Une attaque non revendiquée a permis à des pirates d’infecter des centaines de paquets dans le dépôt AUR d’Arch Linux. La distribution n’est pas directement touchée, le dépôt étant consacré aux paquets gérés par la communauté. L’ampleur de l’attaque montre une nouvelle fois les limites d’un modèle de sécurité avant tout basé sur la confiance.
AUR, pour Arch User Repository, est un dépôt communautaire pour la distribution Arch Linux (et celles qui en dérivent). Comme indiqué sur le wiki d’Arch Linux, il « a été créé pour organiser et partager les nouveaux paquets de la communauté et pour aider à accélérer l’inclusion des paquets populaires dans le dépôt « extra » ». Il n’est donc pas géré par l’équipe de maintenance d’Arch Linux, n’est le plus souvent pas activé par défaut et contient un grand nombre de paquets (archives regroupant les fichiers nécessaires à un logiciel et les métadonnées associées) non présents dans la distribution.
Pratique, AUR est aussi un fourre-tout dans lequel la traçabilité est parfois très relative. C’est cet aspect qui a été exploité par les pirates.
L’attaque
Le 11 juin, les chercheurs de l’entreprise de sécurité Sonatype découvrent une campagne d’attaque coordonnée contre le dépôt AUR. Le ou les pirates ont pris le contrôle de paquets AUR dits « orphelins », c’est-à-dire abandonnés et en quête d’un repreneur. Ces paquets ont été modifiés : les fichiers de description des paquets (PKGBUILD) pointent vers un paquet npm malveillant à l’installation.
Dans son billet, Sonatype indique qu’une vingtaine de paquets modifiés ont ainsi été détectés. Un script post-installation a même été injecté pour appeler la commande « npm install atomic-lockfile ».
Entre les 11 et 12 juin, le nombre de paquets détectés comme malveillants s’envole, comme rapporté par le collectif de renseignement open source IFIN (Independent Federated Intelligence Network) et la communauté AUR. On passe ainsi de 20 à plus de 400 paquets, qui distribuent à la fois un rootkit assurant la persistance dans les machines infectées et un malware dédié au vol d’identifiants et de jetons d’accès (tokens d’authentification).
Il reste 80% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Trouver des informations personnelles, bancaires d’une personne aussi facilement que la recette de la tarte aux pommes ? C’est la « promesse » d’un site qui commercialise désormais vos données privées et bancaires, dont l’histoire mérite qu’on s’y attarde. Le gouvernement a saisi la justice.
Mise à jour du 13 juin 11h38. Le député Éric Bothorel annonce avoir « saisi hier la Justice pour au moins trois sites qui compilent des fuites de données et les rendent publiques » et rappelle au passage les risques.
Article original du 12 juin 22h00. Depuis plusieurs mois, un moteur de recherche fait tout pour se faire connaître. Se présentant comme un service agrégeant les données publiques et issues des (nombreuses) fuites qui surviennent en France depuis des années, il permet de chercher très simplement les informations d’une personne. Les critiques sur sa licéité et les retombées sur la vie privée n’ont pas manqué.
Avant toute chose, un point important : Next ne donnera ni son URL ni son nom, même s’ils sont facilement trouvables (et nous vous demandons de faire de même dans les commentaires), notamment pour ne pas leur faire la moindre publicité gratuite.
Une fenêtre sur les fuites de données et leurs dangers
Le site apparait sous une forme simple : on s’inscrit avec son email puis on lance une recherche sur un nom et un prénom, par exemple. Les résultats apparaissent sous forme de liste, les données d’une personne étant réunies dans un cadre. On y retrouve les nom, prénom, adresses email, numéros de téléphone mobile et fixe, l’adresse postale et, selon les cas, des informations beaucoup plus sensibles comme le numéro de sécurité sociale et jusqu’à l’IBAN.
Il s’agit de données provenant des fuites de données massives, comme celles des deux prestataires du tiers payant (Viamedis et Almerys), des comptes avec IBAN de Bouygues Telecom et Free, des associations sportives, etc. Certaines sont datées, d’autres plus récentes, mais on peut assez facilement retrouver des personnes en choisissant les bons mots clés. Toujours sur Discord, les « leaks » récupérés sont listés, le premier remonte à octobre 2015 avec des données des impôts français, puis MYM, Carte Jeune Occitanie, CAF, France Travail, etc.
Malheureusement, rien de neuf, aurions-nous presque envie de dire. Les fuites sont monnaie courante depuis des années, les données facilement accessibles sur Internet. Pour Next et des experts en cybersécurité, ce n’est pas une surprise. Ce genre de « service » existe depuis des années, mais ils sont par contre plus underground, au sein de forums spécialisés plus ou moins référencés, dans des groupes de discussions, également sur des sites, mais plus confidentiels.
La « nouveauté » est ici l’accès gratuit, avec une interface propre et simple à utiliser par n’importe qui, avec une certaine viralité (même si elle est difficile à mesurer). C’est une fenêtre ouverte sur un monde qui n’est généralement pas autant sous le feu des projecteurs.
Ce site n’est d’ailleurs pas nouveau, à en croire son Discord au début de l’année : « Notre nom de domaine a récemment été supprimé, ce qui nous a obligés à le changer ». Sur le Discord, on peut également voir des guerres de clocher (ou de cour de récré quand on voit le niveau de certains échanges) sur qui a le meilleur service, qui copie l’autre, qui était là en premier, etc.
Première dose gratuite, maintenant payez (ou faites la promotion)
La période de « gratuité » est désormais terminée : l’accès est payant depuis ce vendredi. Comptez 10 euros par semaine minimum, sachant que « les prix vont augmenter prochainement », prévient le site. Pour payer, « cryptomonnaies, Paypal, PaySafeCard ou en virement bancaire ». Bien évidemment, on ne peut que vous conseiller de ne pas payer.
Cette bascule devait intervenir le 15 juin, mais elle a été faite plus tôt que prévu : « Le projet a pris une trop grande ampleur et certaines personnes jalouses qui se sont intéressées à des choses qui ne les concernaient pas ont tout fait pour essayer de faire fermer le site et nous apporter des soucis », peut-on lire dans les « annonces ».
Le besoin de viralité est d’ailleurs assumé et même monétisé, comme en témoigne le Discord pas plus tard que cette semaine : « Nous recherchons actuellement des personnes motivées pour nous aider à faire connaître xxx sur les réseaux sociaux et les communautés en ligne. Si vous êtes actif sur TikTok, Snapchat, Instagram, Discord ou toute autre plateforme et que vous souhaitez participer à la promotion du projet, n’hésitez pas à nous contacter. En échange d’une aide régulière et sérieuse, nous pourrons offrir un abonnement à l’un de nos plans payants ».
Retrouver ses proches ? La fausse bonne excuse
Nous avons contacté les gestionnaires du site via le Discord. Plusieurs ont répondu présent, de manière polie. Nous avons pu discuter oralement avec l’un d’eux, qui se fait appeler Zalko, et lui avons posé quelques questions.
Interrogé sur les motivations qui ont mené à la création du site, il nous répond qu’avec plusieurs amis, ils voulaient constituer une base rassemblant « tout ce que l’on peut trouver publiquement et dans les fuites de données ». Il ajoute : « On voulait juste que tout soit au même endroit pour simplifier la vie des gens qui veulent retrouver un proche, un ami ».
Devant les inévitables sujets relatifs à la vie privée, aux dérives comme le doxxing ou encore au caractère légal du service, Zalko est confiant : « Je ne pense pas que ce soit illégal, parce qu’on peut trouver ces données n’importe où. Nous on a simplement rassemblé tout au même endroit. On s’est beaucoup renseigné sur les textes de lois ».
Et sur l’exploitation malveillante d’une telle masse de données ? « Nous on est clairs, on avertit partout que le doxxing et ces autres pratiques sont interdites. Et on a mis en place des protections pour limiter et bloquer le scrapping ».
Nous n’en avons pas appris beaucoup plus, mais la suite a pris rapidement une tournure étrange. Une autre personne, se présentant comme un responsable du site, nous a recommandé de ne pas croire le dénommé Zalko, pourtant rangé dans les « Managers » sur Discord.
Les questions suivantes, notamment sur la licéité du service et son exploitation commerciale, n’ont reçu aucune réponse. « J’ai reçu pour instruction de ne plus vous parler », nous a répondu l’autre personne. Quand on parle de cour de récréation…
« Sur la forme, c’est manifestement illicite »
Dans un long message signé « l’équipe xxx », les responsables affirment que ce service « est, et a toujours été, un service légal et conforme. Notre outil agrège exclusivement des données publiquement accessibles. Nous ne piratons rien. Nous ne volons rien. Nous ne doxxons personne. Nous ne leakons aucun mail confidentiel. Nous n’intimidons aucun plaignant. Nous ne redirigeons personne vers des sites malveillants. Nous n’avons aucune faille de sécurité exposant les données de nos utilisateurs. Xxx respecte le cadre légal en vigueur, y compris le RGPD. Les données accessibles via notre plateforme sont des données déjà publiques ». Sur un malentendu ?
Concernant le caractère légal d’un tel site, Alexandre Archambault, avocat spécialisé dans le droit du numérique, n’est pas catégorique mais souligne d’importants manques et zones d’ombre. « Sur la forme, c’est manifestement illicite en l’absence de mentions légales conformes à la loi, s’agissant d’un site qui s’adresse au marché français », nous indique l’avocat.
« L’exploitation d’un site internet ne disposant pas de mentions légales conformes à la loi est un délit », ajoute-t-il. Les peines peuvent aller jusqu’à 75 000 euros d’amende et un an d’emprisonnement. S’il s’agit d’une entreprise, l’amende peut s’envoler à 375 000 euros.
Il souligne qu’une telle situation peut relever des dispositions de l’article 323-3-2 du code pénal, avec un risque accru depuis la loi 2025 - 532 du 13 juin 2025. S’agissant d’une structure a priori commerciale, la bande organisée peut être retenue. Les peines encourues changent effectivement d’échelle, puisqu’elles peuvent grimper jusqu’à 10 ans d’emprisonnement et 1 million d’euros d’amende.
Des risques réels : le « recel de data volées est un crime »
Projet Arcadie est plus directe : « Techniquement, c’est du recel et cela a été confirmé par la Cour de cassation dans un arrêt du 18 février 2026 ». Tris Acatrinei se fait l’écho d’Amélie Bonfanti (cabinet Deshoulières Avocats) : « Le fait de bénéficier, en connaissance de cause, d’une information provenant d’un délit peut constituer un recel au sens de l’article 321 - 1, alinéa 2, du Code pénal ».
« L’autre véritable danger réside dans la possibilité qu’une personne très mal intentionnée qui utiliserait ces données, obtenues illégalement, pour faire du mal à quelqu’un d’autre. Dans ce cas, la responsabilité des créateurs de xxx pourrait être engagée », ajoute Projet Arcadie.
