lundi 10 août 2026

Digest court

Week-end blanc côté Angular. Le flux officiel blog.angular.dev n'a rien publié depuis le 31 juillet, et aucune version 22.x n'est sortie depuis le 22.2.0-next.1 couvert le 8 août. Le sujet structurant du moment reste TypeScript 7.0 et son API programmatique manquante, analysée en détail le 9 août : rien de neuf n'est tombé depuis. Aucune faille, aucun breaking change, aucune RFC ouverte dans la fenêtre des 48 heures. Pas de _detail.md pour cette catégorie aujourd'hui — mieux vaut une synthèse honnête qu'un mini-cours artificiel.

Top 1 — État de l'écosystème (rien de neuf en 48 h)

• Aucune release Angular : pas de 22.2.0 stable, pas de RC, pas de patch de sécurité depuis le 8 août.
• Blog officiel silencieux : dernier billet daté du 31 juillet 2026, aucun nouveau contenu au flux RSS.
• Cadence annuelle confirmée : depuis la 22.1.0, un major par an en juin — la 23 n'est pas attendue avant juin 2027.

Top 2 — Sur le radar

• TypeScript 7.1 : cible automne 2026. C'est la version qui livrera l'API compilateur (ts.createProgram, ts.factory) dont dépendent le compilateur de templates Angular et typescript-eslint. Suivi côté Angular sur l'issue GitHub 69719.
• tsgo --noEmit en CI : rien ne t'empêche de brancher le type-check natif dès maintenant, en gardant TypeScript 6 pour l'éditeur et ng build.
• Webpack déprécié en v22 : @angular-devkit/build-angular et @ngtools/webpack sont en fin de vie. Si la bascule Rolldown n'est pas planifiée, c'est le moment de l'inscrire au backlog.

Journée creuse assumée : l'attention de la semaine se joue côté .NET (Foundry Local, LINQ) et sécurité de la chaîne d'approvisionnement npm.

Digest court

Week-end calme sur le blog .NET : rien de neuf depuis le 6 août. Les deux sujets qui méritent un mini-cours aujourd'hui viennent donc du dernier billet non couvert et de la documentation .NET 11 Preview 6. Le premier montre que Foundry Local ne sert pas qu'à faire du chat : il gère le cycle de vie complet d'un modèle de reconnaissance vocale en streaming, depuis un simple alias jusqu'au déchargement mémoire. Le second est plus discret mais te concerne directement en backend : LINQ gagne FullJoin et des surcharges Join/GroupJoin qui renvoient des tuples, alignées sur la traduction FULL OUTER JOIN qui arrive dans EF Core 11. Deux sujets, deux angles très concrets.

Top 1 — Foundry Local : au-delà du chat

• nemotron-speech-streaming-en-0.6b : modèle ASR anglais de 0,6 Md, résolu par alias depuis le catalogue Foundry Local, téléchargé et mis en cache automatiquement.
• CreateLiveTranscriptionSession() : session ouverte, PCM 16 kHz/16 bits/mono poussé au fil de l'eau, résultats interim puis IsFinal.
• Abstraction vs SDK natif : Microsoft.Extensions.AI quand le scénario colle, SDK du provider (Microsoft.AI.Foundry.Local) quand il faut une capacité spécifique.
• Windows uniquement : Microsoft.AI.Foundry.Local.WinML cible Windows ML, NAudio.WaveInEvent les API audio Windows.

Top 2 — LINQ : FullJoin et jointures qui rendent des tuples

• Enumerable.FullJoin / Queryable.FullJoin / AsyncEnumerable.FullJoin : la jointure externe complète devient une méthode de première classe, sur les trois familles.
• Surcharges tuple : Join et GroupJoin peuvent renvoyer (TOuter, TInner) sans écrire de sélecteur.
• Côté base : EF Core 11 traduit désormais FULL OUTER JOIN, ce qui rend FullJoin exploitable en IQueryable et pas seulement en mémoire.

