Datasette corrige plusieurs failles après un audit de sécurité

Deux versions corrigées Datasette publie le 11 septembre 2026 deux versions de sécurité, 1.0a39 et 0.65.4. La première appartient à la série alpha actuelle. La seconde concerne la famille stable 0.65.x. Simon Willison recommande d’appliquer ces correctifs aux instances Datasette accessibles sur le web public. L’attention porte particulièrement sur les installations qui mélangent des tables publiques et privées. Ces versions répondent à plusieurs problèmes de sécurité identifiés pendant un audit approfondi. La publication concerne donc les utilisateurs qui exécutent Datasette dans cette configuration exposée. Les correctifs couvrent les deux branches mentionnées, afin de traiter séparément la série alpha et la série stable. Lire l’annonce de Simon Willison

Des tables sous surveillance Le risque concerne les instances Datasette qui combinent des données publiques et privées. Cette configuration est explicitement citée parmi les cas nécessitant une mise à jour. Les versions corrigées sont Datasette 1.0a39 et Datasette 0.65.4. La publication distingue ainsi la série alpha 1.0 et la branche stable 0.65.x. Simon Willison présente ces versions comme des correctifs de sécurité, et non comme une évolution fonctionnelle ordinaire. Les utilisateurs d’une instance publique doivent donc appliquer la version correspondant à leur branche. L’article publié le 11 septembre 2026 associe cette recommandation à une série de problèmes découverts lors d’un audit technique.

Simon Willison corrige deux branches

Un audit avec trois modèles Sevban Dönmez a signalé des problèmes, puis Alex Garcia et Simon Willison ont mené un audit étendu. Leur travail a utilisé Claude Fable 5.1, GPT-5.6 et GPT-6 Astra. Les modèles ont contribué à révéler des bugs décrits comme subtils. Simon Willison indique que l’équipe a ensuite consacré presque une semaine à collaborer sur les correctifs et à les examiner. Cette séquence relie les signalements initiaux, l’audit avec plusieurs modèles et la préparation des deux versions publiées. L’annonce précise aussi que ces audits par des modèles de pointe seront intégrés aux travaux de développement de Datasette à partir de maintenant.

Deux humains vérifient chaque problème Alex Garcia a proposé une organisation du travail dans un dépôt privé partagé. Garcia et Willison ont d’abord exécuté l’audit, puis ont répondu ensemble à ses résultats. Pour la plupart des problèmes, une personne créait un test automatisé mettant le défaut en évidence. L’autre implémentait ensuite le correctif. Cette séparation donnait à deux humains une visibilité distincte sur chaque problème. Des agents de programmation exécutant des modèles différents intervenaient également dans le processus. Simon Willison décrit cette méthode comme particulièrement productive. L’article détaille donc un processus associant tests automatisés, revue humaine croisée, dépôt privé partagé et agents utilisant plusieurs modèles.

Datasette étend ses audits modèles

Une pratique intégrée au développement Simon Willison annonce que les audits de sécurité réalisés avec des modèles de pointe seront incorporés à l’ensemble des travaux de développement de Datasette. Cette orientation suit l’audit ayant mobilisé Claude Fable 5.1, GPT-5.6 et GPT-6 Astra. Elle s’appuie aussi sur la méthode utilisée avec Alex Garcia, dans laquelle deux humains examinaient les problèmes séparément. Les versions 1.0a39 et 0.65.4 matérialisent cette séquence par deux publications de sécurité pour des branches distinctes. Les utilisateurs concernés disposent ainsi de versions précises à appliquer sur leurs instances publiques. Consulter la publication originale