Anne Le Hénanff, ministre déléguée chargée du Numérique, affirme à BFMTV avoir saisi la justice en vertu de l’article 40 du code de procédure pénale : « Toute autorité constituée, tout officier public ou fonctionnaire qui, dans l’exercice de ses fonctions, acquiert la connaissance d’un crime ou d’un délit est tenu d’en donner avis sans délai au procureur de la République et de transmettre à ce magistrat tous les renseignements, procès-verbaux et actes qui y sont relatifs ».
Éric Bothorel a aussi saisi la justice, pour au moins trois sites similaires. Le député rappelle au passage que « sur d’autres affaires similaires, plusieurs personnes ont déjà été déférées. Il faut le redire avec force : le recel de data volées est un crime. Et à ceux qui s’y emploient, parfois très jeunes, ceci n’est pas un jeu »
Passez votre chemin, vraiment !
Rappelons enfin qu’il n’est pas du tout recommandé d’utiliser ce genre de service, notamment car vous ne savez pas ce qu’il adviendra de vos données personnelles. Pendant la phase « gratuite », ce site demandait un simple email pour se connecter (avec confirmation), vous pouviez également demander à retirer des informations.
Non seulement rien ne certifie que cela sera fait, mais même dans le meilleur des cas cela ne les supprime que de ce service… or il en existe des dizaines au bas mot, sans compter les copies des leaks qui sont un peu partout sur Internet. De plus, demander à retirer les données peut confirmer à des pirates que ces données sont encore valables, et qu’elles ont donc une valeur supplémentaire.
Vous voulez savoir si des données personnelles ont fuité ? Il existe des sites fiables, qui ne donnent pas d’informations à n’importe qui. Have I Been Pwned en est un. Entrez votre email et vérifiez dans quels leaks il apparait, avec quelles données associées.
Par exemple, l’un de nos emails est dans cette base qui est disponible sur Internet :
L’Office anti-cybercriminalité (OFAC) a annoncé à l’AFP avoir procédé à l’interpellation de sept personnes dans le cadre d’une opération ayant mené au démantèlement du groupe Dumpsec, relaye Le Monde.
Dumpsec s’est largement fait connaitre depuis l’année dernière pour son nombre très élevé de piratages ayant conduit à d’importantes fuites de données, dans des centaines d’entités françaises, entreprises comme administrations : mairies, fédérations françaises de handball, de cyclisme, ou de volley-ball, Adecco, plateforme FOROM du ministère des Sports, Unis-Cité, l’Union Nationale du Sport Scolaire, programme Carte Jeune de la région Occitanie, Biocoop, Cegedim Santé ou encore Carvivo font partie des victimes.
Selon nos confrères, ce sont en tout 1 500 entités qui auraient pu être concernées par les activités du groupe, dont les membres ont été décrits comme « particulièrement actifs ». « Ce sont de jeunes hackers français en quête de notoriété et se croyant hors d’atteinte », a indiqué la commissaire Julie Benoit, cheffe du pôle des enquêtes cyber de l’OFAC. Des personnes décrites comme « des mineurs ou de jeunes majeurs », « souvent autodidactes » et dont le sentiment de puissance les aurait rendus « totalement décomplexés ». Les attaques avaient toutes été revendiquées.
Les interpellations se sont accompagnées de perquisitions un peu partout sur le territoire (Lille, Marseille, Strasbourg, Poitiers, Bordeaux…). Elle a mené à la saisie de supports numériques, que l’OFAC analyse actuellement. L’Office avait commencé son enquête en novembre, à la suite d’une attaque contre une entreprise de Rennes.
En quelques mois, Microsoft semble avoir compris que les performances et la réactivité étaient des critères importants pour ses utilisateurs. Divers produits, dont Windows 11, ont reçu des améliorations plus ou moins significatives et d’autres sont encore à venir.
Windows 11 ne jouit pas d’une image positive, c’est le moins que l’on puisse dire. Une situation exacerbée par la mise au rebut de Windows 10, avec des conséquences importantes, particulièrement pour les vieux ordinateurs et le grand public. Microsoft se remue, et pas que sur son système : d’autres produits comme Teams, les PowerToys ou encore OneDrive sont concernés.
On commence par la version 0.100.0 des PowerToys, ces fameux outils gratuits (et open source, sous licence MIT) pour remplir différentes fonctions considérées comme avancées (objection, votre honneur !).
La plus grosse nouveauté est la migration de la suite vers .NET 10. Cette modernisation procure divers avantages : taille réduite d’environ 28 % (de 376 à 272 Mo), installation nettement plus rapide, consommation plus faible des ressources et meilleures performances générales, même si Microsoft ne donne pas de chiffres précis.
Cette version 0.100.0 contient également des améliorations pour les outils. La Palette de commandes reçoit par exemple l’Extension Gallery, qui permet de chercher et d’installer des extensions directement depuis la palette. Le Shorcut Guide, chargé d’afficher la liste complète des raccourcis de Windows, s’offre un listing plus complet, plus simple à utiliser. Power Display gagne également en efficacité et permet la gestion simplifiée d’écrans multiples, en permettant de choisir rapidement l’orientation, le contraste, la luminosité et autre de chaque écran depuis la même fenêtre.
Bien que Microsoft continue de considérer ces PowerToys comme autant d’outils optionnels, beaucoup d’entre eux mériteraient de se faire une place au sein de Windows 11. Shortcut Guide est un bon exemple, tout comme Power Display, Aperçu (reprise du Quick Look de macOS) ou encore ZoomIt, qui permet de zoomer facilement sur n’importe quelle partie de l’écran.
OneDrive pour macOS s’allège et accélère
Les personnes utilisant le canal Insider de Microsoft 365 peuvent tester depuis hier une nouvelle version du client OneDrive pour macOS. Résolument majeure, cette mouture intègre un nouveau moteur de synchronisation, baptisé Native Sync.
L’éditeur indique dans un billet dédié que le client OneDrive est resté longtemps sur un ancien moteur de synchronisation pour des raisons de compatibilité. Ce fonctionnement incluait la présence d’un dossier de cache masqué. Problème : ce dossier finissait par créer des soucis de performances et de synchronisation avec le temps.
Le nouveau moteur présente deux gros avantages selon Microsoft : des performances nettement supérieures – l’éditeur parle d’une synchronisation deux fois plus rapide – et une intégration poussée avec macOS. Cette dernière permet notamment le support des stockages amovibles, permettant par exemple de placer le dossier OneDrive sur un disque ou une clé USB. Le dossier de cache est toujours là, mais retrouve simplement sa fonction première. Le nouveau client supporte également les dossiers et bibliothèques partagés (SharePoint).
Si vous avez intégré le canal de test, il suffit de se rendre dans l’À propos de OneDrive et de vérifier la version. Si elle se termine par « 26H », c’est bien la dernière disponible, sinon il faudra patienter jusqu’à plusieurs semaines. Si vous passez par le Mac App Store, il n’y a aucun moyen de changer de canal.
Enfin, Microsoft ne donne aucune information sur la disponibilité via le canal stable.
Teams aussi (si si)
Même si la dernière révision majeure de Teams, lancée en octobre 2023, avait largement réduit les ressources consommées (en abandonnant Electron pour WebView2 et React), l’application est restée pour beaucoup synonyme de lenteurs.
Dans un autre billet publié le 10 juin, Microsoft n’a parlé encore une fois que de performances. L’entreprise a fait le bilan des modifications intervenues durant le premier semestre de cette année (qui n’est d’ailleurs pas terminé) en revenant sur plusieurs chantiers importants. Au-delà des gains de performances, ce sont surtout les détails qui sont intéressants, exposant le type de travaux qu’une grande entreprise entreprend face aux goulets d’étranglement repérés.
Les passages d’une conversation à une autre manquaient ainsi de réactivité. Microsoft explique s’être rendu compte qu’il y avait des problèmes entre le traitement des requêtes et la manière dont fonctionnait le framework (cadriciel, en VF) React. Par exemple, la requête de récupération des données pouvait se retrouver refoulée par le cycle de rendu de React. Les requêtes liées étaient en outre envoyées de manière séquentielle, « chacune déclenchant son propre aller-retour et son cycle de rendu », créant des cascades. Résultat, Microsoft a tout regroupé en une seule requête, devenue prioritaire, avec un gain de 20 % de performances.
Sur iOS et macOS, diverses optimisations ont abouti à une réduction de 35 % du nombre de blocages. Sur macOS par exemple, le chargement de la bibliothèque dynamique WebView2 était responsable de 6 % des blocages. Pour résoudre le problème, ce traitement a été déplacé du thread principal vers un nouveau thread en arrière-plan. Même chose pour la surveillance de l’état du réseau, jusqu’ici confiée au thread principal. Sur iOS, Microsoft a eu recours à des caches, au déplacement d’opérations hors du thread principal et à la mise en attente des opérations non critiques jusqu’à ce qu’elles soient nécessaires. La version mobile dispose également de résultats de recherche 25 % plus rapides selon Microsoft.
Windows 11 et son Low Latency Profile
Microsoft a fait de nombreuses promesses autour de Windows 11. Réunies au sein de l’initiative K2, elles incluent notamment un travail significatif sur les performances, la personnalisation, les demandes de la communauté, la cohérence graphique et les applications natives.
Sur le chapitre des performances, Microsoft est particulièrement attendue au tournant. On savait que l’entreprise travaillait sur une série d’optimisations, dont la première tranche est plus ou moins disponible depuis peu. « Plus ou moins » ? Oui, car les modifications sont arrivées en même temps que la dernière mise à jour mensuelle, mais ne sont pas encore actives chez tout le monde. Microsoft a l’habitude de prendre son temps pour activer les nouveautés chez l’ensemble des utilisateurs.
Ce Low Latency Profile permet l’accélération d’opérations courantes comme l’ouverture du menu Démarrer ou du menu contextuel, le rendu des éléments d’interface ou encore le lancement des applications. Les gains avaient été mesurés par Windows Central en mai, évoquant des lancements jusqu’à 40 % plus rapides pour les applications intégrées comme Edge ou Explorateur, ou encore des gains allant jusqu’à 70 % pour le rendu des interfaces. Dans un tweet, nos confrères montraient la différence en comparant deux versions, l’une sans le profil, l’autre avec, avec des différences significatives.
Comment a procédé Microsoft ? La méthode a créé des débats, car l’éditeur a ouvert les vannes sur le processeur : les processus concernés peuvent désormais utiliser les ressources jusqu’à 100 %. Nous avons pu observer effectivement qu’une opération comme l’ouverture du menu Démarrer ou le lancement de l’Explorateur provoque un petit pic dans le taux d’utilisation CPU. Ce pic est très bref, mais suffisant pour que certains y aient vu une forme de « triche » – les processus consommant simplement plus de ressources – au lieu de vraies optimisations.
