Le projet d’acquisition d’Electronic Arts par un consortium emmené par le PIF, le Fonds public d’investissement d’Arabie saoudite, est en bonne voie. Du moins du côté de l’Union européenne, qui a donné son feu vert à l’opération maousse costaud de 55 milliards de dollars.

La Commission européenne a approuvé le projet d’acquisition du géant du jeu vidéo EA par un consortium composé du PIF et de deux sociétés américaines : le fonds de private equity Silver Lake Capital et Affinity Partners, le fonds géré par Jared Kushner (ci-devant gendre de Donald Trump).

• Electronic Arts racheté par des fonds saoudien et états-uniens pour 55 milliards de dollars

Bruxelles a conclu que l’opération ne soulevait pas de problèmes de concurrence, « compte tenu de son impact limité sur les marchés où les entreprises sont actives ». Comme le rapporte Reuters, il reste toutefois une procédure à terminer, celle du règlement sur les subventions étrangères. La décision, attendue au plus tard le 30 juillet, devra déterminer si le soutien financier du fonds souverain saoudien confère au consortium un avantage susceptible de fausser le marché.

Néanmoins, l’opération semble bien engagée. Outre-Atlantique, l’absence d’intervention de la FTC, le régulateur à la concurrence, ou du ministère de la Justice équivaut à un feu vert. En revanche, il faut encore obtenir l’aval du CFIUS, le comité chargé d’examiner les investissements étrangers aux États-Unis sous l’angle de la sécurité nationale (PDF). Un examen nécessaire, le PIF étant de très loin le partenaire majeur du consortium.

Si le consortium parvient à ses fins, il s’agira de la deuxième plus importante acquisition de l’histoire de l’industrie du jeu vidéo, après les 69 milliards de Microsoft pour Activision Blizzard King. Au terme de l’opération, EA s’alourdira d’une dette de 20 milliards de dollars qui forcera l’éditeur à mettre en œuvre des politiques d’économies drastiques (des fermetures de studios et licenciements sont à craindre) tout en maintenant un niveau élevé de rentabilité. Une sacrée gageure dans un secteur en crise profonde.

Il y a le bon CVE et le mauvais CVE

La publication en 48 heures de 432 bulletins CVE pour le noyau Linux a provoqué des interrogations sur la meilleure manière d’intégrer un tel flot de corrections dans les environnements de production. La situation est plus complexe qu’il n’y paraît.

Entre les 20 et 21 juillet, un lot conséquent de 432 CVE a été publié pour le noyau Linux. Cela ne signifie pas que 432 failles ont été corrigées, car le fonctionnement des CVE est différent pour le noyau. En revanche, ils correspondent quand même à des corrections portées dans la branche principale par les mainteneurs du noyau. Se pose alors la question de leur répercussion concrète.

D’abord, qu’est-ce qu’un CVE ? C’est un identifiant unique (Common Vulnerabilities and Exposures) attribué à une faille de sécurité informatique connue publiquement. Une telle vulnérabilité se définit par une faiblesse de la logique d’un logiciel, permettant alors à un attaquant de violer la politique de sécurité et d’effectuer des actions auxquelles il n’a normalement pas droit. Dans la plupart des cas, les CVE sont publiés avant les correctifs associés, car ils servent souvent de base pour les bulletins de sécurité. Le CVE s’accompagne généralement d’un score CVSS (Common Vulnerability Scoring System), censé représenter le niveau de dangerosité de la faille, et de détails contextuels (vecteur d’attaque à distance, niveau de privilèges requis, etc.).

• CVSS 4.0 : dur, dur, d’être un expert !

Il y a CVE et CVE

Les CVE sont attribués par les CNA (CVE Numbering Authorities). Or, depuis février 2024, le projet Linux est devenu sa propre autorité de numérotation, avec des règles spécifiques pour répondre à l’échelle de son immense base de code.

