Débranche, débranche, débranche tout. Revenons à nous.

Face aux quasi-incessantes fuites de données en France, notamment sur des institutions, l’ANSSI serait sur la sellette ? Son directeur général Vincent Strubel réfute et revient sur les travaux de pilotage du numérique, avec une future autorité « Ariane ». Il en profite pour mettre en face des milliers de systèmes d’information de l’État la capacité de l’Agence à mener… 50 contrôles par an.

La semaine dernière, le Canard enchainé a publié un article intitulé « Lecornu débranche l’Anssi, accusée de ne pas avoir sécurisé des sites sensibles de l’État ». Le Palmipède y explique que le premier ministre Sébastien Lecornu chercherait un fusible. En cause, les fuites de données à répétition. « Cela pourrait déboucher sur le limogeage de Vincent Strubel, le directeur général de l’Agence nationale de la sécurité des systèmes d’information (Anssi) », indiquent nos confrères.

« Il n’y a pas de remise en cause des missions de l’ANSSI »

Hasard ou pas du calendrier, ce même Vincent Strubel était auditionné par la Commission de la défense de l’Assemblée nationale le lendemain dans le cadre du cycle Guerre hybride et continuum de conflictualités. Le rendez-vous était déjà fixé avant la publication de l’article de nos confrères. Après un discours introductif sur l’état de la cybermenace en France, des questions sont rapidement arrivées sur l’article du Canard et le piratage de l’ANTS. C’est la dernière institution en date à avoir subi une fuite massive de données : au moins 11,7 millions de comptes ont été compromis. Dans cette affaire, un ado de 15 ans a été placé en garde à vue fin avril.

• Fuite de l’ANTS : un ado de 15 ans en garde à vue. « Ce n’est pas un prodige. C’est un signal. »

« Non, il n’y a pas de tension entre le Premier ministre et l’ANSSI. Je réfute ce qui est dit dans l’article », affirme sans détour Vincent Strubel. Il en veut pour « preuve » sa présence encore au poste de directeur général de l’ANSSI.

Il en profite pour rappeler que ses équipes ne ménagent pas leurs efforts en matière de cybersécurité et joue lui aussi de l’analogie des cyberpompiers : « Je trouve que là on est dans le même registre que jeter des cailloux sur les camions de pompiers qui viennent éteindre des incendies et je le trouve parfaitement abject. »

« Je pense qu’il y a une mécompréhension fondamentale de la réforme annoncée, non pas de l’ANSSI mais du pilotage numérique. Il n’y a pas de remise en cause des missions de l’ANSSI, il n’y a pas de remise en cause de l’efficacité de son travail », ajoute-t-il.

Une réforme du pilotage du numérique, pas de la cybersécurité

Vincent Strubel rappelle que la France dispose d’une chaîne de fonctionnement cyber et que l’ANSSI « est le chef d’orchestre de la cybersécurité ». Il ajoute que « ce rôle n’est pas remis en cause par la réforme annoncée […]Ce qui est réformé, c’est le pilotage du numérique, pas la cybersécurité ».

Pour rappel, fin avril, lors de son déplacement à l’ANTS, Sébastien Lecornu expliquait vouloir accélérer la fusion de la Direction interministérielle du numérique (DINUM) et de la DITP (direction interministérielle de la transformation publique), pour former une nouvelle Autorité du numérique et de l’IA, alias Ariane.

• Cybersécurité de l’État : le plan du gouvernement pour (essayer de) stopper l’hémorragie

Le patron de l’ANSSI est catégorique : « l’ANSSI restera dans son rôle de fixer les exigences de cybersécurité, de décliner des priorités […] de contrôler la bonne application de ces priorités à plus forte raison dans le cadre de NIS2 ».

• NIS 2 : l’ANSSI publie son ReCyf, la CSNP s’impatiente et le fait savoir
• La DGSI accusée de bloquer l’adoption d’une loi renforçant la cybersécurité

Lors de son audition, il en profite pour rappeler aux députés présents le travail nécessaire de transposition de la directive NIS2… toujours en attente depuis des mois. Pour le directeur général, cela donnera enfin à son agence « un vrai bâton » à utiliser, « en plus de la carotte ». Le projet a été adopté en première lecture au Sénat le 15 octobre 2024, mais il est bloqué à l’Assemblée depuis septembre 2025.

Des systèmes d’information « critiques » par milliers

Pour le patron des cyberpompiers français, le projet est de créer « une structure qui soit un interlocuteur naturel de l’ANSSI, comme l’est déjà aujourd’hui la DINUM. Nous travaillons main dans la main, mais avec les limites du champ d’action de la DINUM. Demain, l’ANSSI et l’Ariane (si c’est le nom qui demeure) travailleront main dans la main pour édicter la feuille de route numérique et cybersécurité de l’État ».

Lors de son audition, Vincent Strubel a rappelé la complexité du système d’information de l’État qui représente « des milliers et des milliers d’applications dont le pilotage n’est pas uniformisé, dont les choix technologiques sont d’une très grande hétérogénéité ».

Pour lui, cela ne fait aucun doute : « c’est là-dessus qu’il faut agir en priorité pour mieux sécuriser l’État » ; il en profite pour glisser un mot sur les enjeux des dépendances à des solutions étrangères. Quitte à mener un chantier d’envergure, autant faire le ménage de fond en comble. Pour Vincent Strubel, la réforme annoncée par le Premier ministre porte justement sur ce sujet. Il réaffirme qu’elle a été « mal comprise par certains qui y voient une réforme ou une remise en cause de l’ANSSI : il n’y a aucune remise en cause du rôle de l’ANSSI, ni une critique du rôle de la DINUM ».

L’ANSSI est capable de mener 50 audits par an : il faut choisir

Vincent Strubel répond aussi à des questions sur les moyens et les actions de l’ANSSI : « nous sommes capables de mener à peu près 50 audits par an, à mettre en regard de milliers de systèmes d’information au sein de l’État, de milliers de systèmes d’information d’importance vitale déclarés par les OIV (opérateurs d’importance vitale), et qui sont à peu près 300 (la liste est classifiée) ».

Pour le dire autrement : « non, nous ne pouvons pas tout contrôler systématiquement et nous avons une logique de priorisation sur les systèmes les plus critiques, sensibles, complexes… ». C’est le cas du nucléaire, par exemple, mais aussi des réseaux diplomatiques et régaliens. France Identité numérique a aussi été scrutée de près pendant des mois et « certifiée par l’ANSSI au niveau élevé, c’est-à-dire le niveau le plus élevé de la réglementation européenne ».

Le patron de l’ANSSI cite aussi le « fichier TES qui stocke des données biométriques », géré par l’ANTS. Ce dernier a été audité par l’ANSSI, qui s’est aussi assurée « que ses conclusions soient prises en compte ». TES pour Titres Électroniques Sécurisés, aussi connu sous le nom de « fichier des gens honnêtes » centralisant les données personnelles, photos de visages et empreintes digitales des demandeurs de passeport et de carte nationale d’identité.

Vincent Strubel ajoute que l’ANTS réunit une multitude de systèmes d’information « qui n’ont pas tous la même criticité. Ils sont tous importants car ils traitent de données personnelles, mais nous avons aussi une forme de gradation ». Si TES a été contrôlé, ce n’était visiblement pas le cas du portail attaqué : « Il ne s’agit pas de minimiser la compromission des données personnelles de millions de nos concitoyens, mais ce n’est pas le système le plus critique de l’ANTS donc dans une logique de priorisation ce n’est pas celui-là que nous avons regardé ».

• La police judiciaire contourne la loi pour fouiller le méga « fichier des gens honnêtes »

Signaler c’est bien, corriger c’est mieux

Lors de son audition, Vincent Strubel est aussi revenu sur le signalement des incidents et des vulnérabilités. Il rappelle que l’ANSSI dispose d’une doctrine de protection des signalements anonymes et des lanceurs d’alertes (235 signalements via ce dispositif en 2025). « Après, effectivement, la vraie difficulté est la capacité de correction et la maitrise du numérique derrière, sans remise en cause du rôle ni du dévouement – je le signale – des équipes informatiques des ministères ».

Il rappelle le rôle de l’ANSSI : « porter des cadres de gestion des risques et donc identifier des risques liés à nos dépendances, les objectiver, les mettre en face des mesures et assurer une garantie. C’est ce que nous faisons à travers SecNumCloud qui garantit contre les risques techniques mais aussi des risques d’ingérence de captation des données à travers les lois à portée extraterritoriale ».

• La souveraineté en 10 questions (version courte, version longue)

Il ajoute qu’il faut évidemment des mesures de gestion des risques – « avec un caractère coercitif au passage parce que la loi SREN le permet –, mais aussi un travail de politique industrielle qui n’est pas le rôle de l’ANSSI ». Pour Vincent Strubel, pas de doute : « Il faut faire les deux à la fois ».

