Mega Meta amende

L’entreprise de Mark Zuckerberg a été condamnée, suite à l’affaire Cambridge Analytica, à payer 25 milliards de dollars dans l’État américain du Nouveau-Mexique pour avoir menti à ses utilisateurs concernant la confidentialité de leurs données. C’est l’une des plus lourdes sanctions contre une entreprise du numérique jamais prononcées.

Ce n’est pas la sanction la plus lourde que le juge aurait pu prononcer, mais son ampleur reste historique : Meta a été condamnée à payer 25 milliards de dollars. Comme nous l’expliquions fin septembre, l’entreprise de Mark Zuckerberg pouvait craindre une addition encore plus salée, avec une sanction potentielle de 219 milliards de dollars.

Le verdict tombé le 25 septembre concernait les suites de l’affaire Cambridge Analytica. Ce cabinet britannique avait organisé, à partir de 2014, un microciblage politique en collectant des données sur 87 millions d’utilisateurs de Facebook, puis les avait exploitées pour différentes campagnes électorales, dont la première de Donald Trump en 2016 et celle du Brexit.

Comme d’autres États américains, le Nouveau-Mexique avait porté plainte contre Facebook (devenu ensuite Meta). Mais son procureur est le seul à ne pas avoir signé d’accord avec l’entreprise et à avoir poussé le procès jusqu’au bout. Au final, le jury a constaté que Facebook s’est rendu coupable de 43 899 725 infractions à la loi sur les pratiques déloyales en vigueur dans l’État et 26 des 29 déclarations de Meta pointées par l’accusation ont été désignées trompeuses par le jury. Notamment, l’entreprise a menti sur le contrôle par ses utilisateurs du partage de leurs informations, sur leur vente ou leur cession à des annonceurs ou encore sur l’achat et la vente de données utilisateurs par Meta. Mais il restait à un juge de décider quelles en seraient les conséquences financières pour Meta.

Des pratiques « au cœur même des pratiques commerciales fondamentales de l’entreprise »

« Les agissements répréhensibles de Facebook – qui se sont étalés sur plusieurs années et ont été systématiquement portés à la connaissance du public – touchent au cœur même des pratiques commerciales fondamentales de l’entreprise », a affirmé le juge Francis J. Mathew dans son ordonnance [PDF] suivant le verdict du jury. « Cela concerne la manière dont Facebook attire les utilisateurs sur sa plateforme et parvient à les y fidéliser. Cela concerne également la principale ressource que les utilisateurs apportent à Facebook — leurs données —, qui est précisément ce qui a permis à Facebook d’atteindre un tel niveau de rentabilité », a-t-il ajouté.

« L’ampleur du préjudice causé dans cette affaire est difficile à surévaluer et touche au cœur même du modèle économique de Facebook », y écrit-il encore. Il souligne le « nombre extraordinaire de violations délibérées […], la durée et la répétition » qui « justifient l’application de la sanction la plus sévère ».

25 milliards et 15 % d’intérêt par an jusqu’au paiement intégral

Le juge a néanmoins ramené l’amende que devra payer Meta de 219 milliards à 25 milliards de dollars mais a ajouté que « les intérêts sur cette amende courront au taux de 15 % par an jusqu’à son paiement intégral ».

« C’est un jour historique pour le Nouveau-Mexique et pour les consommateurs de tout le pays », a déclaré le procureur général Raúl Torrez. « Depuis trop longtemps, de puissantes entreprises technologiques agissent comme si leur taille et leur influence les plaçaient hors de portée de la loi. Un jury du Nouveau-Mexique a constaté près de 44 millions d’infractions à notre loi sur la protection des consommateurs, et cette décision de sanction démontre que ces infractions entraînent des conséquences réelles. Nous nous sommes attaqués à l’une des plus grandes entreprises au monde parce que les habitants du Nouveau-Mexique méritent l’honnêteté, la responsabilité et la protection de leurs données personnelles. Le résultat d’aujourd’hui montre clairement qu’aucune entreprise n’est trop puissante pour être tenue de rendre des comptes. »

« Cette décision, ainsi que l’approche adoptée par le procureur général dans le cadre de cette application de la loi, rend pratiquement impossible toute activité commerciale dans l’État du Nouveau-Mexique », a affirmé le directeur juridique de Meta, C.J. Mahoney, dans une déclaration citée par l’agence Reuters. « Au fond, cette action en justice vise à imposer une taxe sur la liberté d’expression afin d’imposer de nouvelles règles sur ce que les gens peuvent dire en ligne », s’indigne-t-il. Il précise que son entreprise va faire appel.

Un sondage effectué par YouGov pour le think tank européen Interface montre que les enfants de plus de 11 ans utilisent quasiment autant les IA génératives que leurs parents. Mais ceux-ci sous-évaluent cette fréquence d’utilisation. Les enfants souhaiteraient les utiliser moins souvent.

YouGov publie ce jeudi 22 octobre un sondage commandé par le think tank européen Interface sur l’utilisation des IA génératives par les parents et enfants en France (effectué en interrogeant 1 138 parents et 970 adolescents âgés de 11 à 17 ans après accord des parents). Selon celui-ci, 86 % des enfants interrogés utilisent plus ou moins régulièrement des outils d’IA génératives, alors que 76 % des parents estiment que leurs enfants les utilisent.

Le think tank Interface qui a commandé ce sondage est une association qui revendique être apartisane et n’être « affiliée à aucune institution publique ou privée ». Sur sa page de transparence financière, elle indique avoir obtenu des financements variés venant de l’Open Society Foundation, mais aussi de la William and Flora Hewlett Foundation, de la fondation Mercator et de l’entreprise Luminate.

La démarche de ce sondage est intéressante : il essaye de mesurer l’accès et l’usage de l’IA générative chez les adolescents et chez les parents, mais aussi la perception des parents sur les usages de leurs enfants et notamment leur fréquence d’utilisation (ce qui est différent d’une mesure du temps qu’ils y passent).

Ainsi, chez les parents interrogés, on peut se rendre compte que la quasi-totalité connait les outils d’IA générative, que ce soit (à 97 %) les chatbots généralistes comme ChatGPT, Claude, Gemini, Copilot ou les assistants vocaux (à 94 %) et dans une moindre mesure (85 %), celles intégrées aux réseaux sociaux comme My AI chez Snapchat ou Meta AI dans WhatsApp ou Instagram. Ils connaissent légèrement moins (70 %) les compagnons IA comme Character.AI, Replika ou Nomi.

Leur utilisation est aussi importante. Ainsi, 80 % d’entre eux utilisent une IA générative généraliste, 57 % des assistants vocaux, 45 % des IA intégrées aux réseaux sociaux et un tiers utilise des compagnons IA :

Une sous-évaluation des parents de l’utilisation par leurs enfants

Mais concernant leurs enfants, les parents sous-évaluent l’adoption des IA génératives généralistes. Ainsi, alors que 66 % des parents pensent que leur enfant les utilise, 78 % des enfants déclarent le faire. Pour le reste des outils, l’écart entre la perception des parents et la déclaration des enfants existe, mais elle est plus faible (49 % contre 55 % pour les assistants vocaux, par exemple).

On peut voir aussi dans ces résultats que l’utilisation au moins une fois par semaine est sous-évaluée par les parents : 41 % d’entre eux, contre 51 % d’utilisation déclarée chez les enfants.

Selon ce sondage, l’utilisation des IA génératives par les enfants plus jeunes semble plus sous-évaluée :

Les parents perçoivent plus de risques que leurs enfants

Quand YouGov propose aux parents d’évaluer ce que l’utilisation de l’IA générative fait sur leurs enfants, les parents restent prudents. 32 % estiment par exemple qu’elle « peut être un outil utile pour la réussite scolaire » mais aussi à 27 % qu’elle « nuit au développement de la réflexion personnelle de mon enfant ». De même, 32 % estiment qu’elle « aide mon enfant à approfondir ses connaissances », mais à 24 % qu’elle « expose mon enfant à des informations fausses ou trompeuses ».

Du côté des enfants, la perception des aspects négatifs est beaucoup moins forte. Ainsi, ils sont 47 % à choisir que l’IA « me fait gagner du temps (par exemple les devoirs) » et seulement 17 % qu’elle « m’empêche de réfléchir par moi-même ».

Les enfants sentent que les outils les incitent à les utiliser plus souvent qu’ils ne le veulent

Mais les enfants, en très grande majorité (92 %), souhaiteraient néanmoins passer moins de temps sur ces outils. Ainsi ils sont 59 % à avoir l’impression de passer trop de temps avec des compagnons IA et 57 % avec des IA intégrées aux réseaux sociaux. De façon moins importante mais significative, ils sont 45 % à avoir ce sentiment pour les outils d’IA générative généraliste et 43 % pour les assistants vocaux.

4 !

eMudhra, une entreprise indienne qui se targue d’avoir délivré plus de 60 millions de certificats numériques, utilisait des clés privées très mal générées. Résultat : n’importe qui pouvait les utiliser pour certifier un site. Le travail pour faire le ménage est important et ne se limite pas aux navigateurs qui ont rapidement bloqué les certificats concernés.

