# Rapport Jepsen de ParticleDB, clé USB d'empreintes digitales de Lenovo, HackerTube de Karpathy et la faille TCP de Linux CVE-2026-98432 : quatre histoires de développeurs dans un seul Daily Diff

Published: 2026-11-02

Quatre histoires de développeurs, chacune attribuée à sa source. L'analyse de Jepsen de la base de données ParticleDB a révélé 96 problèmes, y compris des écritures confirmées perdues dans le mode de transaction par défaut de la dernière version testée, et recommande d'arrêter le déploiement; le test a été financé par Orkes, qui affirme que sa prochaine version corrige tout. Une clé USB d'empreintes digitales Lenovo ThinkPlus FU100 vendue comme étant chiffrée AES-256 contenait une carte SD ordinaire sans aucun chiffrement, selon le chercheur Xusheng Li, tel que rapporté par Tom's Hardware. Andrej Karpathy a construit HackerTube, un site de 6 454 vidéos YouTube recommandées dans les commentaires de Hacker News, en environ deux heures. Et la faille du noyau Linux CVE-2026-98432, une utilisation-après-libération TCP IPv4 évaluée à 9,8, nécessite un noyau patché et un redémarrage. Le verdict est REVERT.

Canonical: https://thedailydiff.dev/fr-CA/video/2026-11-01-particledb-lenovo-tcp-hackertube/

## Ce que cette vidéo couvre

- Jepsen, le laboratoire de test de bases de données dirigé par Kyle Kingsbury, a publié son analyse de ParticleDB le 31 octobre 2026. ParticleDB est une base de données Rust d'Orkes destinée aux agents d'IA; Orkes a financé le travail. Jepsen a testé les versions 1.1.4 à 1.1.18.11.rc-22 sur un seul nœud et présente 96 problèmes, dont la plupart nécessitaient un serveur, un client et aucune défaillance. Exemples dans le rapport: une clause WHERE 4 = 5 a renvoyé des lignes avec la clé primaire 5, WHERE TRUE n'a rien correspondu, et un UPDATE pouvait laisser plusieurs lignes avec la même clé primaire.
- La page d'accueil de ParticleDB annonçait 'Full ACID. 159K TPS.' et une preuve TLA+, mais Jepsen affirme qu'aucune spécification TLA+ n'était disponible pendant la collaboration, et le texte sous 'Full ACID' mentionnait l'isolation de snapshot. Dans la version 1.1.18.11.rc-22, la dernière version testée par Jepsen, le mode de transaction occ par défaut perdait encore des écritures confirmées pendant le fonctionnement normal, et le mode sérialisable le plus strict autorisait les mises à jour perdues après l'arrêt des processus. Orkes affirme que la version 1.1.19-rc.13 résout tous les problèmes restants; Jepsen ne l'a pas évaluée et recommande aux utilisateurs d'arrêter tout déploiement de ParticleDB et de migrer vers d'autres bases de données.