→ Analyse complète : 2026-08-10_detail.md

Digest court

Deux articles publiés le 8 août sur Hugging Face partagent une même vertu : ils documentent honnêtement ce qui n'a pas marché. Le premier, Model Genome, répond à une question devenue politique — comment vérifier, avec les seuls fichiers publics, qu'un modèle annoncé « développé de zéro » l'est vraiment ? La méthode tient en trois axes (config.json, tokenizer, poids) et deux pièges instructifs : le cosinus ligne à ligne est inutilisable, et même le CKA ne sépare pas proprement un pré-entraînement continué d'un entraînement from scratch. Le second, GLInt, atteint 57,43 de nDCG@10 moyen sur BEIR-15 et devient le meilleur retriever sous 300 M de paramètres — mais son enseignement principal porte sur la géométrie de MaxSim, qui casse silencieusement les règles de minage positive-aware héritées du dense.

Top 1 — Model Genome : lire la généalogie d'un modèle dans ses fichiers publics

• Axe architecture : le tuple (hidden_size, intermediate_size, num_hidden_layers, heads, kv) de config.json. Cinq champs identiques à un open-weight connu, ce n'est plus une coïncidence.
• Axe tokenizer : recouvrement de vocabulaire avec min(|A|,|B|) au dénominateur — un vocabulaire réduit strictement inclus score ~1,0.
• Piège n° 1 : le cosinus ligne à ligne sur embed_tokens donne ~0 même en cas de filiation évidente, à cause de l'invariance par rotation.
• Piège n° 2 : le CKA linéaire confirme le from-scratch (≈ 0) mais ne détecte pas la dérivation (≈ 0,25 contre 0,21 de bruit de fond).

Top 2 — GLInt : miner les négatifs dans l'espace où le modèle score

• 57,43 nDCG@10 moyen sur BEIR-15, contre 57,22 pour LateOn — meilleur score Quora et HotPotQA sous 7 Md de paramètres.
• Géométrie MaxSim : l'écart entre le meilleur et le pire candidat d'un pool ne fait que 1,4 % du score du positif, contre 93,5 % en BM25.
• Conséquence directe : la règle de rejet score(candidat) > seuil × score(positif) passe de « tout jeter » (0,95) à « tout garder » (1,02) en trois points de seuil.

→ Analyse complète : 2026-08-10_detail.md

Digest court

Deux sujets, deux temporalités. Le premier est une échéance : CISA a inscrit CVE-2026-8037 (Progress Kemp LoadMaster, CVSS 9,6) au catalogue KEV le 5 août, avec correction obligatoire pour les agences fédérales aujourd'hui. Injection de commandes OS non authentifiée sur un load balancer exposé — PoC public depuis le 29 juin, tentatives d'exploitation observées le jour même. Le second est structurel : Microsoft Threat Intelligence a publié l'anatomie complète de ChainDrop, un ver npm auto-propageant qui a touché plus de 400 paquets. Son mécanisme le plus dérangeant n'est ni le vol de secrets ni le hook preinstall, mais la republication via OIDC GitHub Actions — ce qui produit des paquets malveillants avec une provenance parfaitement valide.

Top 1 — Failles à traiter aujourd'hui

• CVE-2026-8037 — Progress Kemp LoadMaster (CVSS 9,6) : injection de commandes OS dans l'API des produits ADC, exploitable sans authentification via des entrées non filtrées sur plusieurs endpoints. Au KEV depuis le 5 août, échéance fédérale le 10 août.
• Chronologie : divulgation le 4 juin, PoC fonctionnel le 29 juin, tentatives d'exploitation détectées par eSentire dès le 29 juin. Trois semaines entre le correctif et le premier tir.

Top 2 — ChainDrop : quand la provenance ne prouve plus rien

• 400+ paquets npm compromis chez des éditeurs sans lien entre eux, dont keyv, flat-cache, cache-manager.
• Charge Bun obfusquée lancée par un hook preinstall, avant même la fin de l'installation et donc avant tes tests.
• Ver : un jeton npm volé suffit à republier tous les paquets de l'identité, en incrémentant le patch — d'où des versions sans commit ni PR correspondants.
• Persistance dans l'IDE : injection de .claude/settings.json, .claude/setup.mjs, .vscode/tasks.json dans les dépôts accessibles.

Sur le radar

• Metabase : zero-day exploité activement, exposition d'accès admin et de données sensibles (8 août).
• npm CLI v12 et l'option min-release-age : la mitigation la plus efficace contre les republications malveillantes fraîches.

→ Analyse complète : 2026-08-10_detail.md