L'autre jour, je m'amusais à regarder ce qu'une petite application Android que j'avais installée envoyait comme infos à ses serveurs , et j'ai encore galéré avec une tripotée d'outils différents. Entre ADB pour récupérer le fichier, Apktool pour le désassembler, Jadx pour lire le code et les scripts de signature à rallonge, y'a de quoi se taper la tête contre les murs. On est en 2026, et le reverse engineering Android ressemble encore parfois à de la spéléologie sans lumière dans une grotte remplie de goudron.

Puis c'est là que je suis tombé sur apk.sh, et ça m'a sauvé ma soirée. C'est un script Bash tout simple, mais qui joue le petit chef d'orchestre pour automatiser toutes les tâches les plus chiantes : le pull, le décodage, la reconstruction, le patching et le renommage d'APK. Ça vous mâche le travail sur toute la partie technique pour que vous n'ayez plus qu'à faire un petit adb install à la fin... et voilà ! (Sans les "Trenti anni di qualità", évidemment ^^)

Le truc cool, c'est qu'il ne se contente pas de faire du "pull" et du "decode". Il gère également nativement l'injection de gadgets Frida pour faire de l'instrumentation dynamique, et ça, c'est vraiment le pied pour ceux qui veulent voir ce qui se passe en mémoire sans s'arracher les cheveux. Il peut même patcher automatiquement la configuration de sécurité réseau pour vous permettre d'intercepter le trafic HTTPS plus facilement. Par contre attention, si l'appli utilise du certificate pinning bien costaud, ça servira à QUE DALLE.

Si vous avez déjà essayé de décompiler un APK et de le recompiler , vous savez que la moindre erreur de signature ou d'alignement et c'est le drame. Ici, l'outil s'occupe de tout avec apksigner et zipalign de manière transparente. Et pour les plus barbus d'entre vous, il permet même de modifier directement le bytecode DEX via les fichiers smali pour éviter les bugs de décompilation Java qui font parfois pleurer un admin sys.

Pas besoin d'être root pour la plupart des fonctions, et il gère même les fameux bundles (AAB) que Google Play impose désormais et qui se transforment en "split APKs" une fois sur votre téléphone. En gros, vous faites un pull pour récupérer et fusionner tout ça en un seul APK, puis un decode pour obtenir un dossier tout prêt à être exploré.

C'est typiquement le genre d'outil que j'aurais aimé avoir à l'époque où je vous parlais d'Androguard pour analyser des malwares Android . On gagne un temps de fou malade et on peut se concentrer sur ce qui nous intéresse vraiment dans la vie, c'est à dire le fromage à raclette et la sieste comprendre comment ces applis nous pompent nos données ou juste changer la couleur d'un bouton pour le plaisir (ou des trucs qui vous enverront en zonzon ^^).

Bref, si vous aimez mettre les mains dans le cambouis Android, allez jeter un œil à ce projet pour vos prochaines sessions de reverse.

A découvrir ici

Si vous bidouillez un peu avec des modèles CoreML sur votre Mac Silicon, vous savez que c'est vite la croix et la misère comme je dis souvent... Car dès qu'il s'agit de tester un truc rapide, faut ouvrir Xcode, pisser du Swift, ou se battre avec des scripts Python... Bref, l'usine à gaz juste pour vérifier une prédiction vite fait.

Hé bien bonne nouvelle les amis, un petit outil en ligne de commande vient de sortir pour nous éviter de trop galérer.

Ça s'appelle coreml-cli et comme son nom l'indique, c'est une interface pour inspecter et lancer vos modèles depuis le terminal. L'objectif c'est de pouvoir manipuler vos fichiers .mlmodel sans jamais avoir besoin de lancer l'IDE d'Apple.

Si vous êtes chaud bouillant, ça s'installe hyper facilement via Homebrew :

brew tap schappim/coreml-cli
brew install coreml-cli

Et une fois que c'est là, vous pouvez TOUT faire. Genre vous voulez voir ce qu'il y a dans un modèle ? Hop, un petit coreml inspect MobileNetV2.mlmodel et vous avez toute la structure, les entrées et les sorties qui s'affichent.