- Le chercheur en sécurité Xusheng Li a découvert que la clé USB d'empreintes digitales Lenovo ThinkPlus FU100, commercialisée comme étant chiffrée matériellement avec AES-256, contenait une carte SD ordinaire dont les données n'étaient pas chiffrées; le lecteur d'empreintes digitales ne faisait qu'activer la connexion USB. Il l'a signalé le 2 août 2025, et la première solution de Lenovo a été une couche d'époxy sur la carte SD. Lenovo a classé son avis comme élevé, et une solution ultérieure pour le FU100 et les lecteurs connexes nécessite d'appeler une ligne de service en Chine, puis un remplacement ou une mise à niveau du micrologiciel sur site, selon Tom's Hardware.
- Dans un suivi rapporté par Tom's Hardware, Li a utilisé Codex d'OpenAI avec l'outil d'ingénierie inverse de son employeur contre les logiciels de protection USB d'autres fabricants; celui de Netac a pris environ sept minutes car il avait une clé fixe intégrée et écrivait le mot de passe dans les journaux de diagnostic, et le lecteur d'un autre fournisseur avait deux comptes cachés que Li appelle des portes dérobées. Pour les données sur une clé USB, chiffrez les fichiers avec un logiciel que vous contrôlez avant qu'ils n'atteignent l'appareil.
- Le 31 octobre 2026, Andrej Karpathy a décrit HackerTube, un site de style YouTube à l'adresse hackertube.org, construit avec son agent de codage en environ deux heures. L'agent a téléchargé les commentaires de Hacker News, filtré le spam et en a conservé environ 40 000 qui recommandaient une vidéo YouTube, produisant 6 454 vidéos de 2007 à 2026 sur 150 sujets. Le site affiche l'image à la marque de 50 pour cent au lieu de la vignette téléchargée. Karpathy énumère ses étapes manuelles: une clé API Google Cloud, un serveur et un domaine.
- CVE-2026-98432 est une vulnérabilité d'utilisation après libération (use-after-free) dans la poignée de main TCP IPv4 du noyau Linux, avec un score CVSS de 9,8, accessible par un pair distant sans connexion. La correction d'Eric Dumazet a remplacé deux appels kfree simples par kfree\_rcu dans un commit daté du 1er octobre; les noyaux stables avec la correction ont été livrés les 11 et 15 octobre, et la faille remonte à Linux 4.4. Red Hat a rehaussé sa classification d'Importante à Critique le 30 octobre. Ubuntu et Red Hat Enterprise Linux n'ont listé aucun noyau corrigé samedi soir, le 31 octobre. Installez le noyau corrigé de votre distribution et redémarrez, y compris les hôtes de conteneurs, car les conteneurs partagent le noyau de l'hôte.
- Anthropic affirme que Claude a écrit un exploit fonctionnel pour les serveurs Linux avec un écouteur TCP multipath, et que dans sa preuve de concept, il faut 48 minutes pour divulguer un pointeur de noyau et cinq minutes supplémentaires pour exécuter une commande shell; l'exploit n'est pas publié. L'équipe de sécurité de Go note que les programmes Go activent les écouteurs TCP multipath par défaut depuis Go 1.24 et avertit que les systèmes sans cet écouteur peuvent être vulnérables à des attaques similaires. Red Hat et AlmaLinux publient une règle de pare-feu qui rejette les paquets TCP IPv4 avec des options IP, ce qui, selon Red Hat, réduit l'exposition et n'empêche pas complètement l'exploitation.

