Reprise du message précédent :

abo de combien ?  
 
si tu as un abo à 20 balles, passe à opencode go

Max x6,25

Fable est terriblement consommateur

Max 6.25 ? pourquoi pas x5 ? ca a changé ?

tu fais quoi pour vouloir tout le temps utiliser fable, opus suffit pas ?

Team Premium

Opus faut vite le 5.1 la

Houlà non ! J'utilise principalement opus.
Je suis prof et c'est mon secrétaire perso. Quel bonheur
Mais fable pour concevoir et coder c'est tellement plus chill

 
C'est quoi le framework pour l'UI ? Un truc genre React Native ?

c'est une webapp, faire des apps mobiles n'a aucun d'intérêt et en général c'est du react + material UI, je m'emmerde pas pour des trucs oneshot à l'arrache, et plus tard je migre si vraiment nécessaire et si je professionnalise le projet

Je trouve ça clean, merci

quelle révolution.

On n'arrête pas le progrès.

je suis en train d'implémenter une connerie dans une app ,et j'ai besoin d'une clé google vision API, flème de chercher, j'ai demandé à claude code de faire le boulot à ma place en utilisant claude-in-chrome + mon chrome
et il est allé chercher la clé, l'a prise et collée et aussi mise sur mon serveur ou j'installe l'app.
 
Même l'humain de base ne sert plus à rien

Je confirme!
Je buttais sur le paramétrage d'un routeur WiFi/4G d'une obscure marque professionnelle. J'ai fini par le filer à Claude + Chrome. Il m'a torché le truc en 3 minutes.

Vous découvrez qu'un agent fait le job à votre place ?

drap  

Nickel, comme ça maintenant ta clé va désormais se retrouver dans les données apprises par le LLM et peut être leak par quelqu'un qui arrive à jailbreak le modèle. Ne donnez jamais accès à des secrets aux LLM, si vous le faites vous devez les considérer comme compromis. Tu peux la révoquer, en générer une autre et faire "le boulot d'un humain à la main".

 
C'est une mauvaise pratique, cependant:
- la clé n'a pas forcément été mise en clair dans la session, dans un monde idéal claude code a pu la manipuler indirectement via des tools
- SI elle est passée dans la session, le risque c'est surtout 1/ qu'elle est dans les données de sessions qui sont surement stockée en clair 2/qu'elles sont en retention pour 30j chez claude meme si oupt out du training (si quelqu'un hack anthropic il pourrait la trouver)
- on peut opt out donc non ça ne passe pas forcément dans le LLM
- même si ça passe dans le training LLM elle ne se retrouvera pas lisible dans les paramètres du modèle (si jamais quelqu'un le hack)
 
Mais bon bref gastsu35, revoque la clef et met là à jour toi même sur ton serveur  

Perso j'ai aucune confiance en Anthropic même si j'opt out, comme tu le dis les données restent 30 jours chez eux, une bévue est vite arrivée pour que tu ais un leak de données. On ne confie pas de secrets à un LLM, c'est tout C'est un coup à se retrouver avec une grosse facture, surtout si aucun limit rate n'a été configuré sur la dite clé (et quand on a la flemme de faire 4 clics pour aller la copier/coller, je n'ai aucun doute que le limit rate n'a jamais été configuré ).

T'as découvert ça y a pas si longtemps, fait pas l'malin

 
Je suis d'accord ça reste une mauvaise pratique, et Anthropic/OpenAI m'inspire une confiance à peu près nulle.

non c'est là ou tu te trompes, anthropic a fait en sorte que la clé soit juste une donnée copiée et jamais passée par leurs serveurs ni en mémoire du LLM sinon il m'averti de changer la clé immédiatement

cf mon premier point plus haut

Tu fais comme tu veux, c'est ta clé API et ta facture, je t'avertis juste que c'est une très mauvaise pratique et que tu ne devrais pas faire confiance à un LLM de cette manière juste pour t'économiser 4 malheureux clics. Tu mets le doigt dans l'engrenage de la fainéantise, tu vas confier de plus en plus de tâche à tes LLM et tu vas finir par filer des données sensibles sans t'en rendre compte.
D'ailleurs je t'invite fortement à aller configurer un limit rate sur toutes tes clés API google cloud pour éviter toute mauvaise surprise et ne pas sortir du plan gratuit.