Débranche, débranche, débranche tout. Revenons à nous.

Face aux quasi-incessantes fuites de données en France, notamment sur des institutions, l’ANSSI serait sur la sellette ? Son directeur général Vincent Strubel réfute et revient sur les travaux de pilotage du numérique, avec une future autorité « Ariane ». Il en profite pour mettre en face des milliers de systèmes d’information de l’État la capacité de l’Agence à mener… 50 contrôles par an.

La semaine dernière, le Canard enchainé a publié un article intitulé « Lecornu débranche l’Anssi, accusée de ne pas avoir sécurisé des sites sensibles de l’État ». Le Palmipède y explique que le premier ministre Sébastien Lecornu chercherait un fusible. En cause, les fuites de données à répétition. « Cela pourrait déboucher sur le limogeage de Vincent Strubel, le directeur général de l’Agence nationale de la sécurité des systèmes d’information (Anssi) », indiquent nos confrères.

« Il n’y a pas de remise en cause des missions de l’ANSSI »

Hasard ou pas du calendrier, ce même Vincent Strubel était auditionné par la Commission de la défense de l’Assemblée nationale le lendemain dans le cadre du cycle Guerre hybride et continuum de conflictualités. Le rendez-vous était déjà fixé avant la publication de l’article de nos confrères. Après un discours introductif sur l’état de la cybermenace en France, des questions sont rapidement arrivées sur l’article du Canard et le piratage de l’ANTS. C’est la dernière institution en date à avoir subi une fuite massive de données : au moins 11,7 millions de comptes ont été compromis. Dans cette affaire, un ado de 15 ans a été placé en garde à vue fin avril.

• Fuite de l’ANTS : un ado de 15 ans en garde à vue. « Ce n’est pas un prodige. C’est un signal. »

« Non, il n’y a pas de tension entre le Premier ministre et l’ANSSI. Je réfute ce qui est dit dans l’article », affirme sans détour Vincent Strubel. Il en veut pour « preuve » sa présence encore au poste de directeur général de l’ANSSI.

Il en profite pour rappeler que ses équipes ne ménagent pas leurs efforts en matière de cybersécurité et joue lui aussi de l’analogie des cyberpompiers : « Je trouve que là on est dans le même registre que jeter des cailloux sur les camions de pompiers qui viennent éteindre des incendies et je le trouve parfaitement abject. »

« Je pense qu’il y a une mécompréhension fondamentale de la réforme annoncée, non pas de l’ANSSI mais du pilotage numérique. Il n’y a pas de remise en cause des missions de l’ANSSI, il n’y a pas de remise en cause de l’efficacité de son travail », ajoute-t-il.

Une réforme du pilotage du numérique, pas de la cybersécurité

AMD a présenté son nouveau GPU pour l’intelligence artificielle MI350X en 2024, puis en version plus haut de gamme avec un refroidissement liquide avec le MI355X. Les deux exploitent l’architecture maison CDNA4.

• AMD : Zen 5 à tous les étages (Ryzen AI, 9000, Epyc), roadmap des GPU Instinct jusqu’en 2026

Le fabricant vient de présenter une nouvelle version : Instinct MI350P, qui se distingue avec un format PCIe paré pour être installé dans un ordinateur ou serveur classique. Elle vise principalement les fonctions d’inférence.

Là encore, le GPU utilise l’architecture CDN4, mais avec 144 Go de HBM3E contre 288 Go pour les MI350X et 355X0. La bande passante de la mémoire est aussi divisée par deux avec 4 To/s. Elle occupe deux emplacements, dispose d’un port PCIe 5.0 et affiche un TDP de maximum de 600 watts.

Niveau puissance de calcul, AMD annonce 4,6 PFLOPS pour l’Instinct MI350P en MXFP4, contre 9,2 PFLOPS pour la MI350X (AMD annonce ici 18,4 PFLOPS mais avec dispersion, sans quoi il faut diviser par deux).

Rien de surprenant : le GPU de la MI350P à 8 192 stream processors (512 Matrix cores et 128 compute units), contre le double (16 384 SP, 1 024 MC et 256 CU) pour MI350X. La fréquence est la même dans les deux cas : 2,2 GHz.

Pour le moment, rien sur le prix.

AMD a présenté son nouveau GPU pour l’intelligence artificielle MI350X en 2024, puis en version plus haut de gamme avec un refroidissement liquide avec le MI355X. Les deux exploitent l’architecture maison CDNA4.

• AMD : Zen 5 à tous les étages (Ryzen AI, 9000, Epyc), roadmap des GPU Instinct jusqu’en 2026

Le fabricant vient de présenter une nouvelle version : Instinct MI350P, qui se distingue avec un format PCIe paré pour être installé dans un ordinateur ou serveur classique. Elle vise principalement les fonctions d’inférence.

Là encore, le GPU utilise l’architecture CDN4, mais avec 144 Go de HBM3E contre 288 Go pour les MI350X et 355X0. La bande passante de la mémoire est aussi divisée par deux avec 4 To/s. Elle occupe deux emplacements, dispose d’un port PCIe 5.0 et affiche un TDP de maximum de 600 watts.

Niveau puissance de calcul, AMD annonce 4,6 PFLOPS pour l’Instinct MI350P en MXFP4, contre 9,2 PFLOPS pour la MI350X (AMD annonce ici 18,4 PFLOPS mais avec dispersion, sans quoi il faut diviser par deux).

Rien de surprenant : le GPU de la MI350P à 8 192 stream processors (512 Matrix cores et 128 compute units), contre le double (16 384 SP, 1 024 MC et 256 CU) pour MI350X. La fréquence est la même dans les deux cas : 2,2 GHz.

Pour le moment, rien sur le prix.

ANSSI font font les pirates

Dans son rapport d’activité 2025, l’ANSSI revient évidemment sur les cyberattaques qui touchent la France et dresse un sombre portrait de ce qui nous attend, mais elle en profite surtout pour faire le point sur ses dispositifs réglementaires : lanceur d’alertes, détection et blocage de menaces étatiques, déploiement des réseaux 5G…

Cela fait maintenant plusieurs mois que Vincent Strubel (patron de l’Agence nationale de la sécurité des systèmes d’information ou ANSSI) a tenu à Monaco un discours sous forme d’un électrochoc afin de réveiller la conscience collective.

Aux Assises de la cybersécurité en octobre dernier, il rappelait que la France devait être « prête à faire face à une guerre de haute intensité » d’ici 2030, avec un « engagement de nos armées ».

• Vincent Strubel (ANSSI) face à la « brutalisation du monde » et la menace quantique

Se préparer à des attaques informatiques beaucoup plus massives (et avec IA)

Il parlait du risque « d’être submergé » par les attaques, d’en « subir tellement à la fois qu’on ne pourra plus rien faire ». En mars, lors de la présentation du rapport sur la cybermenace 2025, il revenait sur le cas de la France et appelait à ne pas céder à la panique : les niveaux de menaces sont certes très significatifs, mais « on n’est pas sur une explosion ou un raz-de-marée ».

• Cyberattaques en France : des niveaux « très significatifs », mais pas de raz de marée

L’ANSSI vient de mettre en ligne son rapport d’activité 2025 et, dans son édito, Vincent Strubel, tient des propos similaires : la France doit « se préparer à un scénario d’attaques informatiques beaucoup plus massives ». Il ajoute que ce scénario « n’est pas une fatalité », mais qu’il faut se préparer.

3 586 événements de cybersécurité ont été remontés et traités par l’ANSSI. Dans le lot, 1 366 sont des incidents avérés « pour lesquels l’ANSSI confirme qu’un acteur malveillant a conduit des actions avec succès sur le système d’information de la victime ». L’année précédente, période des JOP 2024 de Paris, il y en avait eu respectivement 4 386 et 1 361.

L’Agence détaille dans son rapport ses actions passées et à venir. Il est évidemment question d’intelligence artificielle : « notre rôle est d’apporter de la clarté, d’anticiper, de mesurer les risques comme les opportunités – le tout pour accompagner l’écosystème vers la promotion d’une IA à la fois sûre et résiliente ». Une déclaration de Hugo Mania, chef de projet IA à l’ANSSI, qui résonne avec les déclarations d’Anthropic et OpenAI sur les performances de leur IA dédiées à la cybersécurité.

Cette année, une formation de « sensibilisation aux enjeux de cybersécurité liés à l’IA » sera proposée au Centre de formation à la sécurité des systèmes d’information (CFSSI) de l’ANSSI.