Pour comprendre la situation actuelle, il faut retenir que ces règles sont inversées par rapport au reste de l’industrie. Dans un cas classique, la découverte d’une faille entraine l’attribution d’un CVE, l’alerte puis le développement du patch. Que les détails soient parfois publiés plus tard n’y change rien, le CVE est attribué d’abord. Au sein du projet Linux, c’est le contraire : la découverte d’une faiblesse dans le code entraine le développement d’un patch puis la fusion de celui-ci dans les branches stables du noyau, et seulement après l’apparition d’un CVE. Ce qui signifie qu’au sein du noyau Linux, les failles non corrigées n’ont pas de CVE.

Autre précision importante : l’équipe du noyau attribue systématiquement un CVE à tout correctif de bug susceptible d’impacter la stabilité ou l’accès mémoire, sans chercher à qualifier si le bug est facilement exploitable ou non. C’est ce qu’expliquait sur son blog Greg Kroah-Hartman, mainteneur principal des branches stables du noyau, en février dernier. De même, aucun score CVSS n’est produit, et pour cause : les développeurs du noyau ne connaissent pas l’usage fait de Linux, donc dans quel type d’environnement le code sera exécuté.

En revanche, là où un CVE traditionnel décrit un comportement de haut niveau, un CVE Linux correspond directement à un identifiant de commit Git. Ce suivi automatisé explique pourquoi l’utilisation massive de fuzzers et d’outils d’analyse statique génère des pics soudains de plusieurs centaines de CVE.

Mais alors, où est le problème ?

Si la publication de 432 CVE est en soi inédite, ils correspondent donc à des bugs déjà corrigés. Pourtant Jan Schaumann, architecte en chef de la sécurité de l’information chez Akamai Technologies, s’en est plaint sur la liste de diffusion OSS-SEC. Il y exprime son inquiétude devant un tel volume, demandant comment les entreprises, et de manière générale les environnements de production, peuvent suivre un tel rythme.

Mais en quoi est-ce un problème ? Si les failles sont déjà corrigées, ne suffit-il pas d’attendre sagement la prochaine révision du noyau ? Ce n’est pas si simple.

Plusieurs éléments doivent être considérés. D’un côté, les corrections intégrées aux branches stables signifient que toutes les versions actuellement supportées du noyau Linux vont les répercuter. En théorie, il suffirait d’installer la version suivante dans la branche utilisée, par exemple la 7.2 si l’on utilise une distribution évoluant avec les versions les plus récentes. De l’autre, les environnements de production utilisent souvent des versions modifiées, voire d’anciennes versions dans lesquelles les équipes « backportent » (rétroportent) les modifications qui les intéressent.

C’est là que survient le problème dont se plaint Jan Schaumann : quand 432 CVE sont publiés en 24 heures, comment savoir ce qui est important et doit être rétroporté ? Dans un courrier envoyé à The Register, il évoque la possibilité de faire travailler des LLM pour gérer automatiquement le flux. « Des mises à jour automatisées, régulières et fréquentes qui intègrent tous les changements dans un délai donné me semblent la seule approche raisonnable, mais cela est très difficile pour de nombreuses grandes organisations », explique-t-il ainsi.

Le dernier noyau disponible, toujours

Sur la liste de diffusion OSS-SEC, la discussion présente des réponses intéressantes, notamment celle de Greg Kroah-Hartman en personne. Bien qu’il ne réagisse pas directement au message initial, les solutions envisagées par d’autres sont passées en revue, et il donne nettement sa préférence : toujours utiliser le dernier noyau stable disponible sur la branche souhaitée et vérifier régulièrement l’ensemble des systèmes gérés.

Kroah-Hartman reconnait que ce n’est pas toujours simple au sein des entreprises, mais que des produits payants permettent de gérer efficacement ce processus. Si payer un tel produit n’est pas possible, il recommande d’installer des distributions comme Debian ou Yocto, car « leurs pratiques de sécurité sont extraordinaires ». Les autres solutions représentent plus de travail ou une sécurité moindre. Vérifier un par un les CVE pour ne considérer que ceux importants dans l’infrastructure ? On peut le faire de manière automatisée pour vérifier ce qui ressort à l’intersection des fichiers visés par les CVE et des fichiers réellement utilisés dans l’environnement géré. Mais on en revient à la proposition de Jan Schaumann, et toutes les organisations ne peuvent pas se permettre un tel pipeline de gestion.

