Qu’est-ce que Global Hack Map ?
Global Hack Map rassemble les fuites de données rendues publiques, les revendications sur les sites de fuite des rançongiciels, les vulnérabilités exploitées, les paquets malveillants et les coupures de connectivité à partir de 14 sources (le catalogue Known Exploited Vulnerabilities de la CISA, NVD, CVE.org, CIRCL, FIRST EPSS, la GitHub Advisory Database, OSV, RansomLook, SEC EDGAR, IODA et d'autres) et les place sur un globe Mapbox. Chaque incident porte un statut : Confirmed, Reported, Claimed, Precautionary ou Disputed.
Une page « Am I affected? » vérifie des manifestes et lockfiles collés par rapport à OSV, un index `/cve` liste les CVE critiques des 72 dernières heures, et `/fix/<CVE>` sert des runbooks en texte brut qui préremplissent un prompt pour Claude Code, Codex ou Cursor. Un serveur MCP en lecture seule et `llms.txt` exposent les mêmes données aux agents. Valyu fournit l'extraction d'actualités, les réponses et les synthèses DeepResearch ; sans clé Valyu, la carte fonctionne toujours avec les flux publics.
Global Hack Map vaut-il le coup ?
Global Hack Map est la plus soignée des applications de démonstration de Valyu, et aussi la plus récente : le dépôt a été créé le 2 novembre 2026 et comptait 9 étoiles et 12 commits lors de notre vérification. Il agrège des flux auxquels les équipes de sécurité se fient déjà, dont CISA KEV, NVD, la GitHub Advisory Database et OSV, et son apport tient à la présentation et au tri plutôt qu'à des données nouvelles.
La conception prend l'incertitude au sérieux. Chaque incident est étiqueté Confirmed, Reported, Claimed (affirmé sur un site de fuite, non vérifié), Precautionary ou Disputed, et le README dit clairement qu'une absence de résultat ne prouve jamais que vous êtes à l'abri. Les incidents sont placés dans la ville citée par les articles, au siège de l'organisation ou dans le pays, et jamais plus précisément que les sources ne le permettent. Cela indique où se trouve la victime, pas qui l'a attaquée : une épingle n'est pas une attribution.
L'ingénierie est plus mûre que son âge ne le laisse croire. En production, les requêtes sont limitées via Upstash Redis, et les API protégées renvoient 503 si le limiteur est injoignable au lieu de tourner sans protection ; la vérification de stack du serveur MCP autorise 10 appels par minute et 60 par heure et par IP. Les balayages planifiés sont authentifiés par `CRON_SECRET`. On compte 11 fichiers de tests. Sans clé d'API NVD, le flux des nouvelles CVE est limité à 5 requêtes par 30 secondes et se rabat sur CVE.org et CIRCL.
Le hic : une synthèse ne vaut que ce que vaut sa source la plus lente. L'instantané est revalidé au bout de 10 minutes et les flux publics au bout de 15, mais le README prévient que les retards en amont et les données de secours peuvent rendre la vue plus ancienne ou incomplète. Les plages de versions affectées et les mentions « exploitée » doivent être vérifiées dans l'entrée CISA ou l'avis de l'éditeur avant de corriger ou d'en rendre compte, et les liens de correction en un clic ne font que préremplir un prompt pour un agent de code ; ses modifications doivent toujours être relues.
Notre avis : il mérite un onglet à côté du catalogue de la CISA pour voir d'un coup d'œil ce qui est exploité cette semaine, avec l'avis d'origine à un clic et considéré comme la référence.
Là où il fait la différence
Le responsable informatique d'une entreprise de 50 personnes sans équipe sécurité
Savoir chaque lundi si un outil que nous utilisons est activement exploité
Choisissez vos produits sur la page Am I affected? et lisez les cartes Patch now, puis confirmez chaque élément dans l'avis CISA ou éditeur lié avant de planifier le travail. Consulter l'instance publique ne coûte rien.
Un ingénieur plateforme qui maintient plusieurs services Node et Python
Vérifier un lockfile face aux vulnérabilités connues et aux paquets malveillants
Collez package-lock.json ou requirements.txt dans la vérification de stack, ou appelez l'outil check_stack du serveur MCP depuis un agent de code, dans la limite de 10 appels par minute. Les résultats proviennent de la base OSV.
