Suite à la vague de deepfakes visant à dénuder des femmes perpétrée par des utilisateurs du réseau social X, xAI fait face en Europe à plusieurs enquêtes en cours, notamment ouvertes par la Commission de protection des données irlandaise (la Data Protection Commission, DPC), la Commission européenne et la justice française.

Mais l’entreprise d’Elon Musk semble vouloir jouer au jeu du chat et de la souris. Elle a discrètement changé plusieurs fois son point de contact officiel européen pour les utilisateurs voulant signaler d’éventuels problèmes liés au Digital Services Act. Le média Follow the Money a repéré une première adresse à Tallinn. Celle-ci était censée être celle d’EDSR (European Digital Services Representatives).

EDSR est un cabinet d’avocats situé à Bruxelles détenu en partie par Olivier Willocx, membre du Parlement de la région de Bruxelles-Capitale depuis 2024. Cette structure s’est notamment spécialisée dans l’accompagnement d’entreprises non européennes comme Telegram.

Cette adresse en Estonie a été ajoutée aux conditions d’utilisation de xAI peu de temps après l’ouverture de l’enquête de la DPC. Ainsi, en mars, on pouvait la retrouver sur la page des conditions d’utilisation alors que la page n’indiquait pas de tel point de contact en janvier dernier.

Follow the Money a voulu en savoir plus sur cette adresse et a pu constater physiquement qu’aucun bureau de EDSR ou xAI n’y figurait. Seule une boite aux lettres était installée à l’accueil alors que l’entreprise propriétaire du bâtiment indique à nos confrères ne pas louer de boîtes postales à des entreprises qui n’avaient pas de bureau dans l’immeuble et ne pas avoir conclu de contrat de location avec xAI ou EDSR.

Après avoir été contactée par Follow the Money, et sans donner aucune explication ni réponse, xAI a de nouveau changé l’adresse de contact, la situant dans un autre immeuble de la capitale de l’Estonie.

• X et Elon Musk visés par une information judiciaire en France

Le groupe SoftBank s’apprêterait à dévoiler un plan à 100 milliards de dollars pour doter la France de nouveaux centres de données. C’est du moins le projet qu’aurait monté Masayoshi Son, patron du conglomérat japonais, après une rencontre avec Emmanuel Macron.

Lors de sa visite au Japon fin mars, Emmanuel Macron a fait la tournée des popotes auprès des responsables politiques et des grands acteurs de l’économie de l’archipel. Parmi eux, Masayoshi Son, directeur général de SoftBank, opérateur télécom, fournisseur de services en ligne et surtout mastodonte des investissements tous azimuts. Selon Bloomberg, le président français lui aurait proposé d’établir des infrastructures IA dans l’Hexagone.

L’investisseur aurait été intrigué par cette approche provenant d’un chef d’État, alors qu’il est plus souvent sollicité par des dirigeants d’entreprise. Depuis, il étudierait sérieusement le projet et aurait même évoqué auprès de proches du dossier la possibilité de mettre jusqu’à 100 milliards de dollars sur la table. Gardons la tête froide : le montant final pourrait être beaucoup moins élevé. 

Ce d’autant que SoftBank a déjà fort à faire avec ses autres projets, dont l’initiative Stargate avec OpenAI, Oracle et le fonds émirati MGX — un investissement à 500 milliards qui semble presque modeste face aux plus de 700 milliards avancés par Microsoft, Meta, Amazon et Alphabet pour cette année. 

• Dopés par l’IA, les géants du cloud projettent 700 milliards $ d’investissements en 2026

SoftBank s’est également engagée à investir plus de 60 milliards dans OpenAI pour en obtenir 13 % du capital et travaille de près avec la startup IA sur de nombreux projets.

La liste des investissements (réels et potentiels) de Masayoshi Son est très longue, de nombreux milliards promis n’ont toujours pas été concrétisés. Le projet français pourrait être dévoilé à l’occasion du sommet Choose France, le 19 mai. Les détails restent encore flous et la portée de l’annonce peut encore évoluer. 

En février 2025, à l’occasion d’un sommet pour l’action sur l’IA, Emmanuel Macron avait déjà annoncé 109 milliards d’euros d’investissements « dans les prochaines années », soit « l’équivalent pour la France de ce que les États-Unis ont annoncé avec “Stargate” », avait-il affirmé. Pour attirer les entreprises IA, le locataire de l’Élysée met en avant les capacités nucléaires de la France qui donnent aux centres de données « l’énergie la plus décarbonée d’Europe ».

• IA : Emmanuel Macron annonce une centaine de milliards pour la Porte des étoiles française

L’Union européenne a décroché son billet pour GPT-5.5-Cyber, le grand modèle de langage d’OpenAI spécialisé dans la cybersécurité. En revanche, les discussions se poursuivent avec Anthropic pour obtenir un accès à Mythos.

L’UE court après les LLM américains spécialisés dans la cybersécurité. Pour l’un d’entre eux, GPT-5.5-Cyber, c’est chose faite : la Commission européenne a confirmé l’accès au modèle de langage d’OpenAI. « Nous saluons la transparence d’OpenAI et sa volonté de donner à la Commission un accès à son nouveau modèle », s’est réjoui Thomas Regnier, le porte-parole à la souveraineté technologique. « Cela nous permettra de suivre de très près le déploiement de ce modèle, mais aussi de traiter plus directement certaines préoccupations en matière de sécurité. »

OpenAI est allé frapper à la porte de la Commission pour leur proposer un accès au modèle. Ce n’est que le début de la collaboration, la Commission doit par exemple déterminer qui pourra travailler sur GPT-5.5-Cyber au sein de l’UE. Plusieurs organisations pourraient y prétendre : la DG Connect (direction générale des réseaux de communication, du contenu et des technologies), l’AI Office (centre d’expertise pour l’IA), l’agence de cybersécurité Enisa… « Une étape après l’autre : nous discutons d’abord avec l’entreprise. Ensuite, nous verrons évidemment quelles seront les prochaines étapes », ajoute le porte-parole.

« Les laboratoires d’IA comme le nôtre ne devraient pas être les seuls arbitres de la cybersécurité », déclare George Osborne, responsable d’OpenAI for Countries. « La résilience repose sur des partenaires de confiance travaillant ensemble ». Les capacités de GPT-5.5-Cyber doivent être « accessibles aux nombreux défenseurs européens, et pas seulement à quelques-uns », ajoute-t-il en rappelant l’existence du plan d’action européen d’OpenAI pour la cybersécurité.

La déclinaison cyber de GPT‑5.5 est disponible depuis le 7 mai, dans un « aperçu limité » réservé aux « défenseurs chargés de sécuriser les infrastructures critiques », explique OpenAI. L’entreprise a élargi son programme TAC (Trusted Access for Cyber) au mois d’avril avec le lancement de GPT-5.4-Cyber ; il faut montrer patte blanche pour entrer dans le club, les partenaires étant vérifiés et approuvés par l’entreprise.

L’UE reste en revanche privée de Mythos. Thomas Regnier a indiqué qu’il y avait « un niveau d’engagement » avec Anthropic, « nous avons eu quatre ou cinq réunions avec l’entreprise ». Les discussions semblent aller bon train mais pour le moment, « nous ne sommes pas au même niveau [qu’avec OpenAI] ». Bruxelles salue « l’approche proactive adoptée par OpenAI, y compris sa volonté de nous donner accès au modèle », et voudrait bien que ça soit le cas avec Anthropic également.

• Mythos : l’Europe tenue à l’écart du modèle IA le plus ambitieux du moment

C'est open

Derrière le bras de fer qui oppose la Chine et les États-Unis dans l’accès aux semi-conducteurs, la Chine séduit un nombre croissant d’entreprises et d’institutions avec ses modèles open source.

Quel est le modèle d’IA générative le plus utilisé au monde ? Si l’on en croit Open Router (qui se présente comme « la première place de marché pour les LLM »), ce sont deux modèles chinois qui menaient la danse ces deux dernières semaines : la version gratuite d’Hy3, du géant Tencent, et le modèle open source Kimi K2.6 de la start-up Moonshot.

Anthropic n’arrive qu’en troisième et quatrième position avec Claude Sonnet 4.6 et Claude Opus 4.7, suivi de diverses versions de DeepSeek et de Gemini (Google). Pendant que les dirigeants politiques et économiques occidentaux se focalisent sur les modèles géants des principaux acteurs états-uniens, la Chine mène sa danse grâce à un tout autre modèle de fabrication de systèmes d’IA : de l’open source, à plus faible coût que chez son concurrent occidental.