• Cybersécurité vs Gen AI : l’ANSSI « n’a pas de preuve d’attaque à 100 % IA »
• OpenAI aussi a son moment Mythos… et assure sa com’ face à Anthropic
• Comment survivre à la déferlante à venir des vulnérabilités identifiées par IA ? (3/3)

Augmentation des attaques contre les environnements cloud

Cela fait maintenant des années qu’Apple et Epic s’écharpent devant les tribunaux. La trame de fond est toujours la même : le verrouillage opéré par Apple sur les transactions via la boutique iOS.

Fin 2025, le père de l’iPhone a dû s’ouvrir à des solutions alternatives, mais a sauvé sa commission sur les transactions qui doit être raisonnable (sans plus de précision). Apple avait demandé au tribunal de revoir sa décision, mais les juges ont refusé à l’unanimité.

• Epic gagne en grande partie son appel contre Apple, qui sauve sa « commission »

Apple demande alors au tribunal de suspendre sa décision et la 9ᵉ cour d’appel accepte cette fois-ci la demande. Epic voit rouge et demande au tribunal de « réexaminer la décision d’aujourd’hui accordant la requête d’Apple pour suspendre l’exécution de la décision ». Fin avril, la 9ᵉ Cour revient sur sa propre décision. Tim Sweeney jubile : « Les tactiques dilatoires d’Apple touchent à leur fin ! Apple retourne devant la juge Gonzalez Rogers pour des audiences sur les frais qu’Apple peut facturer ».

Le 4 mai, Apple dépose à la Cour suprême une « emergency application » pour que la décision de la cour d’appel (qui devait entrer en vigueur le 5 mai) soit suspendue.

La réponse est arrivée rapidement : c’est non. « La Cour suprême des États-Unis a rejeté mercredi la demande d’Apple de bloquer temporairement une ordonnance judiciaire », explique Reuters. En conséquence, Apple devra retourner voir la juge Yvonne Gonzalez Rogers pour fixer la « commission que l’entreprise peut légalement facturer ».

Il y a un an, Apple s’est pris de plein fouet les foudres de cette même juge : « Apple a délibérément choisi de ne pas se conformer à l’injonction de la Cour. Elle l’a fait avec la ferme intention de créer de nouvelles barrières anticoncurrentielles qui préserveraient une source de revenus précieuse, mais précédemment jugée anticoncurrentielle ».

Cela fait maintenant des années qu’Apple et Epic s’écharpent devant les tribunaux. La trame de fond est toujours la même : le verrouillage opéré par Apple sur les transactions via la boutique iOS.

Fin 2025, le père de l’iPhone a dû s’ouvrir à des solutions alternatives, mais a sauvé sa commission sur les transactions qui doit être raisonnable (sans plus de précision). Apple avait demandé au tribunal de revoir sa décision, mais les juges ont refusé à l’unanimité.

• Epic gagne en grande partie son appel contre Apple, qui sauve sa « commission »

Apple demande alors au tribunal de suspendre sa décision et la 9ᵉ cour d’appel accepte cette fois-ci la demande. Epic voit rouge et demande au tribunal de « réexaminer la décision d’aujourd’hui accordant la requête d’Apple pour suspendre l’exécution de la décision ». Fin avril, la 9ᵉ Cour revient sur sa propre décision. Tim Sweeney jubile : « Les tactiques dilatoires d’Apple touchent à leur fin ! Apple retourne devant la juge Gonzalez Rogers pour des audiences sur les frais qu’Apple peut facturer ».

Le 4 mai, Apple dépose à la Cour suprême une « emergency application » pour que la décision de la cour d’appel (qui devait entrer en vigueur le 5 mai) soit suspendue.

La réponse est arrivée rapidement : c’est non. « La Cour suprême des États-Unis a rejeté mercredi la demande d’Apple de bloquer temporairement une ordonnance judiciaire », explique Reuters. En conséquence, Apple devra retourner voir la juge Yvonne Gonzalez Rogers pour fixer la « commission que l’entreprise peut légalement facturer ».

Il y a un an, Apple s’est pris de plein fouet les foudres de cette même juge : « Apple a délibérément choisi de ne pas se conformer à l’injonction de la Cour. Elle l’a fait avec la ferme intention de créer de nouvelles barrières anticoncurrentielles qui préserveraient une source de revenus précieuse, mais précédemment jugée anticoncurrentielle ».

Toujours l’éternel combat : sécurité vs simplicité

Un chercheur affirme, avec un prototype publié sur GitHub, que le navigateur Edge charge tous les mots de passe de son gestionnaire en clair dans la mémoire de l’ordinateur. N’importe qui peut donc y accéder ? Presque, il faut des droits administrateur tout de même. Microsoft confirme, ajoutant que c’est un comportement voulu.

Le chercheur en cybersécurité Tom Jøran Sønstebyseter Rønning explique sur les réseaux sociaux que le navigateur « Microsoft Edge charge tous vos mots de passe enregistrés en mémoire en clair – même lorsque vous ne les utilisez pas ».

Si vous êtes admin, vous pouvez voir les mots de passe en clair

Il propose un prototype sur GitHub permettant de vérifier ce qu’il en est sur sa machine. Un prérequis limite tout de même fortement la portée de ce que le chercheur présente comme une vulnérabilité : il faut des « droits d’administrateur (pour pouvoir lire la mémoire des processus Edge d’autres utilisateurs) ». Le chercheur confirme dans son fil de discussion sur X « ne pas avoir réussi à le faire fonctionner sans privilèges administrateur ».

Nous avons testé le programme EdgeSavedPasswordsDumper du chercheur, avec succès sous Windows 11 avec Edge 147 (les deux étaient à jour)… à condition de lancer un terminal avec des droits administrateur. Dans ce cas, le programme retourne bien, l’ensemble des identifiants et mots de passe enregistrés dans Edge dans le terminal. Sans les droits administateur, le même terminal répond « [x] Not running elevated ».

Ce sont ceux également visibles dans edge://settings/autofill/passwords, à la différence que pour voir les mots de passe enregistrés dans le navigateur, il faut entrer le mot de passe Windows « pour permettre cette opération », comme l’indique la fenêtre de validation qui s’est ouverte (voir les captures ci-dessous).

La technique utilisée par le chercheur permet de s’affranchir de cette étape à condition, pour rappel, d’avoir déjà des droits d’administrateur. Il est « amusant » de voir Edge demander une validation alors que c’est déjà accessible librement, comme le prouve le programme du chercheur.

« Edge est le seul navigateur basé sur Chromium testé qui se comporte ainsi »

Selon Tom Jøran Sønstebyseter Rønning, « Edge est le seul navigateur basé sur Chromium testé qui se comporte ainsi. En revanche, Chrome utilise une conception qui rend beaucoup plus difficile pour les attaquants d’extraire les mots de passe sauvegardés simplement en lisant la mémoire des processus. Le navigateur ne déchiffre les identifiants que lorsque cela est nécessaire, au lieu de garder tous les mots de passe en mémoire en permanence ».

Chrome, toujours selon le chercheur, a d’autres protections, faisant que « les mots de passe en clair ne sont visibles que brièvement lors du remplissage automatique ou lorsque l’utilisateur les consulte, ce qui rend l’extraction massive de données en mémoire beaucoup moins efficace ».

Pour Tom Jøran Sønstebyseter Rønning, le risque est important dans des environnements partagés : « Si un attaquant obtient un accès administrateur sur un serveur, il peut accéder à la mémoire de tous les utilisateurs connectés (ou même les utilisateurs déconnectés) avec Edge en cours d’exécution ». On en revient toujours au même pré-requis important : être administrateur.

Microsoft confirme : c’est voulu et même « by design »

Le chercheur a contacté Microsoft, qui lui a répondu que c’est le comportement « by design » de son navigateur et qu’aucun correctif ne sera publié.

Un porte-parole confirme à Cybernews, en détaillant davantage son point de vue : « Les choix de conception dans ce domaine visent à trouver un équilibre entre performance, facilité d’utilisation et sécurité, et nous continuons de les évaluer face à l’évolution des menaces. Les navigateurs accèdent aux données de mots de passe en mémoire pour permettre aux utilisateurs de se connecter rapidement et en toute sécurité ; il s’agit d’une fonctionnalité normale de l’application ».

« L’accès aux données du navigateur, tel que décrit dans le scénario signalé, nécessiterait que l’appareil soit déjà compromis », ajoute Microsoft. En effet, il faut déjà être administrateur. Comme le montre Chrome avec une surface d’attaque plus limitée, il est tout de même possible de réduire les risques.

Comme le fait remarquer un internaute sur X, cette affaire n’est pas sans en rappeler une autre de 2022 sur Chromium (la base de Chrome, Edge et d’autres navigateurs). Il enregistrait en clair des mots de passe et d’autres informations dans la mémoire de l’ordinateur.

