Intermédiaire·2 min·11 septembre 2026

Datasette colmate deux failles de sécurité critiques

🎧 Résumé audio0:00 / 0:00

Deux versions de sécurité urgentes pour Datasette si tu héberges des données mixtes publiques/privées.

Pourquoi ça compte pour toi

Si tu gères une instance Datasette sur le web avec des tables publiques ET privées, ces failles te concernent directement. L'équipe a trouvé des bugs subtils lors d'un audit IA poussé — c'est le genre de vulnérabilités qu'on rate à l'œil nu. Mettre à jour devient prioritaire, pas optionnel.

Ce qu'il faut retenir

1.Deux versions : 1.0a39 (alpha) et 0.65.4 (stable) — applique celle de ta branche
2.Les failles mélangent accès public et tables privées : le vrai danger
3.Audit IA collaboratif : Claude 5.1, GPT-5.6, GPT-6 Astra + deux humains = une semaine de travail

Tu galères avec le jargon ?

Lis la version réécrite en mode débutant — toutes les idées, sans le jargon.

Pourquoi c'est plus grave qu'il n'y paraît

Les failles de sécurité dans Datasette ne sont pas des bugs cosmétiques. Si tu héberges une instance publique qui mélange données ouvertes ET données restreintes — un cas hyper fréquent — quelqu'un peut potentiellement accéder aux tables qu'il ne devrait pas voir. Les équipes de Simon Willison et Alex Garcia ont découvert des bugs subtils : le genre qu'un audit manuel rate parce qu'il faut penser à tous les angles d'attaque.

Comment ils ont trouvé les failles

L'approche mérite qu'on s'y arrête : au lieu de demander à une IA de simplement dire « problème », ils ont construit un processus collaboratif. Les modèles (Claude 5.1, GPT-5.6, GPT-6 Astra) ont généré des tests de sécurité. Ensuite, l'équipe a divisé le travail : l'un écrivait les tests, l'autre mettait en place le correctif. Deux paires d'yeux humaines + plusieurs modèles = une détection qu'un audit en solitaire n'aurait pas produite.

Résultat : une semaine complète de travail pour affiner les corrections. Pas du copier-coller d'IA, du vrai travail d'ingénierie.

Ce que tu dois faire maintenant

Si tu fais tourner Datasette en production :

▸Datasette 0.65.x ? Passe à 0.65.4 immédiatement.
▸Datasette 1.0-alpha ? Mets à jour vers 1.0a39.
▸Pas sûr de ta version ? datasette --version te le dit.

L'équipe prévoit d'intégrer ces audits IA de pointe dans tout le développement futur — pas en cas isolé, mais en routine. C'est un signal clair : l'IA en audit de sécurité, ce n'est pas de la poudre aux yeux si c'est fait proprement (processus rigoureux, relecture humaine, tests automatisés).

Si tu gères des données sensibles, même partiellement, cette mise à jour s'impose aujourd'hui, pas le mois prochain.

Et concrètement pour toi ?

Choisis ton profil — la lecture de l'article change selon qui tu es.

🔭 Curieux

Pour toi, retiens que les vulnérabilités deviennent subtiles quand tu mélanges données publiques et privées. C'est moins dramatique qu'une fuite brute, mais c'est précisément pour ça qu'il faut des auditeurs — humains ET IA — ensemble.

Essayer maintenant

Mettre à jour Datasette →

Source