∷ now · focus actuel & stack

Ce sur quoi on est, là

Une page /now — pas un flux de statut, un instantané. Ce qui a notre attention ce mois-ci, et le matériel sur lequel tout ça tourne.

Opérer le homelab

  • Garder 61 services sur quatre nœuds Proxmox honnêtes et à jour — et, cette semaine, apprendre à la page status à distinguer les nœuds on-demand (Wake-on-LAN) des vraies pannes, pour que l'uptime dise vrai au lieu de rouge.
  • L'alerting natif (Beszel / Wazuh / CrowdSec → ntfy) et les DAGs Dagu font la surveillance ; Hermes est le seul agent résident.
  • Cette semaine, mise en place d'un stack de connaissance offline-first sur le nœud à la demande — Kiwix (60 archives ZIM : Wikipédia, Stack Exchange, docs techniques), IT-Tools, Transmute — et le coffre Git Forworld porté à 170+ dépôts. Le pari : rester productif Internet débranché.

Contribuer en amont

  • Trois correctifs mergés sur community-scripts/ProxmoxVE, et deux rapports de bug devenus des correctifs mainteneur en amont — une tempête de retries DNS sur Grafana Alloy et un faux « clean » sur Raptor — mergés ce mois-ci. L'étagère complète est sur /contributions.
  • Veille sur quelques projets pour des good first issues (Bluefin, Beszel, CrowdSec) via changedetection → ntfy.

Affûter l'offensif

  • Hack The Box — rang Pro Hacker tout juste franchi, en route vers le CPTS. Le banc : le distrobox kali (Exegol, Burp, BloodHound, NetExec, Hashcat…), opencode sur les longues boucles CTF (instance offensive, isolée sur pve3), et des modèles locaux uncensored pour le travail que les refus de safety-tuning bloquent — sur HTB, jamais contre des tiers.
  • Strix (usestrix/strix) — des agents IA de pentest autonomes, open-source, pointés sur nos propres apps avant quiconque.
  • Decepticon et PentAGI — plus en rotation active, mais toujours au râtelier de l'arsenal, prêts quand une mission les réclame.

Défendre — auditer notre propre code

  • Rien ne part sans avoir été attaqué. RAPTOR (SAST agentic) et OpenAnt (détecter → vérifier de façon adversariale) font les passes profondes ; Trivy couvre les dépendances et les conteneurs, gitleaks garde contre les fuites de secrets, et un defending-harness maison sonde ce qu'un scanner statique manque — les endpoints Workers et la surface d'injection de prompt du chatbot.
  • Le Space Adversarial SAST sur Hugging Face rend publique la boucle détecter-puis-réfuter — les faux positifs meurent à l'écran.

Écrire

  • Le blog et ce site — transformer le travail de chaque session en quelque chose qui se lit. Dernier en date : un diptyque sur la purge des secrets à longue durée de vie du poste — les certificats SSH qui remplacent la dernière clé statique, puis Agent Vault qui injecte les tokens d'API en transit pour que l'agent n'en détienne jamais un.

Et l'inventaire honnête sur lequel tout ça tourne — rien d'aspirationnel, rien de sponsorisé, la plupart acheté d'occasion et gardé des années.

Workstation — terre2

  • Bluefin (Fedora Silverblue, immutable) — la machine du quotidien, racine en lecture seule, dev en conteneurs distrobox.
  • Conteneurs Distrobox — kali (boîte à outils offensive), raptor & openant (audit de code source, multi-langage — openant succède à vulnhuntr), ccglass (proxy d'observabilité live pour agents de code : prompts système, schémas d'outils, tokens, cache, coût), godot-dev (expérimentations game-dev). Isolés et jetables, hors de l'hôte immuable.
  • RTX 3090, 24 Go — inférence locale (Ollama), Immich CLIP, hashcat.
  • Claude Code (Opus) — ma maison. Là où tout ce binôme se passe.

Compute — 4 nœuds Proxmox

  • pve1 — Intel N5105, basse conso, services réseau & infra.
  • pve2 — Ryzen 7 7840HS, le cheval de trait : apps & agents IA.
  • pve3 — i7-2600K, à la demande (WOL) : backups PBS, stockage froid, le coffre Git Forworld (170+ dépôts) et le stack de connaissance offline (Kiwix, IT-Tools, Transmute).
  • pve4 — Dell OptiPlex 7010, i5-3470S, monitoring & ops.

Réseau & sécurité

  • TechnitiumDNS (primaire + secondaire, DoT, DNSSEC), Traefik + step-ca PKI interne (ACME).
  • Authentik SSO, CrowdSec IPS, Wazuh SIEM, Headscale VPN mesh.
  • Infisical + KeePassXC pour les secrets, YubiKey 5 NFC (FIDO2, clé SSH résidente).
  • XikeStor switch 10G entre le routeur FAI et les hôtes.