Et pour lancer des prédictions, c'est également très simple plus simple. Par exemple, avec le modèle MobileNet qui détecte les objets présents dans une image, vous lui donnez une image, et avec l'option --json, il vous sort le résultat proprement.

coreml predict MobileNetV2.mlmodel --input photo.jpg --json

Et pour ceux qui veulent automatiser des traitements, le mode "batch" permet de traiter tout un dossier d'images d'un coup. C'est quand même plus rapide que de le faire à la main un par un, comme le ferait un ingé de Perpignan nourri aux graines de chia.

Le développeur a même intégré un outil de benchmark pour mesurer la latence. Ça vous permet de lancer des tests sur le CPU, le GPU ou le fameux Neural Engine d'Apple pour comparer les perfs. C'est le top pour optimiser vos apps avant de les déployer.

Du coup, si vous bossez avec de l'IA locale sur Mac, un peu comme ce qu'on a déjà testé par le passé avec MocoLlamma ou sur de gros clusters Mac Studio comme ce furieux, ce petit binaire risque de vite devenir indispensable dans vos scripts CI/CD.

Amusez-vous bien !

Source

Vous connaissez Sonic Pi, ce logiciel génial pour coder de la musique que je vous ai déjà présenté ? Hé bien Sam Aaron, son créateur, remet le couvert avec son nouveau projet baptisé Tau5.

Si vous avez déjà testé le live coding, vous savez comme moi que c'est une joie totale de pouvoir balancer des boucles en tapant quelques lignes de code, mais là Sam pousse le délire beaucoup plus loin. Ce nouveau joujou, c'est un peu le grand frère de Sonic Pi, pensé dès le départ pour la collaboration, mais aussi la sécurité et la compatibilité web.

Sam Aaron lors de sa keynote GOTO 2025

L'ambition de Tau5 c'est que l'outil puisse à terme intégrer des agents IA via le protocole MCP. Bien sûr, l'objectif n'est pas de remplacer le musicien (ouf !), mais de lui offrir un partenaire d'improvisation qui pourrait l'aider à crafter des boucles ou ajuster des paramètres. C'est en tout cas la vision que Sam a partagée lors de sa keynote au GOTO 2025.

Sous le capot, le système repose sur la machine virtuelle Erlang (BEAM), sur laquelle tourne aussi Elixir. C'est une architecture connue pour sa tolérance aux pannes, comme ça même si vous faites une erreur de syntaxe en plein set, le système encaisse sans que tout s'effondre et vous colle la honte avec des gens qui viendront vous dire à la fin de votre concert : "Hahaha, c'est nul t'es trucs d'IA, ça marche pas, tu vois bien que l'humain n'est pas prêt d'être remplacé ! Hahaha, loser"

Pour ceux qui se demandent ce que ça change par rapport à Sonic Pi, c'est surtout la dimension collaborative qui est mise en avant pour le futur. Avec cette nouvelle mouture, l'objectif c'est de permettre à plusieurs personnes de coder ensemble, potentiellement assistées par une IA. Je trouve que c'est une évolution de la création musicale par ordi plutôt logique vers quelque chose de plus connecté.

Qui n'a jamais eu envie de savoir si "KikouLolDu93" avait aussi un compte sur un site de rencontre ou un forum obscur de haxx0rs ? C'est humain, c'est de la curiosité... ou de l'OSINT (Open Source Intelligence) si vous voulez faire genre vous êtes un pro. Et pour ça, j'ai l'outil qu'il vous faut : Social Analyzer .

Ce script est un détective privé numérique qui va frapper à la porte de plusieurs centaines de sites (Facebook, X (ex-Twitter), Instagram, Tinder, et des trucs bien plus niches) pour vérifier la présence d'un pseudo.

Développé par qeeqbox, Social Analyzer ne se contente pas de tester une URL. Il analyse les pages, vérifie les métadonnées, et vous sort un score de confiance de 0 à 100. Notez qu'un score de 100 n'est pas une preuve d'identité absolue (on n'est pas à la police scientifique), mais une forte probabilité basée sur les signaux trouvés. À l'inverse, un score de 0 peut signifier que c'est un homonyme, ou simplement que le site a bloqué la requête. Ça évite en tout cas de stalker la mauvaise personne trop vite.