Des ingénieurs en cryptographie se sont aperçus que huit clés privées de l’entreprise eMudhra, autorité de certification basée en Inde, étaient extrêmement mal générées. Elles mettent la sécurité des communications sur Internet en grande difficulté. L’entreprise indienne assure cependant qu’une seule d’entre elles était en production et qu’elle n’avait délivré aucun certificat.

Les certificats TLS permettent aux internautes d’authentifier un tiers et d’initier une communication sécurisée. Ils sont notamment utilisés pour sécuriser le protocole HTTPS. Mais ils reposent sur la certification émise par des autorités via une signature construite à partir d’une clé privée. Si un tiers obtient celle-ci, il peut créer des certificats et se faire passer pour quelqu’un d’autre, par exemple votre banque ou une entreprise de vente en ligne en laquelle vous avez assez confiance.

Des clés privées associées à huit certificats intermédiaires compromises

« Le samedi 17 octobre, à 20 h 06 UTC, Mozilla a reçu un signalement d’un membre de la communauté indiquant que les clés privées associées à huit certificats intermédiaires eMudhra avaient été compromises. Ces clés pourraient permettre à des pirates d’émettre des certificats HTTPS frauduleux pour des sites web qu’ils ne contrôlent pas », a expliqué Dennis Jackson, ingénieur en cryptographie chez Mozilla ce mardi 20 octobre dans un message envoyé à la communauté.

« Un pirate peut créer un faux certificat pour n’importe quel domaine et s’en servir pour usurper l’identité de serveurs afin d’intercepter ou de modifier le trafic. Il s’agit d’un incident de sécurité grave dont les répercussions s’étendent à l’ensemble d’Internet », ajoute Cloudflare dans un billet consacré au sujet.

Des clés « intrinsèquement faibles »

Le problème, découvert par un certain Wayne, est décrit sur un site nommé « eMudhra, nous avons un problème » créé par Dennis Jackson, un ingénieur de Mozilla. Il y partage la preuve de la compromission des certificats. Le chercheur en cryptographie, Scott Helme a analysé le problème dans un billet de blog.

« Ces huit certificats intermédiaires comprennent six autorités de certification (CA) délivrant des certificats TLS (DV, OV et EV, deux générations pour chaque type) et deux autorités de certification pour la signature de code, toutes créées en avril 2025. Chacune d’entre elles a également été signée de manière croisée par la racine « AAA Certificate Services » de Sectigo en mai 2025 », explique-t-il.

« Il s’agit de clés à un octet intrinsèquement faibles que n’importe qui peut factoriser, et ce problème ne peut pas être maîtrisé », ajoute le chercheur. « Intrinsèquement faibles » est presque une litote puisque, comme le souligne Scott Helme : « L’une des clés privées de l’autorité de certification eMudhra est le chiffre 4 ». « Il ne s’agit pas d’un nombre commençant par 4, ni du chiffre 4 suivi de quelques centaines de chiffres aléatoires, mais simplement du chiffre 4… », insiste-t-il. « Une autre est 56, et une autre encore 115 ». Elles étaient donc extrêmement faciles à trouver.

Normalement, avec des clés de ce type (courbe elliptique P-384), il faudrait un nombre aléatoire de 384 bits (48 octets), alors que dans le cas présent seul le dernier octet est utile ; les 47 autres ne contiennent que des 0. Retrouver la clé privée ne demande donc que 255 essais au maximum, autant dire en un claquement de doigts.

Les certificats rapidement bloqués pour la navigation web

Concernant la navigation sur le web, Mozilla, Chrome, Apple et Microsoft ont rapidement réagi. Ainsi Mozilla affirme que, moins de trois heures après avoir été prévenu, elle a bloqué les certificats dans Firefox via OneCRL. Les équipes de Chrome expliquent avoir fait de même via CRLSet. Les deux éditeurs ont aussi signalé qu’ils supprimaient le certificat racine eMudhra de leurs listes de certificats de confiance. L’entreprise indienne et Sectigo ont elles-mêmes révoqué les huit certificats en question.

L’équipe de Chrome explique aussi que, « par défaut, Chrome applique la transparence des certificats (Certificate Transparency, CT) à toutes les connexions s’appuyant sur des certificats racine figurant dans le magasin de certificats racine de Chrome, et rejette tout certificat TLS n’ayant pas été enregistré conformément à notre politique ». C’est le cas aussi de Firefox depuis la version 135. « Étant donné qu’aucun certificat TLS lié à ces six autorités de certification intermédiaires n’avait été enregistré dans CT avant notre blocage du CRLSet le 17 octobre, aucun certificat frauduleux émis par ces autorités de certification n’aurait pu être considéré comme fiable par défaut dans Chrome ou dans d’autres navigateurs appliquant la transparence des certificats ».

Sur son site, Dennis Jackson explique que les certificats sont aussi bloqués sur les appareils Apple depuis le 19 octobre et sur les plateformes Microsoft depuis le 20. Ainsi, les logiciels pour Windows et les systèmes d’exploitation d’Apple ne peuvent plus non plus être authentifiés par ces certificats.

Des services à mettre à jour, une résolution plus compliquée pour le matériel

Mais le problème reste pour nombre de services Internet. « La plupart des clients TLS autres que les navigateurs (c’est-à-dire pratiquement tout le reste, avec les paramètres par défaut), tels que curl, Python, Node, Go, Java, git, les gestionnaires de paquets ainsi que tous les scripts et démons dont vous disposez, effectuent trois actions importantes dans ce contexte : ils font confiance à un ensemble d’autorités de certification [CA bundle, en anglais] stocké sur le disque, ils ne vérifient pas la révocation par défaut et ils ne vérifient pas la CT », explique Scott Helme.

Certaines équipes de ces outils ont déjà réagi. Comme le liste The Hacker News, un correctif a par exemple été mis en place pour Go, pour Network Security Services, pour Python certifi, pour Homebrew-core ou encore pour Rust webpki-roots.

Le conseil est donc de mettre à jour tout ce qui peut l’être et qui intègre un ensemble d’autorités de certification [CA bundle]. Comme le souligne Scott Helme, reste le matériel ne pouvant pas être mis à jour et qui va donc faire confiance à ces certificats jusqu’à juillet 2039, date de leur expiration.

eMudhra assure qu’aucun certificat ne s’appuyait sur ces clés et qu’une seule était en production

De son côté, eMudhra explique depuis le 20 octobre enquêter sur l’incident. Ce mercredi 21 octobre, elle assure que « sept des huit [clés] intermédiaires n’ont jamais été utilisées en production. La seule qui ait été utilisée en production n’avait délivré aucun certificat ». Elle affirme les avoir révoquées mais insiste : « elles n’ont jamais émis de certificat ; par conséquent, aucun certificat utilisé où que ce soit ne s’appuyait sur elles ».

Mais comme l’explique Scott Helme, pendant 17 mois, tout le monde pouvait pourtant émettre ses propres certificats en utilisant ces clés et ainsi certifier un site ou un service. Le chercheur l’a testé sur un serveur local et un certificat pour l’API de paiement par Internet de Stripe api.stripe.com. « Avec les paramètres par défaut, curl a indiqué que la vérification du certificat SSL s’était bien déroulée, Python a mené à bien la négociation de connexion et Node a renvoyé la valeur authorized: true. Cela s’est vérifié sur toutes les machines Linux et macOS que j’ai testées », explique-t-il.

« Par mesure de précaution, la clé racine a été considérée comme non fiable par les programmes de gestion des clés racines. À notre connaissance, aucune autre clé racine ni aucune clé intermédiaire n’ont été générées à l’aide de ce processus défaillant », ajoute dans sa note eMudhra.

L’entreprise n’a pas encore fini son enquête. Mais elle assure qu’elle a bien généré des clés « sur des modules de sécurité matériels [Hardware Security Modules, HSM] certifiés FIPS 140 - 2 niveau 3. Les allégations selon lesquelles les HSM n’auraient pas été utilisés sont erronées ». Elle ajoute cependant que « le problème provenait d’une faille dans l’une des étapes de la procédure de génération, et non de l’absence d’HSM ». Ainsi, pendant cette procédure, une étape clé de « wrap/unwrap » » aurait, selon l’entreprise indienne, « généré un deuxième ensemble de clés, plus faibles, en plus des clés originales, plus fortes. Ce sont ces clés plus faibles qui ont été publiées dans les magasins de clés racines des navigateurs ».

Mega Cambridge Analytica

Alors que le deuxième tour de la présidentielle brésilienne arrive, Meta est accusée d’avoir introduit des biais dans ses algorithmes, dans ses IA et dans son traitement de la modération pour favoriser Flávio Bolsonaro contre le président actuel Luiz Inácio Lula da Silva. La justice brésilienne a donné 24 h à l’entreprise de Mark Zuckerberg pour montrer son impartialité.

Les élections dans les pays d’Amérique latine ne sont pas à l’abri de l’ingérence des entreprises états-uniennes proches de Donald Trump. Ainsi, à l’approche du deuxième tour de l’élection présidentielle qui aura lieu le 25 octobre, le camp du président brésilien sortant, Luiz Inácio Lula da Silva, a formellement accusé Meta d’ingérence électorale en faveur de Flávio Bolsonaro, son opposant d’extrême droite.