De manière générale, la communauté de la cybersécurité recommande davantage d’utiliser un gestionnaire de mot de passe dédié plutôt que ceux intégrés dans les navigateurs, notamment car la sécurité est leur première raison d’être. C’est également l’argument mis en avant par les gestionnaires de mots de passe qui prêchent évidemment pour leur paroisse.

• [Tuto] Auto-héberger son gestionnaire de mots de passe avec Vaultwarden (Bitwarden)

Toujours l’éternel combat : sécurité vs simplicité

Un chercheur affirme, avec un prototype publié sur GitHub, que le navigateur Edge charge tous les mots de passe de son gestionnaire en clair dans la mémoire de l’ordinateur. N’importe qui peut donc y accéder ? Presque, il faut des droits administrateur tout de même. Microsoft confirme, ajoutant que c’est un comportement voulu.

Le chercheur en cybersécurité Tom Jøran Sønstebyseter Rønning explique sur les réseaux sociaux que le navigateur « Microsoft Edge charge tous vos mots de passe enregistrés en mémoire en clair – même lorsque vous ne les utilisez pas ».

Si vous êtes admin, vous pouvez voir les mots de passe en clair

Il propose un prototype sur GitHub permettant de vérifier ce qu’il en est sur sa machine. Un prérequis limite tout de même fortement la portée de ce que le chercheur présente comme une vulnérabilité : il faut des « droits d’administrateur (pour pouvoir lire la mémoire des processus Edge d’autres utilisateurs) ». Le chercheur confirme dans son fil de discussion sur X « ne pas avoir réussi à le faire fonctionner sans privilèges administrateur ».

Nous avons testé le programme EdgeSavedPasswordsDumper du chercheur, avec succès sous Windows 11 avec Edge 147 (les deux étaient à jour)… à condition de lancer un terminal avec des droits administrateur. Dans ce cas, le programme retourne bien, l’ensemble des identifiants et mots de passe enregistrés dans Edge dans le terminal. Sans les droits administateur, le même terminal répond « [x] Not running elevated ».

Ce sont ceux également visibles dans edge://settings/autofill/passwords, à la différence que pour voir les mots de passe enregistrés dans le navigateur, il faut entrer le mot de passe Windows « pour permettre cette opération », comme l’indique la fenêtre de validation qui s’est ouverte (voir les captures ci-dessous).

La technique utilisée par le chercheur permet de s’affranchir de cette étape à condition, pour rappel, d’avoir déjà des droits d’administrateur. Il est « amusant » de voir Edge demander une validation alors que c’est déjà accessible librement, comme le prouve le programme du chercheur.

« Edge est le seul navigateur basé sur Chromium testé qui se comporte ainsi »

Selon Tom Jøran Sønstebyseter Rønning, « Edge est le seul navigateur basé sur Chromium testé qui se comporte ainsi. En revanche, Chrome utilise une conception qui rend beaucoup plus difficile pour les attaquants d’extraire les mots de passe sauvegardés simplement en lisant la mémoire des processus. Le navigateur ne déchiffre les identifiants que lorsque cela est nécessaire, au lieu de garder tous les mots de passe en mémoire en permanence ».

Chrome, toujours selon le chercheur, a d’autres protections, faisant que « les mots de passe en clair ne sont visibles que brièvement lors du remplissage automatique ou lorsque l’utilisateur les consulte, ce qui rend l’extraction massive de données en mémoire beaucoup moins efficace ».

Pour Tom Jøran Sønstebyseter Rønning, le risque est important dans des environnements partagés : « Si un attaquant obtient un accès administrateur sur un serveur, il peut accéder à la mémoire de tous les utilisateurs connectés (ou même les utilisateurs déconnectés) avec Edge en cours d’exécution ». On en revient toujours au même pré-requis important : être administrateur.

Microsoft confirme : c’est voulu et même « by design »

Le chercheur a contacté Microsoft, qui lui a répondu que c’est le comportement « by design » de son navigateur et qu’aucun correctif ne sera publié.

Un porte-parole confirme à Cybernews, en détaillant davantage son point de vue : « Les choix de conception dans ce domaine visent à trouver un équilibre entre performance, facilité d’utilisation et sécurité, et nous continuons de les évaluer face à l’évolution des menaces. Les navigateurs accèdent aux données de mots de passe en mémoire pour permettre aux utilisateurs de se connecter rapidement et en toute sécurité ; il s’agit d’une fonctionnalité normale de l’application ».

« L’accès aux données du navigateur, tel que décrit dans le scénario signalé, nécessiterait que l’appareil soit déjà compromis », ajoute Microsoft. En effet, il faut déjà être administrateur. Comme le montre Chrome avec une surface d’attaque plus limitée, il est tout de même possible de réduire les risques.

Comme le fait remarquer un internaute sur X, cette affaire n’est pas sans en rappeler une autre de 2022 sur Chromium (la base de Chrome, Edge et d’autres navigateurs). Il enregistrait en clair des mots de passe et d’autres informations dans la mémoire de l’ordinateur.

De manière générale, la communauté de la cybersécurité recommande davantage d’utiliser un gestionnaire de mot de passe dédié plutôt que ceux intégrés dans les navigateurs, notamment car la sécurité est leur première raison d’être. C’est également l’argument mis en avant par les gestionnaires de mots de passe qui prêchent évidemment pour leur paroisse.

• [Tuto] Auto-héberger son gestionnaire de mots de passe avec Vaultwarden (Bitwarden)

On les prend au pied de la lettre !

Les fakes news envahissent – polluent serait plus juste – de plus en plus l’espace médiatique. Cela va au-delà de la mésinformation ou désinformation, avec des ingérences étrangères. Les risques sont nombreux, notamment en période d’élections (les présidentielles approchent). Bercy lance son « décodeur » maison et promet de la transparence.

Le dispositif a été annoncé hier par le gouvernement : « Face à la recrudescence des fausses informations qui peuvent influencer l’opinion, les ministères économiques et financiers se dotent d’un dispositif de lutte contre la désinformation sous le nom de Bercy décode ».

Le ministère explique que « cette stratégie de lutte contre la désinformation s’intègre dans les dispositifs existants et est en lien notamment avec VIGINUM, le service de vigilance et protection contre les ingérences numériques étrangères ». La menace est croissante et les élections présidentielles de 2027 seront sans aucun doute un terrain

Bercy décode promet des « sources ouvertes et accessibles »

Bercy décode se présente comme un redresseur de torts dispositif permettant de se fixer « comme objectif de garantir que les chiffres, règles et dispositifs publics puissent être consultés, compris et vérifiés à partir de sources ouvertes et accessibles ». Une promesse qui n’est pas tombée dans l’oreille d’un sourd !

Sur Next, nous avons un long historique de demandes CADA en tous genres afin d’obtenir des informations justement pour travailler sur des données fiables, officielles. On en vient à rêver d’un monde dans lequel l’accès à toutes les données des impôts sont facilement accessibles et intelligibles, de même pour celles des marchés publics, des algorithmes de la CAF, des dépenses dans l’éducation et la recherche…

Clarification des faits et décryptage de l’actualité

Bercy décode, c’est aussi un « identité visuelle » pour des « contenus de clarification […] permettant au public d’identifier immédiatement les décryptages officiels produits par le ministère sur différentes thématiques telles que fiscalité, finances publiques, énergie, numérique, etc. ».

Actuellement, une dizaine de décryptages sont disponibles. Le plus ancien concerne la revente de cartes Pokémon qui serait « désormais dans le viseur du fisc ». Spoiler : oui, mais ce n’est pas nouveau et cela ne concerne pas que Pokémon.

Deux décryptages concernent les éoliennes en mer (sur le bruit et le bilan carbone), deux autres les voitures électriques (la pollution et les longs trajets), un autre les impôts : « Est-ce que seule la moitié des ménages paie des impôts ? ». Réponse : « Faux. Si moins d’un foyer fiscal sur deux est redevable de l’impôt sur le revenu, tous les Français contribuent néanmoins aux finances publiques. En effet, tous les Français s’acquittent des taxes sur la consommation, dont la principale est la TVA ».

Bercy en profite pour assurer une promo interne d’autres institutions qui ont également des outils contre la désinformation : le site du ministère de la Transition écologique, celui du ministère de la Santé (lire notre article sur son lancement), des Affaires étrangères, des Armées, de la Commission européenne et VIGINUM évidemment.

• Infox, ingérences & cie : la France veut « garantir que chacun puisse penser librement » (1/4)

Le ministère se lance sur… TikTok. Et les autres réseaux sociaux ?