• La Chine a déposé 70 % des 54 000 brevets en matière d’intelligence artificielle générative

Quand bien même les États-Unis restreignent l’accès de la Chine aux processeurs les plus avancés, le pays multiplie les modèles d’IA certes appuyés sur des technologies moins récentes, mais dont le fonctionnement est aussi nettement moins onéreux, indique Agathe Demarais, directrice du programme géoéconomie et technologie de l’European Council on Foreign Relations, dans Foreign Policy.

À 4 $ environ le million de tokens générés, Kimi revient ainsi six à huit fois moins cher que le recours à Opus 4.7 ou à GPT-5.5. Une variation certes négligeable pour l’internaute moyen, mais qui prend tout son sens lorsqu’elle est observée depuis le point de vue d’entreprises susceptibles de faire tourner des centaines d’agents d’IA.

Kimi, Deepseek, Ryu 4… faites votre choix

Créé par Moonshot AI, société fondée en 2023 à Pékin, Kimi rejoint les résultats des leaders états-uniens du secteur depuis plusieurs mois. Un succès qui s’ajoute à celui de plusieurs autres leaders locaux du secteur, dont chaque progrès sonne comme un coup de semonce pour le leadership technologique états-unien. En mars, Anthropic s’était d’ailleurs plainte que DeepSeek, Moonshot et MiniMax avaient recouru à des comptes frauduleux pour extraire à grande échelle les capacités de son modèle Claude.

Rivalisant avec le dernier modèle d’Open AI GPT 5.5, la quatrième version de DeepSeek a été conçue pour ne fonctionner que sur des technologies chinoises, et Huawei a indiqué avoir travaillé en étroite collaboration avec son constructeur. Une logique qui n’est pas sans inquiéter le patron de Nvidia. Portée par la start-up chinoise du même nom, la première version de DeepSeek avait fait l’effet d’une déflagration sur le marché de l’IA dès sa sortie, début 2025.

• Chine : Huawei et Baidu accélèrent sur les puces dédiées à l’IA

Autres modèles notables, ceux des géants Tencent et Alibaba. Plus ramassé que son prédécesseur avec 295 milliards de paramètres (contre 400 milliards pour Hy2), le dernier modèle de Tencent Hy3 se hisse depuis la fin avril en haut de plusieurs benchmarks. Chez Alibaba, Qwen comptait en mars pour plus de 50 % des téléchargements mondiaux de systèmes d’IA open source, avec près d’un milliard de téléchargements cumulés.

Déployé directement dans des services de la vie courante en Chine, comme les plateformes de e-commerce Taobao et Tmall, l’outil est par ailleurs plébiscité par des institutions publiques. En novembre, le gouvernement de Singapour indiquait par exemple renoncer à Llama de Meta et se tourner vers Qwen pour construire son modèle d’IA souverain.

Nouvel incontournable des standards mondiaux

Ce déploiement de modèles open source constitue une évolution de la stratégie des « Nouvelles routes de la soie » (Belt and Road Initiative, BRI) portée par Pékin. Si celle-ci impliquait traditionnellement que des sociétés chinoises déploient des projets d’infrastructures complets à des pays étrangers pour les mettre dans son orbite, la diffusion de modèles d’IA open source suit une logique similaire tout en rendant l’infrastructure invisible et gratuite (le coût des serveurs et de l’électricité qui leur est nécessaire étant porté par les pays qui adoptent ces technologies).

Cela rend le déploiement d’IA chinoise plus simple que celui de ports, de rails ou d’autres infrastructures matérielles, tout en la rendant peu à peu incontournable, expose Agathe Demarais. À long terme, une telle logique pourrait la rendre indispensable dans l’établissement des standards mondiaux relatifs à l’IA.

• En dix ans, la Chine a nettement développé son indépendance technologique

Dans la mesure où la plupart des économies occidentales sont déjà coincées dans le modèle états-unien, cette lutte pour les standards mondiaux se jouera avant tout du côté des économies émergentes. Les coûts d’entraînement des modèles chinois, la possibilité d’entraîner les modèles avec des données spécifiques à chaque pays plutôt que sur une base pré-entraînée sur des données occidentales, ou encore le dédain croissant envers les États-Unis pourraient les pousser vers les technologies chinoises.

La piste créerait un autre type de dépendance technologique. Lorsqu’il est auto-hébergé, DeepSeek persiste ainsi à donner des réponses alignées avec les thèses du gouvernement chinois sur certaines thématiques sensibles, notamment sur la « Grande muraille numérique » locale. Pour autant, ces technologies pourraient devenir pour certains le pari le plus sûr, alors que le gouvernement états-unien prend un visage foncièrement imprévisible, ce qui permettrait à la Chine de se construire une influence durable.

• DeepSeek : la recherche chinoise paradoxalement boostée par les restrictions américaines

Une URL, et tout devient accessible

Plus besoin de connaissances en HTML ou en JavaScript pour développer des web apps : il suffit de la décrire à une des plateformes de vibe coding qui se partagent un marché florissant. Mais la sécurité est le parent pauvre de cette pratique.

Les apps générées par IA publiées sur internet sont souvent peu sécurisées. Red Access, une entreprise spécialisée dans la sécurité dans le nuage, et son cofondateur Dor Zvi ont analysé des milliers de web apps créées avec des outils comme Lovable, Replit, Base44 et Netlify. Le résultat fait froid dans le dos : plus de 5 000 d’entre elles ne présentent aucune authentification ni véritable sécurité.

La simplicité c’est bien, la sécurité c’est mieux

Il suffit de trouver l’URL du site web pour accéder aux données de ces applications. D’autres n’opposaient comme résistance que des barrières faciles à franchir, comme l’obligation de se connecter avec une adresse email. Environ 40 % de ces web apps exposent des données sensibles, des documents confidentiels ou des historiques de conversation entre clients et chatbots. Dor Zvi tire la sonnette d’alarme chez Wired :

« Des organisations se retrouvent à divulguer des données privées via des applications créées avec le vibe coding. C’est l’un des plus grands cas de fuite où des personnes exposent des informations d’entreprise ou d’autres données sensibles à n’importe qui dans le monde. »

Parmi les trouvailles de l’équipe de Red Access : des plannings d’hôpitaux avec des informations personnelles sur des médecins, les achats publicitaires d’une entreprise, une présentation de lancement commercial, les registres de cargaisons d’une société de transport… Dans certains cas, Dor Zvi aurait pu obtenir les privilèges admin de certaines de ces apps en ligne — et même supprimer des comptes administrateurs.

Les plateformes de vibe coding permettent aux utilisateurs d’héberger leurs web apps directement sur leurs propres domaines. Pour mettre la main dessus, les chercheurs ont simplement utilisé Google ou Bing. Ils ont également trouvé plusieurs sites d’hameçonnage reproduisant ceux de grandes entreprises, créés et hébergés chez Lovable.

« Certains utilisateurs ont publié sur le web des applications qui auraient dû rester privées », explique Amjad Masad, le directeur général de Replit. « Qu’une application publique soit accessible sur internet est donc un comportement attendu. Les paramètres de confidentialité peuvent être modifiés à tout moment en un clic. » Rappelant l’existence d’outils de sécurité sur sa plateforme, le dirigeant s’engage à basculer les applications en mode privé et à informer les utilisateurs, si Red Access décide de lui transmettre une liste de ces derniers.

Masad reproche au passage le délai très court donné par la société de cybersécurité : « moins de 24 heures » avant de rendre l’affaire publique, ce qui n’a guère laissé de temps à Replit pour s’organiser. Le 6 mai, Replit annonçait que tous les utilisateurs du service, gratuit comme payant, peuvent publier leurs apps en mode privé. Une fonction qui était réservée auparavant aux clients Pro et Enterprise.

La responsabilité des plateformes

Chez Lovable, on indique également que les utilisateurs ont des outils de sécurité à leur disposition, « mais la manière dont une application est configurée relève au final de la responsabilité de son créateur ». Même discours du côté de Base44 : « Désactiver ces contrôles [de sécurité] est une action volontaire et simple, que n’importe quel utilisateur peut effectuer ». Une web app rendue publique est « un choix de configuration de l’utilisateur, et pas une faille de la plateforme ».

• Étoile montante du vibe coding, Lovable lève 330 millions de dollars

Base44 rappelle aussi qu’il est très simple de générer des données ressemblant à des vraies. Malgré tout, le risque d’exposer des informations confidentielles via des web apps vibe-codées reste réel. Ces outils sont utilisés par des utilisateurs n’ayant pas nécessairement le bagage technique suffisant pour sécuriser leurs données en ligne. 

« N’importe qui dans une entreprise peut générer une application à tout moment, sans passer par un cycle de développement standard ni par le moindre contrôle de sécurité », prévient Dor Zvi. Les plateformes ont une responsabilité ici, celle de mettre en place des garde-fous pour éviter un tsunami potentiel de fuites de données.

