Vos skills Claude Code sont peut-être piégés (le test gratuit en 1 commande)

Épisode de Dev Watch par Sébastien Heilig · 25 octobre 2026 · 10 min

Salut les devs ! J’ai décidé de lancer “Dev Watch”, mon premier podcast qui vous permettra de rester à la pointe de l’actualité tech.

Comment ça se présente ?

La Sélec’ de repo Github du moment

Le JT de l’IA

Le Pro Tips de la semaine (généralement avec un cadeau)

Cette semaine, épisode 19 : nos agents savent maintenant tout ouvrir, du binaire fermé au COBOL des banques en passant par la TV du salon. Du coup, la vraie porte d’entrée, c’est ce qu’on leur installe.

* Mon ancien skill noté 100/100 par le scanner de NVIDIA : à l’épisode 16, je racontais comment le skill last30days avait tenté de manipuler mon agent. Je l’ai remplacé par community-pulse, un skill maison d’environ 200 lignes, sans LLM, sans clé et sans cookies. Passés tous les deux au scanner open source SkillSpector (mode statique) : 100/100, sévérité critique, « ne pas installer » et 350 alertes pour l’ancien ; 18/100 et 3 alertes moyennes pour le mien, qui correspondent à ses appels à l’API GitHub. Le scan statique a ses faux positifs, l’écart reste énorme. NVIDIA a trouvé au moins une vulnérabilité dans 26,1 % des 42 447 skills analysés.

* OpenAI et le COBOL : dans ses tests, GPT-6.1 Sol réussit 86,6 % des migrations COBOL vers Java, Kotlin, Python, C++ ou Rust (97,9 % en effort élevé), contre 5,4 % pour GPT-5.6 Sol. Ce sont les benchmarks d’OpenAI, et elle précise elle-même qu’une migration en production demande revue experte et tests. La traduction devient accessible ; les règles métier jamais documentées restent le vrai chantier.

* Epic Games passe en « AI first » : selon Bloomberg, Epic repousse son shooter Marvel/Star Wars et demande à ses équipes un modèle de production « AI first », avec des outils comme Claude. Tim Sweeney parle d’un « énorme pivot » ; les fans répondent « RIP Epic ». La consigne de ne plus écrire de code à la main vient d’un message interne, non confirmé par Epic.

* morluto/rea (351k ⭐) : un serveur MCP qui branche Claude Code ou Codex sur Ghidra, IDA ou Hopper pour comprendre un logiciel sans son code source. Croissance d’étoiles invérifiable et fausse copie malware en circulation : installez uniquement depuis le repo officiel, rea.tools ou le paquet npm rea-agents.

* Gathin23/cleanyourtv (14,1k ⭐) : Claude Code trouve votre Android TV sur le Wi-Fi, retire les applis du fabricant et installe un launcher propre, sans root. Une TV briquée a été rapportée : testez d’abord sur une vieille TV.

* android/skills (9,1k ⭐) : les skills officiels de Google pour les agents de code, ciblés là où les LLM se trompent (R8, Wear OS).

Le Pro-Tips de la semaine : traitez vos skills comme des dépendances npm en prod. Lancez skillspector scan --no-llm avant chaque installation, ajoutez-le en CI sur .claude/skills avec --fail-on-findings et une baseline versionnée pour les alertes vérifiées, et passez chaque alerte haute ou critique en revue humaine. Si le besoin tient en 300 lignes, réécrivez-le.

📺 Tu préfères la version vidéo ? Regarde l’épisode complet et abonne-toi sur notre chaîne YouTube :

This is a public episode. If you would like to discuss this with other subscribers or get access to bonus episodes, visit sebastienheilig.substack.com

Autres épisodes de « Dev Watch »

À propos du podcast

Votre podcast pour rester toujours à la pointe de la news Tech. Avec les news du moment, les repositories github qui cartonnent et les "pro tips" d'un Tech Lead / Architect. sebastienheilig.substack.com

Dev Watch

Épisodes similaires

Tous les épisodes de Dev Watch · Plus de podcasts Technologie