vince (./5354) :
plus sérieusement, elle ne fait absolument aucune vérification de ce qu'elle télécharge du moment que le source.list est rempli...

Euh faut quand-même que tu aies les bonnes clés des fournisseurs de paquets (tout est signé), donc que tu fasses au moins une opération de récupération de clés, il me semble.