• Comment l’IA générative change-t-elle le métier de programmeur ?

La France Insoumise (LFI) a informé certains de ses adhérents ou sympathisants d’un vol de données personnelles survenu au niveau de ses outils internes. Elle y indique avoir été victime d’une attaque cybercriminelle susceptible d’avoir conduit à l’exposition d’informations telles que le nom et prénom, l’adresse email, l’adresse postale, les « informations de profil » et la « participation à certains groupes ou événements ».

Le parti politique ne précise pas le canal par lequel a été réalisée l’attaque, mais les informations personnelles évoquées, notamment l’allusion aux groupes ou événements, suggèrent qu’il pourrait s’agir du site actionpopulaire.fr, la plateforme via laquelle LFI propose à ses sympathisants d’organiser leurs actions de terrain.

Cette allusion aux groupes semble également cohérente avec les revendications publiées par un internaute le 7 mai dernier sur un forum spécialisé. Celui-ci affirmait avoir réalisé un dump (une copie) du site actionpopulaire.fr, qui lui donnerait accès à 120 000 emails uniques, 20 000 numéros de téléphone, un nombre non précisé d’adresses physiques, ainsi qu’aux messages et échanges réalisés par l’intermédiaire de la plateforme.

Outre les messages individuels adressés aux victimes potentielles, LFI a communiqué de façon plus large auprès de ses sympathisants. Signé par Manuel Bompard et diffusé, notamment, sur les canaux Discord du parti, le message admet une fuite, mais ne corrobore pas les allégations du pirate supposé :

« Nous sommes encore en train d’investiguer pour préciser les conséquences de ces attaques. Il semble qu’en effet des données liées à certaines personnes ont pu être compromises. En revanche, contrairement à ce qui a été indiqué sur les réseaux sociaux, il ne s’agit ni du fichier de tou·tes les utilisateur·rices d’Action populaire, ni des signataires sur le site de soutien de la campagne présidentielle. »

Le coordinateur du parti confirme par ailleurs qu’une plainte va être déposée, outre l’alerte transmise à la CNIL et à l’ANSSI. « De manière générale, dans le contexte de généralisation de piratages de données ayant par exemple visé des institutions publiques, nous invitons tou·tes les camarades à faire preuve de la plus grande vigilance dans les messages qu’elles et ils pourraient recevoir sur leurs coordonnées personnelles », écrit encore le parti, avant d’appeler aux habituels conseils de vigilance.

La divulgation de cette attaque intervient alors que le leader du parti, Jean-Luc Mélenchon, a annoncé dimanche 3 mai, au 20 heures de TF1, sa candidature à l’élection présidentielle de 2027. Le dépôt GitHub dédié au code d’actionpopulaire.fr témoigne quant à lui d’une forte accélération du volume de commits depuis le 23 avril dernier.

• Noms, emails, adresses IP… le nouveau site de Sarah Knafo était une véritable passoire

Rappelons que d’un point de vue réglementaire, les informations qui révèlent l’orientation politique relèvent de ce que le RGPD qualifie, dans son article 9, de « données sensibles ».

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Le début d'une série ?

Ce 7 mai, une nouvelle faille dans le noyau Linux permettant d’obtenir les droits superutilisateur a été divulguée. Mais l’embargo sur sa découverte a été cassé par des tiers. Même si un moyen de l’endiguer a été disponible rapidement, les responsables de distributions Linux courent depuis pour proposer à leurs utilisateurs un noyau incluant un patch.

Ce week-end du 8 mai a été bien actif pour les administrateurs systèmes : un peu plus d’une semaine après la révélation de la faille Copy fail dans le noyau Linux, une autre vulnérabilité a été rendue publique le 7 mai dernier. Elle est maintenant décrite sous le nom de Dirty Frag.

Comme pour Copy fail, en l’exploitant, la faille permet une escalade des privilèges, c’est-à-dire qu’un utilisateur lambda d’une machine peut très facilement accéder aux droits d’accès superutilisateur et faire ce que bon lui semble. Encore faut-il avoir un compte sur la machine.

Embargo cassé

Cette faille a été détectée par le chercheur indépendant Hyunwoo Kim. Mais celui-ci n’avait pas prévu de diffuser l’information si tôt. Comme il l’a expliqué vendredi sur la liste de discussion oss-security, d’autres personnes ont outrepassé l’embargo fixé sur la divulgation de cette faille qui concerne la plupart des distributions Linux.

Ainsi, vendredi, au moment où il a posté le message, aucun patch n’existait et aucun numéro de vulnérabilité ne lui avait été affecté. Le seul moyen qu’il proposait pour endiguer son exploitation était de bloquer les modules dans lesquels le problème se trouvait via la commande :

sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"

Depuis, la communauté s’est affairée à mettre tout en place pour bloquer la faille. Ainsi, Hyunwoo Kim a créé un dépôt GitHub officiel sur le sujet pour décrire et c’est en fait deux CVE qui ont été créées : CVE-2026-43284 puis CVE-2026-43500. Le score de vulnérabilité de la seconde n’est pas encore fixé mais celui de CVE-2026-43284 est de 8,8. Comme pour Copy Fail, le vecteur d’attaque est local (AV:L) : il faut déjà avoir un accès local sur la machine et le score aurait été sans doute plus élevé si ça n’avait pas été le cas.

Une modification possible depuis 2017

Les deux vulnérabilités se situaient aussi, comme avec Copy Fail, dans la possibilité de modifier le page cache (celui de xfrm-ESP depuis 2017 pour la CVE-2026-43284 et celui de RxRPC depuis 2023 pour la CVE-2026-43500). Corrigées respectivement depuis le 5 et 10 mai dans les deux projets, Hyunwoo Kim souligne qu’ « en d’autres termes, la durée de vie effective de ces vulnérabilités est d’environ 9 ans ».

La similarité avec Copy fail n’est pas étonnante puisque Hyunwoo Kim explique que c’est la première faille qui a inspiré sa recherche d’autres du même type

Le chercheur donne aussi un PoC. À Next, nous avons testé sur un serveur dédié virtuel chez OVHCloud sur lequel est installé Ubuntu 25.04. Nous avons pu reproduire le comportement, ainsi n’importe quelle personne qui a un compte sur la machine peut devenir root et y faire ce qu’elle veut.

Dans sa documentation, avant de pouvoir déployer le correctif de votre distribution, Hyunwoo Kim propose la même façon d’endiguer le problème que dans son message sur la liste oss-security.

Comme l’explique Ubuntu sur son blog, celle-ci peut poser des problèmes si on utilise le protocole de VPN IPSec comme le logiciel strongSwan. C’est aussi le cas si on se sert du système d’archivage distribué AFS (Andrew File System) « ou d’une autre application utilisant RxRPC ».

Course pour patcher

Petit à petit, les responsables des distributions Linux déploient un correctif. C’est le cas pour certaines versions de Debian, par exemple. Mais, à cause du non respect de l’embargo, le déploiement n’était pas prêt lorsque la faille a été rendue publique. Sur un dépôt GitHub titré « Copy Fail 2: Electric Boogaloo », d’autres personnes ont publié des informations sur la faille en marge du travail de Hyunwoo Kim tout en le créditant.

Celui-ci explique avoir contacté l’équipe de sécurité du noyau Linux le 30 avril avec un exploit montrant les possibilités d’utilisation de la faille et que le chercheur Kuan-Ting Chen a travaillé en parallèle sur le problème. Celui-ci a proposé un patch le 4 mai sur la liste netdev et il a été intégré à la branche netdev le 7 mai. Hyunwoo Kim a ensuite informé les responsables des distributions Linux sur la linux-distros et un embargo de cinq jours a été fixé. Mais celui-ci a donc été cassé par un tiers, ce qui a précipité la mise en place d’une solution. Comme avec Copy Fail, les administrateurs systèmes se sont donc retrouvés avec des informations partielles sur le problème au moment de la divulgation.

Firefox sous perfusion de Mythos

Firefox sert désormais de laboratoire grandeur nature pour éprouver de nouveaux outils de cybersécurité assistés par IA. En avril, Mozilla a corrigé la bagatelle de 423 vulnérabilités, la majorité ayant été débusquée par Mythos.

Mozilla ne tarit décidément pas d’éloges sur les capacités de Mythos à détecter des bugs et des failles de sécurité dans Firefox. En avril, des correctifs ont permis de corriger 423 vulnérabilités : les 271 bugs dans Firefox 150 déjà annoncés qui proviennent des analyses de Mythos, plus 41 bugs signalés par des chercheurs externes, et 111 découverts en interne avec d’autres méthodes. À comparer avec les 76 correctifs du mois de mars.