Une analyste sécurité qui rédige une note hebdomadaire pour la direction
Séparer les fuites confirmées des rumeurs avant qu'elles n'atteignent le conseil
Filtrez par statut pour que les éléments Claimed et Disputed restent signalés comme tels, et ne citez que les dépôts et avis d'origine liés par la carte. Une synthèse Valyu DeepResearch est un premier jet, facturé sur la clé du déploiement.
Avant de vous engager
- Mise en route
- Node 20+ et pnpm : `pnpm install`, copiez `.env.example` vers `.env.local`, puis `pnpm dev`. Avec un simple jeton Mapbox, la carte tourne sur les flux publics ; le premier build de production exécute une fois la chaîne de données, environ une minute.
- Intégrations
- Serveur MCP en lecture seule sur /api/mcp, llms.txt, runbooks sur /fix/<CVE>, liens directs vers Claude Code, Codex, Cursor, Claude et ChatGPT. valyu-js ^2.11.1 pour les actualités, les réponses et DeepResearch.
- Données et confidentialité
- Les manifestes collés sont vérifiés auprès d'OSV ; le sélecteur de produits ne demande aucun envoi de fichier. Auto-hébergé par défaut ; un mode compte Valyu facultatif facture les propres crédits des visiteurs connectés. Code sous MIT ; polices sous SIL Open Font License.
- Coût à grande échelle
- Hébergement sur Vercel avec des tâches cron toutes les six heures et une synthèse quotidienne à 05:30 UTC, plus Upstash Redis, un jeton Mapbox et des crédits Valyu pour les couches actualités et synthèses. Aucune offre hébergée.
- Limites
- L'instantané est revalidé au bout de 10 minutes et les flux au bout de 15 : ce n'est pas du temps réel. NVD autorise 5 requêtes par 30 secondes sans clé ; CIRCL 20 par minute en anonyme, 40 avec une clé.
Les points forts
- Statut à cinq niveaux qui distingue les fuites confirmées des revendications sur sites de fuite
- S'appuie sur 14 sources publiques, dont CISA KEV, NVD, OSV et EPSS
- En production, les limites de débit échouent en position fermée
- Serveur MCP en lecture seule et runbooks en texte brut pour les agents
Les points faibles
- Créé le 2 novembre 2026 ; aucun historique ni version publiée
- La vue agrégée peut être en retard ou manquer des données en amont
- Les liens de correction transmettent un prompt à un agent ; le résultat doit être relu
- Le déploiement en production exige Upstash Redis et un planificateur
Idéal pour
Les ingénieurs sécurité et responsables informatiques qui veulent une lecture visuelle rapide des vulnérabilités exploitées et des fuites de la semaine, sources à un clic.
Alternatives à Global Hack Map
Global Hack Map : questions fréquentes
- Global Hack Map vaut-il le coup ?
- D'une honnêteté rare sur ce qu'il sait, et à peine âgé d'un jour ; un bon tableau de bord du matin, pas une source à citer. Nous lui donnons 3.6 sur 5.
- Combien coûte Global Hack Map ?
- Gratuit sous licence MIT. L'auto-hébergement demande un jeton Mapbox ; la couche d'actualités et les synthèses de recherche consomment vos crédits Valyu, et la production exige Upstash Redis.
- Quels sont les inconvénients de Global Hack Map ?
- Créé le 2 novembre 2026 ; aucun historique ni version publiée; la vue agrégée peut être en retard ou manquer des données en amont; les liens de correction transmettent un prompt à un agent ; le résultat doit être relu; le déploiement en production exige Upstash Redis et un planificateur.
- À qui s’adresse Global Hack Map ?
- Les ingénieurs sécurité et responsables informatiques qui veulent une lecture visuelle rapide des vulnérabilités exploitées et des fuites de la semaine, sources à un clic.
- Combien coûte Global Hack Map pour une équipe ou en production ?
- Hébergement sur Vercel avec des tâches cron toutes les six heures et une synthèse quotidienne à 05:30 UTC, plus Upstash Redis, un jeton Mapbox et des crédits Valyu pour les couches actualités et synthèses. Aucune offre hébergée.
- Global Hack Map est-il sûr pour les données de l’entreprise ?
- Les manifestes collés sont vérifiés auprès d'OSV ; le sélecteur de produits ne demande aucun envoi de fichier. Auto-hébergé par défaut ; un mode compte Valyu facultatif facture les propres crédits des visiteurs connectés. Code sous MIT ; polices sous SIL Open Font License.
- Quelles sont les meilleures alternatives à Global Hack Map ?
- Les alternatives les plus proches que nous avons testées sont cvENGINE et Global Threat Map.
Réponses vérifiées le 3 nov. 2026.