En d’autres termes, la meilleure solution reste la répercussion des nouveaux noyaux quand ils deviennent disponibles, mais l’explosion du nombre de CVE – très probablement portée par l’utilisation croissante des LLM – rend la lecture plus complexe. Pour Greg Kroah-Hartman cependant, il n’y a pas vraiment de problème : les 432 CVE étaient en préparation depuis des semaines, personne ne devrait être surpris.

Il existe de nombreuses méthodes de sécurité pour se connecter à son compte Google, mais la loi de Murphy étant universelle et intangible, il peut arriver que tout se passe mal et qu’aucune ne fonctionne. Le moteur de recherche en a donc ajouté une nouvelle qui ne devrait plus se perdre au fin fond d’un gestionnaire de mots de passe : le visage.

Google est en train de déployer une fonction de selfie vidéo pour récupérer son compte. Il faudra au préalable enregistrer un selfie vidéo, en suivant les indications de mouvements de tête de l’application. En cas de problème de connexion au compte, l’app peut proposer de réaliser un selfie, qui sera comparé à celui déjà enregistré. Une fois l’identité vérifiée, l’accès sera rétabli.

Évidemment, cette nouvelle méthode pose quelques questions de confidentialité, ce d’autant que le selfie vidéo original est stocké sur les serveurs de Google. L’entreprise se veut rassurante : les données sont enregistrées « de manière sécurisée » (elles sont chiffrées au repos) et avec le consentement de l’utilisateur. La vidéo ne sert que pour l’aide à la connexion, et il est possible de la supprimer à tout moment depuis le compte Google.

Autre inquiétude très concrète : les tentatives d’usurpation d’identité. Des malandrins pourraient en effet être tentés d’utiliser de fausses photos ou vidéos pour se connecter subrepticement dans le compte Google d’une victime. On n’ose imaginer les dégâts possibles, puisque ces comptes contiennent une bonne partie de la vie des utilisateurs…

Plusieurs niveaux de sécurité sont appliqués pour prévenir ces tentatives. « Nous comparons votre vidéo à celle que vous avez enregistrée et vous demandons d’effectuer quelques mouvements simples afin de vérifier qu’il s’agit bien d’une captation en direct », explique Google. Des « mesures de sécurité habituelles » sont également mises en œuvre pour détecter et bloquer les connexions suspectes.

Les plus suspicieux se contenteront des méthodes de connexion existantes, que ce soit une passkey ou un système de validation à deux étapes, comme le code d’une app d’authentification, une clé de sécurité physique ou une invite Google sur un téléphone déjà connecté. Il y a aussi le code reçu par SMS, mais cette méthode n’est pas spécialement sécurisée.

• Mots de passe, double authentification : grrrrr… il est temps d’agir !

Deux fautes, une grosse addition

Google est de nouveau condamné par la Commission européenne, qui vient de lui infliger deux amendes totalisant 890 millions d’euros. Il s’agit cette fois de sanctionner l’entreprise pour avoir favorisé des propres services dans son moteur de recherche, et pour avoir restreint les achats en dehors de sa boutique d’applications.

Au terme d’une enquête lancée en mars 2024, Bruxelles sanctionne Google d’avoir enfreint le règlement sur les marchés numériques (DMA). Ce sont en fait deux condamnations pour le prix d’une. La première amende de 460 millions d’euros concerne les pratiques de traitement préférentiel : la Commission estime en effet que Google met davantage en avant ses propres services (comme Google Shopping, Travel ou Maps) au détriment de la concurrence.

Moi d’abord, les autres ensuite

En plus de les placer de manière plus favorable dans les résultats d’une recherche, Google accorderait à ses propres services une visibilité plus attrayante avec des encadrés, des images et des filtres, sans proposer les mêmes possibilités aux services tiers. En tant que contrôleur d’accès, Google se doit pourtant d’appliquer des conditions de classement « transparentes, équitables et non discriminatoires ».