Le résultat reste que même sur un ordinateur portable, ces petits pics n’ont pas déclenché les ventilateurs dans notre cas, mais le résultat devrait être très variable selon la machine utilisée. Le gain de réactivité, lui, est bien réel. On pourrait d’ailleurs rétorquer qu’entre fournir une plus grande puissance sur peu de temps et moins de puissance sur un temps plus long, chacun verra midi à sa porte.
Et pour les personnes n’ayant pas encore cette nouveauté ? Il existe un moyen de l’activer sans attendre que Microsoft se décide à répercuter le changement, ce qui peut habituellement prendre des semaines. Il suffit de passer par ViveTool, que nous vous avions présenté il y a quelques années. Il s’agit pour rappel d’un petit utilitaire permettant d’activer des fonctions dormantes dans Windows.
Dans le cas présent, la commande est :
vivetool /enable /id:58989092
Après validation, il sera nécessaire de redémarrer l’ordinateur. Comme toujours, si vous n’êtes pas particulièrement pressé(e), autant attendre que Microsoft l’active de son côté.
Que se passe-t-il chez Microsoft ?
Jamais jusqu’à présent la firme n’a autant parlé de performances. On ne sait pas réellement ce qui a changé depuis le début de l’année : l’entreprise aurait-elle finalement été piquée au vif devant les nombreuses critiques contre ses produits ? La montée progressive de la part de marché de Linux sur les jeux vidéo l’aurait-elle forcée à ouvrir les yeux ?
Quelle qu’en soit la raison, le changement est intéressant, avec des bénéfices pour les utilisateurs concernés. D’autant que l’éditeur a promis que Windows 11 recevrait d’autres mises à jour importantes tout le reste de l’année. Il y a un blason à redorer, et un travail sur les performances, l’écoute de la communauté et un ralentissement sur l’intégration aux forceps de l’IA peut certainement aider.
Dans un billet de blog publié ce 11 juin, Microsoft a annoncé un changement majeur dans le cycle de publication de son navigateur Edge : une version toutes les deux semaines, contre toutes les quatre semaines actuellement. Cette bascule s’opérera à compter du 27 aout avec la sortie d’Edge 152.
« Edge passe à un cycle de mise à jour de deux semaines, apportant plus rapidement que jamais de nouvelles fonctionnalités et améliorations aux utilisateurs et aux organisations. C’est une excellente nouvelle pour les équipes qui prospèrent grâce à l’innovation : au lieu d’attendre un mois entier pour la prochaine mise à jour, vous bénéficiez d’un flux constant et continu de nouvelles capacités à mettre en œuvre plus rapidement », s’enthousiasme l’entreprise.
Pour les personnes sur la branche stable (l’immense majorité des utilisateurs), Microsoft précise simplement que chaque version contiendra en moyenne deux fois moins de nouveautés, à une cadence doublée. « La sécurité et les améliorations de plateforme atteignent plus rapidement vos utilisateurs, et chaque ensemble de modifications est plus restreint, ce qui peut rendre la validation plus gérable », affirme l’éditeur.
En pratique, ce changement ne bousculera pas les habitudes, sauf du côté des développeurs, qui devront vérifier plus fréquemment que leurs créations sont compatibles. Pour les utilisateurs, Edge se contentera de demander un redémarrage. Pour les entreprises utilisant le canal Extended Stable, rien ne change : le cycle de huit semaines reste en place. De la version 152, le canal passera ensuite à la 158 deux mois plus tard.
Si ce changement vous semble familier, c’est que Google a annoncé le même changement en mars dernier. Là aussi, il était déjà question d’un flux plus rapide mais plus contenu de nouveautés, sans toucher aux canaux Dev et Canary. La bascule chez Google commencera avec la version 153, prévue pour le 8 septembre.
GLF OS, la distribution Linux française spécialisée dans les jeux vidéo vient de recevoir une mise à jour majeure. Nommée Quasar, elle apporte des améliorations significatives sur bon nombre de points et se présente comme la version de la maturité.
La nouvelle mouture est basée sur NixOS 26.0.5 et propose une mise à jour généralisée des 2 500 paquets du système. Parmi les composants les plus importants, on retrouve un noyau Linux 6.18 accompagné de Mesa 26.1 et des pilotes NVIDIA 595 pour la partie graphique. Quasar passe également à GNOME 50 et KDE 6.6.
Faugus Launcher
Outre de nouveaux fonds d’écran, on trouve également d’autres changements majeurs. Par exemple, l’intégration de Faugus Launcher pour gérer plus facilement les launchers tels que Battle.net et EA App. Ils étaient jusqu’à présent gérés par Lutris, dont le maniement n’est pas si simple. Des corrections ont été faites pour certains launchers et l’équipe GLF OS gère désormais la maintenance du paquet.
Signalons aussi des améliorations pour la gestion de l’énergie sur les machines équipées d’un GPU NVIDIA, l’intégration native de la réduction de bruit RNNoise (via Pipewire), une meilleure prise en charge des périphériques Logitech, et de manière générale les dernières versions d’un grand nombre d’applications, dont Steam, Heroic, GE-Proton ou encore OpenRGB. La version Studio de la distribution garde pour sa part DaVinci Resolve, OBS Studio, GIMP, Kdenlive et Audacity.
Si vous utilisez la distribution, elle a déjà dû vous prévenir que la nouvelle version était disponible. Il suffit alors de redémarrer la machine. Si vous souhaitez tenter l’aventure, l’image ISO peut être téléchargée depuis le site officiel, qui a fait peau neuve pour l’occasion et est plus lisible.
Microsoft a publié mardi soir son Patch Tuesday de juin, avec un nombre record de correctifs pour près de 200 failles. L’éditeur avait prévenu le mois dernier que l’arrivée progressive des IA dans le domaine de la sécurité allait accélérer la cadence. Un phénomène d’ampleur et général.
Si vous n’avez pas encore redémarré votre ordinateur pour appliquer les derniers correctifs de Windows, il est temps de sauter le pas. La mise à jour mensuelle de sécurité, publiée le soir du 9 juin, contient un nombre record de failles corrigées, et pas des moindres : 198 vulnérabilités, dont 32 critiques et quatre dont les détails sont publics. L’une d’elles est d’ailleurs déjà exploitée.
Attention les yeux
C’est le plus gros Patch Tuesday jamais publié par Microsoft. Comme signalé par plusieurs médias, dont ComputerWeekly, le nouveau venu explose le précédent record, détenu par la mise à jour d’octobre 2025 et ses 170 failles corrigées.
Avec ses 198 vulnérabilités colmatées, le Patch Tuesday est déjà important en soi. Mais c’est surtout son nombre de failles critiques corrigées qui attire l’attention : 32, un chiffre très élevé pour un seul lâcher de patchs. En outre, quatre failles sont détaillées publiquement. Elles ne sont pas critiques, mais sont tout de même importantes, et l’une d’elles est exploitée :
CVE-2026-41091 : faille de type élévation de privilèges dans Microsoft Defender, activement exploitée
CVE-2026-45586 : faille de type élévation de privilèges (EoP) dans le Windows Collaborative Translation Framework (CTFMON)
CVE-2026-49160 : faille de type déni de service (DoS) dans HTTP.sys
CVE-2026-50507 : faille de type contournement de sécurité (SFB) dans BitLocker
La taille de cette mise à jour de sécurité interroge. Mais il faut rappeler que Microsoft a publié en mai un billet, « A note on patch Tuesday», indiquant que ses équipes d’ingénieurs, et plus généralement la communauté de la sécurité, se servaient de plus en plus des LLM et autres outils dopés à l’IA pour détecter les failles. Plus de détections mènent à plus de corrections, même si ce n’est pas nécessairement dans les mêmes proportions.
Cauchemar en salle de dev
Le mois dernier, nous rapportions les informations données par un chercheur indépendant en sécurité se faisant appeler Nightmare Eclipse. Il avait fourni des informations sur plusieurs failles, dont YellowKey qui a fait grand bruit, car elle relançait l’idée que Microsoft était en capacité de fournir la clé de chiffrement de BitLocker aux autorités si besoin.
L’impact des informations données par Nightmare Eclipse est concret. Il semble que le correctif pour la faille CVE-2026-50507 dans BitLocker soit bien lié à YellowKey. D’autres failles montrées par le chercheur trouvent a priori leur réponse dans le Patch Tuesday. GreenPlasma était par exemple une faille permettant une élévation de privilèges dans le Windows Collaborative Translation Framework. Dans le correctif pour le CVE-2026-45586, il est justement question d’une telle faille.
À noter qu’à la fin mai, Microsoft s’était fendu d’un billet pour dire tout le mal qu’elle pensait de ces publications, visibles publiquement et présentant assez de détails pour être exploitées plus ou moins facilement. L’entreprise indiquait clairement que les forces de l’ordre pouvaient être averties dans de tels cas, car les conséquences de telles révélations pouvaient avoir un impact lourd sur la sécurité générale.
Nightmare Eclipse, de son côté, expliquait en être arrivé à ces extrémités à cause d’un Microsoft ayant « choisi d’aggraver la situation au lieu de la régler comme des adultes. Ils ont eu recours à toutes les manœuvres puériles possibles. Ma patience a des limites et vous faites payer tout le monde ».
Une accélération très marquée
Outre les questions de responsabilité dans la publication des détails des failles de sécurité, l’emballement du nombre de correctifs est une conséquence directe de l’utilisation de plus en plus intensive des outils IA dans le domaine de la sécurité.
Dans son billet de mai sur le patch Tuesday, l’éditeur indiquait ainsi que les outils d’automatisation avaient mûri, que la participation des chercheurs avait augmenté et que le recours à l’IA était logiquement croissant :
« Des modèles avancés d’IA font partie du tableau de la découverte et contribuent à l’accélérer. Ils nous permettent de raisonner sur les chemins et configurations du code à une vitesse et une cohérence impossibles à la seule révision manuelle. Une automatisation supplémentaire dans nos flux de travail de validation nous aide à évaluer plus rapidement la gravité et la reproductibilité. »
Bien que cette accélération puisse poser des questions, notamment sur la manière de classer les failles et les barèmes associés, rien ne change pour l’instant, en dehors du rythme. Et le Patch Tuesday de juin n’est pas le seul à marquer « le coup ».
La société de sécurité Rapid7 notait hier sur son blog que Microsoft en était également à 360 vulnérabilités corrigées depuis le début du mois dans son navigateur Edge. La majeure partie provient de Chromium (sur lequel Edge est basé), signalant du même coup une accélération franche du rythme un peu partout. Pour preuve : Chrome 149, sorti au début du mois, corrigeait le nombre impressionnant de 429 failles de sécurité. Du côté d’Adobe, les dernières mises à jour ont colmaté 123 brèches de sécurité.