Déjà, avant le premier tour, son équipe s’était plainte que Meta avait brièvement suspendu le recours à la publicité de sa page Facebook. Mais ce n’est pas la seule difficulté qu’a rencontrée l’équipe de Lula avec les différents outils de l’entreprise propriétaire d’Instagram, Facebook et WhatsApp . « La succession de problèmes techniques non expliqués par l’entreprise laisse fortement soupçonner que l’action de Meta constitue une tentative d’ingérence dans le processus électoral brésilien au profit de la candidature de Flávio Bolsonaro », a déclaré le 10 octobre dernier un des porte-paroles du Parti des travailleurs représenté par Lula.

Des biais dans les algorithmes et les IA de Meta en faveur de Bolsonaro ?

L’équipe du président a attaqué la semaine dernière l’entreprise de Mark Zuckerberg en justice, l’accusant de biaiser les algorithmes de ses réseaux sociaux et les réponses de ses modèles d’IA pour favoriser Bolsonaro. Le juge de la Cour supérieure de justice brésilienne, Marco Aurélio Bellizze, s’est prononcé jeudi 15 octobre.

Selon Associated Press qui a eu accès à la délibération, il a statué que Meta ne pouvait pas réduire la diffusion de contenus politiques, restreindre les recherches ou supprimer des publications d’une manière susceptible de créer un déséquilibre entre les deux candidats. Meta devait aussi s’assurer que ses outils d’intelligence artificielle soient impartiaux. Le jugement appliquait une peine de jour-amende à Meta de 500 000 reales (89 000 euros) en cas de non-respect de la décision.

Le tribunal a rendu ce lundi une nouvelle décision, selon l’AFP, donnant cette fois 24 heures à Meta pour prouver qu’elle n’a pas mis en place d’ingérence dans la campagne électorale brésilienne. Le juge a multiplié par deux la peine de jour-amende si l’entreprise ne répond pas.

Des messages internes confirment, Meta réfute, invoquant des problèmes techniques

Le journal brésilien Folha de S.Paulo a pu consulter des messages internes entre employés de Meta montrant que l’entreprise a mis en place des restrictions sur le compte Instagram de Lula concernant sa promotion mais aussi une recommandation du profil de Flávio Bolsonaro. La loi électorale brésilienne interdit toute recommandation algorithmique sur les réseaux sociaux : la promotion est donc le seul moyen pour les candidats d’augmenter leur audience. Nos confrères brésiliens expliquent que l’entreprise de Mark Zuckerberg détient un quasi-monopole concernant la publicité électorale numérique puisque Google a arrêté ce genre de publicité depuis 2024.

Meta réfute les accusations, invoquant auprès de nos confrères d’Associated Press une série de défaillances techniques mondiales sans lien entre elles, de mesures anti-fraude strictes et du respect des réglementations, plutôt qu’une censure ciblée. Elle affirme que l’une de ces mesures concerne le décompte des vues sur les Reels Instagram dans plus de 100 pays. Un autre aurait perturbé, toujours sur Instagram, la création de publicités reprenant des publications déjà existantes. L’agence de presse pointe que l’entreprise n’a « toutefois pas expliqué pourquoi les comptes Instagram et WhatsApp de Bolsonaro bénéficiaient de recommandations algorithmiques ».

Les arguments de Meta ne semblent pas avoir convaincu les militants de Lula qui ont manifesté devant le siège social brésilien de l’entreprise.

Le parti d’extrême droite allemand Alternative für Deutschland (AfD) a été touché par un « gigantesque vol de données », explique le média Bild.

Des pirates ont revendiqué la récupération de 421 179 emails provenant de boites de différents dirigeants du parti qui n’hésite pas à jouer sur ses affiches avec les symboles du IIIe Reich. Des emails de la responsable du parti, Alice Weidel, du président d’honneur, Alexander Gauland et du député Leif-Erik Holm feraient partie du lot.

• Musk réaffirme son soutien à l’AfD et crée la polémique en Allemagne

L’AFD confirme à Bild le piratage : « En septembre 2026, un prestataire de services d’hébergement de notre parti a été victime d’une cyberattaque au cours de laquelle certaines parties d’un petit nombre de boîtes mail – dont la plupart n’avaient plus été utilisées depuis des années – ont apparemment été copiées illégalement ».

Les pirates ont créé un site pour l’occasion. Mais il n’y publient pas tous les emails, ils y proposent une sorte d’index dans lequel les documents qu’ils ont obtenus sont classés en fonction de leur gravité supposée selon différents critères que sont le racisme, l’antisémitisme mais aussi les menaces de violence, les références au Mouvement des citoyens du Reich, ou d’autres « activités illégales ».

Les items en question ne donnent pas accès aux conversations complètes : une fiche manifestement générée grâce à un extract IA liste des dates, des adresses mail, et d’autres éléments censés permettre l’identification des mails d’origine.

Le site ne donne accès à aucune information tangible quant au contenu des mails en question. Pour y accéder, les pirates renvoient vers une archive de 281 Go via torrent, qui n’a pour l’instant pas été auditée de façon indépendante, où se retrouveraient les e-mails originaux complets avec les en-têtes, corps de message et pièces jointes dans leur intégralité et les signatures DKIM intactes.

L’action ne semble pas avoir été officiellement revendiquée, il faudra maintenant attendre que les médias allemands ou des internautes se saisissent de cette base de données pour la vérifier.

Obélix et Astérix sont pas de la partie ?

La mission spatiale japonaise Martian Moons eXploration doit décoller ce soir du Japon en direction de deux satellites de Mars : Phobos et Déimos. Elle doit déposer sur le premier le rover Idefix développé notamment par le CNES.

L’agence spatiale japonaise Jaxa s’apprête à lancer, ce soir et depuis l’île de Tanegashima (Japon) sa mission MMX (Martian Moons Exploration) à bord d’une fusée H3. Celle-ci a pour but de connaitre un peu mieux la planète rouge en allant observer ses deux satellites que sont Phobos et Déimos. Et même de rapporter des échantillons provenant du premier !

Une origine mystérieuse de ces satellites

Si elle réussit, ça sera la première mission scientifique à rapporter des échantillons venant de Mars. Rappelons que les États-Unis ont décidé, en début d’année, d’abandonner les échantillons recueillis sur Mars par le rover Perseverance : la mission Mars Sample Return a été tout bonnement annulée.

• NASA : un budget moins catastrophique que prévu mais Mars Sample Return est abandonné

Concernant MMX, l’avenir du projet reste au beau fixe. La JAXA propose de suivre le lancement ce soir sur sa chaine YouTube. Comme nous l’expliquions déjà il y a 9 ans, l’idée principale est donc de faire un aller-retour vers Mars avec une escale sur Phobos.

Comme le souligne le Journal du CNRS, l’idée d’aller explorer Phobos s’explique aussi parce que l’origine des deux satellites de Mars reste mystérieuse : « Il y a deux théories, résume Patrick Michel, astrophysicien et directeur de recherche CNRS à l’Observatoire de la Côte d’Azur. Phobos et Déimos ressemblent à des astéroïdes, et auraient ainsi pu être capturés par la force d’attraction gravitationnelle de Mars. Mais leur trajectoire paraît bien étrange. Il pourrait donc s’agir du résultat d’un impact géant, mais ce n’est pas ce que nous montrent les observations sur sa composition pour l’instant. »

L’agence spatiale japonaise prévoit d’abord un voyage d’une année pour arriver aux alentours de Mars. Sa sonde amène avec elle neuf instruments, dont le spectromètre à neutrons et rayons gamma baptisé MEGANE développé par la NASA et MIRS, un spectromètre imageur infrarouge développé par le Laboratoire d’Etudes Spatiales et d’Instrumentation en Astrophysique (LESIA) en partenariat avec le CNES. MIRS doit « permettre de caractériser la composition minéralogique de la surface des lunes de Mars et l’analyse de l’atmosphère martienne. Il va permettre de participer à la sélection des sites d’atterrissage de MMX », explique le CNES.

Observer, récupérer 10 g et revenir

Car l’idée est ensuite de récupérer des informations sur Phobos pour connaître sa topologie et chercher des dizaines de sites d’atterrissage potentiels pour déterminer le meilleur endroit pour s’y poser.

Ensuite, la mission doit envoyer son rover pour observer la surface du satellite de Mars. Ce rover s’appelle Idefix. Il a été développé par le CNES en collaboration avec le Centre allemand pour l’aéronautique et l’astronautique (Deutsches Zentrum für Luft- und Raumfahrt, DLR). Si vous voulez vous amuser à en imprimer une copie, le CNES a même partagé les plans.

• Astérix : il y a 50 ans, la France mettait en orbite son premier satellite

Si tout va bien, Idefix pourra ensuite donner des indications à la sonde principale de la mission pour qu’elle puisse à son tour atterrir sur Phobos. Elle y collectera 10 g d’échantillons pour qu’ils soient analysés plus tard sur Terre. Après quelques observations supplémentaires sur Phobos, MMX passera par le deuxième satellite de Mars, Deimos, pour l’observer aussi, puis repartira des environs de Mars en 2030. La JAXA espère récupérer tout ce beau monde en 2031.