## Questions et réponses

### Qu'est-ce que Jepsen a trouvé dans la base de données ParticleDB, et que recommande-t-il?

L'analyse de Jepsen de ParticleDB, publiée le 31 octobre 2026 et financée par Orkes, présente 96 problèmes dans les versions 1.1.4 à 1.1.18.11.rc-22, y compris WHERE 4 = 5 retournant des lignes. Dans la dernière version testée, le mode de transaction par défaut perdait encore des écritures confirmées pendant le fonctionnement normal. Jepsen recommande aux utilisateurs d'arrêter tout déploiement de ParticleDB et de migrer vers d'autres bases de données.

### La clé USB d'empreintes digitales ThinkPlus FU100 de Lenovo était-elle réellement chiffrée AES-256?

Selon le chercheur Xusheng Li, tel que rapporté par Tom's Hardware et HackingPassion, la FU100 était commercialisée comme étant chiffrée matériellement AES-256 mais contenait une carte SD ordinaire sans aucun chiffrement. Le lecteur d'empreintes digitales n'activait que la connexion USB. La première solution de Lenovo a été de mettre de l'époxy sur la carte, et une solution ultérieure nécessite d'appeler une ligne de service en Chine pour un remplacement ou une mise à niveau du micrologiciel sur site.

### Qu'est-ce que HackerTube et comment Andrej Karpathy l'a-t-il construit?

HackerTube à hackertube.org est un site de style YouTube de 6 454 vidéos recommandées dans les commentaires de Hacker News de 2007 à 2026, sur 150 sujets. Le billet de Karpathy indique que son agent de codage a téléchargé les commentaires, filtré le spam et en a conservé environ 40 000 recommandant une vidéo, et que la construction prend environ deux heures. Ses étapes manuelles étaient une clé API Google Cloud, un serveur et un domaine.

### Comment puis-je corriger la faille du noyau Linux CVE-2026-98432, et quelles distributions ont un noyau patché?

Installez le noyau corrigé de votre distribution et redémarrez, y compris les hôtes de conteneurs et les nœuds Kubernetes, car les conteneurs partagent le noyau de l'hôte. La faille est une utilisation-après-libération TCP IPv4 notée CVSS 9,8, corrigée en amont dans les noyaux stables les 11 et 15 octobre. Selon Atlas le 31 octobre, Debian, SUSE et Amazon Linux avaient des correctifs, tandis qu'Ubuntu et Red Hat Enterprise Linux n'en avaient pas; Red Hat publie une atténuation de pare-feu qui réduit l'exposition.

### Quel a été le verdict de The Daily Diff sur ces quatre histoires?

Le verdict de The Daily Diff a été REVERT. Le conseil de Jepsen sur ParticleDB est d'arrêter tout déploiement et de migrer, et la faille du noyau Linux CVE-2026-98432 nécessite un noyau patché et un redémarrage, la propre preuve de concept d'Anthropic prenant 48 minutes pour divulguer un pointeur de noyau et cinq de plus pour exécuter une commande shell.

## Chapitres

- 0:00 Ouverture: comment une clause where peut-elle dire quatre égale cinq?
- 0:44 Première histoire: qu'a trouvé Jepsen dans ParticleDB?
- 2:17 Deuxième histoire: qu'y avait-il à l'intérieur de la clé USB d'empreintes digitales Lenovo?
- 3:31 Troisième histoire: qu'a construit Karpathy en une matinée?
- 4:22 Quatrième histoire: que faut-il patcher pour CVE-2026-98432?
- 5:43 Retour au chronomètre: combien de temps a duré l'exploit?
- 6:02 Verdict: REVERT

## Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont contrôlés par YouTube.

### Ouverture: comment une clause where peut-elle dire quatre égale cinq?

0:00 Une base de données qui annonce Full ACID est censée conserver ce que vous écrivez. Jepsen en a testé une et a trouvé quatre-vingt-seize problèmes, dont une clause where qui disait quatre égale cinq et renvoyait quand même des lignes. Dans cette vidéo, quatre histoires. Qu'a trouvé Jepsen dans une base de données qui prétendait être Full ACID? Qu'y avait-il à l'intérieur d'une clé USB d'empreintes digitales vendue comme étant chiffrée? Qu'a construit Andrej Karpathy en une matinée? Et que faut-il patcher pour une faille réseau Linux?

0:26 L'une de ces failles est accompagnée d'un chronomètre. Je vous le lirai à la fin. C'est dimanche 1er novembre, et voici The Daily Diff. Jepsen est le laboratoire de test de Kyle Kingsbury. Il soumet une base de données à des charges de travail et des défaillances réelles et vérifie si les garanties sur le site web sont tenues. Pensez à un inspecteur qui ouvre réellement le réfrigérateur.

### Première histoire: qu'a trouvé Jepsen dans ParticleDB?

0:44 Première histoire. Samedi, Jepsen a publié son rapport sur ParticleDB, une base de données Rust d'Orkes destinée aux agents d'IA. Orkes a payé pour le travail. La page d'accueil disait Full ACID, cent cinquante-neuf mille transactions par seconde. Jepsen a testé ParticleDB depuis sa première version 1.1 jusqu'à une version candidate finale. Le site la qualifiait de formellement prouvée, avec une preuve TLA plus. Jepsen dit qu'aucune spécification TLA plus n'était disponible pendant le travail.