La deuxième condamnation, de 430 millions d’euros, touche les règles imposées aux développeurs d’applications. Ces derniers ont, normalement, la possibilité d’informer leurs utilisateurs qu’un abonnement ou un achat est moins cher ailleurs (sur leur propre site par exemple, ou encore dans des boutiques concurrentes). Ils peuvent aussi diriger ces mêmes utilisateurs vers ces offres alternatives.

La Commission reproche à Google d’avoir mis en place des restrictions contractuelles et techniques telles que les développeurs sont dans l’impossibilité matérielle de profiter de ces largesses. Bruxelles critique également les commissions réclamées par l’entreprise pour les coûts d’acquisition d’un client qui va effectuer un achat ailleurs que sur le Play Store. Google a le droit de facturer une commission, mais celle-ci est considérée comme trop élevée.

Teresa Ribera, vice-présidente de la Commission en charge de la Concurrence, affirme que Google n’a pas respecté « de manière effective » les obligations du DMA.

« Les meilleurs produits doivent s’imposer parce qu’ils sont meilleurs, et non parce qu’ils appartiennent à l’entreprise qui exploite le moteur de recherche. Les consommateurs européens ont également le droit d’être informés par les développeurs d’applications des endroits où ils peuvent souscrire aux offres les plus avantageuses, même lorsque le propriétaire de la boutique d’applications ne touche aucune commission. »

Le groupe américain a 60 jours pour se mettre en règle, au risque sinon de pénalités périodiques qui peuvent atteindre jusqu’à 5 % de son chiffre d’affaires mondial. Sans attendre, l’entreprise a déjà mis en œuvre des changements, notamment dans l’affichage de résultats liés au shopping, aux hôtels, aux vols, aux publicités et aux résultats sportifs. Des discussions avec la Commission portent également sur la manière dont ces règles devront être appliquées aux Aperçus IA et au mode IA, qui viennent tout juste d’être lancés en France.

Quant au Play Store, la victoire d’Epic Games devant la justice américaine contre Google a poussé ce dernier à revoir en profondeur le fonctionnement du Play Store : boutiques alternatives, commissions en baisse, systèmes de paiement tiers. L’exécutif européen doit encore déterminer si ces modifications suffisent.

• Play Store : refonte et baisse des frais, Google et Epic font la paix et parlent… métavers

Dialogue de sourds

Google, qui peut faire appel de la décision de la Commission, estime que la mise en œuvre du DMA « continue de dégrader des produits du quotidien », déclare Kent Walker, le directeur juridique du groupe. Il déplore la « détérioration » des services de Google « dictée par un petit groupe de plaignants qui défendent leurs propres intérêts, tandis que les entreprises et les consommateurs européens en font les frais. »

« La situation actuelle, c’est que vous avez des contrôleurs d’accès qui bloquent l’innovation européenne et vous avez des contrôleurs d’accès qui empêchent des entreprises européennes d’innover de manière juste », a rétorqué Thomas Regnier, porte-parole de la Commission sur le numérique.

L’histoire ne devrait donc pas en rester là. Elle pourrait même remonter jusqu’aux oreilles de Donald Trump, qui n’apprécie guère les régulations contre les entreprises américaines et a déjà menacé, à plusieurs reprises, de taxes douanières supplémentaires sur les importations européennes. Mais pour Teresa Ribera, il n’est pas question que Bruxelles prenne des décisions en fonction de « ce que quelqu’un d’autre essaie de nous dire de faire ou de ne pas faire », rapporte le Financial Times.

« Il est de notre devoir de défendre l’État de droit, y compris nos propres lois, indépendamment de la manière dont elles sont perçues ou contestées », poursuit-elle. Y compris aux États-Unis : « Certaines déclarations du gouvernement américain ne sont pas particulièrement bienveillantes à l’égard du droit européen. »

Small is beautiful

Cisco prend le contrepied des immenses et très coûteux modèles de pointe généralistes avec la mise en ligne de deux petits modèles à poids ouverts, dédiés spécifiquement à la recherche de vulnérabilités. Baptisés Antares, ils offrent selon l’équipementier un rapport coût performances particulièrement intéressant en usage local.