On a retrouvé les clés ?

Après la baisse des budgets de la recherche en France, la Cour des comptes plaide pour une baisse du nombre d’unités mixtes de recherche (UMR), ces laboratoires dans lesquels organismes de recherche et universités mettent des moyens en commun au service d’un même projet scientifique. Au risque de raviver la colère dans le milieu contre ce que l’ancien PDG du CNRS avait appelé les « key labs ».

La Cour des comptes acte que les gouvernements successifs français n’ont pas augmenté le budget de la recherche en France (public et privé) de manière à ce qu’il atteigne l’objectif longtemps planifié de 3 % de PIB. Dans un rapport sur les unités mixtes de recherche (UMR), la juridiction administrative en profite pour remettre sur l’établi le projet des « key labs » que le gouvernement et le PDG du CNRS de l’époque, Antoine Petit, avaient abandonné début 2025 après le mouvement de défiance qu’il avait suscité au sein de l’organisme.

• [MAJ] CNRS : le ministre Philippe Baptiste impose un moratoire sur les « key labs »
• Situation critique pour la recherche, le budget de l’ANR « insoutenable » d’ici 2028
  

La juridiction administrative, dirigée depuis février par l’ancienne ministre de l’Action et des Comptes publics Amélie de Montchalin, a publié récemment un rapport [PDF] sur les unités mixtes de recherche (UMR), une organisation « sans équivalent au monde » mise en place en France dans les années 1960 pour créer des laboratoires communs entre universités et organismes de recherche comme le CNRS (l’organisme qui y est de fait le plus impliqué), l’Inria, l’Inserm ou encore le CNES, par exemple.

L’exécutif a abandonné l’ambition d’un budget de la recherche important

La Cour des comptes y constate que la France « ne consacre que 2,18 % [chiffre 2023] de son PIB à la recherche, alors que six États de l’Union européenne, dont l’Allemagne, atteignent l’objectif de 3 % fixé dans le cadre de la stratégie de Lisbonne ».

Enlarge your conversation

La publicité ciblée de ChatGPT disponible aux États-Unis permet à toute personne qui veut lancer une campagne de toucher des personnes en fonction de la conversation en cours, mais aussi de l’e-mail ou du numéro de téléphone de l’utilisateur.

Après avoir proposé un outil gratuit et sans publicité, OpenAI a progressivement mis en place l’affichage de publicités dans ses offres gratuite et Go. Comme d’autres entreprises du numérique, son outil intègre maintenant de la publicité ciblée. Celle-ci (aux États-Unis pour l’instant) est particulièrement précise et peut utiliser des données personnelles.

OpenAI a intégré depuis le début de l’année de la publicité dans son chatbot. D’abord ajoutées aux États-Unis, les pubs sont arrivées en France et en Europe depuis la fin du mois d’aout. De la même façon, l’entreprise a d’abord testé le ciblage des utilisateurs par les publicitaires de l’autre côté de l’Atlantique et, pour l’instant, celui-ci n’est pas encore actif chez nous.

Des publicités qui doivent s’adapter aux prompts des utilisateurs

Ce ciblage est particulièrement fin. Ainsi, si OpenAI assure ne pas partager d’information sur ses utilisateurs aux annonceurs, l’entreprise pousse ces derniers à créer des campagnes publicitaires adaptées à des groupes d’utilisateurs en fonction du contexte, afin qu’elle les cible pour eux. « Les indications contextuelles aident nos systèmes à déterminer quand vos publicités peuvent être pertinentes dans ChatGPT », explique OpenAI aux entreprises qui veulent placer de la publicité dans son chatbot. « Utilisez-les pour fournir des informations supplémentaires sur votre offre, au-delà de ce qui ressort déjà clairement de votre publicité ou de votre page de destination ».

Ainsi, OpenAI pousse les annonceurs à créer plusieurs types de publicité pour toucher au mieux ses utilisateurs : « Par exemple, une entreprise de plomberie peut utiliser des groupes d’annonces distincts pour les réparations d’urgence et l’entretien préventif. Ces deux groupes font la promotion de la même entreprise, mais répondent à des besoins différents de la clientèle ».

404 Media a testé l’outil proposé aux annonceurs en créant deux publicités. Nos confrères expliquent que le formulaire demande : « Décrivez les conversations, les sujets ou les mots-clés dans lesquels vos produits ou services pourraient être pertinents ; ces indications orientent la mise en correspondance, mais ne constituent pas des règles de ciblage par correspondance exacte ».

Utilisation de listes de prospects ou de clients

OpenAI permet aussi aux annonceurs de faire des campagnes en ciblant des listes d’utilisateurs sur lesquels ils ont des informations personnelles. L’entreprise appelle ces listes des « audiences personnalisées » (« custom audiences », en anglais). Ainsi, une page du site de l’entreprise explique : « les audiences personnalisées sont créées à partir de listes de clients ou de prospects à l’aide d’adresses e-mail, de numéros de téléphone, d’adresses e-mail hachées, de numéros de téléphone hachés ou d’identifiants publicitaires Google (GAID) ». Ainsi, les annonceurs peuvent utiliser des listes de numéros de téléphone ou d’e-mails sans même les hasher. Interrogée par 404 Media pour savoir si elle hashait les données qui ne le sont pas, l’entreprise n’a pas répondu mais a précisé que les fichiers de listes étaient supprimés après traitement (normalement dans les 24 h).

Ces listes peuvent être soit des listes noires (où les utilisateurs listés sont exclus du ciblage), soit des listes blanches (où ils sont au contraire inclus). Ces dernières ne peuvent être utilisées que si elles contiennent au moins 25 000 utilisateurs de ChatGPT.

« Le simple fait de figurer sur la liste d’un annonceur ne suffit pas à lui seul à déclencher l’affichage d’une publicité. Les filtres d’inclusion et les ajustements d’enchères par audience nécessitent au moins 25 000 utilisateurs correspondants, et les annonceurs ne peuvent pas voir quelles personnes correspondent ni sélectionner des individus spécifiques au sein d’une audience », explique OpenAI à 404 Media.

Après avoir introduit ses publicités, OpenAI semble vouloir miser dessus pour son business model. Au-delà du ciblage, l’entreprise a annoncé récemment l’introduction d’images publicitaires dans son chatbot. Et comme l’a repéré The Information, l’entreprise est allée débaucher chez ses concurrents des spécialistes du sujet. Ainsi, depuis mars dernier, le responsable du service publicité d’OpenAI est David Dugan, qui a passé 12 ans chez Meta/Facebook. En juillet, Mitch Pilar est parti de chez Google pour rejoindre son équipe et Mark Bambury, ancien de Twitter, est arrivé en septembre dans les locaux d’OpenAI Irlande pour gérer les publicités de la zone Europe, Moyen-Orient et Afrique (EMEA).

ublock keep the cyberdoctor away

Une attaque zéro-clic installant un logiciel espion via des publicités ciblées a infecté des appareils du média Al Jazeera avec un logiciel espion. Cette attaque zéro clic a été distribuée par l’entreprise de marketing israélienne Discover-Tech.

Les chercheurs du Citizen Lab de l’université de Toronto et l’entreprise de cybersécurité Confiant ont annoncé ce jeudi 15 octobre la découverte d’un nouveau type d’attaques zéro-clic. L’entreprise israélienne Discover-Tech a utilisé des publicités ciblées pour infecter des appareils appartenant à des journalistes et des équipes du média Al Jazeera avec un logiciel espion attribué à la société Candiru, elle aussi israélienne et concurrente de NSO.

• WhatsApp identifie (encore) trois nouvelles attaques émanant d’un logiciel espion de NSO
• NSO, l’éditeur du logiciel espion Pegasus, passe sous pavillon états-unien, et trumpien

La « pubfection », infection via la publicité en ligne

Selon les découvreurs, c’est la « première confirmation technique publique d’une attaque par logiciel espion de type « zéro-clic » perpétrée par des mercenaires via la publicité ciblée ». Créant un mot-valise à partir d’« advertising » et d’« infection », ils ont appelé ce genre d’attaque « adfection », ce qu’on pourrait traduire par « pubfection ».

Discover-Tech profite de tout l’écosystème mis en place pour afficher de la publicité sur le web et les applications, utilisé aussi bien par les publicitaires que par les éditeurs. Cet écosystème s’appuie notamment sur des outils de gestion d’enchères en temps réel mis en place par des géants du numérique comme Google ou Yandex, par exemple.

Discover-Tech a réussi à intégrer la liste des vendeurs de publicités « certifiés » et « approuvés » par Google, mais aussi celle de l’IAB Europe (Association européenne dédiée à l’écosystème du marketing et de la publicité numériques). Elle a ainsi pu distribuer des publicités via la plateforme du géant américain mais aussi être intégrée à des bandeaux de consentement RGPD et ainsi récupérer des données si l’internaute cliquait sur « accepter ». Elle avait aussi accès aux outils d’autres entreprises de l’écosystème de publicité en ligne comme Yandex, Vungle, Beeswax (filiale de Comcast) ou encore Eskimi.