Une chose a changé dans l’utilisation des LLM par les développeurs de Firefox. Les tests réalisés ces dernières années avec GPT-4 ou Sonnet 3.5 s’avéraient certes prometteurs, mais au bout du compte « le taux élevé de faux positifs les rendait impraticables à grande échelle », écrivent Brian Grinstead, Christian Holler et Frederik Braun de Mozilla. Le mode opératoire était relativement classique : demander au modèle d’analyser du code jugé sensible pour repérer d’éventuelles vulnérabilités.

Des agents qui traquent les bugs

Les modèles agentiques ont changé la donne, soulignent-ils : « Ces systèmes peuvent trouver de véritables bugs et écarter les hypothèses impossibles à reproduire ». Claude Opus 4.6 a permis de mettre au point un « harnais agentique » qui interagit avec l’environnement de développement : il peut exécuter du code, vérifier si la faille existe réellement et générer des cas de test qu’il est possible de reproduire.

En substance, le LLM formule une hypothèse et tente lui-même de la valider. De quoi identifier « une quantité impressionnante de vulnérabilités jusque-là inconnues ». Les ingénieurs de Mozilla ont affiné et ajusté le comportement du modèle, et lorsque les résultats ont été jugés suffisamment bons, ils ont parallélisé les tâches sur plusieurs machines virtuelles éphémères. 

Le LLM n’est qu’une partie de ce Meccano de sécurité. L’infrastructure au complet inclut aussi la gestion du cycle de vie des vulnérabilités : orchestration, validation, triage, intégration avec d’autres outils internes. Ce « harnais », qui reste très spécifique au projet, peut ensuite fonctionner avec d’autres LLM, comme l’aperçu de Mythos. « Le système devient simultanément meilleur pour repérer des bugs potentiels, créer des cas de test de preuve de concept pour les démontrer, et expliquer précisément leur mécanisme ainsi que leur impact », indique Mozilla.

Ce travail de fond pour créer un pipeline autour des modèles de langage et les capacités accrues de ces derniers ont permis d’accélérer la détection et le développement de correctifs. « Il y a encore quelques mois, les rapports de bugs de sécurité générés par IA envoyés aux projets open source étaient surtout connus pour être du bruit inutile », rappellent les ingénieurs. Trier le bon grain de l’ivraie était chronophage : « il est simple et peu coûteux de demander à un LLM de trouver un « problème » dans du code, mais il est long et coûteux de vérifier puis de répondre à ces signalements. »

• Comment survivre à la déferlante à venir des vulnérabilités identifiées par IA ?

Tout a changé avec les nouveaux LLM plus puissants, et l’amélioration des techniques permettant d’exploiter ces modèles. C’est un cas d’usage spécifique pour Firefox qui peut ne pas s’adapter à d’autres organisations. 

L’IA n’écrit pas les correctifs

Brian Grinstead apporte un éclairage intéressant chez TechCrunch. Si l’équipe de Firefox utilise les LLM pour repérer des failles, les correctifs sont toujours écrits par des humains malgré les progrès des outils de développement assistés par IA. « Pour les bugs dont nous parlons dans ce billet, chaque correctif a été écrit par un ingénieur puis relu par un autre », explique-t-il.

Les développeurs demandent tout de même à l’IA de proposer des correctifs pour chaque bug, mais le code qu’elle produit ne peut pas être déployé tel quel. Il sert surtout de base de travail, car « nous n’avons pas constaté que cela pouvait être automatisé ».

Mozilla est suffisamment confiant pour partager 12 bugs corrigés sans attendre les plusieurs mois habituels avant une divulgation publique, « compte tenu du niveau d’intérêt extraordinaire suscité par ce sujet et de l’urgence des mesures à prendre dans l’ensemble de l’écosystème logiciel ». Ces bugs, qui permettent des échappements de sandbox, doivent être combinés à d’autres exploits pour compromettre Firefox.

« Nous n’avons pas encore découvert tous les bugs latents présents dans Firefox, mais nous sommes très satisfaits de la trajectoire actuelle », conclut le billet. La prochaine étape pour Mozilla est d’intégrer le système directement dans la chaîne de développement du navigateur : chaque nouveau correctif envoyé par un développeur pourrait être automatiquement analysé par le pipeline IA, ce qui permettrait de détecter les bugs quasiment au moment où ils sont intégrés dans le code de Firefox.

Sur le sujet de l’impact de l’IA sur le monde de la cybersécurité, illustré notamment par le phénomène médiatique Mythos, voir notre récent dossier :

• https://next.ink/234550/la-cybersecurite-est-une-priorite-geopolitique-pas-un-probleme-technique-1-3/
• https://next.ink/234918/anthropic-et-la-strategie-marketing-de-la-peur-autour-de-sa-nouvelle-ia-mythos-2-3/
• https://next.ink/232344/comment-survivre-a-la-deferlante-a-venir-des-vulnerabilites-identifiees-par-ia-3-3/

L’avantage des SSD sur les disques durs magnétiques traditionnels en matière de densité trouve une nouvelle incarnation éloquente avec l’annonce de la gamme 6600 ION NVMe de Micron : le fabricant états-unien décline en effet cette dernière sur des capacités de 30, 61, 122 et 245 To, le tout dans une enveloppe correspondant à celle du format 2,5 pouces utilisé sur les marchés grand public.

Ici, il n’est cependant pas question d’équiper des PC pour joueurs ou des stations de travail. Ces SSD, qui se déclinent en formats U.2 (15 mm d’épaisseur), E3.S 1T (7,5 mm) et E3.L, sont destinés au monde des datacenters, où ils permettent d’atteindre des capacités de stockage record à l’échelle de la baie ou du rack. Micron revendique ainsi 4,9 Po sur un U (à raison de 40 SSD au format U.2), ce qui permet d’envisager d’intégrer 176,9 Po sur un rack.

Dans sa fiche produit (PDF), Micron met cette promesse de densité et la consommation électrique associée en face de ce qu’autorisent les disques durs magnétiques. Le fabricant de mémoire revendique ainsi une densité 5,6 fois supérieure à celle des disques durs 44 To qui commencent à être disponibles. Côté consommation, il affiche 30 watts par SSD, soit 8,2 To par watt, qu’il compare aux 10 watts avalés par un disque 44 To. L’efficacité serait donc ici 1,9 fois supérieure.

Sans surprise, Micron se garde bien de donner la moindre indication quant au prix de ces nouveaux modèles, dont le lancement intervient sur fond de tensions persistantes sur le marché de la mémoire (vive ou Flash). Rappelons que le groupe a pris la décision fin 2025 de mettre un terme à sa marque grand public Crucial même s’il affirme ne pas vouloir totalement délaisser le consommateur final.

• Le marché de la mémoire vive face au(x) mur(s) de l’IA

Si ce n'est toi, c'est donc ton frère

Victime d’un piratage, le site officiel de JDownloader a pendant 48 heures distribué un malware en lieu et place du fichier d’installation proposé pour Windows et Linux. L’équipe en charge du projet affirme que seuls les liens de téléchargement ont été modifiés : les binaires du logiciel et l’infrastructure sous-jacente n’auraient pas été touchés. Les internautes ayant téléchargé l’utilitaire entre le 6 et le 7 mai sont toutefois invités à la prudence.

Très populaire chez les adeptes du « direct download », du fait de sa capacité à lever les restrictions sur les téléchargements gratuits, l’utilitaire JDownloader a été victime d’un incident de sécurité les 6 et 7 mai dernier. C’est plus précisément le site officiel du logiciel qui a été affecté par une attaque de type supply chain (chaîne d’approvisionnement) : pendant 48 heures environ, certains des liens de téléchargement affichés sur le site ont pointé vers un malware et non vers les binaires légitimes du client.

Des liens modifiés au niveau du CMS

L’équipe en charge du projet indique que deux liens ont été affectés : l’option « Download Alternative Installer » proposée pour Windows, et l’URL pointant vers l’installateur en ligne de commande pour Linux. « Nos packages d’installation originaux n’ont pas été modifiés ; seuls les liens de téléchargement publiés ici pointent vers des fichiers erronés. Les fichiers binaires de l’installateur restent hébergés sur des serveurs externes, comme d’habitude », promet JDownloader dans un billet dédié.

L’incident y est retracé de façon chronologique. D’après l’équipe, les assaillants auraient d’abord procédé à une première modification sur une page peu exposée du site, le 5 mai dans la soirée, avant d’insérer les deux liens piégés sur la page principale dédiée au téléchargement, le 6 mai aux alentours de deux heures du matin (heure de Paris).

