASIC au début sert à lancer notre programme en assembleur.
; Nous utilisons ici la macro BasicUpstart2 de KickAssembler qui génère
; automatiquement le code BASIC approprié.
;===============================================================================
BasicUpstart2(start)
;===============================================================================
; Notre programme en assembleur commence ici
;===============================================================================
start:
; Change la couleur de la bordure en noir
lda #BLACK
sta $d020

Et pour compiler, charger et exécuter le programme :

• Presser F5 dans VSCode pour compiler avec KickAssembler
• Dans VICE, utiliser LOAD "HELLO.PRG",8,1 pour charger le programme puis RUN pour l’exécuter

Pour compiler ce programme, assurez-vous d’utiliser l’assembleur KickAssembler. Vous pouvez le compiler en pressant F5 dans Visual Studio Code si vous avez configuré KickAssembler comme assembleur par défaut. Une fois compilé, vous obtiendrez un fichier PRG que vous pouvez charger dans l’émulateur VICE avec la commande suivante : LOAD "HELLO.PRG",8,1

Puis tapez RUN pour exécuter le programme. Vous devriez voir apparaître « HELLO WORLD! » à l’écran, avec la bordure de l’écran en noir.

Voilà, vous savez maintenant comment redonner vie à vos vieilles machines 8 bits dans un environnement ultra moderne et confortable. Plus d’excuse pour ne pas vous remettre à l’assembleur et pondre les démos et les jeux de vos rêves !

Et si vous êtes un peu nostalgique, rien ne vous empêche de transférer vos programmes sur une vraie machine, armé d’un vieux lecteur de disquettes Commodore 1541 et d’une pile de D7. Et puis il y a une sacrée communauté de passionnés toujours prêts à vous filer un coup de main ou une bonne vieille rustine. N’hésitez pas à traîner sur les forums spécialisés comme Lemon64 ou C64-Wiki, vous y trouverez une mine d’infos, de démos et de bouts de code à recycler.

Avec ce setup VS Code + Kick Assembler + émulateur, vous pouvez également vous attaquer à plein d’autres machines mythiques : Atari 800, Apple II, ZX Spectrum, la liste est longue. Chaque hardware a ses spécificités et ses petits trucs à découvrir, de quoi vous occuper pendant des années !

Source

Et si aujourd’hui, on parlait un peu de l’extension CSS Compatibility Checker pour Visual Studio Code ? Un outil juste dingue qui va vous aider à voir en un clin d’œil si votre code est compatible avec tous les navigateurs. Plus besoin de passer des heures à éplucher la doc ou de croiser les doigts en espérant que ça passe, cette petite merveille va vous changer la vie !

Imaginez un peu le topo : vous êtes tranquillou en train de tapoter votre CSS, vous balancez une propriété backdrop-filter pour flouter votre background avec classe et là bim 💥, l’extension vous remonte direct que c’est pas compatible avec certaines vieilles versions de navigateurs.

Ou alors vous utilisez un mot-clé un peu exotique genre unset et hop, elle vous alerte que c’est potentiellement casse-gueule. C’est ti pas beau ça ?

CSS Compatibility Checker s’adresse donc aux développeurs frontend un peu soucieux de la compatibilité de son code. Je sais, ils ne sont pas nombreux ^^. En un survol de souris, vous avez accès à toutes les infos dont vous avez besoin : si telle syntaxe, fonction ou propriété est dépréciée, non-standard, expérimentale ou pas supportée partout. Et c’est valable pour un tas de versions de navigateurs différentes !

Pour en profiter, vous devrez installer l’extension depuis la marketplace de VS Code, et ensuite il vous suffit d’ouvrir un fichier CSS, SCSS ou LESS et de laisser le curseur survoler l’élément qui vous intéresse. Et là, magie, une petite bulle s’affiche avec toutes les infos de compatibilité. De quoi prendre les bonnes décisions pour votre projet !

Alors certes, CSS Compatibility Checker ne va pas non plus révolutionner le monde du développement web du jour au lendemain mais pour tous ceux qui en ont un peu ras la casquette de se farcir des heures de tests sur 15 versions d’Internet Explorer, c’est définitivement une extension à avoir sous la main. Et puis c’est gratuit et open-source en plus, alors que demande le peuple ?

Merci à Lorenper pour le partage !