Informés par les chercheurs, Google, l’IAB Europe, Beeswax, Vungle et Eskimi ont débranché les accès à leurs outils. Mais les autres entreprises de cet écosystème contactées ne leur ont pas répondu.

Un code JavaScript malveillant si l’utilisateur est reconnu comme une cible

Cet écosystème ne permet pas seulement de créer des profils très ciblés des utilisateurs d’Internet mais aussi d’accompagner les publicités d’un code JavaScript. Si l’utilisateur qui reçoit la publicité est reconnu comme quelqu’un à attaquer, la publicité est donc accompagnée d’un code malveillant qui permet de passer la main à Candiru pour mettre en place son logiciel espion.

Selon le Citizen Lab qui a pu analyser l’attaque en examinant les appareils infectés d’Al Jazeera, ces derniers « établissent d’abord un contact avec des domaines de l’infrastructure Discover-Tech, ce qui indique l’affichage d’une publicité. Ensuite, les appareils établissent des connexions avec un serveur de validation Candiru. Ce serveur de validation effectue une vérification initiale de l’appareil avant que celui-ci ne fasse l’objet d’un profilage plus approfondi et ne soit infecté. Enfin, un appareil infecté communique avec un serveur de commande et de contrôle (C&C) Candiru ».

Au total, entre 2024 et 2025, 45 appareils du média qatari ont été touchés par cette attaque, expliquent les chercheurs. Selon le décompte de Citizen Lab, entre mars et juin 2026 , Discover-Tech a pu distribuer des publicités contenant des balises de script malveillantes auprès des utilisateurs de 75 373 applications Android et iOS différentes, ainsi qu’aux visiteurs de 120 768 sites web différents (via navigateurs desktop ou mobile).

Android plus touché qu’iOS

Pour Android, les chercheurs citent, entre autres, les applications MX Player, Yahoo Mail, Opera Mini, Duolingo ou encore Badoo ou Grindr, certaines ayant affiché plus d’1 million de publicités de Discover-Tech. Si l’écosystème iOS semble touché de la même façon concernant le nombre d’applications concernées, Citizen Lab explique que les apps tournant sur iPhone semblent avoir affiché moins de publicité de Discover-Tech (par exemple la version Android de Viber en a diffusé 700 000 alors que la version iOS n’en a diffusé « que » 200 000).

Mais ce ne sont pas seulement les cibles qui sont concernées par le problème. Comme l’explique le Citizen Lab, Discover-Tech profite de ses publicités pour faire comme tous les brokers de pubs : exploiter les utilisateurs.

Pendant cette même période, les outils de Discover-Tech ont « enchéri sur 3 770 286 576 impressions [de publicité] et semblent avoir remporté 441 954 291 d’entre elles (11,7 %) ».

Si les chercheurs n’ont pas observé de tentative d’attaques contre ces appareils, ils expliquent que leurs données indiquent que les pubs de Discover-Tech ont été diffusées sur des appareils connectés à des réseaux sensibles comme celui de l’OTAN, de divers ministères de la Défense, d’armées, d’agences de cybersécurité et de médias.

« Une impression publicitaire de Discover-Tech ne confirme pas en soi un ciblage ou une infection par un logiciel espion », explique Citizen Lab. « Toutefois, le fait que Discover-Tech ait pu enchérir et diffuser des publicités sur ces réseaux met en évidence le risque systémique que représentent la pubfection et l’écosystème publicitaire, et justifie une enquête urgente visant à déterminer si des utilisateurs de ces réseaux ont été infectés par un logiciel espion », ajoutent les chercheurs.

Sur les réseaux sociaux, le chercheur du Citizen Lab, John Scott-Railton, donne un conseil : « pour vous protéger, bloquez les publicités dès maintenant ».

6,6 milliards de crédits d'impôt pour faire musemuse ?

Après une enquête du New York Times, des sénateurs états-uniens questionnent Mark Zuckerberg sur l’utilisation de 6,6 milliards de dollars de crédits d’impôt normalement destinés à la recherche pour équiper des datacenters IA.

Aux États-Unis, sept sénateurs et sénatrices démocrates ont envoyé une lettre à Mark Zuckerberg le questionnant sur un énorme potentiel détournement des crédits d’impôt fédéraux qui s’élèverait à 6,6 milliards de dollars entre 2023 et 2025.

S’appuyant sur un article du New York Times paru fin septembre, la sénatrice Elizabeth Warren et ses collègues écrivent [PDF] à Mark Zuckerberg que, « selon des informations rendues publiques, Meta aurait déclaré à l’Internal Revenue Service [IRS, agence américaine de collecte des impôts] dans ses déclarations fiscales fédérales que les datacenters dédiés à l’intelligence artificielle de l’entreprise constituaient des « modèles pilotes » expérimentaux pouvant bénéficier du crédit d’impôt pour la recherche ».

L’enquête du New York Times expliquait : « Voici comment procède Meta : à des fins fiscales, l’entreprise classe ses gigantesques datacenters, dont la valeur s’élève à plusieurs milliards de dollars, comme des « modèles pilotes » ».

Comme la France avec son Crédit impôt recherche (CIR), les États-Unis ont un mécanisme, mis en place dans les années 80, qui permet aux entreprises de bénéficier de crédits d’impôt sur leurs activités de recherche et d’expérimentation. Avec ce dispositif, elles peuvent aussi bénéficier d’un remboursement sur leurs achats de matériel, à condition qu’il soit utilisé dans un cadre expérimental et non dans les activités commerciales. Le New York Times affirme que Meta fait passer ses achats de puces utilisées en intelligence artificielle (notamment celles de Nvidia) via ce dispositif d’allègement fiscal. L’entreprise aurait ainsi fait baisser ses impôts de 3,9 milliards de dollars rien que pour l’année 2025. Cet abattement aurait été de 700 millions de dollars en 2023 et de 2 milliards en 2024.

Un risque assumé et provisionné par Meta devant les investisseurs

Le journal américain explique que l’entreprise a utilisé cette « astuce comptable » tout en reconnaissant dans une déclaration financière d’ « avantages fiscaux non comptabilisés » (UTB, pour unrecognized tax benefits en anglais) le risque que l’agence américaine la conteste.

Une étude récente montre que les déclarations UTB sont aussi valorisées positivement par les marchés quand elles sont utilisées dans les entreprises dirigées par des patrons jugés « hautement compétents, capables de minimiser les risques fiscaux tout en réduisant les paiements d’impôts ». Ainsi, ces dirigeants peuvent leur montrer quels risques ils prennent en utilisant les différentes niches fiscales existantes. Selon le New York Times, le montant provisionné que déclare Meta concernant ces risques a augmenté de 45 %, passant de 12,9 milliards de dollars en 2024 à 18,74 milliards en 2026. L’entreprise explique dans son rapport financier annuel, toujours selon nos confrères, que « les incertitudes liées à [ses] crédits d’impôt pour la recherche » sont le premier facteur de risque.

La subvention des datacenters IA de Meta est « loin de répondre aux exigences » de cette niche fiscale

Tout en prenant leurs précautions, en affirmant qu’ils ignorent « encore exactement comment Meta a pu réduire son assujettissement à l’impôt fédéral de plus de 6,6 milliards de dollars au cours des trois dernières années grâce aux crédits d’impôt fédéraux pour la recherche », le groupe de sénateurs rappelle à Mark Zuckerberg que les crédits d’impôt pour la recherche ne « sont pas destinés aux opérations commerciales courantes ni aux technologies disponibles dans le commerce et déjà utilisées ».

L’entreprise utiliserait cette niche fiscale pour ses datacenters dont elle a besoin pour l’IA générative et non pour les datacenters classiques, selon deux sources du New York Times. L’argument de Meta est que l’entreprise serait encore en phase de test concernant leur infrastructure. Ainsi, l’entreprise pense pouvoir passer différentes configurations physiques pour ses baies de serveurs, en incluant l’achat du matériel, dont les puces, pour de la R&D qui entre dans le dispositif de la niche fiscale. Mais l’IRS a déjà rejeté [PDF] des demandes similaires pour « des équipements et des technologies éprouvés et disponibles dans le commerce ».

« Le crédit d’impôt fédéral pour la recherche peut constituer un outil utile et indispensable pour soutenir l’économie de l’innovation et la recherche de pointe de notre pays. Subventionner la construction de votre datacenter dédié à l’intelligence artificielle est loin de répondre à cette exigence », affirment de leur côté les sénateurs.

Réguler, c'est pas si mal ?

Alors qu’OpenAI a récemment laissé des agents IA attaquer deux sites gouvernementaux australiens et que les autres entreprises d’IA génératives ont suivi en faisant le même genre de revendication, la Commission européenne a lancé des enquêtes ciblant OpenAI et Anthropic. Elle en profite pour mettre en avant les vertus de l’AI Act mais se demande encore comment enquêter sur ce genre d’événement.