Les auteurs du projet ont sonné le branle-bas de combat le 7 mai vers 19 heures, suite à l’alerte lancée par un internaute sur Reddit. « Des téléchargements suspects et des alertes ont été détectés ; le problème a été confirmé et une procédure de gestion d’incident a été lancée. Le serveur a été arrêté à 17h24 UTC [19h24 heure de Paris] », décrit-elle. Le site est ensuite resté hors ligne à des fins de nettoyage et de contrôle, jusqu’à sa remise en route dans la nuit du 8 au 9 mai.

Vérifier la légitimité du fichier téléchargé

C’est au niveau du CMS (gestionnaire de contenus, le « moteur » du site Web) que serait intervenue l’intrusion. Le code de JDownloader, et les mécaniques de mise à jour « in-app » n’ont de ce fait pas été affectées, assure l’équipe : « Chaque mise à jour installée via le système intégré de l’application est signée par RSA et vérifiée par cryptographie. Ce canal est indépendant des liens de téléchargement du site web qui ont été manipulés. »

Reste à accompagner les internautes exposés à un fichier compromis. Sous Windows, l’équipe invite à contrôler la signature du client téléchargé (clic droit, propriétés, signatures numériques). Si l’écran affiche AppWork GmbH, le fichier peut être considéré comme légitime. Elle propose également un tableau récapitulatif des différentes versions du client, avec leur taille exacte et le checksum associé.

En cas de fichier téléchargé, puis exécuté, JDownloader invite à la réinstallation complète du système d’exploitation, et à la modification préventive de tous les identifiants susceptibles d’avoir été stockés sur la machine.

Les attaques de la supply chain se multiplient

D’après Thomas Klemenc de Malcat, le fichier distribué par les pirates contient bien l’installeur de JDownloader, associé à une charge malveillante de type RAT (Remote Access Trojan) écrite en Python. Bleeping Computer remarque un comportement similaire sous Linux, où la charge s’installe de façon persistante et dissimule son activité grâce à l’outil d’obfuscation Pyarmor.

Ce nouvel incident illustre la tendance qui consiste à attaquer non pas un logiciel, mais sa chaîne d’approvisionnement. Parfois, c’est le site Web qui sert de vecteur, comme ici ou dans le cas de la mésaventure survenue à l’éditeur de CPU-Z. Bon nombre d’attaques se concentrent également sur la distribution de composants open source populaires, comme l’illustre une alerte lancée le 5 mai dernier sur Daemon Tools, ainsi que les épisodes récents relatifs à Axios ou Trivy.

L'IA fait grimper les prix des consoles

Explosion des prix de la mémoire, guerre en Iran, tarifs douaniers… La situation économique est pour le moins compliquée pour les constructeurs de consoles (et pour le portefeuille des joueurs). Nintendo va augmenter les prix de la Switch 2, Sony vend beaucoup moins de PS5.

Les nuages noirs pointent à l’horizon pour les consoliers. Nintendo a annoncé une hausse des prix de ses consoles partout dans le monde à compter du 1er septembre. En Europe, la Switch 2 passera ainsi à 499,99 euros (+ 30 euros), et aux États-Unis la hausse sera de 50 dollars (499,99 dollars), soit des augmentations de respectivement + 6 % et 11 %.

Hausse des prix de la Switch 2

C’est au Japon où la flambée sera particulièrement sensible, et ce dès le 25 mai :+ 20 % pour la Switch 2 ou encore + 33 % pour la Switch 1… Sur le marché domestique de Nintendo, la Switch 2 est proposée dans une livrée spécifique qui ne fonctionne qu’en japonais ; elle coûte bien moins cher qu’ailleurs à 49 980 yens, soit environ 270 euros. Elle reviendra à 59 980 yens, ce qui reste toujours bien plus abordable qu’en Europe (environ 325 euros). L’entreprise a encore un peu de souplesse pour aligner les prix japonais avec ceux du reste du monde.

Nintendo n’a pas vraiment d’autre choix que de prendre en compte « l’évolution des conditions du marché » et « les perspectives de l’activité à l’échelle mondiale ». La situation est particulièrement compliquée pour le petit artisan de Kyoto : la Switch 2 a été lancée en juin 2025, et même si la première année a été particulièrement convaincante pour la nouvelle console hybride (19,86 millions d’unités écoulées), ce n’est qu’une partie de l’équation. La console sert évidemment de support aux jeux : pour vendre un maximum de jeux, il faut qu’un maximum de consoles soient en circulation.

Nintendo marche sur une ligne de crête. Ses marges de manœuvre sont aussi fines que sa marge brute. Le lancement de la Switch 2 a certes dopé les revenus de l’entreprise, mais pas nécessairement sa rentabilité : la marge brute a en effet fondu, passant de 61 % durant l’exercice fiscal 2025, à 39,3 % pour 2026. Le poids du matériel est bien plus important dans les ventes globales, puisque les consoles ont représenté 66,7 % des ventes, contre 43,7 % un an plus tôt.

Les consoles rapportent moins que les jeux et les services, et le constructeur souligne par ailleurs que la Switch 2 dégage une marge inférieure à celle de la première Switch. Mécaniquement, la rentabilité en prend un coup. Et dans un monde où les composants sont toujours plus chers, la seule solution est d’augmenter les prix. Mais la hausse doit être suffisamment contenue pour ne pas repousser complètement les clients potentiels. Car maintenant que les fans de la première heure sont servis, il faut convaincre les familles que le petit dernier a absolument besoin d’une Switch 2 alors que sa Switch 1 est encore parfaitement fonctionnelle.

Six ans après avoir amorcé la transition des processeurs Intel vers ses propres puces dans les Mac, Apple s’apprêterait à travailler de nouveau avec le fondeur américain. Les deux entreprises se seraient accordées pour lancer la production de puces destinées à des appareils du constructeur.

Avec 200 millions d’iPhone vendus chaque année et des dizaines de millions de Mac et d’iPad, Apple a d’énormes besoins en composants électroniques. En ce qui concerne les puces qui motorisent ses produits, le constructeur fait appel aux capacités de production de TSMC mais un nouveau fournisseur pourrait bien faire son apparition à l’horizon : Intel. Après des « discussions intenses » qui ont duré plus d’un an, les deux entreprises auraient scellé un accord préliminaire, selon le Wall Street Journal.

L’indiscrétion ne va pas jusqu’à préciser quels appareils Apple seront équipés de puces Intel. De même, on ignore la finesse de gravure de ces puces même s’il est probable que le constructeur jette son dévolu sur le procédé 14A, le plus avancé du fondeur. Mais pour Apple comme pour Intel, cet accord tombe à pic.

Apple a longtemps été le premier client de TSMC, ce qui lui permettait de dicter les orientations et l’activité du géant taïwanais. C’est moins le cas aujourd’hui, la demande du secteur de l’IA est telle que c’est devenu le principal moteur de la croissance de TSMC. NVIDIA devrait ainsi prendre la première place dans le carnet de commandes de l’entreprise cette année, selon Tim Culpan.

Avoir sous la main un autre fournisseur est donc une opportunité intéressante pour Apple, qui sait mieux que personne négocier les prix les plus bas. Et pour Intel, c’est également une bonne affaire : depuis l’arrivée de Lip-Bu Tan l’an dernier à la tête du groupe en mars 2025, il fait des pieds et mains pour attirer de nouveaux clients. Avec un succès indéniable : NVIDIA et Tesla ont signé pour produire des puces dans les usines Intel. Et le tour d’Apple semble tout proche.

• Lip-Bu Tan annonce une « remise à plat » d’Intel

Intel, qui était alors au bord du gouffre, a bénéficié d’un gros coup de pouce de l’administration Trump. Le gouvernement s’est porté acquéreur de 9,9 % du capital du groupe, rompant au passage avec l’habituelle politique de laissez-faire économique américaine. Le WSJ rapporte que Donald Trump aurait personnellement fait l’article d’Intel auprès de Tim Cook, un familier de la Maison Blanche.

Le retour de puces fabriquées par Intel dans des produits Apple serait en tout cas un joli pied de nez de l’histoire, même s’il n’est pas question d’abandonner l’architecture ARM pour revenir au x86. En 2006, le constructeur de Cupertino intégrait les processeurs Intel dans ses Mac avant de commencer à s’en débarrasser à partir de 2020, pour les remplacer par des puces de sa conception. Une transition qui s’est achevée en 2023 avec le premier (et ultime : Apple ne le propose plus aucune tour à la vente) Mac Pro tournant sur du silicium Apple.

Gym Tonic 2.0

Le Fitbit Air est un nouveau bracelet de suivi de l’activité physique et sportive. Sans écran et relativement abordable, c’est un cheval de Troie vers le nouveau coach IA sur abonnement de Google.

Retour aux fondamentaux pour Fitbit. En 2012, le fabricant lançait un de ses premiers bracelets de suivi grand public, un simple moniteur d’activité porté au poignet. Ses successeurs ont connu un succès tel que le nom « Fitbit » est devenu synonyme de ce type de produit. L’entreprise a ensuite diversifié son catalogue avec des montres connectées et des bracelets équipés d’écran. 