Le ministère de l’Économie en profite pour mettre en avant son récent compte TikTok, qui compte pour le moment une quinzaine de contenus. Il est déjà présent sur X depuis fin 2009. Si le ministre Roland Lescure est présent sur Bluesky, ce n’est pas le cas de son ministère. Encore trop souvent la classe politique et les institutions sont présents sur X, mais pas sur d’autres alternatives.

• [Tuto] Emmanuel Macron, voici comment crossposter sur X, Bluesky, Mastodon
• Qu’attendent nos représentants politiques pour communiquer en dehors de X ?

Le site Bercy décode propose enfin un dico de la désinfo – notamment sur la différence entre mésinformation et désinformation – et rappelle quelques bons réflexes à avoir pour éviter la désinformation :

• Méfiez-vous des informations sensationalistes
• Vérifiez la source
• Recroisez l’information et vérifiez les faits
• Faites attention aux photos et vidéos
• Un doute ? Ne partagez pas l’information

Il manque un conseil : lire (ou relire) la longue enquête de Jean Marc sur les sites d’info générés par IA (il en a identifié plus de 13 000, rien qu’en français !), et installer l’extension Next pour être alerté lorsqu’on les consulte, ainsi que d’autres sites problématiques, notamment ceux identifiés par l’Autorité des marchés financiers (AMF) et les noms de domaines potentiellement suspects de RedFlagDomains.

• [Récap] Nous avons découvert des milliers de sites d’info générés par IA

On les prend au pied de la lettre !

Les fakes news envahissent – polluent serait plus juste – de plus en plus l’espace médiatique. Cela va au-delà de la mésinformation ou désinformation, avec des ingérences étrangères. Les risques sont nombreux, notamment en période d’élections (les présidentielles approchent). Bercy lance son « décodeur » maison et promet de la transparence.

Le dispositif a été annoncé hier par le gouvernement : « Face à la recrudescence des fausses informations qui peuvent influencer l’opinion, les ministères économiques et financiers se dotent d’un dispositif de lutte contre la désinformation sous le nom de Bercy décode ».

Le ministère explique que « cette stratégie de lutte contre la désinformation s’intègre dans les dispositifs existants et est en lien notamment avec VIGINUM, le service de vigilance et protection contre les ingérences numériques étrangères ». La menace est croissante et les élections présidentielles de 2027 seront sans aucun doute un terrain

Bercy décode promet des « sources ouvertes et accessibles »

Bercy décode se présente comme un redresseur de torts dispositif permettant de se fixer « comme objectif de garantir que les chiffres, règles et dispositifs publics puissent être consultés, compris et vérifiés à partir de sources ouvertes et accessibles ». Une promesse qui n’est pas tombée dans l’oreille d’un sourd !

Sur Next, nous avons un long historique de demandes CADA en tous genres afin d’obtenir des informations justement pour travailler sur des données fiables, officielles. On en vient à rêver d’un monde dans lequel l’accès à toutes les données des impôts sont facilement accessibles et intelligibles, de même pour celles des marchés publics, des algorithmes de la CAF, des dépenses dans l’éducation et la recherche…

Clarification des faits et décryptage de l’actualité

Bercy décode, c’est aussi un « identité visuelle » pour des « contenus de clarification […] permettant au public d’identifier immédiatement les décryptages officiels produits par le ministère sur différentes thématiques telles que fiscalité, finances publiques, énergie, numérique, etc. ».

Actuellement, une dizaine de décryptages sont disponibles. Le plus ancien concerne la revente de cartes Pokémon qui serait « désormais dans le viseur du fisc ». Spoiler : oui, mais ce n’est pas nouveau et cela ne concerne pas que Pokémon.

Deux décryptages concernent les éoliennes en mer (sur le bruit et le bilan carbone), deux autres les voitures électriques (la pollution et les longs trajets), un autre les impôts : « Est-ce que seule la moitié des ménages paie des impôts ? ». Réponse : « Faux. Si moins d’un foyer fiscal sur deux est redevable de l’impôt sur le revenu, tous les Français contribuent néanmoins aux finances publiques. En effet, tous les Français s’acquittent des taxes sur la consommation, dont la principale est la TVA ».

Bercy en profite pour assurer une promo interne d’autres institutions qui ont également des outils contre la désinformation : le site du ministère de la Transition écologique, celui du ministère de la Santé (lire notre article sur son lancement), des Affaires étrangères, des Armées, de la Commission européenne et VIGINUM évidemment.

• Infox, ingérences & cie : la France veut « garantir que chacun puisse penser librement » (1/4)

Le ministère se lance sur… TikTok. Et les autres réseaux sociaux ?

Le ministère de l’Économie en profite pour mettre en avant son récent compte TikTok, qui compte pour le moment une quinzaine de contenus. Il est déjà présent sur X depuis fin 2009. Si le ministre Roland Lescure est présent sur Bluesky, ce n’est pas le cas de son ministère. Encore trop souvent la classe politique et les institutions sont présents sur X, mais pas sur d’autres alternatives.

• [Tuto] Emmanuel Macron, voici comment crossposter sur X, Bluesky, Mastodon
• Qu’attendent nos représentants politiques pour communiquer en dehors de X ?

Le site Bercy décode propose enfin un dico de la désinfo – notamment sur la différence entre mésinformation et désinformation – et rappelle quelques bons réflexes à avoir pour éviter la désinformation :

• Méfiez-vous des informations sensationalistes
• Vérifiez la source
• Recroisez l’information et vérifiez les faits
• Faites attention aux photos et vidéos
• Un doute ? Ne partagez pas l’information

Il manque un conseil : lire (ou relire) la longue enquête de Jean Marc sur les sites d’info générés par IA (il en a identifié plus de 13 000, rien qu’en français !), et installer l’extension Next pour être alerté lorsqu’on les consulte, ainsi que d’autres sites problématiques, notamment ceux identifiés par l’Autorité des marchés financiers (AMF) et les noms de domaines potentiellement suspects de RedFlagDomains.

• [Récap] Nous avons découvert des milliers de sites d’info générés par IA

Homebridge est une solution logicielle open source permettant d’ajouter le support de HomeKit (la plateforme d’objets connectés d’Apple) à des produits qui ne le sont pas nativement. Par exemple, des caméras Ring d’Amazon sont ainsi accessibles et utilisables depuis l’application Maison (Home en anglais) d’Apple grâce à Homebridge.

Après trois ans de bêta, Homebridge commence à prendre en charge le standard Matter et passe pour l’occasion en version 2.0. L’app fait donc office de pont Matter, en plus de HomeKit. Les plugins Homebridge peuvent ainsi utiliser des produits Matter (et s’ouvrent notamment à l’écosystème Google). L’application Maison d’Apple est de son côté déjà compatible HomeKit et Matter.

Avant la migration, les développeurs mettent en garde : « Avant de faire une mise à jour, assurez-vous que le(s) plugin(s) que vous utilisez sont compatibles avec cette nouvelle version de Homebridge […] Node.js 18 et 20 ne sont plus pris en charge. Homebridge v2 nécessite Node.js 22 ou 24 ».

Comme le rapporte The Verge, le développeur voit deux principaux cas d’usage. Pour commencer, « combler le fossé dans la prise en charge des appareils HomeKit : Apple a commencé à utiliser Matter pour les nouveaux types d’appareils plutôt que de les ajouter directement à HomeKit. Les aspirateurs en sont un exemple récent : Apple a ajouté la prise en charge des aspirateurs à l’application Home, mais via Matter, et non via HomeKit. Notre objectif est de combler cette lacune afin que les plugins Homebridge puissent offrir toutes les fonctionnalités pour ces types d’appareils. Nous pensons que cet objectif est tout à fait réalisable et qu’il s’agit de la priorité immédiate ».

Deuxième cas d’usage : « Utiliser d’autres contrôleurs Matter avec les plugins Homebridge : cela permettrait d’accéder à vos plugins Homebridge depuis d’autres contrôleurs Matter, comme l’application Aqara par exemple. Il s’agit là d’un projet à plus long terme – il nécessitera des mises à jour individuelles des plugins pour être pris en charge. Il faut donc s’attendre à un déploiement progressif au fil du temps ».

L’année dernière, Apple et Google avaient fait plusieurs annonces autour de Matter afin de faciliter son adoption en vue d’en faire un standard avec l’adoption la plus large possible. Matter débarquait ainsi dans Google Home.

• Domotique : Matter devrait prendre son envol grâce à de nombreuses simplifications

Homebridge est une solution logicielle open source permettant d’ajouter le support de HomeKit (la plateforme d’objets connectés d’Apple) à des produits qui ne le sont pas nativement. Par exemple, des caméras Ring d’Amazon sont ainsi accessibles et utilisables depuis l’application Maison (Home en anglais) d’Apple grâce à Homebridge.