Chats et souris sous stéroïdes
« Nous sommes dans l’apocalypse des patchs. […] Ce n’est pas une tactique d’intimidation. C’est pour souligner le défi que de nombreuses organisations anticipaient, mais la nouvelle génération de LLM a accéléré significativement durant la première moitié de 2026 », a indiqué Chris Goettl, vice-président produits de sécurité chez Ivanti, interrogé par Computer Weekly.
Selon lui, cette accélération est naturelle, mais s’accompagne d’un pendant négatif, tout aussi prévisible : « Il va y avoir plus de failles résolues par les éditeurs, à un rythme plus rapide et continu que tout ce que nous avons vu jusqu’à présent. Malheureusement, cela inclura aussi plus d’exploitations de failles 0-day et n-day que précédemment ».
En avril, le cas de Firefox illustrait déjà pleinement la situation : la version 150 du navigateur corrigeait la bagatelle de 271 vulnérabilités, du jamais vu chez Mozilla. Bobby Holley, directeur technique de Firefox, évoquait d’ailleurs un « vertige ».
Ces failles avaient été repérées par le modèle Mythos d’Anthropic, accessible uniquement via le projet Glasswing, pour verrouiller l’accès à une IA considérée comme trop « puissante ». Depuis, Anthropic a publié Fable, disposant des mêmes capacités en théorie mais assortie de garde-fous.
Ces modèles utilisés pour détecter les failles sont des outils neutres : ils trouvent les vulnérabilités, mais ne s’assurent pas de l’usage qui en sera fait. En d’autres termes, c’est un nouveau jeu du chat et de la souris dans le domaine de la sécurité, cette fois sous stéroïdes.
On peut donc s’attendre désormais à des correctifs de plus en plus copieux pour les systèmes et applications. Le phénomène concerne tous les produits informatiques, que l’on parle d’ordinateurs ou d’appareils mobiles comme les téléphones et tablettes. Linux n’est pas épargné, car la série récente de correctifs portant sur des élévations locales de privilèges doit son rythme important en grande partie aux découvertes par l’IA.
Le monde de la sécurité est déjà en ébullition dans ce domaine à cause d’une hausse significative des rapports de bugs. Elle avait provoqué la colère de l’équipe derrière Ffmpeg, qui fustigeait la « bouillie » (slop) générée par l’IA et l’envoi d’un nombre si important de rapports de bugs que les vérifications devenaient humainement impossibles. Ce qui pose la question des moyens alloués à cette vérification, y compris dans les grandes entreprises comme Microsoft.
Autre question : le rythme toujours plus soutenu des découvertes, vérifications et corrections ne risque-t-il pas d’entrainer une hausse de bugs plus généraux, à cause d’effets indésirables dans les correctifs ?Les prochains mois ne seront probablement pas de tout repos.
En rachetant PC SOFT, l’éditeur de WinDev, Constellation Software a placé sous sa coupe tout un pan du tissu applicatif des PME et des administrations françaises et belges. Les utilisateurs se retrouvent débiteurs involontaires d’un fonds coté en bourse.
En novembre 2024, une société française fondée quarante ans plus tôt changeait de mains. PC SOFT, éditeur montpelliérain de la suite de développement logiciel WinDev, WebDev et WinDev Mobile, passait sous le contrôle d’une entité nommée Two Squared France II. Son président, John Isak, est Chief Investment Officer de Volaris Group, filiale du groupe canadien Constellation Software, coté à la Bourse de Toronto. Il n’y avait eu ni communiqué ni annonce aux clients, comme l’a rapporté Kairos le 6 juin.
Ce sont des développeurs, en fouillant eux-mêmes les registres publics, qui ont découvert la transaction. PC SOFT n’a confirmé qu’en mai 2025 (six mois plus tard), en quelques lignes sur sa page d’actualités, le même jour où Volaris publiait un bref communiqué très enthousiaste. Un calendrier dont le groupe semble coutumier.
La machine à acquérir
Constellation Software n’est pas une entreprise technologique au sens propre. Fondé à Toronto en 1995 par Mark Leonard, ce groupe financier est spécialisé dans le rachat de sociétés éditrices de logiciels métiers à clientèle captive – ce que l’industrie nomme « vertical market software », ou VMS.
Depuis sa création, le groupe a réalisé plus de mille acquisitions. En 2023 seul, il en a bouclé plus d’une centaine. Son chiffre d’affaires pour l’exercice 2024 s’élevait à 10,066 milliards de dollars, en hausse de 20 % sur un an, une croissance très largement tirée par les acquisitions. Depuis son introduction en bourse en 2006, l’action CSU a grimpé de plus de 24 000 %.
Sa stratégie repose sur une mécanique précise : identifier les éditeurs opérant dans des niches où la concurrence est inexistante et où les clients ne peuvent pas migrer sans coût prohibitif, acquérir discrètement, puis convertir les modèles de vente en abonnements récurrents tout en augmentant méthodiquement les tarifs. Selon une analyse des pratiques du groupe par Colin Keeley, Constellation impose à ses sociétés acquises des hausses tarifaires annuelles obligatoires de 6 % et stoppe tout développement de fonctionnalités qui ne se traduit pas directement par une augmentation de ce que les clients sont prêts à payer.
Un écosystème propriétaire verrouillé depuis trente ans
Fondée en 1984, PC SOFT emploie 61 salariés et réalisait 12,4 millions d’euros de chiffre d’affaires en 2024, pour un résultat net de 2,7 millions d’euros. Relativement modestes en apparence, ces chiffres soulignent tout de même une très bonne rentabilité, qui découle d’un actif consistant : un écosystème propriétaire dans lequel des milliers de développeurs indépendants, d’entreprises de services et de structures publiques ont investi depuis les années 1990.
Le WLangage (langage de programmation au cœur des outils PC SOFT), propriétaire, n’existe nulle part ailleurs. Sur la page Wikipedia de WinDev, on peut lire que le WLangage n’a par exemple jamais intégré l’index TIOBE, qui référence notamment les 250 langages les plus utilisés. Trente ans de codes sources, développés par des milliers de professionnels, sont entièrement dépendants de cet écosystème. Il n’existe aucun outil de migration automatique vers une autre plateforme.
C’est cette captivité structurelle, accumulée sur trois décennies, que Constellation a identifiée, valorisée et acquise.
Une pompe à deux étages
Dès février 2025, PC SOFT engage les changements attendus. Les dongles physiques, ces clés USB qui matérialisaient depuis des décennies la propriété du logiciel, ne sont plus vendus ni mis à jour. La suite WinDev bascule en mode SaaS (Software as a Service) : abonnement annuel obligatoire, accès conditionnel à la continuité du paiement et perte d’accès aux codes source en cas d’interruption sont depuis la règle.
L’association Wx Alliance, créée pour coordonner la résistance de la communauté, calcule que l’abonnement annuel au tarif catalogue atteint 1 068 euros, contre 749 euros pour la mise à jour du dongle en janvier 2025, soit une hausse d’environ 43 % « déguisée » en modernisation du modèle commercial selon l’association.
Mais c’est le second volet des nouvelles conditions qui a déclenché la colère. PC SOFT entend désormais percevoir une redevance sur chaque poste de travail faisant tourner une application développée avec ses outils, y compris chez les clients finaux de ces développeurs. Or, ces clients n’ont jamais signé de contrat avec PC SOFT. Selon des échanges vus sur le site Programmez!, cette redevance serait facturée environ 250 euros par poste. Pour une association de 500 utilisateurs, la facture annuelle s’élèverait à 125 000 euros.
Il est difficile d’en savoir plus pour l’instant : il n’y a rien dans les conditions d’utilisation et aucun canal officiel de communication n’en parle. En outre, les sujets créés sur le thème « redevance » dans le forum officiel semblent avoir tous été supprimés, mais une simple recherche dans Google affiche encore certains d’entre eux (qui renvoient tous vers la page d’accueil du forum) :
La logique financière est implacable : PC SOFT encaisse une rente sur chaque poste de travail, sans assumer aucun des coûts de développement, d’hébergement ou de support qui restent intégralement à la charge des développeurs, comme le pointe Kairos. L’affaire ressemble aux modifications de tarification tentées par Unity, avec les conséquences désastreuses que l’on connait.
La portée sociale de ce mécanisme dépasse le cercle des professionnels de l’informatique, toujours selon nos confrères. Les logiciels construits avec les outils PC SOFT irriguent des secteurs entiers de l’économie francophone : gestion commerciale, comptabilité, suivi de production, ressources humaines, dossiers médicaux, caisses enregistreuses, outils associatifs. La pétition publique de Wx Alliance (1 608 signatures à l’heure où nous écrivons ces lignes) prévient : « Dans bien des cas, les utilisateurs finaux ignorent même que les logiciels qu’ils emploient reposent sur ces technologies ».
Ils pourraient donc recevoir demain une facture d’un fonds d’investissement étranger pour continuer d’utiliser un outil qu’ils croyaient légitimement posséder.
Un terrain juridique contesté
La légalité de plusieurs aspects de la nouvelle politique commerciale pose question. En droit français, un éditeur peut contraindre ses clients à souscrire un nouveau contrat pour accéder aux versions futures d’un logiciel, mais sa capacité à priver l’utilisateur de l’accès à une version déjà achetée est plus fragile. La Cour de justice de l’Union européenne a par ailleurs reconnu en 2012 le droit à la revente de licences logicielles d’occasion, consacrant le caractère acquis du droit d’usage sur une licence achetée.
L’imposition de redevances à des tiers non contractants est encore plus problématique. L’article L121-1 du Code de la consommation prohibe ainsi les pratiques commerciales « susceptibles d’altérer de manière substantielle le comportement économique du consommateur ». À l’échelle européenne, le Data Act, entré en application en septembre 2025, oblige désormais les fournisseurs SaaS à permettre à leurs clients de changer de prestataire avec un préavis de deux mois maximum, mais la captivité technologique liée au WLangage rend ce droit formel très difficile à exercer en pratique.
La Wx Alliance dit avoir adressé une vingtaine de questions formelles à PC SOFT sur les modalités de la clé de sécurité (le fameux dongle USB), sans réponse à ce jour.
Une question de souveraineté
Le cas PC SOFT n’est pas un incident sectoriel. C’est le révélateur d’une vulnérabilité structurelle : des pans entiers du tissu économique et administratif francophone reposent sur des outils dont le contrôle vient silencieusement d’échapper aux juridictions européennes.
Constellation Software, avec ses neuf groupes opérationnels et ses plus de mille sociétés acquises, emploie 55 000 personnes dans le monde et sert plus de 125 000 entités clientes dans plus de cent pays. Ses revenus pour 2025 ont atteint 11,623 milliards de dollars. Dans un article paru en juillet 2025, Dany Kitishian (Klover.ai), évoquait ainsi « l’efficacité inégalée du modèle de fonctionnement décentralisé », « la discipline financière comme fondation culturelle » et l’immense pouvoir de capitalisation constitué par plus d’un millier de « monopoles de niche ». Noyée dans la masse, PC SOFT n’est probablement qu’une ligne dans un tableur.