Un bracelet à oublier au poignet

En 2021, Google se porte acquéreur de Fitbit et décide de déshabiller Pierre pour habiller Paul : les fonctionnalités et les algorithmes développées par Fitbit renforcent l’écosystème Google, notamment la famille Pixel Watch. Mais de son côté, la marque autrefois emblématique, perd peu à peu de son lustre sans toutefois rejoindre le fameux « cimetière Google ».

Le géant du web n’a pas complètement remisé Fitbit au placard : la marque a en effet lancé un tout nouveau produit original… enfin presque, puisqu’il rappelle les premiers temps de l’entreprise. Le Fitbit Air est en effet un module de suivi de l’activité, sans écran, qui se glisse dans un bracelet. Le boîtier, épais de 8,3 mm, pèse 5,2 grammes. Conçu en polycarbonate, il embarque un cardiofréquencemètre, des capteurs de saturation en oxygène (SpO2), un capteur de température qui mesure la température de la peau, ainsi qu’un moteur vibrant.

Ainsi armé, le Fitbit Air va relever la fréquence cardiaque (et même repérer les signaux de fibrillation auriculaire), compter le nombre de pas et les distances parcourues, mesurer la qualité du sommeil, détecter automatiquement un entraînement. Le module saura aussi vibrer au poignet pour vous réveiller. La batterie devrait assurer une autonomie jusqu’à 7 jours.

Le coach qui sait tout

Pour 99,99 euros, le Fitbit Air se situe plutôt dans la bonne moyenne de prix pour ce genre de produits (le Polar Loop, lui aussi sans écran, est vendu 180 euros). Mais ce qui distingue ce bracelet d’un autre, c’est — évidemment, pourrait-on dire — la présence envahissante de l’IA générative et de Gemini. L’appareil remplit des fonctions basiques gratuitement, mais les utilisateurs qui voudront aller plus loin sont fortement invités à souscrire à un abonnement Coach Google Health.

Ce service a été dévoilé en octobre dernier, et il est disponible depuis sous la forme d’un aperçu public. Le lancement du Fitbit Air est son baptême du feu auprès du consommateur. Facturé 8,99 euros par mois, il est inclut dans les formules AI Pro et Ultra de Google.

Le porteur du Fitbit Air (ou d’une Pixel Watch) peut poser des questions à un bot santé, obtenir des programmes de remise en forme personnalisés en fonction de son style de vie, des infos plus détaillées sur le sommeil (tant il est vrai que cette mesure brute n’est pas très utile), une bibliothèque d’entraînements et de séances de pleine conscience, et « des informations proactives » sur le bien-être. Le coach peut par exemple remarquer que la variabilité de fréquence cardiaque s’est améliorée.

Le coach est accessible dans l’application mobile Android et iOS Google Health, qui remplacera l’app Fitbit (déshabiller Pierre…). Ce modèle « bracelet + IA sur abonnement » ne sort pas de nulle part : il a fait le succès de l’offre Whoop. Google se positionne donc sur ce marché du suivi de la santé facturé mensuellement, avant que d’autres ne se lancent à leur tour (tous les yeux sont tournés vers Apple).

Les fournisseurs IA s’intéressent également à la santé, comme on l’a vu en début d’année avec ChatGPT Santé. Mais le coach de Google a un avantage : il accède à une montagne de données mises à jour chaque jour par le bracelet, ce qui devrait lui éviter quelques uns des écueils des nouveaux LLM santé.

• En santé, les erreurs par omissions des LLM sont nombreuses et dangereuses

Don't ever feed him before and after midnight

Sam Altman aime bien les peluches, mais n’aime pas trop se faire peler. Comment diable ce jeune freluquet s’en sortira-t-il face aux velus de tous poils ? On le verra bien sans doute après minuit, quoiqu’il en soit.

Pas de rubrique la semaine prochaine pour cause de structure de génie civil reliant deux points séparés par un obstacle à contourner, mais on se retrouve sur l’autre rive très vite.

Une information judiciaire a été ouverte par le parquet de Paris contre X (anciennement Twitter), Elon Musk et l’ex-directrice générale du réseau social, Linda Yaccarino. Une procédure qui s’ajoute à un dossier déjà bien épais.

La justice française n’en a pas terminé avec X. Le parquet de Paris avait ouvert une enquête préliminaire en janvier 2025 pour deux infractions potentielles : manipulation volontaire de l’algorithme et exploitation de données personnelles pour afficher de la publicité ciblée. La procédure découle des signalements du député Renaissance des Côtes-d’Armor, Éric Bothorel.

En juillet dernier, le parquet précisait ses soupçons : le réseau social chercherait à « biaiser le débat démocratique en France ». L’enquête avait été confiée aux bons soins des gendarmes de l’Unité nationale cyber. Elle portait entre autres sur l’« altération du fonctionnement d’un système de traitement automatisé de données en bande organisée, ainsi que l’extraction frauduleuse de données d’un système de traitement automatisé de données en bande organisée ». 

X avait alors refusé d’ouvrir ses algorithmes, niait les allégations, notamment d’ingérence étrangère, et dénonçait une enquête motivée par des considérations politiques. Selon l’entreprise, la procédure porterait gravement atteinte à la liberté d’expression. Par conséquent, le réseau social a refusé de donner suite aux demandes du parquet et des gendarmes.

• X refuse catégoriquement d’ouvrir ses algorithmes à la justice française

L’enquête portait également sur des infractions de contestation de crimes contre l’humanité, et la présence de messages à caractère antisémite et négationniste par Grok. En début d’année, le dossier s’était alourdi des faits d’atteinte à la représentation de la personne, en raison de l’explosion d’images générées par IA représentant des femmes et des mineures dénudées sans consentement.

Le 3 février, une perquisition était diligentée dans les locaux français du réseau social par la section de lutte contre la cybercriminalité du parquet de Paris.

Le 20 avril, Elon Musk et une vingtaine de dirigeants convoqués par la justice pour témoigner devant la section cyber ne se sont pas présentés. Mais l’enquête se poursuit malgré tout et franchit un nouveau cap : Le Monde rapporte maintenant l’ouverture ce mercredi 6 mai d’une information judiciaire contre X, Elon Musk et Linda Yaccarino, la directrice générale jusqu’en 2025.

Cela signifie que les faits sont considérés comme suffisamment graves ou sensibles pour qu’un juge d’instruction instruise le dossier avec des pouvoirs d’enquête étendus (perquisitions, saisies de documents, réquisitions techniques, auditions sous serment, etc.).

Un omnibus qui roule pour l'industrie de l'IA

Un pas en avant, deux pas en arrière. La mise en œuvre des mesures inscrites dans l’AI Act européen continue de danser la gigue, avec le report de plusieurs dispositifs ; en revanche, les protections contre les deepfakes non consensuels et les apps permettant de dénuder des personnes sont renforcées.

L’AI Act est entré en application en février 2025. Son objectif : « promouvoir l’adoption d’une IA axée sur l’humain et digne de confiance ». Difficile de s’opposer à une telle lettre de mission, mais la portée et la mise en œuvre des différents dispositifs du texte européen restent sujettes à modification… et même à des reculs.

• Comment fonctionne l’AI Act ?

Le Parlement européen et le Conseil de l’UE sont ainsi tombés d’accord sur l’omnibus dédié au numérique proposé par la Commission européenne en novembre dernier. Il a pour objet de « simplifier » les régulations pesant sur les entreprises. Plusieurs mesures, qui concernent l’implémentation du règlement sur l’IA, auraient été influencées par des « oligarques de la tech », comme le dénonçaient en début d’année des organisations spécialisées dans la surveillance des lobbies.

Le calendrier de l’AI Act bousculé

L’accord annoncé ce jeudi 7 mai modifie deux dates limites. Les règles applicables aux systèmes d’IA utilisés dans les domaines à haut risque (biométrie, infrastructures critiques, éducation, emploi, migration, droit d’asile, contrôle aux frontières) entreront en vigueur à compter du 2 décembre 2027. Soit 16 mois de délai, puisque la précédente date avait été fixée au 2 août 2026. Quant aux systèmes intégrés dans des appareils comme des jouets ou des ascenseurs, les règles ne s’appliqueront qu’à compter du 2 août 2028.

« Ce calendrier progressif doit permettre de s’assurer que les normes techniques et les autres outils d’accompagnement seront en place avant l’entrée en application des règles », écrit la Commission. Pas question de parler de reculade, Bruxelles cherche plutôt à faire valoir son pragmatisme : « Avec des règles plus simples et plus favorables à l’innovation, nous facilitons l’innovation sans abaisser les exigences en matière de sécurité », affirme ainsi Henna Virkkunen, vice-présidente de la Commission en charge de la Souveraineté technologique.