1:10 Sous la ligne Full ACID, la même page parlait d'isolation de snapshot, qui n'est pas complètement isolée. Les bogues n'étaient pas subtils. La plupart nécessitaient un serveur, un client et aucune défaillance injectée. Une clause where qui disait quatre égale cinq renvoyait des lignes. Une clause where qui disait vrai ne correspondait à rien. Les mises à jour laissaient deux lignes avec la même clé primaire. La dernière version testée par Jepsen, la version candidate vingt-deux,

1:36 était beaucoup plus sûre. Même ainsi, le mode de transaction par défaut perdait des écritures confirmées pendant le fonctionnement normal. Le mode le plus strict autorisait toujours les mises à jour perdues après la suppression d'un processus. Orkes dit que sa prochaine version corrige tout cela. Jepsen ne l'a pas testé. Donc, dans cette dernière version, une base de données qui promettait Full ACID pouvait perdre une écriture qu'elle avait déjà engagée. La vitesse, je suppose, était excellente.

2:00 Le conseil de Jepsen est clair. Arrêtez le déploiement de ParticleDB et migrez vers une autre base de données dès que possible. Orkes impute cela à une refonte de printemps et dit que ses propres clients, sur une version plus ancienne, n'étaient probablement pas affectés. La documentation des procédures stockées a même inventé une adresse e-mail pour Kyle Kingsbury. Deuxième histoire. La Lenovo ThinkPlus FU cent est une clé USB à empreinte digitale

### Deuxième histoire: qu'y avait-il à l'intérieur de la clé USB d'empreintes digitales Lenovo?

2:21 commercialisée comme étant chiffrée matériellement avec AES deux cent cinquante-six. Le chercheur en sécurité Xusheng Li en a démonté une et a trouvé une carte SD ordinaire, sans rien de chiffré dessus. Le lecteur d'empreintes digitales ne décidait qu'une chose, si la clé se connectait à l' ordinateur. Les fichiers sur la carte n'en dépendaient jamais. Li a signalé la faille à Lenovo en août deux mille vingt-cinq. La première solution était une couche d'époxy sur la carte SD. Donc les fichiers n'ont jamais été chiffrés.

2:47 Attendez, c'est juste une carte SD? Ça l'a toujours été. Lenovo a classé son propre avis comme élevé. La correction ultérieure, pour la FU cent et trois lecteurs connexes, signifie appeler une ligne de service en Chine, puis soit renvoyer le lecteur, soit obtenir une mise à niveau du micrologiciel sur site. Lenovo conseille d'effacer le lecteur au préalable. La semaine dernière, Li a utilisé Codex d'OpenAI, plus l'outil d'ingénierie inverse de son employeur,

3:09 contre les logiciels de protection USB d'autres fabricants. Celui de Netac a pris environ sept minutes, car il avait une clé fixe intégrée et écrivait le mot de passe dans les journaux de diagnostic. Un lecteur avait deux comptes cachés que Li appelle des portes dérobées. Si la sécurité d'un lecteur est le matériel, vérifiez-le vous-même. Chiffrez les fichiers avec un logiciel que vous contrôlez avant qu'ils n'atteignent la clé, et traitez l'empreinte digitale comme une commodité.

### Troisième histoire: qu'a construit Karpathy en une matinée?

3:31 Troisième histoire, la légère. Vendredi soir, Andrej Karpathy a ouvert YouTube, a vu ce qu'il a appelé un mur de crasse en merde, et samedi matin a dit à son agent de codage de construire un remplaçant à partir de ce que Hacker News recommande. L'agent a téléchargé les commentaires de Hacker News, filtré le spam, et en a conservé environ quarante mille qui recommandaient une vidéo YouTube. Cela a laissé six mille quatre cent cinquante-quatre vidéos, de deux mille sept à aujourd'hui, dans cent cinquante sujets.

3:58 Le site est hackertube point org. Il affiche l'image du milieu au lieu de la miniature choisie par l'uploadeur, ce qui pique un peu. Karpathy dit que toute la construction a pris environ deux heures. Ses seules étapes manuelles ont été une clé API Google, un serveur et un domaine. Le douze octobre, je vous ai dit que Karpathy pensait que l'accès et les tâches créent un décalage dans la façon dont les gens comprennent ces outils. Deux heures de travail sont une donnée décente.