La transition de Chrome et de l’écosystème Chromium vers les extensions au format Manifest V3 (MV3) entre dans sa phase finale, entraînant la suppression définitive de l’extension de blocage de publicités uBlock Origin (fondée sur Manifest V2).
Le Manifest est le cadre permettant aux extensions de navigateurs d’exister. Il définit notamment ce qu’elles ont le droit de faire et est donc crucial pour leurs capacités. Lorsque Google a annoncé la version 3, il n’était question que de légèreté et surtout de sécurité. L’entreprise considérait alors que les extensions V2 avaient trop de pouvoir, laissant la porte ouverte à bon nombre d’exploitations. Il s’agissait alors officiellement de lutter contre ces abus, et la V3 représente en effet une avancée significative dans ce domaine.
En retirant toutefois des capacités (particulièrement l’API Web Request), Google a coupé ce qui permettait à des extensions comme uBlock Origin et autres bloqueurs de publicité d’accomplir efficacement leur tâche. Jusqu’à aujourd’hui, il existait certaines méthodes pour contourner ce durcissement, mais Chrome s’apprête à perdre ce qui restait de points d’accroche.
Chrome en est actuellement à sa version 149. Les versions 150 et 151 vont supprimer les dernières options qui permettaient, via une activation de « flags » (dans about:config) de contourner les blocages des extensions MV2, rapporte Neowin, qui a remarqué les mouvements dans le dépôt GitHub WebExtensions Community Group du W3C.
Andrey Bershanskiy, l’un des contributeurs de Chromium (la base open source servant de fondation à Chrome) a ainsi indiqué que Chrome 150 va supprimer complètement l’option ExtensionManifestV2Disabled, souvent utilisée jusqu’ici pour forcer la prise en charge des extensions MV2, notamment uBlock Origin.
Dans le fil, on peut lire que le développeur David Cronin, de chez Google, avertit effectivement que le code est supprimé. L’étape est présentée comme logique : les extensions MV2 n’étant plus supportées, ce code présente une dette technique grandissante et nécessite donc des ressources de maintenance croissantes, sans parler des risques de sécurité.
La version 151 de Chromium (et donc de Chrome) perdra à son tour les options ExtensionManifestV2Unsupported et ExtensionManifestV2Availability, ainsi qu’a priori AllowLegacyMV2Extensions.
Et les autres navigateurs Chromium ?
En dehors du cas Firefox, qui a son propre moteur et qui doit toujours supporter les extensions MV2 jusqu’à nouvel ordre, la question se pose pour les autres navigateurs. Brave, Edge, Opera et Vivaldi notamment reprennent la même base de code.
Chez Microsoft, Edge coupe progressivement le support depuis février et suit ainsi le calendrier de Google. Pour les autres, le support sera plus long. Pour Brave et Vivaldi, la promesse est pour l’instant la même que chez Mozilla : jusqu’à nouvel ordre, sans date précise.
Quant à Opera, la situation est plus trouble. Officiellement, les extensions MV2 seront supportées « plus longtemps » que dans Chrome, mais la situation pourrait être en train de changer.
Selon un fil sur Reddit, le développeur de uBlock Origin aurait mentionné avoir reçu un email de l’entreprise, annonçant que suite au retrait des extensions MV2 dans Chrome, il était « crucial » d’entamer rapidement la transition vers la V3 du Manifest. Toutefois aucune date n’était donnée.
Les développeurs spéculaient alors sur la baisse potentielle des moyens alloués par Opera à la vérification des extensions MV2, la version 1.7.0.0 de uBlock Origin ayant pris beaucoup de retard dans sa validation. Le mail supposé datant de plus d’un an, un changement est donc peut-être à l’œuvre dans l’entreprise.
La fin des haricots ?
Si l’on s’en tient aux gros navigateurs comme Chrome et Edge, la suppression totale du code associé aux extensions MV2 signifie effectivement la fin de uBlock Origin et de tous les autres bloqueurs de contenus basés sur l’API Web Request. L’auteur de cette extension, Raymond Hill, propose bien depuis un moment une version MV3 (nommée Lite), mais il a souvent averti qu’elle était moins performante dans son blocage, à cause des limitations imposées par le nouveau cadre.
Pour les aficionados de uBlock et d’autres extensions du même acabit, il ne reste donc plus qu’à s’orienter vers un éditeur ayant une politique de support de MV2. C’est le cas de Mozilla, qui est intervenu d’ailleurs dans le fil Reddit pour signifier qu’elle ne prévoyait pas d’abandonner ces extensions : « Cela garantira que certains types d’extensions, comme les bloqueurs de publicités, continuent de fonctionner de manière optimale dans Firefox ». C’est aussi pour l’instant le cas de Brave et Vivaldi.
Ce support ne pourra cependant pas être sans fin. S’agissant d’un ancien modèle, la dette technique finira effectivement par s’accumuler. Brave, Firefox et Vivaldi (ainsi qu’Opera pour le moment) ont quand même une double approche : ils acceptent les extensions MV2 et MV3, permettant aux développeurs de partir sur la base qui leur convient. Dans cette optique, beaucoup dans le fil Reddit indiquent être passés à Firefox pour cette raison.
Des chercheurs ont publié les détails d’une nouvelle faille de sécurité dans le noyau Linux. De type use-after-free (utilisation de mémoire après libération) et estampillée CVE-2026-23111, elle réside dans le code de filtrage de paquets nf_tables : une simple erreur de syntaxe, en l’occurrence un caractère inversé, peut être exploitée lors d’une vérification de condition.
Avec un score CVSS de 7,8, la faille affiche une dangerosité haute, frôlant le critique. Elle permet à un attaquant local ne disposant d’aucun privilège d’élever ses droits jusqu’au niveau « root » et de s’échapper d’un conteneur pour cibler la machine hôte.
Illustration : Flock
L’exploitation nécessite l’utilisation conjointe de nf_tables et des espaces de noms utilisateurs non privilégiés, une fonctionnalité activée par défaut sur la majorité des distributions Linux pour permettre à un utilisateur standard de simuler des droits administrateur dans un bac à sable isolé. Des codes d’exploitation fonctionnels et détaillés ont déjà été publiés par les cabinets de recherche FuzzingLabs et Exodus Intelligence.
La faille a été corrigée le 5 février dernier, Exodus ayant attendu le 8 juin pour dévoiler l’ensemble des détails. Comme le signale notamment The Hacker News, cette faille n’est que la dernière en date d’une « longue série » de vulnérabilités locales dans le noyau Linux, permettant toutes une élévation de privilèges, avec à chaque fois les mêmes conséquences : l’obtention des droits root.
Dans un cadre d’utilisation personnelle, cette faille ne devrait pas poser de problèmes, les correctifs circulant pour toutes les distributions encore supportées. Dans les entreprises cependant, cela peut impliquer des machines redémarrant peu. Il faut donc s’assurer que le correctif idoine est installé. Il ne semble pas y avoir d’exploitation de cette faille à l’heure actuelle.
Selon Politico, la Commission européenne préparerait un dépôt de plainte contre la France, l’Espagne et plusieurs autres pays. La raison ? Le retard pris sur la transposition de la directive NIS2, qui doit entrainer une hausse massive du niveau de cybersécurité sur le Vieux continent.
Toujours selon nos confrères, la Commission prévoirait de porter l’affaire devant la Cour de justice de l’Union européenne (CJUE) soit juste avant les congés d’été, soit juste après. Politico cite un responsable de la Commission, qui a souhaité garder l’anonymat.
Illustration : Flock
La Commission n’a pas directement confirmé, le porte-parole Thomas Regnier indiquant simplement que « la Commission pourrait saisir la Cour de justice à l’encontre de certains États membres », puisque le délai de transposition a expiré en octobre 2024. Cependant, Politico cite un responsable français selon lequel le secrétariat général des affaires européennes « prépare sa défense devant la CJUE ».
Pourquoi un tel retard en France ? Parce que la directive NIS2 n’est pas transposée seule. Comme nous l’avons indiqué à plusieurs reprises en 2025, elle s’effectue sur trois textes en même temps : NIS2, qui élargit radicalement le périmètre d’action (de 600 entités sous NIS1 à 15 000), DORA pour la résilience du secteur financier et REC pour les entités critiques.
Or, comme nous le relations en mars dernier, il existe un point de clivage : l’article 16 bis, qui consacre la protection du chiffrement et interdit l’imposition de portes dérobées dans les messageries. La Commission supérieure du numérique et des postes (CSNP) évoquait alors une opposition du gouvernement. Le député Philippe Latombe, impliqué dans la transposition, critiquait pour sa part vertement la DGSI, qui cherchait à supprimer cet article.
Durant la conférence d’ouverture de la WWDC hier soir, Apple a confirmé que la nouvelle version de Siri et ses fonctions IA plus avancées ne seront pas disponibles sur iOS et iPadOS jusqu’à nouvel ordre. Dans un communiqué, Apple se justifie : l’entreprise dit avoir tout tenté, essuyant refus après refus. Du côté de la Commission européenne, la réponse est cinglante.
La keynote d’ouverture de la WWDC 2026 a fait la part belle à l’IA. Les fonctions montrées rappellent furieusement ce qu’Apple avait déjà présenté il y a deux ans. Cette fois cependant, l’entreprise s’est assurée que la caméra montrait une utilisation « réelle » de son nouvel assistant Siri AI, délais de réponse inclus.
Siri AI est donc la fameuse version remaniée promise en 2024. Il aura fallu deux ans supplémentaires à Apple pour réaliser sa vision. Les démonstrations étaient donc intéressantes par leur haut niveau d’intégration, mais pas ébouriffantes. Dans sa communication, la société s’est concentrée sur une longue liste de cas pratiques du quotidien.
La disponibilité réelle de Siri AI sera cependant très inégale en Europe.
Oui pour les Mac, non pour les iPhone, iPad (et a priori Apple Watch)
Siri AI sera disponible en Europe pour les Mac, tant qu’ils sont équipés d’au moins une puce M1 (correspondant à la liste de compatibilité de macOS 27, nommé Golden Gate). Le nombre de fonctions dépendra cependant de l’âge de la machine : les fonctions les plus avancées (dont la personnalisation de la voix de Siri) et le LLM local seront réservés aux configurations disposant au moins d’une puce M3 et de 12 Go de mémoire.
Pour les iPhone et iPad, c’est beaucoup plus compliqué. Pourquoi ? Parce qu’ils sont, au sens du DMA, des « gatekeepers ». Des responsabilités supplémentaires incombent à Apple, notamment de s’assurer que certaines fonctions peuvent être exploitées de la même manière par les concurrents. Et pour Apple, c’est bien là que le bât blesse.