De nombreuses entreprises du secteur font pression sur l’exécutif européen pour adoucir l’AI Act, en particulier face aux États-Unis et à la Chine qui avancent très rapidement. Le 4 mai, en plein débat sur l’omnibus, Airbus, Mistral AI, Nokia ou encore ASML ont ainsi signé une lettre ouverte (une de plus) déplorant « des règles étouffantes, inutilement complexes et souvent redondantes, qui rendent extrêmement difficile le fait de suivre le rythme des avancées technologiques ».

Dont acte : en plus de ces reports, l’accord prévoit également « des règles simplifiées et une gouvernance plus claire ». Des avantages accordés à des PME vont s’étendre aux entreprises de taille intermédiaire. Des clarifications ont été apportées sur l’articulation entre l’AI Act et d’autres législations européennes sur la sécurité des produits afin d’éviter les doublons. Les fournisseurs d’IA auront accès à des « bacs à sable » réglementaires pour tester leurs solutions.

Les instances européennes en ont également profité pour intégrer des renforcements de la protection contre les apps de deepfakes non consensuels : l’accord interdit ainsi les systèmes IA qui génèrent du contenu à caractère sexuel explicite sans consentement et des images sexualisées d’enfants. Une réponse aux exactions de Grok en début d’année.

Dans le détail, cette interdiction s’appliquera à la mise sur le marché de systèmes IA ayant pour but de créer de tels contenus, ou qui n’ont pas mis en place de mesures de sécurité pour empêcher la création de ce type de contenus. Les entreprises auront jusqu’au 2 décembre 2026 pour se mettre en conformité.

La loi retarde également l’application des obligations de marquage numérique (« watermarking» en VO) des contenus générés par l’IA au 2 décembre 2026 (au lieu du 2 février 2027, comme le prévoyait la proposition de la Commission, et du 2 août 2026 comme initialement adopté dans l’AI Act), censées permettre de détecter et de retracer les contenus générés par IA.

• [Récap] Nous avons découvert des milliers de sites d’info générés par IA : tous nos articles

Il reste désormais au Parlement européen et au Conseil d’adopter formellement cet accord, ce qui devrait être fait avant le 2 août.

AMD a présenté son nouveau GPU pour l’intelligence artificielle MI350X en 2024, puis en version plus haut de gamme avec un refroidissement liquide avec le MI355X. Les deux exploitent l’architecture maison CDNA4.

• AMD : Zen 5 à tous les étages (Ryzen AI, 9000, Epyc), roadmap des GPU Instinct jusqu’en 2026

Le fabricant vient de présenter une nouvelle version : Instinct MI350P, qui se distingue avec un format PCIe paré pour être installé dans un ordinateur ou serveur classique. Elle vise principalement les fonctions d’inférence.

Là encore, le GPU utilise l’architecture CDN4, mais avec 144 Go de HBM3E contre 288 Go pour les MI350X et 355X0. La bande passante de la mémoire est aussi divisée par deux avec 4 To/s. Elle occupe deux emplacements, dispose d’un port PCIe 5.0 et affiche un TDP de maximum de 600 watts.

Niveau puissance de calcul, AMD annonce 4,6 PFLOPS pour l’Instinct MI350P en MXFP4, contre 9,2 PFLOPS pour la MI350X (AMD annonce ici 18,4 PFLOPS mais avec dispersion, sans quoi il faut diviser par deux).

Rien de surprenant : le GPU de la MI350P à 8 192 stream processors (512 Matrix cores et 128 compute units), contre le double (16 384 SP, 1 024 MC et 256 CU) pour MI350X. La fréquence est la même dans les deux cas : 2,2 GHz.

Pour le moment, rien sur le prix.

Le E c'est pour éducation ?

Le gouvernement envisage d’intégrer l’e-sport aux parcours éducatifs gérés par l’Éducation nationale pour soutenir le secteur « fragile sur le plan économique ».

Depuis son arrivée au pouvoir, Emmanuel Macron s’affiche en fervent défenseur de l’e-sport et surtout de sa filière économique.

Le gouvernement de Sébastien Lecornu pourrait de nouveau donner un coup de pouce au secteur, via une voie qui ne semble pas forcément aller de soi, surtout quand l’ambiance est à la réglementation de l’usage par les mineurs des réseaux sociaux, de l’IA et des jeux vidéo violents.

• Interdire les jeux vidéo violents ? La profession s’indigne de l’idée d’Emmanuel Macron
• Mineurs sur Internet : « Réglementez les plateformes, pas les enfants »

Alors que le gouvernement a lancé une mission confiée à des scientifiques pour « établir une analyse scientifique des effets (tant positifs que négatifs) et risques potentiels des jeux vidéo, particulièrement sur la santé mentale, cognitive et physique des jeunes utilisateurs, et en matière de sécurité des mineurs », il semble dans le même temps prêt à intégrer l’e-sport aux parcours éducatifs.

Une stratégie intégrant l’e-sport dans les parcours scolaires et éducatifs »

Nos confrères de Radio France ont eu accès à la stratégie « E-sport 2026 - 2030 », validée par Matignon à l’issue d’une concertation interministérielle, le 8 avril dernier et qui doit être présentée publiquement à l’occasion des championnats du monde de Rocket League organisés à Paris du 22 au 24 mai.

Selon les documents qu’ils ont pu consulter, et qui définissent cette stratégie visant à soutenir le secteur de l’e-sport en France, une part centrale est occupée par le volet scolaire, avec quatre actions pour développer le sous-axe titré « intégration de l’esport dans les parcours scolaires et éducatifs ».

Ainsi, le ministère de l’Éducation nationale devra piloter une action pour « créer des partenariats entre établissements et acteurs de l’esport pour développer des projets pédagogiques innovants ». Le document prévoit que le même ministère intègre l’esport dans les parcours éducatifs « notamment dans le cadre des activités hors du temps scolaires et des formations aux métiers du numériques », mais lance aussi un programme national « Esport & Éducation » pour « sensibiliser les jeunes aux opportunités professionnelles et aux enjeux éthiques liés à la pratique ». Enfin, il devra « développer des outils pédagogiques pour les enseignants et des supports de sensibilisation pour les familles ».

Soutenir un « secteur fragile sur le plan économique »

Cette stratégie assume de vouloir pousser la promotion et l’encadrement de la pratique pour le « développement économique » en France avec un marché mondial estimé à 12 milliards d’euros d’ici 2030 tout en expliquant que c’est un « secteur fragile sur le plan économique » pour lequel le gouvernement veut aider à « diversifier les sources de revenus ».

Mais selon Radio France, la stratégie a été arrêtée lors d’une réunion informelle en janvier alors que deux parties prenantes interministérielles étaient absentes, le ministère de la Santé et la Mildeca (Mission interministérielle de lutte contre les drogues et les conduites addictives), alors que celles-ci s’opposent justement à l’intégration de l’e-sport à l’école en pointant les risques des usages intensifs des jeux vidéo.

Le nerf de la guerre

Devant la commission d’enquête sur la souveraineté numérique de l’Assemblée nationale, plusieurs acteurs du libre (Mastodon, l’April, Framasoft, France Numérique libre…) ont poussé les parlementaires à prendre notamment exemple sur le modèle allemand de financement des projets de logiciels libres.

Dans le dossier de la souveraineté numérique, l’outil du logiciel libre titille le pouvoir. Est-ce que ça ne serait pas le moyen idéal pour se débarrasser des dépendances aux géants états-uniens ?

Invitées par la commission d’enquête sur la souveraineté numérique de l’Assemblée nationale, toutes les personnes militantes du logiciel libre (Renaud Chaput pour Mastodon, Loïc Dayot et Étienne Gonnu pour l’April, Pierre-Yves Gosset pour Framasoft et Nicolas Vivant pour la ville d’Échirolles et France Numérique libre), n’ont évidemment pas poussé les parlementaires dans le sens contraire.

Mais, pour que le logiciel libre puisse prendre toute sa place dans le sujet, selon elles, il faut faciliter et mieux organiser son financement par la puissance publique, en prenant exemple sur l’Allemagne notamment.

« Si vous considérez le logiciel libre comme un produit sur étagère qui coûte zéro, ça ne peut pas fonctionner »

En effet, comme à Next en mars dernier, le directeur de la stratégie numérique de la ville d’Échirolles, Nicolas Vivant, a témoigné devant les députés que c’était possible de passer aux logiciels libres. Il a par contre rappelé que les agents qui le mettaient en place ne le faisaient pas « pour le plaisir » mais parce que c’est « un moyen permettant d’obtenir un certain nombre d’objectifs dont la cybersécurité, la bonne gestion des données personnelles, la souveraineté, la résilience même de notre infrastructure… ».