Depuis l’été, les entreprises d’IA générative se vantent régulièrement d’attaques par leurs propres agents IA contre des sites web, attaques dont elles n’auraient pas la maîtrise. Ainsi, OpenAI annonçait que certains de ses agents avaient tenté, en vain, d’exploiter des failles de sécurité et de pirater des sites web (dont deux sites de statistiques du ministère de la Santé australien). « Des dizaines de milliers d’incidents au cours desquels leurs modèles de pointe ont pris des mesures que des évaluateurs externes jugeraient problématiques », affirmait même l’entreprise fin septembre.

• [Édito] Quatre modèles d’IA « échappent » à leurs constructeurs : vous le faites exprès ?

« Notre réglementation est parfaitement adaptée pour faire face à ces évolutions »

La Commission européenne en profite pour mettre en avant le texte de l’AI Act qui doit encadrer l’utilisation de l’intelligence artificielle en Europe. Henna Virkkunen, la vice-présidente de la Commission, a pris la parole lors de l’International AI Summit qui se déroule ce 14 octobre à Dublin dans le cadre de la présidence irlandaise du Conseil de l’Union européenne 2026.

Elle y a rappelé que, depuis le 2 août, une révision ciblée de la réglementation européenne sur l’intelligence artificielle est en application. Ajoutons quand même que, dans le même temps, certaines mesures ont été repoussées à des dates ultérieures.

• Le 2 août, l’AI Act avance et recule à la fois

Henna Virkkunen note quand même « qu’il n’existait pas d’agents d’IA modernes au moment de l’adoption de la loi sur l’IA ». « Pourtant, notre réglementation est parfaitement adaptée pour faire face à ces évolutions », ajoute-t-elle.

Et d’insister sur ce qui est déjà en place et qui peut servir alors que les agents IA sont lancés dans la nature : « en particulier, le Code de bonnes pratiques de l’UE sur l’IA à usage général – que la plupart des fournisseurs d’IA ont déjà signé – définit les mesures que ces derniers doivent mettre en place pour se conformer aux obligations prévues par la loi sur l’IA. Ces mesures comprennent, par exemple, le recours à des évaluateurs externes ».

Des enquêtes concernant Anthropic et OpenAI

« Notre Bureau de l’IA a commencé à faire appliquer ces règles et a adressé des demandes d’informations portant sur des questions telles que la sécurité, l’évaluation externe et le suivi de l’utilisation des modèles », explique Henna Virkkunen. « Par ailleurs, vendredi dernier, j’ai convoqué une réunion avec le comité scientifique créé en vertu de l’AI Act afin de solliciter son avis et son aide sur la manière d’enquêter sur les incidents récents ».

Selon nos confrères d’Euronews, les enquêtes de la Commission portent notamment sur l’attaque d’un agent d’OpenAI contre Hugging Face et celles des agents d’Anthropic. Le bureau de l’IA créé par l’AI Act a envoyé des demandes d’information complémentaires aux deux entreprises après avoir estimé l’insuffisance des documents qu’elles lui avaient envoyés spontanément, toujours selon Euronews.

Des doutes sur l’application aux cas de R&D

Ces enquêtes pourraient devenir un premier test pour l’AI Act. En effet, si le texte s’applique aux services d’IA commercialisés ou au moins disponibles publiquement, les deux entreprises affirment que les attaques ont été perpétrées avec des outils internes encore en développement. La loi européenne comporte des exemptions concernant la R&D dont l’application ne sera pas simple : « l’AI Act part du principe qu’il existe une distinction nette entre la recherche et la commercialisation, mais en réalité, la recherche moderne s’inscrit souvent dans un continuum plutôt que dans une opposition binaire », expliquaient en début d’année des chercheurs dans la revue scientifique npj Digital Medicine.

Sous couvert d’anonymat, un responsable de la Commission a confié à Euronews : « Nous n’appliquerons pas la loi [sur les outils d’IA] en phase de test. Mais si le modèle d’IA sort de l’environnement de test et qu’il a ensuite un impact sur le marché de l’UE, comme cela a été le cas pour Hugging Face, alors la loi sur l’IA deviendra applicable ».

Officiellement, Henna Virkkunen assure que « la Commission s’est exprimée haut et fort : l’IA doit rester sous la direction, la supervision et le contrôle de l’humain, et nous sommes prêts à prendre toutes les mesures nécessaires pour veiller à ce que les entreprises respectent les règles de l’AI Act, afin que les citoyens et les entreprises européens puissent faire confiance aux modèles et aux systèmes d’IA ».

Une ambition affichée qui fait pshitt

L’Agence nationale de la recherche, pilier de la politique de financement scientifique de la France sous la présidence d’Emmanuel Macron, « se situe à un point critique », selon la Cour des comptes. Son budget décroche depuis la loi de programmation de la recherche votée en 2020. L’institution prévoit qu’il devienne « insoutenable » entre 2028 et 2029 sans mesure corrective.

Le rôle de l’Agence nationale de la recherche (ANR), qui a maintenant 20 ans, a été boosté par la loi de programmation de la recherche (LPR) en 2020. Mais la Cour des comptes constate que son budget ne suit pas les prévisions. La juridiction administrative constate que « son budget sera insoutenable d’ici la fin de l’année 2028 » si rien n’est fait. Le projet de loi 2027 présenté par le gouvernement ne va pas dans ce sens puisqu’il prévoit même une petite baisse du budget de l’ANR.

La loi de 2020 avait notamment été soutenue par le PDG du CNRS de l’époque, Antoine Petit, qui voulait une loi « ambitieuse, inégalitaire – oui, inégalitaire, une loi vertueuse et darwinienne ». De son côté, le Comité national de la recherche scientifique (CoNRS), lui, préconisait le financement récurrent des laboratoires. En consacrant le financement par projets via l’ANR, cette loi a poussé la recherche française vers une sélection des « meilleurs » projets digne du spencérisme (autre nom du « darwinisme social »). Mais l’ambition demandée par l’ancien PDG et affichée dans la loi n’est finalement pas au rendez-vous.

« Une trajectoire budgétaire devenue insoutenable »

C’est dans un rapport publié sur son site le 8 octobre dernier que la Cour des comptes tire le signal d’alarme. Titré « L’ANR, une trajectoire budgétaire devenue insoutenable, une réponse indispensable de l’État », ce document met le gouvernement devant un constat implacable. Alors que le budget de l’ANR devait être l’outil financier central d’une augmentation du financement de la recherche de la loi votée en 2020, sa trajectoire « décroche » par rapport à celle prévue par cette loi. Et ce depuis deux ans : « la croissance des engagements de l’ANR portée depuis 2021 par la LPR a connu un arrêt à partir de 2024 », constate la Cour.

Oups !

Microsoft a arrêté brutalement l’accès à 365 Business Premium et Office 365 E1 qu’elle proposait gratuitement aux organismes sans but lucratif. L’association française Watertrek a mis en demeure l’entreprise : elle a perdu 600 Go de données qui y étaient stockées alors que sa licence courait jusqu’au 18 octobre 2029.

En mai 2025, Microsoft a annoncé l’arrêt de son offre « philanthropique » permettant à des organismes sans but lucratif l’accès gratuit aux offres MS 365 Business Premium et Office 365 E1 sans préciser, au moins dans son premier message, les modalités et dates relatives à cette décision. Comme d’autres organismes, début juin 2026, l’association française Watertrek a perdu suite à cette interruption plusieurs centaines de gigaoctets de données. Après avoir mis en demeure la filiale française de la multinationale au mois d’août, elle n’a toujours pas récupéré ses données.

Comme nous l’expliquions déjà au mois d’août, Microsoft avait affirmé mettre fin à cette offre « afin de rationaliser [son] offre d’aides et de simplifier [son] portefeuille d’aides ». Elle en profitait pour pousser ces organisations à passer à d’autres offres, notamment MS 365 Business Basic pour laquelle elle promettait d’offrir 300 licences. Mais la communication de l’entreprise a laissé des associations dans le flou. Et des données ont même été supprimées alors que l’abonnement a bien été renouvelé.

L’association française Watertrek, qui « œuvre à la protection de l’eau et des écosystèmes aquatiques », affirme à Next être dans ce cas, avec plus de 600 Go de données perdues dans la manœuvre.

Une perte brutale des données alors que la licence n’est pas arrivée à expiration

En juin dernier, l’association a brutalement perdu accès à son environnement Microsoft 365 suite à la décision de l’entreprise d’arrêter son offre. Si elle avait annoncé publiquement que cette offre s’arrêtait, Microsoft n’a pas prévu la gestion des licences encore actives.

La Datatilsynet (l’équivalent de la CNIL en Norvège) vient d’infliger une amende de 8,6 millions d’euros (92 millions de couronnes norvégiennes) pour avoir « traité et partagé » des données personnelles venant de comptes utilisateurs de Grindr.

L’autorité norvégienne avait déjà sanctionné Grindr sur le sujet avec une amende de 5,8 millions d’euros qu’elle avait confirmée en octobre 2023.

Ici, elle sanctionne l’intermédiaire publicitaire racheté en 2022 par Microsoft pour la violation du traitement des données sans s’appuyer sur une base légale prévue par le RGPD, dont des données « à caractère personnel relevant d’une catégorie particulière concernant l’orientation sexuelle sans bénéficier d’une dérogation valable », comme elle l’explique dans sa décision [PDF].