Ça n'est pas pour relativer mais je suis sur à 100% que la plupart des (par exemple) scripts avec secrets dedans, vont finir dans les LLM parce que le mec derrière fait un C/C entier et s'emmerde pas à obfusquer.
 
Le travail serait, hors formation des usagers, de faire en sorte de pas avoir de secret manipulable, d'avoir un renouvellement rapide (quotidien ou à chaque passage même) avec secret manager voir un entonnoir filtrant les secrets avant l'envoi au LLM

Si t'as un vault avec refresh automatique des secrets sur une fréquence élevée tu t'en cognes un peu en effet. Mais je doute que ce soit le cas ici J'avais commencé à me monter un setup avec un devcontainer, un MCP et un container de build qui contient les secrets et peut uniquement être attaqué par le MCP pour pouvoir envoyer des commandes de builds prévalidées dans la config mais j'ai eu la flemme de finir. L'idée c'était de permettre au LLM de build avec les credentiels nécessaires sans jamais y avoir accès.

Je vois pas de quoi tu parles

Une semaine à me dire que je gaspille mon fric
La semaine d'après à me dire qu'il fallait passer à premium

 
Les ravages de la drogue

 
Je ais me répéter mais je vois mal comment une clef API peut finir par être extractable par les poids ou l'inférence d'un LLM. Evidemment il reste les infos de sessions stockées.

Je suis d'accord mais face à une boîte noire tu n'as pas trop le choix.

C'est le principe de la mémorisation verbatim. Les LLM ont de grandes capacités de mémorisation et peuvent recracher mot pour mot leur corpus d'entraînement.

 
Pour une chaine de caractères aléatoire (donc tokenisée caractère par caractère) et vue une seule fois?

Oui si le contexte est typique d'un bout de code autorisant un llm à faire quelque chose. Y'a plusieurs chercheurs qui ont réussi à faire cracher du texte original d'entraînement, même vu une seule fois.

Oui donc pour une clé d’API la probabilité est infinitésimale non ? Ce serait quoi le prompt associé ? Donne-moi une clé Anthropic ?
 
C’est pas pour dire qu’il faut fournir ses accès aux LLM, mais sur le plan théorique je suis très dubitatif

Non c'est le contexte qui veut ça. Si t'es en train de faire un truc particulier genre "pour déployer un site de commande de sandwiches il faut placer la clé sk-xxxx dans le fichier config.py" bein un chercheur peut faire un prompt du genre  "pour déployer un site de commande de sandwiches il faut placer la clé" et le LLM va compléter. J'imagine qu'il doit y avoir plein de méthodes différentes pour arriver, le truc c'est que oui un LLM peut recracher un texte verbatim, c'était ça la question à la base.

Voilà des liens d'articles qui parlent de ça renvoyés par Gemini, jépalu

 
Ca a l'air super intéressant merci, le premier lien est pile dans le sujet selon l'abstract.. bon en lisant en diagonale faut vraiment pas avoir de chatte mais c'est possible en effet, ils ont repêché des uuid (50 cas sur les 200k samples étudiés mais quand même, et des cas qui ne sont qu'une fois dans le training set en plus).

Un thread intéressant sur les suggestions de prompt (qui peuvent representer ~10% de votre consommation de tokens / votre quota) : https://www.reddit.com/r/ClaudeAI/c [...] ions_save/
 
Contrairement à ce qu'avance Claude Code, ça n'utilise pas un modèle "pas cher" mais votre modèle courant.
 
Vérifié chez moi, sur 1 mois, ça représente 8.6% de mon quota. Tout ça pour me dire "oui, vas y, push/commit"

J'ai du mal à y croire