4:21 Quatrième histoire, celle sur laquelle il faut agir.

### Quatrième histoire: que faut-il patcher pour CVE-2026-98432?

4:23 CVE vingt-vingt-six, quatre-vingt-dix-huit quatre cent trente-deux est une utilisation-après-libération dans la poignée de main TCP IPv4 du noyau Linux, notée neuf point huit sur dix. Un pair distant sans connexion peut y accéder. Eric Dumazet a écrit la correction le premier octobre. La correction a atteint les noyaux stables les onze et quinze octobre, et la faille remonte à Linux quatre point quatre. Red Hat a rehaussé sa classification d'important à critique le trente octobre. Samedi soir, Ubuntu et Red Hat Enterprise Linux ne listaient toujours aucun noyau

4:52 corrigé. Anthropic dit que Claude a écrit un exploit fonctionnel pour les serveurs avec un écouteur TCP multipath, et les programmes Go les ont ouverts par défaut depuis Go un point vingt-quatre. L'équipe Go avertit que les systèmes sans cet écouteur peuvent être vulnérables à des attaques similaires, et dit que la meilleure solution est un noyau patché. Si votre distribution n'a pas encore de noyau corrigé, Red Hat et AlmaLinux publient une règle de pare-feu qui rejette les paquets TCP IPv4 transportant des options IP. Red Hat dit que cela réduit l'exposition et ne peut pas l'empêcher complètement.

5:23 Après cela, vous attendez. Que faire aujourd'hui. Installez le noyau corrigé de votre distribution et redémarrez, sur les hôtes de conteneurs et les nœuds Kubernetes aussi, car les conteneurs partagent le noyau de l'hôte. Debian, Suse et Amazon Linux ont déjà des correctifs. Si vous ne pouvez pas encore appliquer le correctif, commencez par les hôtes qui exécutent des écouteurs TCP multipath. Maintenant le chronomètre que j'ai promis.

### Retour au chronomètre: combien de temps a duré l'exploit?

5:44 Dans la propre preuve de concept d'Anthropic, il faut quarante-huit minutes pour divulguer un pointeur de noyau, puis cinq minutes supplémentaires pour exécuter une commande shell. Anthropic n'a pas publié l'exploit. Si vous préférez lire ceci plutôt que de m'entendre le dire, le "diff" arrive dans votre boîte de réception chaque matin, gratuitement sur the daily diff point dev, lien ci-dessous.

### Verdict: REVERT

6:02 Le verdict d'aujourd'hui est donc REVERT. Je reviendrais sur ParticleDB, car le conseil de Jepsen est d'arrêter le déploiement, et je patcherais ce noyau, car il est accompagné d'un chronomètre. Et c'est le "diff" pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable.

## Sources

- [Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)](https://jepsen.io/analyses/particledb-1.1.4) — Jepsen
- [Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case](https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products) — Tom's Hardware
- [Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card Inside](https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/) — HackingPassion
- [HackerTube](https://karpathy.bearblog.dev/hacker-tube/) — Andrej Karpathy
- [CVE-2026-98432](https://ubuntu.com/security/CVE-2026-98432) — Ubuntu Security
- [RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [ipv4: free inet\_opt and ireq\_opt after an RCU grace period](https://github.com/torvalds/linux/commit/e3f33b0a1d89d738e2b913dab519226eaf76e15b) — Linux kernel (Eric Dumazet)
- [Discovering and exploiting vulnerabilities in critical, real-world software with Claude](https://www.anthropic.com/research/discovering-vulnerabilities-with-claude) — Anthropic
- [Protecting against CVE-2026-98432 when using Go programs](https://www.openwall.com/lists/oss-security/2026/10/30/1) — Go Security Team via oss-security
- [Linux's October 2026 TCP Use-After-Free: CVE-2026-98432](https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf) — Atlas