La foire à la saucisse
« Nous sommes profondément déçus que nos utilisateurs européens n’aient pas Siri AI sur iPhone ou iPad lorsque nous partagerons nos nouvelles sorties logicielles plus tard cette année. Nous espérons finalement intégrer Siri AI dans l’Union européenne, et nous continuerons à dialoguer avec les régulateurs européens sur la voie à suivre. Cependant, leur refus de s’engager de manière constructive sur des solutions qui préservent la vie privée et la sécurité signifie que nous n’avons pas encore de calendrier pour la disponibilité de Siri AI sur iOS et iPadOS dans l’UE ».
Le ton est donné par Craig Federighi, vice-président senior de l’ingénierie logicielle chez Apple, dans un communiqué publié hier soir. L’entreprise et la Commission européenne ont des vues opposées et assez tranchées sur l’interprétation du DMA, Apple jugeant « extrême » celle de son adversaire. iOS et iPadOS étant des contrôleurs d’accès, une fonction aussi importante que Siri AI devrait être ouverte à tous les concurrents, pour assurer l’interopérabilité.
Si Apple ne nie pas ce point, elle en donne les implications : l’obligation d’accorder aux autres assistants les mêmes accès sur les données privées. Or, Apple insiste depuis deux ans sur son Private Compute Cloud, assurant régulièrement qu’elle-même n’a pas accès aux données des utilisateurs et qu’aucune trace n’est laissée. Il serait alors impossible de garantir la sécurité des utilisateurs, Siri AI étant pensé pour interagir avec l’ensemble des composants, réglages et sources de données dans le système. « Cela inclut la possibilité de lire et d’envoyer des messages, d’effectuer des achats, d’accéder à des fichiers et d’exécuter des actions sur n’importe quelle application », indique Apple.
Apple affirme avoir cherché une voie du milieu
L’entreprise dit avoir cherché à concilier ses nouvelles technologies avec ses obligations européennes dès 2025. Elle indique par exemple avoir proposé une solution nommée Trusted System Agent, pensée comme un intermédiaire de confiance devant s’assurer que les autres assistants puissent accéder aux données « en toute sécurité ».
Apple affirme aussi avoir proposé un lancement de Siri AI en Europe étalé sur 18 mois, pour un déploiement progressif qui aurait – a priori – permis de prendre en compte les retours.
« La Commission européenne a dit non. En fait, la Commission européenne n’a accepté aucune des propositions d’Apple », assène l’entreprise. Selon elle, il y a un « manque de reconnaissance » des risques de sécurité par les régulateurs. Un point sur lequel la société californienne s’était déjà agacée à plusieurs reprises, notamment pour l’ouverture forcée sur les périphériques et la transmission des notifications vers les montres connectées concurrentes.
Mêmes joueurs jouent encore
Les affrontements entre Apple et la Commission européenne durent depuis des années. La firme ne cache pas sa détestation profonde du DMA (Digital Markets Act) et ses obligations liées à iOS, iPadOS et l’App Store mobile.
En mars 2024, trois mois avant une WWDC très optimiste qui lui vaudra bien des problèmes, Apple avait ainsi publié un document de 30 pages expliquant tout le mal qu’elle pensait du règlement européen. Principe point d’accrochage : la Commission européenne ne semblait pas comprendre les risques omniprésents pour la sécurité et la vie privée. Et d’expliquer que les demandes de la Commission revenaient à ouvrir grandes les portes des données de ses utilisateurs à des acteurs sans pitié. Elle s’était déjà plainte des abus de Meta dans ce domaine, au nom de l’interopérabilité.
La conséquence pour les utilisateurs européens est claire : il n’est prévu aucun Siri AI pour les iPhone et iPad européens pour l’instant et tout semble au point mort. Comme indiqué précédemment, macOS n’est pas un contrôleur d’accès et n’est donc pas soumis à ces obligations. Le cas de l’Apple Watch reste en suspens : watchOS n’est pas un gatekeeper, mais son fonctionnement dépend étroitement de l’iPhone lié.
Nous avons contacté la Commission européenne et mettrons cette actualité à jour en cas de réponse.
La réponse cinglante de la Commission européenne
Pour la Commission européenne, la situation est tout aussi claire, mais en miroir. Au cours d’une conférence de presse, le porte-parole Thomas Régnier a déclaré : « D’abord, la décision de ne pas déployer Siri AI en Europe vient d’Apple, et d’Apple uniquement. Car absolument rien dans le DMA n’interdit à Apple d’introduire de nouveaux produits en Europe. Ce qui est interdit à Apple, comme à n’importe quel autre contrôleur d’accès, est de verrouiller le marché. Ce n’est pas à eux de décider qui innove en Europe, ni quels outils IA nos citoyens peuvent utiliser ou non. Et c’est précisément là que la DMA et son obligation d’interopérabilité entrent en jeu ».
Qu’en est-il alors des propos avancés par Apple sur les négociations depuis l’année dernière, l’idée d’agents spécifiques et le plan de déploiement sur 18 mois ? Le porte-parole donne une autre version :
« Nous avons quelques contacts avec Apple à ce sujet, cela je peux le confirmer. Mais Apple n’a tout simplement pas été capable de développer des solutions d’interopérabilité au niveau des standards européens essentiels en matière de vie privée et de sécurité. Au lieu d’essayer de trouver une solution adaptée, Apple a simplement fait une demande à la Commission européenne pour être exemptée de ses obligations envers le DMA. Et cela pour au moins 18 mois. Devinez quoi ? Ce n’est pas une option »
Thomas Régner a ajouté que la Commission ne faisait d’exception pour personne. Une situation où chaque camp accuse l’autre de mauvaise volonté.
La Document Foundation, responsable de la suite libre et open source LibreOffice, vient de publier une lettre ouverte « aux utilisateurs de la suite Office ». Elle prévient : même si des annonces vont dans le sens de la souveraineté numérique, qui a le vent en poupe en Europe, elles ne sont pas les premières.
La fondation s’agace en particulier des annonces relayées dans la presse autour d’Euro-Office, parfois présentée comme la première suite souveraine développée en Europe. Faux, rappelle la fondation : OpenOffice.org a été créée en 2001, en partant du code de StarOffice, puis LibreOffice a pris le relais en 2010. Les deux sont développées en Europe.
Une certaine amertume se fait sentir dans la communication de la fondation. Selon elle, les personnes qui militent aujourd’hui pour la souveraineté numérique « sont restées silencieuses en 2006 quand la norme ouverte ISO/IEC ODF […] a été annoncée ». La fondation affirme n’avoir pas été écoutée « pendant toutes ces années », certains membres ayant été « accueillis avec un sourire condescendant » :
« Si l’on peut parler de la souveraineté numérique en Europe aujourd’hui, c’est grâce à The Document Foundation et aux membres de la communauté LibreOffice en général, qui ont maintenu le drapeau des suites bureautiques open source alors que tout le monde prédisait leur disparition, et qui ont continué à développer le seul format véritablement ouvert et standard garantissant la souveraineté numérique, car il offre un contrôle total aux utilisateurs sur le contenu »
La lettre ouverte précise qu’il ne s’agit pas d’une attaque contre Microsoft, mais que l’entreprise peut tirer parti de cette situation, car la suite Euro-Office doit se servir du format OOXML, présenté comme un standard ouvert, mais contre lequel la fondation s’est toujours battue. Elle avait déjà dénoncé ce choix dans un billet du 2 avril.
La suite Euro-Office a également été critiquée par OnlyOffice, qui a dénoncé « un fork hostile » du code de sa suite (sous AGPL V3). Ses développeurs ont argué qu’ils voulaient prendre leurs propres décisions. Pour rappel, Euro-Office est un projet soutenu notamment par IONOS, Nextcloud, Eurostack, XWiki, OpenProject, Soverin, Abilian et BTactic. Des acteurs de poids qui pourraient peser dans la balance et pourraient « rassurer » les institutions dans ces temps changeants.
En avril dernier, Canonical a fait part de ses ambitions concernant l’intelligence artificielle dans Ubuntu. Comme signalé notamment par XDA Developers, cette annonce a provoqué des inquiétudes. Jon Seager, vice-président de l’ingénierie chez Canonical, a détaillé la position de l’entreprise fin mai lors du dernier Ubuntu Summit.
La thématique centrale est la compatibilité de l’open source en général avec l’intelligence artificielle, en particulier les modèles. Pour Seager, connaitre les poids est une chose, mais c’est peu en comparaison du niveau de transparence auquel le monde du libre est habitué. L’accent de Canonical est donc mis à la fois sur le type de fonctions que l’IA pourrait amener ou faciliter dans le système, autant que sur la licence qui accompagne le modèle retenu.
Mais quelles fonctions ? Bien que Canonical emploie les éléments de langage courants du secteur, évoquant par exemple l’idée de faire d’Ubuntu un « système agentique », les prétentions de l’éditeur semblent pour l’instant modestes et axées sur l’accessibilité.
Jon Seager a expliqué en effet que le premier cas identifié d’utilisation concrète était la reconnaissance vocale pour interagir avec les champs texte, rapporte OMGUbuntu. Cet apport est prévu pour Ubuntu 26.10, comme toujours si les tests donnent satisfaction dans les temps. L’ingénieur doute que cette méthode puisse être appliquée à l’intégralité des champs, mais la fonction devrait pouvoir s’appliquer à une majorité d’entre eux, avec les bénéfices qu’on imagine en matière d’accessibilité.
La volonté de Canonical semble être de poser les bases pour faciliter l’utilisation des agents dans son système, tout en ajoutant des cas d’usage au compte-gouttes. Cette reconnaissance vocale sera assurée par un LLM local, selon l’éditeur, mais aucune précision n’a été donnée. Le responsable a donné deux autres exemples de fonctions « implicites » : l’amélioration de l’autofocus pour la webcam et de la qualité du son pour le microphone, là encore en local.
Autre point important, ces fonctions seront basées sur un paquet Snap qu’il suffira de supprimer si on ne souhaite pas cette fonction. Canonical n’aborde pas ce point, mais il serait intéressant que l’installeur d’Ubuntu pose la question, car un modèle local consomme souvent plusieurs Go et peut donc alourdir l’empreinte de stockage. Un panneau avec des cases à cocher pour chaque service de type IA serait bienvenu.
On voit souvent les termes « API » et « SDK ». De quoi s’agit-il ? De briques de développement devenues incontournables aujourd’hui. On vous explique tout ça calmement.