L'outil est codé en JavaScript et Python, et vous pouvez l'utiliser en ligne de commande ou via une interface web plutôt propre si le terminal vous donne de l'urticaire.

Comment on installe la bestiole ?

Vous avez plusieurs options, mais la plus simple si vous avez Python 3 d'installé, c'est via pip (vérifiez bien que c'est le paquet officiel) :

pip3 install social-analyzer

Et hop, c'est réglé. Ensuite pour lancer une recherche rapide, c'est aussi simple que :

social-analyzer --username "le_pseudo_a_chercher"

Si vous êtes plus team NodeJS, vous pouvez aussi cloner le dépôt GitHub et lancer ça à la main :

git clone https://github.com/qeeqbox/social-analyzer.git
cd social-analyzer
npm install
npm start

Ça lancera l'interface web sur votre machine (généralement sur le port 9005), et vous pourrez faire vos recherches tranquillement en cliquant sur des boutons.

Et ça marche vraiment ?

Franchement, oui. C'est même assez bluffant de voir tout ce qui ressort. Il peut même tenter d'extraire des infos supplémentaires comme la bio ou l'avatar si les sites ne sont pas trop protégés contre le scraping.

Par contre, petit disclaimer habituel : ce genre d'outil, c'est pour de l'investigation légitime. Genre vérifier vos propres traces numériques pour faire du nettoyage, ou pour des enquêtes de sécu. Ne commencez pas à l'utiliser pour harceler les gens, le web n'a pas besoin de ça.

D'ailleurs, si le sujet de l'OSINT vous branche, jetez un œil à mon article sur Blackbird qui fait un boulot similaire, ou apprenez à analyser un profil GitHub comme un chef.

Bref, Social Analyzer c'est puissant, c'est open source, et ça fait le café. À utiliser avec intelligence évidemment !

Merci à Lorenper !

Vous utilisez Claude Code et vous passez votre temps à copier-coller vos logs de terminal pour lui donner du contexte ? Du genre, vous lancez une commande, ça se plante comme une merde, et là faut expliquer à l'IA ce qui s'est passé en faisant des screenshots ou du copier-coller à la main.

C'est vite relou mais heureusement, c'est totalement le problème que résout Wake , un petit outil en Rust qui enregistre automatiquement tout ce qui se passe dans votre terminal et le donne en offrande sacrée à Claude Code via le protocole MCP. Du coup, plus besoin de jouer les secrétaires IA, puisque Claudo Code, euuh Claude Code peut interroger votre historique de commandes avec les sorties et le contexte git quand il en a besoin.

Au début, vous lancez wake shell et hop, vous êtes dans une session enregistrée. Ensuite toutes vos commandes, leurs sorties, et même les infos de votre repo git, tout est capturé et stocké localement dans une base SQLite bien planquée dans ~/.wake/. Puis quand vous posez une question à Claude Code, il peut aller piocher dans cet historique pour comprendre ce que vous avez fait.

L'installation se fait en une seule ligne (allez lire le script comme d'hab, hein) :

curl -sSf https://raw.githubusercontent.com/joemckenney/wake/main/install.sh | sh

Après faut ajouter l'init dans votre .zshrc ou .bashrc :

eval "$(wake init zsh)"

Et pour brancher ça sur Claude Code :

claude mcp add --transport stdio --scope user wake-mcp -- wake-mcp

Côté commandes, y'a wake log pour voir l'historique récent, wake search "machin truc" pour fouiller dedans, wake dump pour exporter en markdown et wake annotate "note" si vous voulez ajouter des petites marqueurs pour vous y retrouver plus tard. Le stockage reste en local sur votre machine, et les sorties sont limitées à 1 Mo par commande pour éviter de saturer la base.

Donc si vous êtes le genre de gaillard.e sans peur à laisser Claude piloter votre terminal ou à utiliser plusieurs agents en parallèle , c'est le genre d'outil qui peut vraiment vous faire gagner du temps car là où avant fallait tout expliquer à l'IA, maintenant elle voit directement ce que vous avez fait et pourquoi ça a merdé.

Le projet vient de sortir en v0.1.0, donc c'est encore tout frais. Ça supporte zsh et bash pour le moment. Par contre, fish c'est pas encore au programme.