Entre Mythos, Fable 5, l’explosion du volume de failles détectées chez Microsoft ou l’attaque surprise lancée par un modèle d’OpenAI sur les infrastructures de Hugging Face, c’est peu dire que l’IA générative percute de plein fouet le monde de la cybersécurité. Point commun de ces différentes annonces, savamment entretenues par le narratif marketing des laboratoires spécialisés : elles font appel à des modèles de pointe (frontier models), aussi performants que gourmands en ressources.

Précision et rappel

L’équipementier réseau Cisco s’invite dans l’arène avec une proposition de valeur un peu différente. Le 21 juillet, il a publié deux modèles à poids ouverts, plutôt modestes au premier abord puisqu’ils se limitent à respectivement 350 millions et un milliard de paramètres. Entraînés spécifiquement pour la recherche de vulnérabilités, ces deux modèles délivreraient des performances particulièrement intéressantes au regard de leur relative légèreté.

Pour ce faire, Cisco n’a pas cherché à doper les facultés de raisonnement de ses modèles, mais plutôt à optimiser leur précision et leur rappel grâce à une recherche par itérations. « Chaque modèle part d’une description de vulnérabilité, recherche des motifs de code pertinents, examine les fichiers candidats, intègre de nouveaux éléments, change d’orientation lorsqu’une piste s’avère infructueuse et affine sa recherche pour cibler les fichiers les plus susceptibles d’être critiques », décrit Cisco dans un billet d’annonce.

L’objectif des modèles Antares n’est donc pas d’analyser des systèmes ou cas de figure complexes, comme pourrait tenter de le faire un modèle frontière doté de capacités de raisonnement. Cisco les présente plutôt comme une assistance, capable de localiser les fichiers correspondant à une CVE dans un dépôt, de trier les alertes de vulnérabilité, de procéder à de l’enrichissement statistique en scannant des bases de code, ou de réaliser des analyses de sécurité locales dans des environnements soumis à des exigences de conformité.

Des modèles légers centrés sur la recherche de vulnérabilités

Le tout avec un coût en ressources significativement plus faible que celui des grands modèles. « Les tests montrent que ces modèles surpassent de nombreux modèles puissants – qu’ils soient à poids fermés ou ouverts – dans cette tâche de sécurité critique, et ce, pour une fraction du coût. De plus, ils sont suffisamment compacts pour être exécutés localement, évitant ainsi d’avoir à envoyer des bases de code sensibles dans le cloud », avance Cisco.

Dans ce contexte, l’équipementier justifie le choix de l’open source par la nécessité de fournir à la communauté cyber « des briques élémentaires plus accessibles pour une défense pratique au niveau du dépôt ».

Reste à mesurer les performances réelles de ces deux premiers modèles, qui seront bientôt rejoints par une variante à 3 milliards de paramètres (Antares-3B). Pour ce faire, Cisco estime ne pas pouvoir se baser sur les benchmarks traditionnellement dédiés au code, qui couvrent une palette plus large de scénarios d’usage, et a donc conçu son propre référentiel… qui, sans surprise, livre des résultats flatteurs pour les modèles maison.

Antares-1B se situerait ainsi entre GLM-5.2 et GPT-5.5 pour la localisation de vulnérabilités. Contrairement aux ténors du marché, les modèles Antares sont en revanche incapables de vérifier leurs découvertes. Cisco les positionne de ce fait comme un maillon spécialisé dans une chaîne d’outils IA plus large. « Dans l’ensemble, Antares démontre que des modèles compacts et déployables localement peuvent effectuer une analyse de sécurité autonome pertinente lorsqu’ils sont entraînés directement sur les schémas d’interaction requis par la tâche », concluent les auteurs de l’article technique dédié (PDF).

Placer potomanes dans une actu, check !

En ce mois de juillet, Microsoft a mis en ligne son « environmental sustainability report ». Il regroupe les indicateurs environnementaux avec les consommations en eau et électricité de ses datacenters. Résultat des courses : les curseurs sont bien plus élevés aux États-Unis et en Asie qu’en Europe.