Nous sommes cernés par les API depuis longtemps. Quand vous utilisez la fonction de partage pour envoyer un article à des amis depuis votre téléphone, envoyez un emoji, installez une application, faites un clic droit, copiez puis collez un contenu, Uber affiche un plan, réalisez un paiement en ligne sur un site marchand, programmez des envois d’emails…
Pour résumer à gros traits, une API – Application Programming Interface – est une brique élémentaire à laquelle on fait appel pour initier une opération. Dans le cas d’un site marchand par exemple, que vous souhaitiez payer par carte bancaire directement ou via un prestataire comme Paypal, tout est géré par des API. Les sociétés concernées les fournissent et documentent, afin que les sites puissent les employer « telles quelles ».
Vous avez demandé un bœuf bourguignon ?
L’analogie qui revient le plus souvent pour expliquer le fonctionnement est celle du restaurant. Vous entrez, vous vous asseyez et vous commandez un plat au serveur. Vous ne savez pas ce qui se passe en cuisine, ni comment l’établissement est organisé. Vous n’avez pas besoin de connaître son infrastructure électrique ou sa consommation d’eau, son nombre d’employés ou le type d’ustensiles utilisés, si le bœuf mijote dans une cocotte en fonte ou une casserole en inox. Tout ce que vous savez, c’est que le serveur va vous apporter un bœuf bourguignon, c’est sa mission.
Ici, le serveur représente l’API : il vient vous exposer les possibilités. Il accepte vos demandes si elles cadrent avec ce que le restaurant a à offrir, via un langage spécifique. Et oui : si vous commencez à parler du temps qu’il fait, le serveur va certainement s’en aller, car ces informations ne l’intéressent pas, ou en tout cas ne correspondent pas à sa tâche. Vous indiquez donc un ou plusieurs éléments figurant sur le menu, le serveur s’en va, transmet vos instructions, et vous pouvez déguster un bœuf bourguignon, sans avoir eu besoin de le préparer vous-même. De même, la cuisine ne sait pas qui vous êtes, elle n’a pas besoin de le savoir : elle sait simplement qu’elle doit fournir un bœuf bourguignon.
C’est le principe général de l’API : exposer des capacités, que d’autres peuvent utiliser pour éviter de tout refaire à chaque fois. Elle permet à deux systèmes (au sens large) de collaborer sans que l’un ait besoin de connaître les détails de l’autre. Ce fonctionnement est aujourd’hui omniprésent. Par exemple, si vous ouvrez une application ou un site affichant une carte routière, il est très probable que celle-ci soit fournie par Google ou OpenStreetMap, via une API que l’application doit simplement appeler.
DirectX, un bon exemple
Pour celles et ceux qui ont connu les années 1990, vous vous souvenez peut-être de l’arrivée de DirectX sur Windows. Une petite révolution dans le monde des jeux vidéo, car DirectX est un lot d’API exposant les capacités du matériel de l’ordinateur. Avant, par exemple pour jouer à Doom 2, il fallait que le jeu sache précisément à quel matériel s’adresser, ce qui entraînait parfois des problèmes, notamment sur le son.
Il reste 73% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Dans un billet de blog daté du 4 juin, Proton a annoncé d’importantes améliorations pour son service de stockage dans le cloud, Drive. Chiffré de bout en bout, comme le reste des services proposés par l’entreprise suisse, Drive a été reconstruit sur la base d’un nouveau SDK (Software Development Kit) pour l’ensemble des plateformes.
Selon Proton, il y a deux avantages principaux. D’une part, une meilleure intégration sur ces plateformes. D’autre part, une accélération significative des opérations : deux fois plus rapides pour les téléchargements, trois fois pour les téléversements et quatre fois pour les chiffrements/déchiffrements. Ce dernier point permet une réduction franche de la consommation et de la chaleur sur les smartphones Android et iOS. Un bon point, car les performances initiales laissaient à désirer.
Le SDK doit aussi permettre le support d’un plus grand nombre de plateformes – « et oui, y compris Linux », ajoute Proton. Si l’on savait que Proton travaillait à fournir d’autres clients, c’est la première fois que Linux est clairement mentionné. Cependant, aucune date ni information supplémentaire n’est donnée. Pour rappel, le client pour Windows était sorti en juillet 2023 et celui pour macOS quatre mois plus tard.
Le SDK est également open source, sous licence MIT et disponible sur GitHub. On peut s’en servir via les langages C# et TypeScript, avec des liaisons pour Kotlin et Swift (respectivement pour Android et iOS). Le SDK est prévu pour s’interfacer avec d’autres applications, mais Proton précise qu’il n’est pas prêt pour la production dans ce cas de figure.
Proton indique que toutes ces améliorations peuvent se « ressentir » aujourd’hui, mais leur disponibilité n’est pas tout à fait claire, ni si toutes les plateformes sont concernées. Nous avons demandé des éclaircissements à l’entreprise et mettrons cette actualité à jour en cas de réponse.
Mise à jour de 15h30 : Proton nous a confirmé que tous les clients avaient été mis à jour, il suffit de s’assurer que les dernières versions sont installées sur vos appareils.
Depuis plusieurs mois, Microsoft travaille sur son projet « K2 » : une reconstruction de Windows 11 sur des bases plus saines. Entre autres améliorations sur la fiabilité et les performances, des confirmations tombent depuis la conférence Build. En ligne de mire cette fois, les applications natives et le menu contextuel.
Finalement, Microsoft était bien au courant des nombreuses critiques sur son système. De notre côté, nous les avons régulièrement épinglées, qu’il s’agisse des performances, des nombreux soucis de fiabilité (notamment au travers des mises à jour mensuelles), ou encore des incohérences d’interface. Sur ce point, Windows 11 est toujours coupé en deux, avec une couche de peinture fraiche sur les éléments déjà revisités par Windows 10, mais aussi de nombreux panneaux datant toujours de Windows 7, voire de XP.
Ces derniers temps, Microsoft annonce cependant des modifications importantes. On a ainsi pu voir le début d’un recul pour les fonctions liées à l’IA, la possibilité de repousser les mises à jour mensuelles autant de temps que l’on souhaite, une meilleure gestion des nouvelles versions de pilotes et firmwares distribuées par Windows Update, une accélération des performances sur les performances courantes, ou encore le retour du placement libre pour la barre des tâches.
En mars, on a appris par l’intermédiaire du développeur Rudy Huyn qu’une équipe spécifique était constituée pour travailler sur de nouvelles applications et expériences pour Windows. Interrogé sur le type de technologie utilisée, il a confirmé qu’il s’agissait de code natif.
Un changement important, car l’un des problèmes de Microsoft actuellement est l’utilisation abondante de contenus web. Le nouvel Outlook est essentiellement une version web encapsulée par exemple, même chose pour Teams et l’application Copilot.
Le code natif signifie un code pensé pour être exécuté par le processeur via du langage machine. Le contenu web, lui, est interprété par un navigateur, Edge et son composant WebView 2 dans le cas présent. Les PWA (Progressive Web App) et autres applications Electron ont l’avantage de simplifier grandement le développement, puisque le même contenu web va s’exécuter partout ou presque de la même manière. Mais il est aussi plus lent, moins réactif et ne respecte que rarement les canons esthétiques de la plateforme utilisée.
Ce point a d’ailleurs fait l’objet de plusieurs sessions techniques pendant la Build. Par exemple, comme signalé par Windows Central, une session datée du 3 juin a montré comment utiliser des agents pour simplifier la création d’applications natives basées sur WinUI 3 (framework d’interface utilisateur), améliorer les applications existantes ou migrer d’anciennes versions vers des technologies « modernes ». Microsoft a d’ailleurs introduit un agent dédié pour GitHub Copilot et Claude Code.
WinUI contient tous les contrôles standard pour les applications Windows
Et cette fois, il n’est pas juste question de dire aux autres quoi faire. En mars déjà, Microsoft confirmait que WinUI allait être utilisé pour un plus grand nombre de composants dans Windows, y compris le menu Démarrer, actuellement conçu avec React Native (oui).
Et pour mieux marquer ce changement, WinUI 3 devient officiellement « WinUI », sans numéro de version, pour démontrer que seul ce framework sera utilisé désormais. Des améliorations vont être apportées à certains problèmes courants, notamment les zones noires qui peuvent apparaitre quand on redimensionne une fenêtre, comme mentionné hier par Windows Latest. Microsoft a même promis que WinUI était le seul framework sur lequel l’éditeur travaillerait désormais. On attend donc de voir les résultats.
Cap sur le menu contextuel
Le menu contextuel de Windows 11 a cristallisé bien des critiques dans Windows 11. Particulièrement peu réactif à l’ouverture, il est souvent pointé du doigt pour son manque de lisibilité et le regroupement d’un grand nombre de fonctions dans la catégorie « Afficher d’autres options », tout en bas. Une arborescence peu claire quand on cherche un élément précis, malgré l’ajout par Microsoft de pictogrammes pour mieux mettre en avant des actions courantes.
Le 4 juin, en réponse à un tweet critiquant une nouvelle fois ce menu, Marcus Ash (responsable design chez Microsoft) a répondu que Microsoft travaillait « à rendre les menus contextuels plus rapides, plus simples par défaut, configurables selon ce que vous utilisez le plus ». Rien n’a été dit sur l’usage éventuel de WinUI, mais des améliorations de performances et de personnalisation sur un élément aussi important seront de toute façon bienvenues.
Comme le rapporte NintendoLife, une discrète mise à jour vient d’avoir lieu sur le site de Nintendo. Dans la page consacrée à la conformité avec les directives et règlements de l’Union européenne, on trouve une nouvelle entrée.
Elle concerne le règlement 2023/1542 dédié aux batteries, Nintendo se disant entièrement conforme avec tout ce qui touche à la chaine de retraitement des batteries et l’absence d’utilisation de certains métaux dangereux.
Plus intéressant, Nintendo ajoute :
« En outre, ce règlement exige qu’à compter du 18 février 2027, les batteries intégrées dans certains appareils et vendues dans l’UE doivent pouvoir être facilement remplacées par les utilisateurs finaux à tout moment durant le cycle de vie du produit. Nintendo met en œuvre des mesures pour se conformer à ces exigences en préparant des versions de produits conformes au règlement. Concernant les produits actuels dont le numéro de modèle commence par « BEE », les futures versions conformes auront des numéros de modèle uniques ainsi que le code supplémentaire « OSM » visible sur l’emballage, les désignant comme des produits distincts à des fins réglementaires »
Le constructeur japonais prépare donc bien une nouvelle version de la Switch 2 avec batterie remplaçable pour l’Union européenne. Ce n’est pas totalement une surprise : en mars dernier, le site japonais Nikkei assurait déjà qu’un tel travail était en cours dans l’entreprise.
Cette batterie remplaçable facilement sera une franche amélioration. Nintendo n’est pas le constructeur le plus porté sur la réparabilité, comme avait pu le constater iFixit lors de son démontage de la Switch 2 où l’on découvre que la batterie de l’appareil est solidement collée.