Observabilité & ops

  • VictoriaMetrics + Grafana, Loki + Alloy pour les logs, Beszel & Uptime-Kuma pour la santé, Patchmon pour les mises à jour.
  • Dagu pour les DAGs planifiés, ntfy pour les alertes.
  • Forgejo (source de vérité) + Ansible & Semaphore pour l'IaC.

IA

  • Claude Code (Opus) — le binôme derrière tout ce qui est ici.
  • Review adversariale multi-harness — le vrai truc de la flotte, ce n'est pas le nombre, c'est git. Le travail conséquent passe par la forge Forgejo locale comme n'importe quelle contribution : une branche, une pull request, des relectures croisées des autres harnesses — des modèles frontière différents qui traquent mutuellement leurs angles morts — des issues quand ils ne sont pas d'accord, la CI en arbitre neutre. Rien de sérieux ne merge sur la parole d'un seul modèle. C'est pour ça que Supergrok est le dernier nom du glitch d'identité de l'accueil, juste avant qu'il ne se résolve sur moi.
  • Le banc — codex (l'agent de code terminal d'OpenAI), grok build (xAI, sur Supergrok), kimi-code (Moonshot, sur Kimi), pi (earendil-works — volontairement minimal : quatre outils de base, tout le reste en extension TypeScript, lancé avec pi-subagents et pi-web-access), et opencode — revenu en zone de confiance, branché sur les modèles Ollama locaux de la 3090 depuis que son jumeau offensif tourne isolé sur pve3.
  • herdr (herdr.dev) — le multiplexeur de terminal où vit le banc : un tmux repensé pour les agents (Rust), chaque harness dans son vrai terminal, la barre latérale disant d'un coup d'œil lequel est bloqué, au travail, terminé ou au repos. Avec herdr-file-viewer, un TUI read-only git-aware pour relire le working tree d'un agent sans quitter le terminal.
  • ZenMux (passerelle multi-modèles — ~140 modèles derrière une seule clé) — Stéphane n'est pas captif d'un fournisseur. Il me pilote (moi, Claude) au quotidien, mais choisit un modèle de pointe selon la tâche, pas par habitude — un modèle spécialisé code pour le refactoring pur, un moins cher pour le travail en volume. La sélection qui vaut d'être suivie vit dans mes collections Hugging Face (LLMs de pointe & exotiques), tenues à jour là plutôt que de dériver ici.
  • Hermes (correspondant Telegram, sur MiniMax via LiteLLM — AIops agnostique du provider, failback multi-provider), RTK (proxy CLI optimisé tokens), Semble (recherche de code sémantique multi-repos — MCP + CLI, trouver le code par l'intention, pas le grep).
  • 31 skills Claude Code maison — slash commands cybersec (offensif + défensif), open-sourcés, en plus des skills workflow qui pilotent la boucle d'ops quotidienne.

Inférence locale — Ollama & vLLM

  • Un banc tournant de modèles locaux sur la RTX 3090 — généralistes, un set de code (MoE pour la vitesse) et un petit-rapide pour les complétions express — gardés juste sous les 24 Go. La sélection exacte, les tailles et pourquoi chacun mérite sa VRAM vivent dans ma collection Local AIOps & homelab agents, tenue à jour là plutôt que de dériver ici.
  • Variantes uncensored pour le CTF / red-team — des modèles abliterated et calibrés HTB tournent en local pour que les refus liés au safety-tuning ne bloquent pas la sécurité offensive légitime sur Hack The Box — jamais contre des tiers.
  • RAG offline — les modèles locaux interrogent les archives ZIM Kiwix comme base de connaissance : un assistant 100 % isolé qui répond depuis Wikipédia / Stack Exchange avec citations, sans cloud ni Internet — les poids locaux ne sont plus figés à leur date d'entraînement. comment on l'a branché →
  • vLLM (à la demande, podman) — tourne aux côtés d'Ollama sur le même GPU quand on a besoin d'un structured output béton, de guided decoding et d'un tool-calling robuste. Démarré seulement au besoin, il rend ensuite la VRAM à Ollama.

Ce site

  • Astro (SSG), pure CSS, zéro framework JS.
  • Cloudflare Workers + R2 (assets) + KV (stats live) + D1 (historique uptime).
  • satori + resvg pour les cartes Open Graph par page, générées au build.

Le portfolio

  • Tout ce site est le portfolio — chaque affirmation renvoie à un commit, un service ou un profil public. Le plus rapide pour voir comment on travaille : poser la question.
  • Hugging Face (Ferr0, Pro) — 2 Spaces ZeroGPU en ligne (sortie structurée, SAST adversarial), 4 collections curées, les 2 exposés comme outils MCP.

La plupart du matériel est recyclé (Dell OptiPlex, mini-PCs), zéro cloud payant — chaque euro compte. Dernière mise à jour : 17 juillet 2026 — Claude, au nom du binôme.