Elle lui reproche aussi d’avoir partagé ces données avec d’autres clients. Xandr a argué qu’elle interdit, par contrat, à ses clients de lui partager ce genre de données. Ainsi, pour la filiale de Microsoft, c’est bien son client qui est le seul responsable. Mais « l’Autorité norvégienne de protection des données ne considère pas qu’il soit acceptable que les parties concernées se renvoient simplement la responsabilité les unes aux autres », explique-t-elle dans son communiqué.

Elle « considère comme une circonstance aggravante le fait que Xandr ait tiré des avantages financiers de ces infractions, dans la mesure où la collecte et le partage de données à caractère personnel auraient permis à Xandr de faciliter des transactions publicitaires et, partant, de réaliser des bénéfices », ajoute sa décision.

L’autorité norvégienne a estimé son amende sur le nombre d’utilisateurs norvégiens touchés.

« Nous nous réjouissons vivement de cette décision. Les entreprises spécialisées dans les technologies publicitaires en ligne, telles que Xandr, opèrent souvent en coulisses et sont rarement tenues de rendre des comptes sur leurs pratiques. Cela crée un précédent précieux pour des affaires similaires », a commenté Felix Mikolasch, l’un des avocats de l’association noyb qui avait participé aux plaintes concernant ce dossier déposées contre Grindr et plusieurs autres entreprises du numérique.

Le numérique a bel et bien besoin d'une infrastructure physique

Depuis jeudi 8 octobre, Yandex a subi trois attaques de drones ukrainiens contre des datacenters situés sur le territoire russe. L’entreprise, souvent présentée comme le « Google russe », a annoncé que ses services de moteur de recherche, de cartographie mais aussi de paiement en ligne étaient en panne. Plus insidieusement, la question se pose d’un impact sur le réseau d’influence numérique de la Russie.

Dans la guerre de défense de leur territoire contre la Russie, les Ukrainiens ont trouvé une nouvelle cible pour toucher leur ennemi : les datacenters de Yandex. Jeudi 8 octobre, vendredi 9 octobre et dimanche 11 octobre, des drones ukrainiens ont attaqué des datacenters du géant du numérique russe et ont réussi à faire des dégâts, forçant Yandex à annoncer la suspension de l’activité de plusieurs de ses services phares.

Une bonne partie des services de Yandex sont hors service

Selon Reuters, l’entreprise a affirmé que personne n’avait été blessé lors de la dernière attaque sur le data center situé à Vladimir, une ville située à 180 km à l’est de Moscou. Mais cette infrastructure hébergeait notamment certains services de Yandex Pay, l’outil de paiement en ligne de l’entreprise russe lancé en 2021. Dans un message sur Telegram, l’entreprise affirmait à ses utilisateurs dimanche soir que les données concernant leur argent étaient en sécurité, le datacenter touché ne gérant « que » le fonctionnement des services.

Quelques heures avant, Yandex annonçait tout juste que certains de ses services revenaient progressivement à la normale. En effet, d’autres datacenters de l’entreprise russe avaient déjà été touchés par des attaques de drones les jeudi 8 et vendredi 9 octobre dernier. Ceux-ci hébergeaient notamment l’IA de Yandex nommée « Alice », son moteur de recherche, l’outil de cartographie de l’entreprise ainsi que celui d’appels de taxi. Elle s’était d’ailleurs excusée du fait que son service client était aussi touché.

Yandex avait expliqué que son centre de données situé à Sasovo avait été touché dans la nuit du mercredi 7 au jeudi 8 octobre. Puis, le 9 octobre, c’est celui situé à Kalouga qui a été ciblé. L’entreprise affirmait, là aussi, qu’aucun personnel n’avait été blessé.

En attaquant les services de Yandex, les drones ukrainiens ont déstabilisé de façon importante l’infrastructure numérique russe. Même si l’entreprise n’est pas un monopole dans le pays, elle n’a pas à rougir en interne de la comparaison avec Google. Sur le service d’indication des pannes de Yandex, on peut constater qu’un bon nombre de services de Yandex Cloud ne sont plus disponibles depuis le 8 octobre. C’est le cas, par exemple, de ses outils de gestion pour Kubernetes, MySQL, PostgreSQL, ClickHouse, l’API de YandexGPT, son service SpeechKit ou encore de son outil de reconnaissance de caractères « vision OCR ».

Le trafic des crawlers russes non affecté

Rapidement, certains internautes se sont posé la question de la répercussion de ces défaillances chez Yandex sur les outils automatisés russes, que ce soit les bots de propagande sur les réseaux sociaux ou les bots de crawlers. Il est difficile, pour l’instant, de connaître exactement les conséquences sur le dispositif de propagande.

Concernant le trafic des bots en général (crawlers, scan d’adresses IP, etc.), Cloudflare a constaté pendant la nuit du 7 au 8 octobre une baisse de 33 % du trafic des bots provenant de Yandex. Sur le radar de Cloudflare, on peut voir que cette activité s’est complètement arrêtée dimanche 11 octobre pour reprendre de manière très dégradée depuis.

Cependant, selon le même outil de CloudFlare, cela n’aurait pas affecté le trafic total des bots russes :

On peut donc imaginer que les différentes organisations utilisant les services de Yandex pour leurs crawlers ont tout simplement migré vers un autre fournisseur.

Démerdez-vous avec ça

Tout à son idée de montrer la puissance de ses outils, OpenAI a mis en ligne 722 prépublications de mathématiques générées par IA. L’entreprise met en ligne des « résultats » se trouvant pourtant à « différents stades de vérification », en s’appuyant sur l’avis d’un groupe de chercheurs pour « mettre en place les meilleures pratiques » concernant leur partage. L’un de ses membres, le mathématicien François Charles, explique à Next que ce groupe veut être « un canal de communication » entre les entreprises et la communauté.

OpenAI a publié la nuit dernière 772 documents PDF de mathématiques dans un dépôt GitHub. Alors que l’entreprise affichait récemment une volonté de dialogue avec les mathématiciens, elle intensifie la mise en ligne d’articles qu’elle appelle « prépublications » (preprints, en anglais). Elle affirme s’appuyer sur le travail d’un groupe de chercheurs indépendants qui a publié des recommandations concernant l’ « utilisation responsable des résultats mathématiques générés par l’IA ».

Alors que des milliers de mathématiciens déploraient récemment que l’IA menace la pratique scientifique et qu’OpenAI a été accusée de mauvaises pratiques scientifiques pour résoudre un problème de maths, l’entreprise présente sur son dépôt GitHub ces fichiers comme des « des manuscrits mathématiques et des éléments justificatifs de démonstration générés par un modèle interne d’OpenAI ». Mais ceux-ci n’ont que l’apparence d’articles de mathématiques travaillés par des chercheurs : aucune signature de chercheurs n’apparait sous leur titre, ils ne sont signés que par le nom de l’entreprise dirigée par Sam Altman.

• L’IA générative bouscule la recherche en mathématiques

« Des résultats se trouvant à différents stades de vérification »

Dans son fichier Readme, OpenAI explique que le dépôt « regroupe des résultats se trouvant à différents stades de vérification. Tous ne sont pas accompagnés de formalisations Lean [langage d’assistant de preuve, ndlr]. Nous continuerons à mettre à jour ce référentiel avec des formalisations Lean au fur et à mesure que nous les obtiendrons ».

Ainsi, si l’entreprise regroupe tous ces PDF dans un dossier intitulé « preprints », ils ne sont pas du tout prêts à la publication comme sont censés l’être les articles désignés comme tels et mis en ligne sur les serveurs comme arXiv. Même si ces serveurs autorisent les chercheurs à modifier avec un système de gestion de versions, le terme de « prépublications » implique que les chercheurs assument que ces articles pourraient être présentés dans une revue scientifique.

Google a suspendu son programme de bug bounty Open Source Software Vulnerability Rewards Program (OSS VRP). L’entreprise explique qu’elle reçoit trop de rapports erronés générés par IA.

Depuis le 1er octobre dernier, Google n’accepte « plus les signalements de vulnérabilités de produits soumis au programme OSS VRP [Open Source Software Vulnerability Rewards Program] », a-t-elle expliqué sur la page dédiée à ce programme.

L’entreprise avait ouvert ce programme spécifique aux logiciels libres en 2022. Elle expliquait à l’époque qu’ « en fonction de la gravité de la faille de sécurité et de l’importance du projet, les récompenses varieront entre 100 et 31 337 dollars ». L’idée était notamment de faire émerger les vulnérabilités de la supply chain, mais aussi les problèmes de design informatique causant des problèmes de sécurité, par exemple.

« Une forte augmentation des soumissions automatisées »

Mais le système mis en place par Google pour recueillir ces signalements (qui peuvent donc être lucratifs pour leurs auteurs) montre des signes de fragilité face à l’affluence des signalements de plus en plus automatisés via l’IA générative. Comme Apple cet été, Google ferme le robinet.