Cette confirmation répond également à une rumeur apparue en début d’année, qui voulait justement que Nintendo prépare une révision de sa console munie d’un code produit « OSM », sans que l’on sache alors de quoi il s’agissait.
Rappelons qu’en Europe (et dans le reste du monde), le tarif de la Switch 2 connaitra une hausse en septembre, en passant de 469,99 à 499,99 euros.
La Commission européenne vient de présenter le Chips Act 2.0 dans le cadre d’un paquet plus large sur la souveraineté technologique européenne. La première version du texte n’ayant pas eu les résultats escomptés, la Commission remet le couvert. Mais il ne s’agit pas d’une simple mise à jour : l’Europe passe d’une réaction rapide sur une situation de crise à une nouvelle philosophie industrielle.
Le Tech Sovereignty Package a été mis en ligne par la Commission européenne le 3 juin. On y trouve le Chips Act 2.0, pièce maitresse de l’ensemble qui vise à renforcer l’indépendance et la souveraineté européennes. Le nouveau règlement – qui doit encore faire l’objet de négociations avec le Parlement et le Conseil de l’Union – est accompagné d’autres textes, dont un règlement sur le cloud et l’IA, un plan stratégique pour un écosystème numérique ouvert basé sur l’open source et une feuille de route pour la « digitalisation » et l’IA dans le secteur énergétique.
« Nous ne pouvons pas nous permettre de dépendre des autres pour les technologies qui assurent le fonctionnement de nos hôpitaux, la stabilité de nos réseaux énergétiques et la sécurité de nos services. Il s’agit de protéger nos citoyens, de défendre nos intérêts et de faire nos propres choix. L’Europe a le talent, l’excellence en matière de recherche, la base industrielle et le marché unique. Ensemble, nous devons transformer ces atouts en souveraineté technologique », a déclaré Ursula von der Leyen, présidente de la Commission européenne.
Dans son communiqué, la Commission précise que l’Europe « reste fortement dépendante de fournisseurs extérieurs […] pour les technologies numériques de base », alors même que la demande de puissance augmente avec la généralisation de l’IA. Cette fois, il s’agit d’aller plus loin que d’aligner des milliards d’euros pour inviter quelques grosses entreprises. D’autant que la situation a largement évolué, notamment avec l’annulation par Intel de son plan d’installation de deux vastes usines sur le Vieux Continent.
On peut s’étonner : pourquoi déjà une version 2, alors que le premier Chips Act a été voté en grande pompe en 2022, avec une entrée en vigueur complète en 2023 ? Parce que le texte manquait d’ampleur et tentait surtout de répondre à des problématiques urgentes dans un monde post-Covid. Si l’objectif n’a pas changé – renforcer l’industrie européenne des semi-conducteurs et réduire les dépendances stratégiques –, la vision de ce qui doit être fait semble plus mature.
Selon la Commission, la première version a permis de soulever 43 milliards d’euros d’investissements publics et privés et de créer 46 000 emplois directs et indirects. La capacité de recherche européenne dans le domaine des semi-conducteurs aurait également été renforcée.
Mais le grand objectif du premier Chips Act était de parvenir à une part de marché de 20 % dans la production des semi-conducteurs d’ici 2030. En avril 2025, la Cour des comptes européenne rendait cependant un verdict brutal : le score visé était « déconnecté de la réalité », avec au mieux une part de 11,7 % à cette échéance. Fin mai, Emmanuel Macron indiquait lui-même que cet objectif ne serait pas atteint.
En outre, le premier règlement ne s’occupait que des besoins immédiats du secteur, sans planification à long terme. Enfin, et c’était le plus gros reproche, le Chips Act premier du nom ne visait que les plus grosses entreprises. Conséquence, tout abandon ou même retard dans la planification affectait durement l’objectif. On en revient à l’exemple d’Intel et ses usines allemandes abandonnées.
Mais le plus gros reproche fait à cette première version était l’absence de réponse au problème du « lab-to-fab gap » : le fossé entre la qualité élevée de la recherche européenne et sa capacité de production industrielle, alors même que l’Europe possède des géants mondiaux comme ASML (gravure par photolithographie). Les analyses menées lors des consultations publiques d’Eurochambres (Association des Chambres de Commerce et d’Industrie Européennes) ont révélé (PDF) que ce premier texte manquait de profondeur géopolitique à long terme et se concentrait de manière trop étroite sur le subventionnement massif de quelques méga-usines isolées.
Si le premier règlement s’attaquait surtout à l’offre, le nouveau s’attèle à tout ce qui l’entoure. Car même si de nouvelles grandes usines apparaissent, elles ne seront jamais rentables si la demande ne suit pas : il faut un lot de clients ancrés pour générer un flux de commandes stable
Il reste 50% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Durant sa conférence BUILD, Microsoft a présenté une nouvelle série de modèles MAI. L’entreprise se dote pour la première fois d’un modèle de raisonnement, présenté comme idéal par sa taille moyenne et son coût maitrisé.
Cela peut paraître étonnant, mais Microsoft – qui a investi plusieurs milliards de dollars très tôt dans OpenAI – ne disposait d’aucun modèle de raisonnement. Jusqu’à présent, l’entreprise s’était surtout positionnée comme championne des relais pour d’autres modèles, laissant par exemple un accès à ChatGPT et plus récemment Claude via sa myriade d’assistants Copilot.
La situation a cependant changé : Anthropic a largement grimpé en puissance, tout particulièrement dans le développement, tandis qu’OpenAI suit sa propre trajectoire et se montre beaucoup plus autonome. La firme de Redmond a tout intérêt à manifester sa propre indépendance, avec à la clé une gamme plus complète de modèles.
Place à MAI-Thinking-1
La famille MAI (Microsoft AI) accueille plusieurs nouveaux venus présentés pendant la conférence BUILD, dont MAI-Thinking-1 présenté hier. Comme son nom l’indique, il s’agit d’un modèle de raisonnement de taille intermédiaire, de type MoE (Mixture of Experts), avec 35 milliards de paramètres actifs et une fenêtre de contexte de 256 000 tokens, soit l’équivalent d’un document de 600 pages selon Microsoft.
L’entreprise met clairement en avant un entrainement du modèle depuis zéro : aucune distillation et à partir de données commercialement licenciées et « propres ». MAI-Thinking-1 n’est donc pas censé s’appuyer sur les traces de raisonnement d’autres modèles, particulièrement concurrents. Il s’agit d’une construction indépendante.
Le modèle atteint 97 % sur AIME 2025 et 94,5 % sur AIME 2026, deux benchmarks évaluant le raisonnement mathématique et scientifique multi-étapes. Sur SWE-Bench Pro, benchmark d’ingénierie logicielle, Microsoft affirme qu’il égale Claude Opus 4.6 sur les tâches de codage. Dans des évaluations indépendantes en aveugle menées par Surge (partenaire indépendant de Microsoft), MAI-Thinking-1 a été préféré à Claude Sonnet 4.6. Ce dernier, le modèle par défaut pour Claude, est largement utilisé comme point de comparaison dans les chiffres donnés par Microsoft.
CNBC rapporte qu’une démonstration a présenté des résultats supérieurs à ceux de GPT-5.5 d’OpenAI avec un modèle ajusté sur les données de McKinsey, avec un coût annoncé comme dix fois inférieur. Il faut pour l’instant croire l’éditeur sur parole, car le modèle n’est disponible qu’en préversion privée via Microsoft Foundry. Sur la partie raisonnement, les tokens seront tarifés à la consommation, là encore sans plus de détails. Le modèle est également inclus dans GitHub Copilot Enterprise et une version pour les enclaves Azure Confidential Computing est prévue.
Six autres « nouveaux » modèles dans la famille MAI
Bien que MAI-Thinking-1 ait eu la part du lion pendant la présentation, la famille MAI a également reçu six autres modèles, en majorité des évolutions de ceux existant déjà.
MAI-Image-2.5 et MAI-Image-2.5 Flash débarquent ainsi pour la génération d’images. Microsoft évoque une hausse significative de la qualité, avec de meilleurs résultats que Nano Banana 2, avec une édition et des contrôles précis. La version classique vise la fidélité maximale et des performances « de qualité professionnelle », tandis que la version Flash – sans surprise – sacrifie une partie de cette qualité pour une plus grande rapidité des résultats. MAI-Image-2.5 est en cours de déploiement dans PowerPoint et OneDrive. Côté tarifs, MAI-Image-2.5 coûte 5 dollars par million de tokens pour les entrées texte, 8 dollars pour les entrées image et 47 dollars pour les sorties image. Pour la version Flash, les tarifs sont de 1,75 dollar pour les entrées texte et image, et de 33 dollars pour les sorties image.
MAI-Transcribe-1.5 est présenté de son côté comme le meilleur modèle de transcription au monde (tout simplement), avec une précision de pointe dans 43 langues, surpassant Gemini et les modèles phares d’OpenAI. Il est censé produire des transcriptions cinq fois plus rapidement que les modèles concurrents, et sera disponible dans GitHub Copilot, Dynamics 365 Contact Center et Foundry, avec un support prochain du streaming. Côté développeurs, il est accessible via Azure Speech au prix de 22 dollars le million de caractères.
Pour les autres modèles, il s’agit surtout de disponibilité. MAI-Voice-2 et sa variante Flash sont ainsi disponibles dans une quinzaine de langues supplémentaires avec de nouvelles options de voix. MAI-Code-1, modèle de codage présenté comme très efficace en inférence et optimisé pour GitHub, est disponible dans Copilot et Visual Studio Code. Son déploiement dans Copilot (tous niveaux) a commencé mardi 2 juin.
Le premier, Aion Instruct, doit prendre le relai de l’actuel Windows OS SLM. Il se veut plus petit (4 milliards de paramètres), plus rapide et surtout plus efficace. Il doit alimenter tout ce qui touche à l’intelligence textuelle quotidienne, c’est-à-dire les résumés, la réécriture, la détection d’intention ou encore l’accessibilité.
Disponible dès maintenant dans le canal Insider d’Edge à des fins de tests pour les développeurs, il sera également accessible depuis les API de Windows. Contrairement aux modèles fournis jusqu’ici par Microsoft dans ce cas de figure, aucun NPU n’est requis : Aion Instruct est fait pour fonctionner partout, sur CPU. Enfin, une version open source doit arriver courant juillet sur Hugging Face.
Aion Plan est à la fois plus ambitieux et plus restreint. Disposant de 14 milliards de paramètres et d’une fenêtre de contexte de 32 000 tokens, de capacités de raisonnement et pouvant appeler des outils (tool-calling), il se veut le champion du flux agentique local. En revanche, il ne sera pas disponible avant plusieurs mois, et la présence d’un NPU semble cette fois requise.
Dans les deux cas, les modèles sont gratuits à l’usage, les opérations étant réalisées par la machine.
Connexion