• Municipales : « passer aux logiciels libres, c’est faisable, on l’a fait », mais…

Il ajoute qu’outre sa ville, d’autres acteurs publics sont passés au libre : « tous les gens qui l’ont fait viennent dire c’est possible. La gendarmerie, l’a fait, vous le savez, la Direction générale des Finances publiques (Dgfip) utilise LibreOffice depuis des années et des années. Et, tous ces gens-là sont la preuve concrète que c’est possible ».

Mais Pierre-Yves Gosset, coordinateur des services numériques de Framasoft, a appelé la puissance publique à davantage contribuer aux logiciels libres. « Si vous considérez le logiciel libre comme un produit sur étagère qui coûte zéro, ça ne peut pas fonctionner », argumente-t-il, « il va falloir réussir à passer, et c’est là une vraie difficulté, on va pas le nier, d’une stratégie de consommation de consommateur de logiciel à une stratégie de contributeur à ce logiciel ».

• Demailnagement, Framasoft : comment utilisateurs et assos s’émancipent des GAFAM

Si la contribution de la Dinum aux logiciels libres via la Suite Numérique a fait beaucoup de remous ces temps-ci, les quatre structures auditionnées poussent à ce que les différentes entités du service public continuent dans ce chemin, et même accélèrent.

• Lecornu en équilibre entre soutien aux solutions de la DINUM et recours à la French tech
• Je choisis la French Tech… mais la French Tech doit faire attention à ce qu’elle choisit !
  

En France, des discours, mais peu d’actes

Côté réseau social, Renaud Chaput, directeur technique de l’entreprise Mastodon, témoigne que le réseau social libre que soutient son entreprise « a vraiment un regain d’intérêt en Europe et ailleurs. La Commission européenne a son propre serveur Mastodon, travaille activement à l’agrandir. Les gouvernements allemands et néerlandais communiquent de plus en plus sur ce réseau, commencent à le soutenir financièrement également dans le but d’avoir leur communication publique sur une plateforme souveraine et qu’ils peuvent contrôler et qui n’est pas soumise à des intérêts américains ou chinois ».

• Renaud Chaput : « Si nos politiques étudiaient le sujet, ils viendraient sur Mastodon »
• Qu’attendent nos représentants politiques pour communiquer en dehors de X ?

Mais il ajoute qu’« en France, on voit un début, il y a beaucoup de discours, même au plus haut niveau, sur le fait de créer nos propres plateformes européennes, de ne pas dépendre pour la communication publique de société étrangères. Par contre, je dois l’avouer, on voit assez peu d’actes ».

« La commande publique doit être un levier extrêmement important », estime quant à lui Étienne Gonnu de l’April, « pour aider à consolider les écosystèmes » du logiciel libre. Il ajoute même qu’« à partir du moment où une administration dans son appel d’offre choisit » de se priver d’une des quatre libertés incluses dans les licences libres, l’April considère qu’« elle doit le justifier »

• Fin de Windows 10 : la solution viendra-t-elle du libre ?

Loïc Dayot explique que « tous les textes sont là pour pouvoir commander du logiciel libre si on le souhaite », mais il appelle à ce que les normes de la commande publique soient complétées pour qu’elle deviennent plus « contraignantes ». Il témoigne qu’il existe « actuellement des commandes publiques qui permettent de ne pas respecter le référentiel général d’accessibilité, d’interopérabilité, de sécurité, de sobriété ».

La Sovereign Tech Agency allemande en modèle

Mais Renaud Chaput explique que le problème est surtout que « très peu de structures de logiciel libre que je connaisse sont capables de répondre à un appel d’offre d’un organisme public ». Et il pose la question : « comment peut-on recevoir du financement public ? ». Les intervenants ont insisté sur le fait que si le logiciel propriétaire peut facilement se glisser dans le système de la commande publique, c’est plus difficile pour l’open source car les logiciels ne sont pas vendus mais ce sont les services autour qui le sont.

Et tout le problème est de faire en sorte que les structures publiques qui utilisent le logiciel libre y contribuent notamment pour sa maintenance. « Un logiciel ça vit, un logiciel ça évolue, surtout maintenant avec toutes les dernières technologies et l’intérêt croissant. Il y a des failles de sécurité, il y a des bugs, il y a des corrections à faire », rappelle Renaud Chaput.

Le directeur technique de Mastodon pousse à aller dans le même sens que les Allemands qui ont créé une organisation « qui a de l’argent public et qui fait des contrats » : la Sovereign Tech Agency. Cette agence du gouvernement fédéral allemand « a pour mission de financer l’open source sur des projets d’infrastructures », explique-t-il.

« Ce ne sont pas des dons, précise-t-il avec lesquels les acteurs du libre ont l’habitude de fonctionner, ce sont des contrats qui vont contacter des projets open source et vont leur dire : si vous nous proposez des fonctionnalités que vous voulez développer, dites-nous combien ça coûte et vous construisez un commun numérique qui va servir à nos services qui utilisent votre logiciel, ça va servir à toute la communauté ».

Il témoigne que Mastodon a récemment obtenu 700 000 euros de cette façon pour améliorer le logiciel du réseau social. Il ajoute que cette agence a différents programmes de financement qui permettent soit de pouvoir financer un salarié ou une formation.

Renaud Chaput se félicite de la création de l’EDIC Digital Commons et qu’un des deux programmes principaux soit l’expérimentation d’un même projet que la Sovereign Tech Agency à l’échelle européenne et pousse à ce que la France aille dans le même sens.

ANSSI font font les pirates

Dans son rapport d’activité 2025, l’ANSSI revient évidemment sur les cyberattaques qui touchent la France et dresse un sombre portrait de ce qui nous attend, mais elle en profite surtout pour faire le point sur ses dispositifs réglementaires : lanceur d’alertes, détection et blocage de menaces étatiques, déploiement des réseaux 5G…

Cela fait maintenant plusieurs mois que Vincent Strubel (patron de l’Agence nationale de la sécurité des systèmes d’information ou ANSSI) a tenu à Monaco un discours sous forme d’un électrochoc afin de réveiller la conscience collective.

Aux Assises de la cybersécurité en octobre dernier, il rappelait que la France devait être « prête à faire face à une guerre de haute intensité » d’ici 2030, avec un « engagement de nos armées ».

• Vincent Strubel (ANSSI) face à la « brutalisation du monde » et la menace quantique

Se préparer à des attaques informatiques beaucoup plus massives (et avec IA)

Il parlait du risque « d’être submergé » par les attaques, d’en « subir tellement à la fois qu’on ne pourra plus rien faire ». En mars, lors de la présentation du rapport sur la cybermenace 2025, il revenait sur le cas de la France et appelait à ne pas céder à la panique : les niveaux de menaces sont certes très significatifs, mais « on n’est pas sur une explosion ou un raz-de-marée ».

• Cyberattaques en France : des niveaux « très significatifs », mais pas de raz de marée

L’ANSSI vient de mettre en ligne son rapport d’activité 2025 et, dans son édito, Vincent Strubel, tient des propos similaires : la France doit « se préparer à un scénario d’attaques informatiques beaucoup plus massives ». Il ajoute que ce scénario « n’est pas une fatalité », mais qu’il faut se préparer.

3 586 événements de cybersécurité ont été remontés et traités par l’ANSSI. Dans le lot, 1 366 sont des incidents avérés « pour lesquels l’ANSSI confirme qu’un acteur malveillant a conduit des actions avec succès sur le système d’information de la victime ». L’année précédente, période des JOP 2024 de Paris, il y en avait eu respectivement 4 386 et 1 361.

L’Agence détaille dans son rapport ses actions passées et à venir. Il est évidemment question d’intelligence artificielle : « notre rôle est d’apporter de la clarté, d’anticiper, de mesurer les risques comme les opportunités – le tout pour accompagner l’écosystème vers la promotion d’une IA à la fois sûre et résiliente ». Une déclaration de Hugo Mania, chef de projet IA à l’ANSSI, qui résonne avec les déclarations d’Anthropic et OpenAI sur les performances de leur IA dédiées à la cybersécurité.

Cette année, une formation de « sensibilisation aux enjeux de cybersécurité liés à l’IA » sera proposée au Centre de formation à la sécurité des systèmes d’information (CFSSI) de l’ANSSI.

• Cybersécurité vs Gen AI : l’ANSSI « n’a pas de preuve d’attaque à 100 % IA »
• OpenAI aussi a son moment Mythos… et assure sa com’ face à Anthropic
• Comment survivre à la déferlante à venir des vulnérabilités identifiées par IA ? (3/3)

Augmentation des attaques contre les environnements cloud