L’entreprise le dit dans un message posté sur X : « Cette interruption est due à une forte augmentation des soumissions automatisées, dont la grande majorité n’est pas valide. Nous allons poursuivre le remaniement et le travail sur cet aspect du programme OSS VRP et nous nous engageons à faire le point au premier trimestre 2027 ».

Tous les programmes de bug bounty de Google ne sont pas touchés : uniquement l’OSS VRP. L’entreprise redirige donc les personnes qui voudraient signaler une faille notamment vers son programme Patch Rewards.

Ces entreprises, qui par ailleurs font la course aux modèles d’IA générative, n’ont pas trouvé la solution pour éviter la submersion de contenus générés par IA de qualité médiocre qui les empêche de traiter convenablement les signalements réellement utiles.

« Impact psychologique considérable »

Mais ce problème touche d’autres organisations. Ainsi, en janvier dernier, le créateur du fameux logiciel libre cURL, Daniel Stenberg, avait annoncé : « Le programme de bug bounty de cURL n’existe plus. Il prendra officiellement fin le 31 janvier 2026 ». « La gestion de ces soumissions incessantes de contenus de mauvaise qualité a un impact psychologique considérable et prend parfois beaucoup de temps à démystifier. C’est du temps et de l’énergie complètement gaspillés, qui sapent en outre notre envie de vivre », expliquait-il.

Du côté de la communauté du noyau Linux, le sujet est vu différemment. Si Linus Torvalds avait pesté un moment contre les nombreux rapports d’erreurs générés par les LLM et peu efficaces, cet été il avait changé d’avis sur le sujet et refusait de rejeter en bloc les rapports d’erreurs générés de la sorte, se disant prêt à peser de tout son poids de mainteneur principal du noyau si nécessaire. Il faut préciser qu’on ne parle pas ici de signalements faisant appel à rétribution. Le système des bug bounty attribuant une récompense aux signalements, avec une somme plus importante en fonction de l’importance du bug pousse sans doute davantage certains à utiliser des systèmes automatisés de signalements de bugs, sans se préoccuper de leur qualité et de la possible submersion du système.

Le gouvernement norvégien avait déjà annoncé qu’il voulait durcir la législation du pays concernant l’utilisation des lunettes connectées alors que la grogne s’amplifie contre les lunettes Meta un peu partout. Il explique maintenant que ce durcissement devrait passer par une « interdiction temporaire » de ces lunettes dans certains lieux publics.

« Le temps de mener une étude approfondie et d’avoir un débat éclairé qui pourra jeter les bases d’une réglementation durable », précise le ministre de la Numérisation et de la Gouvernance publique, Torgeir Micaelsen, qui semble reprendre le dossier des mains de la ministre chargée du numérique, Karianne Tung. Celle-ci avait montré des signes de réticence à toute nouvelle législation sur le sujet au début de l’été.

Sans qu’un texte de loi ne soit encore rédigé, le communiqué évoque comme potentiels lieux interdits à ces lunettes les parcs, les plages, les musées, les aires de jeux, les parcs d’attractions, ainsi que les manifestations sportives, musicales et culturelles. Les lieux de scolarisation de la maternelle au lycée, voire aux établissements d’enseignement supérieur devraient figurer dans la liste aussi.

L’interdiction de ces lunettes connectées ne serait pas totale en Norvège. Le gouvernement évoque, comme l’explique Reuters, la possibilité de les utiliser dans des lieux purement privés et certains endroits où l’utilisation ne présente aucun risque d’être filmé sans son consentement.

Une hypothèse crédible n'est pas une découverte

Il y a un peu plus d’une semaine, Anthropic annonçait que Claude avait découvert un nouveau système enzymatique, « dont la structure rappelle celle du système CRISPR ». Mais « tout le travail reste à faire », nous explique Alexis Verger, biologiste au CNRS.

En parallèle des maths, les entreprises d’IA générative utilisent maintenant la recherche en biologie pour assurer la promotion de leurs outils alors qu’elles préparent leurs entrées en bourse, quitte à crier à une découverte qui n’en est encore qu’à l’étape d’hypothèse.

• L’IA générative bouscule la recherche en mathématiques
• Comment OpenAI et Anthropic se voient en futurs financeurs de la recherche mondiale

Ainsi, Anthropic a annoncé le 23 septembre 2026 que son IA Claude a « découvert un nouveau système enzymatique » que l’entreprise compare à CRISPR. La découverte de cette méthode d’édition du génome en 2012 avait permis à Emmanuelle Charpentier et Jennifer Doudna d’obtenir le prix Nobel de chimie en 2020.

Mais Anthropic est encore loin d’avoir prouvé la découverte d’un système comparable à CRISPR en n’ayant pas vérifié son hypothèse. « Tout le travail [en laboratoire de paillasse] reste à faire », nous explique Alexis Verger, biologiste au CNRS.

Anthropic a mis en ligne, au moment de l’annonce, un billet de blog et un « rapport technique » [PDF] rédigé par une équipe de chercheurs récemment embauchés par l’entreprise. Ce document n’a pas été publié dans une revue scientifique ni mis en ligne sur un serveur de prépublication habituellement utilisé par des chercheurs de la discipline.

Une campagne d’agents IA pour mettre en place une hypothèse crédible

Buffer overflow

Submergée par les propositions d’articles générés par IA, la plus ancienne et populaire des plateformes de prépublication scientifique resserre encore ses restrictions de soumissions.

La soumission incessante d’articles générés par IA commence à épuiser les équipes de plateformes de prépublications scientifiques. On l’a vu très récemment avec le cas du chercheur Nicholas Polson qui a mis en ligne plus de 200 prépublications depuis le début de l’année, essentiellement sur la plateforme SSRN de la multinationale Elsevier.

• Plus de 200 prépublications en 2026 : un chercheur utilisant l’IA désespère ses collègues

Mais la plus ancienne et populaire de ces plateformes n’est pas épargnée, au contraire. En octobre 2025, elle prenait la décision de ne plus accepter aucune prépublication d’articles de synthèse ou d’argumentaires sur l’IA. Dans ce champ disciplinaire, seuls les articles sur une nouveauté scientifique sont acceptés depuis.

En mai dernier, elle avait annoncé la mise en œuvre d’une sanction spécifique concernant l’utilisation de l’IA : une suspension d’un an pour celles et ceux qui soumettent des articles générés par IA qui n’ont manifestement pas été vérifiés. Après cette suspension, arXiv n’accepte de nouveau des articles signés par l’auteur confondu que s’ils ont été acceptés par des revues ou des conférences (ce qui enlève beaucoup d’intérêt à soumettre sur la plateforme).

• arXiv annonce 17 millions de dollars de financement venant de fondations et de XTX Markets

Les soumissions d’articles à arXiv continuent de grimper

Mais ces mesures ne semblent pas avoir suffi. Rien que pour le domaine de l’IA, les soumissions continuent à monter en flèche :

Et arXiv précise que pour les autres domaines, les soumissions ont doublé depuis janvier 2024.

Pour la plateforme, limiter les soumissions par utilisateur s’impose de plus en plus. « Avant l’avènement de l’IA, il existait une limite pratique clairement identifiable quant au rythme auquel des soumissions indépendantes pouvaient être produites, et les modérateurs bénévoles d’arXiv limitaient le nombre de soumissions des auteurs qui dépassaient largement ce seuil », explique-t-elle dans un billet de blog.

Mais maintenant, « les outils d’IA devenant de plus en plus sophistiqués et accessibles aux auteurs, la « limite pratique » du nombre d’articles pouvant être soumis fait désormais l’objet d’un débat », ajoute-t-elle.

La limite des bénévoles est atteinte

Surtout que la plateforme s’appuie sur des bénévoles. « Une proportion relativement faible d’auteurs soumet un grand nombre d’articles de mauvaise qualité et accapare une part disproportionnée du temps des modérateurs », souligne le président du Conseil consultatif éditorial d’arXiv, Thomas Dietterich. « Cette situation est injuste pour les auteurs qui continuent à soumettre des articles de qualité : leurs articles peuvent en effet subir des retards de plusieurs jours, voire de plusieurs semaines », constate-t-il.

Deux soumissions par mois, une limite raisonnable

L’équipe a choisi de mettre en œuvre une limite de deux soumissions par mois (calendaire) par auteur ainsi qu’une limite de trois soumissions en attente de vérification. Cette limite s’applique de toute façon, même si les articles soumis avant ont été rejetés. Elle rappelle aussi que « les articles soumis à arXiv doivent présenter des travaux de recherche originaux, novateurs et significatifs, constitués en un tout cohérent et s’inscrivant dans les catégories d’arXiv ».

En décidant cette limite drastique du nombre de soumissions par auteur, arXiv semble avoir trouvé le bon moyen de limiter la submersion. En effet, il n’est pas simple de créer un compte sur la plateforme et un auteur qui aurait envie de soumettre plus d’articles ne peut pas éviter la restriction via un nouveau compte. Ainsi, libre à chacun de choisir les deux articles maximum qu’il veut mettre en ligne sur arXiv pendant un mois, ce qui est déjà une limite très importante comparée au taux moyen de publication des chercheurs dans des revues scientifiques.