Après trois ans de bêta, Homebridge commence à prendre en charge le standard Matter et passe pour l’occasion en version 2.0. L’app fait donc office de pont Matter, en plus de HomeKit. Les plugins Homebridge peuvent ainsi utiliser des produits Matter (et s’ouvrent notamment à l’écosystème Google). L’application Maison d’Apple est de son côté déjà compatible HomeKit et Matter.

Avant la migration, les développeurs mettent en garde : « Avant de faire une mise à jour, assurez-vous que le(s) plugin(s) que vous utilisez sont compatibles avec cette nouvelle version de Homebridge […] Node.js 18 et 20 ne sont plus pris en charge. Homebridge v2 nécessite Node.js 22 ou 24 ».

Comme le rapporte The Verge, le développeur voit deux principaux cas d’usage. Pour commencer, « combler le fossé dans la prise en charge des appareils HomeKit : Apple a commencé à utiliser Matter pour les nouveaux types d’appareils plutôt que de les ajouter directement à HomeKit. Les aspirateurs en sont un exemple récent : Apple a ajouté la prise en charge des aspirateurs à l’application Home, mais via Matter, et non via HomeKit. Notre objectif est de combler cette lacune afin que les plugins Homebridge puissent offrir toutes les fonctionnalités pour ces types d’appareils. Nous pensons que cet objectif est tout à fait réalisable et qu’il s’agit de la priorité immédiate ».

Deuxième cas d’usage : « Utiliser d’autres contrôleurs Matter avec les plugins Homebridge : cela permettrait d’accéder à vos plugins Homebridge depuis d’autres contrôleurs Matter, comme l’application Aqara par exemple. Il s’agit là d’un projet à plus long terme – il nécessitera des mises à jour individuelles des plugins pour être pris en charge. Il faut donc s’attendre à un déploiement progressif au fil du temps ».

L’année dernière, Apple et Google avaient fait plusieurs annonces autour de Matter afin de faciliter son adoption en vue d’en faire un standard avec l’adoption la plus large possible. Matter débarquait ainsi dans Google Home.

• Domotique : Matter devrait prendre son envol grâce à de nombreuses simplifications

Presque huit ans après Dav1d, VideoLAN remet le couvert avec Dav2d. Comme son nom l’indique, c’est une implémentation logicielle pour décompresser des vidéos AV2, le codec en cours de développement par l’Alliance for Open Media. Il prend donc la suite de Dav1d – qui est l’acronyme récursif de Dav1d is an AV1 decoder – pensé pour le codec AV1.

Dans la foire aux questions, il est précisé que Dav2d est toujours récursif, « mais c’est moins drôle que dav1d », reconnait l’équipe. Quoi qu’il en soit, Dav2d est proposé sous une licence très permissive : BSD 2-Clause ou « Simplified BSD License ».

Sur le GitLab dédié de VideoLAN, il est indiqué que « dav2d est un décodeur AV2 multiplateforme, open source, axé sur la vitesse et la précision. Il est basé sur notre décodeur dav1d, très populaire. Il s’agit d’un projet encore préliminaire, qui ne devrait pas être utilisé en production, notamment parce que la spécification AV2 n’est pas définitive ». Ce projet de VideoLAN est réalisé dans « le cadre de son adhésion à l’Alliance for Open Media/AOM », en charge d’AV1 et AV2.

Les travaux ont débuté il y a quelques mois déjà, mais c’est encore une version très préliminaire en 0.0.1 (alias Merbanan). L’équipe cherche de l’aide, notamment des développeurs C et assembleur, ainsi que des testeurs… La FAQ se termine par un trait d’humour sur ce sujet : « Vous soucierez-vous de <mon architecture > ? De < mon OS > ? ». Réponse : « Oui, mais nous n’avons ni le temps ni les connaissances nécessaires. C’est pourquoi les correctifs et les contributions sont les bienvenus ».

AV1, pour rappel, a été lancé en 2018 et son adoption a pris du temps, notamment pour le navigateur Edge de Microsoft (version 121 en 2024) et les terminaux Apple (Mac avec puce M3, iPhone 15Pro et 16), comme le rappelle Lafibre.info dans son grand tableau récapitulatif des codecs populaires.

L’avantage d’AV1 est sa gratuité (pas de redevance, comme AV2), il peut être encapsulé dans des conteneurs tels que MP4, MKV ou même WebM. Il a donné naissance à AVIF pour AV1 Image File Format (un mélange entre les algorithmes de compression AV1 et du High Efficiency Image File Format ou HEIF).

• L’AVIF prend enfin ses aises sur Internet : c’est quoi ce format d’image ?

Presque huit ans après Dav1d, VideoLAN remet le couvert avec Dav2d. Comme son nom l’indique, c’est une implémentation logicielle pour décompresser des vidéos AV2, le codec en cours de développement par l’Alliance for Open Media. Il prend donc la suite de Dav1d – qui est l’acronyme récursif de Dav1d is an AV1 decoder – pensé pour le codec AV1.

Dans la foire aux questions, il est précisé que Dav2d est toujours récursif, « mais c’est moins drôle que dav1d », reconnait l’équipe. Quoi qu’il en soit, Dav2d est proposé sous une licence très permissive : BSD 2-Clause ou « Simplified BSD License ».

Sur le GitLab dédié de VideoLAN, il est indiqué que « dav2d est un décodeur AV2 multiplateforme, open source, axé sur la vitesse et la précision. Il est basé sur notre décodeur dav1d, très populaire. Il s’agit d’un projet encore préliminaire, qui ne devrait pas être utilisé en production, notamment parce que la spécification AV2 n’est pas définitive ». Ce projet de VideoLAN est réalisé dans « le cadre de son adhésion à l’Alliance for Open Media/AOM », en charge d’AV1 et AV2.

Les travaux ont débuté il y a quelques mois déjà, mais c’est encore une version très préliminaire en 0.0.1 (alias Merbanan). L’équipe cherche de l’aide, notamment des développeurs C et assembleur, ainsi que des testeurs… La FAQ se termine par un trait d’humour sur ce sujet : « Vous soucierez-vous de <mon architecture > ? De < mon OS > ? ». Réponse : « Oui, mais nous n’avons ni le temps ni les connaissances nécessaires. C’est pourquoi les correctifs et les contributions sont les bienvenus ».

AV1, pour rappel, a été lancé en 2018 et son adoption a pris du temps, notamment pour le navigateur Edge de Microsoft (version 121 en 2024) et les terminaux Apple (Mac avec puce M3, iPhone 15Pro et 16), comme le rappelle Lafibre.info dans son grand tableau récapitulatif des codecs populaires.

L’avantage d’AV1 est sa gratuité (pas de redevance, comme AV2), il peut être encapsulé dans des conteneurs tels que MP4, MKV ou même WebM. Il a donné naissance à AVIF pour AV1 Image File Format (un mélange entre les algorithmes de compression AV1 et du High Efficiency Image File Format ou HEIF).

• L’AVIF prend enfin ses aises sur Internet : c’est quoi ce format d’image ?

IA là !

Ce n’est pas une surprise : les jeunes Français et Européens utilisent massivement des outils d’IA. Mais dans quelles proportions, à quelle fréquence et pour quels types d’usages ? La CNIL répond à ces questions.

La CNIL vient de publier les résultats d’une enquête réalisée par Ipsos BVA, en partenariat avec le Groupe VYV (acteur mutualiste de santé et de protection sociale en France) dans quatre pays européens. Elle concerne un sujet ô combien d’actualité : « IA conversationnelle et santé mentale des jeunes ». Pour le sondage, 3 800 jeunes âgés de 11 à 25 ans ont été interrogés en janvier 2026 dans quatre pays européens.

Quasiment 9 jeunes sur 10 utilisent l’IA, dès 11 ans

Premier constat : « 86 % des jeunes Français utilisent des outils d’IA »… et la France est en dernière position sur les quatre pays interrogés. L’Allemagne est en tête avec 92 %, suivie par l’Irlande à 89 % et la Suède à 87 %. À cela s’ajoute un usage dans la durée : « 3 jeunes sur 5 utilisent l’IA conversationnelle depuis plus d’un an ».

L’usage est intensif : un quart des jeunes utilise l’IA chaque jour (58 % une fois par semaine), dans le cadre scolaire ou professionnel. Ils sont également un tiers à la questionner au moins une fois par semaine sur leur vie personnelle et à lui demander des conseils, dont 16 % au moins une fois par jour.

Sur la santé mentale, la réalité semble bien différente du ressenti des utilisateurs. 84 % des jeunes Français – 79 % des filles vs 89 % des garçons – disent se sentir bien dans leur vie quotidienne, mais ils seraient dans le même temps (toujours selon le sondage) 65 % à présenter des troubles anxieux. Le chiffre varie entre 67 et 69 % dans les trois autres pays de l’étude.

L’IA est adoptée très tôt, dès 11 ans selon le sondage. Et, encore, c’est un âge plancher puisque les jeunes interrogés ont, pour rappel, entre 11 et 25 ans (impossible donc de dire ce qu’il en est pour les 10 ans et moins). On passe les 90 % dès la tranche d’âge 15 et 16 ans.

Un tiers des jeunes parle de sujets intimes et personnels

Les usages sont évidemment variés, avec une forte proportion comme outils scolaire ou professionnel, mais aussi pour les loisirs pour 41 % des interrogés (musiques, images, astuces jeux vidéo, idées d’activités…). Les jeunes sont aussi entre 26 et 35 % à parler de sujets intimes et personnels pour recevoir des conseils lorsqu’ils sont stressés, rencontrent des problèmes avec leurs proches, se sentent tristes, en colère ou pas bien dans leur tête, pour gérer des conflits…

Dans sa synthèse, la CNIL note que « les jeunes les plus anxieux déclarent parler plus facilement de leurs problèmes avec une IA qu’avec leurs proches ou qu’avec des professionnels ». La tendance est la même dans les quatre pays.

Le fait qu’elle soit toujours disponible arrive en tête, mais aussi car c’est plus facile que de parler à une vraie personne pour 40 % des jeunes français.

Autre analyse intéressante : un jeune sur trois « ayant utilisé une IA pour des sujets personnels [déclare] s’être déjà [senti] mal à l’aise à cause d’un conseil reçu ». Là encore, cela ne devrait pas surprendre grand monde, mais cela n’empêche évidemment pas de le dire, au contraire !

Deux tiers des jeunes utilisent l’IA comme… un conseiller de vie

Plus de six jeunes Français sur dix considèrent l’IA comme un conseiller de vie et/ou un confident. Un sur deux comme un ami ou un psy, et même un jeune sur cinq comme un amoureux.

Pour 50 % des jeunes, l’IA permet aussi de se sentir mieux et d’avoir davantage confiance en soi. Un jeune sur trois considère même que l’IA peut comprendre les émotions humaines et qu’elle conseille mieux que les humains.

La jeunesse semble heureusement lucide sur la question de la confiance : « 80 % des jeunes n’ont pas totalement confiance en l’IA, malgré son adoption importante ». En être conscient ne veut pas forcément dire l’appliquer au quotidien, malheureusement. C’est un peu comme les mots de passe : tout le monde ou presque sait qu’il ne faut jamais réutiliser le même ; dans la pratique cela arrive souvent.

Les jeunes estiment à 69 % que les IA peuvent donner des conseils fiables, 56 % qu’elles peuvent garder secrets les échanges et 51 % qu’elles peuvent protéger les informations qui leur sont confiées. Preuve que les messages sur le côté statistique des réponses et des données réutilisées pour les entraînements ne sont pas passés auprès de tout le monde.

Des avis partagés, quid d’une disparition de l’IA ?

Les jeunes Français souhaitent davantage d’informations sur ce que l’IA fait de leurs informations, ce qu’il faut éviter de confier à une IA, connaitre les bonnes pratiques et les risques. Seuls 32 % des Français
se considèrent bien informés sur ce que deviennent leurs informations confiées à l’IA, contre 37 à 46 % dans les trois autres pays européens. Il serait intéressant de faire le même sondage auprés des autres générations… pas sur qu’elles s’en sortent mieux.

« La moitié des jeunes Français considère que l’IA peut aider à se sentir mieux, à gagner en confiance. L’autre moitié est en désaccord avec ces affirmations ». Pour la majorité des utilisateurs, « la disparition de l’IA n’aurait que très peu d’effets ». C’est une moyenne : les jeunes les plus fragiles (anxieux, qui utilisent l’IA pour des raisons personnelles et/ou intimes) sont ceux qui voient le plus de conséquences néfastes.

La CNIL milite pour une meilleure éducation au numérique

Dans sa conclusion, la CNIL expose qu’une « part croissante de l’expression du stress, du mal-être ou des difficultés personnelles se joue désormais en amont des parcours classiques de prévention et de recours aux professionnels ». Pour la Commission, cela doit appeler une réponse collective, notamment avec une meilleure éducation au numérique.

Pour le Groupe VYV et la Commission, « l’enjeu n’est ni de freiner l’innovation ni de banaliser les usages, mais de contribuer à construire un cadre de confiance ». Pour les deux partenaires du jour, « il devient essentiel d’intégrer pleinement le numérique dans les politiques de prévention, en articulant innovation, protection des données et accompagnement des usages ».

IA là !

Ce n’est pas une surprise : les jeunes Français et Européens utilisent massivement des outils d’IA. Mais dans quelles proportions, à quelle fréquence et pour quels types d’usages ? La CNIL répond à ces questions.

La CNIL vient de publier les résultats d’une enquête réalisée par Ipsos BVA, en partenariat avec le Groupe VYV (acteur mutualiste de santé et de protection sociale en France) dans quatre pays européens. Elle concerne un sujet ô combien d’actualité : « IA conversationnelle et santé mentale des jeunes ». Pour le sondage, 3 800 jeunes âgés de 11 à 25 ans ont été interrogés en janvier 2026 dans quatre pays européens.

Quasiment 9 jeunes sur 10 utilisent l’IA, dès 11 ans

Premier constat : « 86 % des jeunes Français utilisent des outils d’IA »… et la France est en dernière position sur les quatre pays interrogés. L’Allemagne est en tête avec 92 %, suivie par l’Irlande à 89 % et la Suède à 87 %. À cela s’ajoute un usage dans la durée : « 3 jeunes sur 5 utilisent l’IA conversationnelle depuis plus d’un an ».

L’usage est intensif : un quart des jeunes utilise l’IA chaque jour (58 % une fois par semaine), dans le cadre scolaire ou professionnel. Ils sont également un tiers à la questionner au moins une fois par semaine sur leur vie personnelle et à lui demander des conseils, dont 16 % au moins une fois par jour.

Sur la santé mentale, la réalité semble bien différente du ressenti des utilisateurs. 84 % des jeunes Français – 79 % des filles vs 89 % des garçons – disent se sentir bien dans leur vie quotidienne, mais ils seraient dans le même temps (toujours selon le sondage) 65 % à présenter des troubles anxieux. Le chiffre varie entre 67 et 69 % dans les trois autres pays de l’étude.

L’IA est adoptée très tôt, dès 11 ans selon le sondage. Et, encore, c’est un âge plancher puisque les jeunes interrogés ont, pour rappel, entre 11 et 25 ans (impossible donc de dire ce qu’il en est pour les 10 ans et moins). On passe les 90 % dès la tranche d’âge 15 et 16 ans.

Un tiers des jeunes parle de sujets intimes et personnels

Les usages sont évidemment variés, avec une forte proportion comme outils scolaire ou professionnel, mais aussi pour les loisirs pour 41 % des interrogés (musiques, images, astuces jeux vidéo, idées d’activités…). Les jeunes sont aussi entre 26 et 35 % à parler de sujets intimes et personnels pour recevoir des conseils lorsqu’ils sont stressés, rencontrent des problèmes avec leurs proches, se sentent tristes, en colère ou pas bien dans leur tête, pour gérer des conflits…

Dans sa synthèse, la CNIL note que « les jeunes les plus anxieux déclarent parler plus facilement de leurs problèmes avec une IA qu’avec leurs proches ou qu’avec des professionnels ». La tendance est la même dans les quatre pays.

Le fait qu’elle soit toujours disponible arrive en tête, mais aussi car c’est plus facile que de parler à une vraie personne pour 40 % des jeunes français.

Autre analyse intéressante : un jeune sur trois « ayant utilisé une IA pour des sujets personnels [déclare] s’être déjà [senti] mal à l’aise à cause d’un conseil reçu ». Là encore, cela ne devrait pas surprendre grand monde, mais cela n’empêche évidemment pas de le dire, au contraire !

Deux tiers des jeunes utilisent l’IA comme… un conseiller de vie

Plus de six jeunes Français sur dix considèrent l’IA comme un conseiller de vie et/ou un confident. Un sur deux comme un ami ou un psy, et même un jeune sur cinq comme un amoureux.

Pour 50 % des jeunes, l’IA permet aussi de se sentir mieux et d’avoir davantage confiance en soi. Un jeune sur trois considère même que l’IA peut comprendre les émotions humaines et qu’elle conseille mieux que les humains.

La jeunesse semble heureusement lucide sur la question de la confiance : « 80 % des jeunes n’ont pas totalement confiance en l’IA, malgré son adoption importante ». En être conscient ne veut pas forcément dire l’appliquer au quotidien, malheureusement. C’est un peu comme les mots de passe : tout le monde ou presque sait qu’il ne faut jamais réutiliser le même ; dans la pratique cela arrive souvent.

Les jeunes estiment à 69 % que les IA peuvent donner des conseils fiables, 56 % qu’elles peuvent garder secrets les échanges et 51 % qu’elles peuvent protéger les informations qui leur sont confiées. Preuve que les messages sur le côté statistique des réponses et des données réutilisées pour les entraînements ne sont pas passés auprès de tout le monde.

Des avis partagés, quid d’une disparition de l’IA ?

Les jeunes Français souhaitent davantage d’informations sur ce que l’IA fait de leurs informations, ce qu’il faut éviter de confier à une IA, connaitre les bonnes pratiques et les risques. Seuls 32 % des Français
se considèrent bien informés sur ce que deviennent leurs informations confiées à l’IA, contre 37 à 46 % dans les trois autres pays européens. Il serait intéressant de faire le même sondage auprés des autres générations… pas sur qu’elles s’en sortent mieux.

« La moitié des jeunes Français considère que l’IA peut aider à se sentir mieux, à gagner en confiance. L’autre moitié est en désaccord avec ces affirmations ». Pour la majorité des utilisateurs, « la disparition de l’IA n’aurait que très peu d’effets ». C’est une moyenne : les jeunes les plus fragiles (anxieux, qui utilisent l’IA pour des raisons personnelles et/ou intimes) sont ceux qui voient le plus de conséquences néfastes.

La CNIL milite pour une meilleure éducation au numérique

Dans sa conclusion, la CNIL expose qu’une « part croissante de l’expression du stress, du mal-être ou des difficultés personnelles se joue désormais en amont des parcours classiques de prévention et de recours aux professionnels ». Pour la Commission, cela doit appeler une réponse collective, notamment avec une meilleure éducation au numérique.

Pour le Groupe VYV et la Commission, « l’enjeu n’est ni de freiner l’innovation ni de banaliser les usages, mais de contribuer à construire un cadre de confiance ». Pour les deux partenaires du jour, « il devient essentiel d’intégrer pleinement le numérique dans les politiques de prévention, en articulant innovation, protection des données et accompagnement des usages ».

Palit, ce nom ne vous dit peut-être pas grand-chose, pourtant c’est un géant du monde des cartes graphiques pour les joueurs. Depuis presque 20 ans, la société possède la marque GALAX. En Europe, cette dernière opère sous le nom KFA2.

GALAX propose des produits un peu partout dans le reste du monde, notamment au Brésil. Un message sur la page officielle locale (seul le Brésil semble concerné) annonce que Palit « prend le contrôle et l’exploitation de la marque GALAX. Avec cette transition, Palit devient l’unique responsable de toutes les activités et les engagements liés à la marque ». Palit détient, pour rappel, GALAX depuis 2007.

Vient ensuite un message sur X (supprimé depuis, mais disponible chez VideoCardz) publié par Ronaldo Buassali de TecLab (une équipe d’overclockeurs affiliée à GALAX) qui explique que « toutes les affaires en cours doivent être terminées le 27 avril ». C’est en quelque sorte le patient zéro de l’emballement médiatique qui a suivi, et donné lieu à la propagation de la fausse nouvelle sur la fermeture de GALAX.

Palit et GALAX ont depuis communiqué officiellement (ici aussi) pour annoncer, en trois mots : « Business as usual ». « GALAX poursuit ses activités. Nous continuons à développer, produire et assurer le support de notre matériel ». L’entreprise ajoute que les récentes annonces « s’inscrivent dans un effort mondial visant à intégrer la gestion de notre marque pour de meilleures efficacité et synergie ».

« À l’instar de l’intégration réussie de nos opérations internes entre GALAX et Palit, nos marques internationales « GALAX », « KFA2 » et « HOF » [Hall Of Fame, ndlr] sont désormais gérées directement par notre siège, le groupe Palit ». Voilà le seul changement de ces derniers jours.

Business as usual… vraiment ? Pas tant que ça, enfin à voir suivant la définition que chacun apporte à cette phrase. Sur le site de GALAX il est en effet indiqué que, « avec la fermeture des activités de l’ancienne structure et le licenciement de son équipe, la gestion est désormais assurée exclusivement par les canaux officiels de Palit ». Igor’s Lab affirme même que « l’ensemble de l’équipe mondiale [de GALAX] a été licenciée ».

Ni Palit ni GALAX ne démentent les licenciements dans leur communiqué, mais ils ne donnent pas non plus davantage de détails ou de chiffres. Ils parlent simplement de réintégrer la gestion des marques de manière « centralisée au siège du groupe Palit ».

Palit, ce nom ne vous dit peut-être pas grand-chose, pourtant c’est un géant du monde des cartes graphiques pour les joueurs. Depuis presque 20 ans, la société possède la marque GALAX. En Europe, cette dernière opère sous le nom KFA2.

GALAX propose des produits un peu partout dans le reste du monde, notamment au Brésil. Un message sur la page officielle locale (seul le Brésil semble concerné) annonce que Palit « prend le contrôle et l’exploitation de la marque GALAX. Avec cette transition, Palit devient l’unique responsable de toutes les activités et les engagements liés à la marque ». Palit détient, pour rappel, GALAX depuis 2007.

Vient ensuite un message sur X (supprimé depuis, mais disponible chez VideoCardz) publié par Ronaldo Buassali de TecLab (une équipe d’overclockeurs affiliée à GALAX) qui explique que « toutes les affaires en cours doivent être terminées le 27 avril ». C’est en quelque sorte le patient zéro de l’emballement médiatique qui a suivi, et donné lieu à la propagation de la fausse nouvelle sur la fermeture de GALAX.

Palit et GALAX ont depuis communiqué officiellement (ici aussi) pour annoncer, en trois mots : « Business as usual ». « GALAX poursuit ses activités. Nous continuons à développer, produire et assurer le support de notre matériel ». L’entreprise ajoute que les récentes annonces « s’inscrivent dans un effort mondial visant à intégrer la gestion de notre marque pour de meilleures efficacité et synergie ».

« À l’instar de l’intégration réussie de nos opérations internes entre GALAX et Palit, nos marques internationales « GALAX », « KFA2 » et « HOF » [Hall Of Fame, ndlr] sont désormais gérées directement par notre siège, le groupe Palit ». Voilà le seul changement de ces derniers jours.

Business as usual… vraiment ? Pas tant que ça, enfin à voir suivant la définition que chacun apporte à cette phrase. Sur le site de GALAX il est en effet indiqué que, « avec la fermeture des activités de l’ancienne structure et le licenciement de son équipe, la gestion est désormais assurée exclusivement par les canaux officiels de Palit ». Igor’s Lab affirme même que « l’ensemble de l’équipe mondiale [de GALAX] a été licenciée ».

Ni Palit ni GALAX ne démentent les licenciements dans leur communiqué, mais ils ne donnent pas non plus davantage de détails ou de chiffres. Ils parlent simplement de réintégrer la gestion des marques de manière « centralisée au siège du groupe Palit ».

Durant ce long week-end pour commencer le mois de mai, deux logiciels ont eu droit à des mises à jour. Commençons par Rufus, un logiciel spécialisé dans la préparation et la création de clé USB pour installer des systèmes d’exploitation. Il est passé en version 4.14, une dizaine de jours après la bêta.

Première nouveauté, une option « qualité de vie » pour Windows permettant de « désactiver Teams, Outlook, Copilot et autres applications Microsoft imposées et agaçantes ». Rufus propose aussi une installation silencieuse de Windows, c’est-à-dire « qui installe automatiquement Windows sur le premier disque détecté, sans demander de confirmation ».

Les notes de version reportent aussi des améliorations pour les ordinateurs Dell. Il est aussi question d’améliorer « le support de Bazzite [un OS pensé pour les joueurs sous Linux, ndlr] et d’autres dérivés de Fedora qui ne respectent pas les conventions EFI », toutes les deux disponibles depuis peu en version 44.

• Télécharger Rufus 4.14

Autre mise à jour du week-end, Wine 11.8. L’application permet de lancer des applications Windows sous Linux ou macOS, mais n’est pas un émulateur au sens strict. Son nom, d’ailleurs, est l’acronyme récursif de « Wine is not an emulator ».

Les notes de version indiquent que le moteur Mono (transféré par Microsoft à WineHQ en 2024) passe en version 11.1.0, parlent d’« améliorations pour la compatibilité avec VBScript » et ajoutent, comme toujours, que divers bugs sont corrigés.

Dans la liste de bugs, un attire l’attention. Il porte la référence #1201 et concerne le jeu… Golf 99. Le bug a été remonté en 2002 et il est donc corrigé 24 ans plus tard.

• Télécharger Wine 11.8