Chaque année, les géants américains (Google, Microsoft et Meta) publient leurs rapports environnementaux avec des chiffres détaillés… bien qu’Amazon brille par son absence de transparence avec seulement quelques indicateurs globaux alors que c’est l’un des plus gros acteurs du cloud mondial.

En trois ans, Microsoft a doublé sa consommation électrique

Nous avons déjà analysé les chiffres de 2019 à 2024 dans une série d’articles.

• Plongée dans les datacenters : Google prélève autant d’eau en 30 h qu’OVHcloud en un an
• Datacenters sous (haute) tension

Google a déjà mis en ligne son rapport 2026 (sur l’année 2025), avec un doublement de la consommation électrique et d’eau en trois ans seulement. C’est maintenant au tour de Microsoft.

L’entreprise revendique plus de 37 millions de MWh (ou 37 TWh) de consommation sur l’année 2025, dont près de 21 millions de MWh en Amérique du Nord et 10 millions de MWh en Europe. Cette consommation englobe la totalité des usages de Microsoft, que ce soit dans ses bureaux, ses propres datacenters ou ceux en colocation.

C’est 24 % de plus en un an, 57 % sur deux ans et deux fois plus en trois ans. Si on remonte plus loin, en 2020, la consommation électrique de Microsoft était d’un peu plus de 10 TWh. Microsoft n’était pas loin de Google en 2024, mais ce dernier a fait un bond de + 35 % sur an et prend donc de « l’avance ».

La consommation en eau monte… mais plus doucement

À l'IA jacta est

Alors que le gouvernement a annoncé que les élèves de seconde bénéficieraient à la rentrée 2027 d’une heure de cours d’intelligence artificielle par semaine, des chercheurs ont testé la capacité des êtres humains à déléguer leur esprit critique à une IA. Paradoxalement, ceux qui avaient le droit d’interroger une IA affichaient un taux de confiance plus de deux fois plus élevé que ceux qui n’y avaient pas droit. Et pourtant, ces derniers se sont bien moins trompés que ceux qui répétaient les réponses proposées par l’IA.

MàJ, 21 h, avec un bloc de conclusion précisant que le ministre de l’Éducation vient de préciser que le cours d’IA en seconde ne débutera qu’à la rentrée scolaire 2027, et qu’il devra également servir de « levier précoce » pour lutter contre les inégalités et disparités entre filles et garçons auxquelles sont confrontées les filières et métiers du numérique et de l’intelligence artificielle.

---

« Savoir quand ne pas répondre est l’un des fondements du jugement humain. Mais que se passe-t-il lorsqu’une IA a toujours une réponse ? » s’interroge sur LinkedIn Walter Quattrociocchi, pour qui la phrase la plus importante en science n’est pas « j’avais raison », mais « je ne sais pas ».

Pour y répondre, ce professeur d’informatique et auteur de trois livres consacrés à la désinformation et à la post-vérité s’est associé avec deux autres chercheurs universitaires, Chiara Marcoccia et Valerio Capraro, afin de procéder à cinq expérimentations.

Le titre de leur preprint en divulgâche quelque peu les résultats : « Les conseils fournis par l’IA dissuadent les gens de dire « je ne sais pas », même lorsque ces conseils sont erronés et que l’exactitude est récompensée ».

Ils avaient demandé à 3 132 participants de répondre à six questions relatives au cinéma, choisies de sorte que leurs réponses soient difficiles à trouver par des humains, mais portant sur des détails visuels suffisamment pointus pour que les LLM soient prompts à « halluciner » des réponses plausibles, mais erronées.

Y figuraient par exemple des questions comme « quel animal figure sur la proue du bateau pirate dans “Astérix et Obélix” ? », ou « quelle est la couleur du maillot de l’équipe de foot de « Joue-la comme Beckham » ? ».

L’IA fait exploser le taux d’erreurs… et le niveau de confiance

Histoire de parfaire le tableau, les chercheurs avaient également pris soin d’opter pour un modèle, Step 3.5 Flash, dont ils savaient que la totalité des réponses seraient erronées car « hallucinées », contrairement à celles proposées par d’autres modèles plus sophistiqués.

L’objectif du questionnaire n’était pas d’estimer la capacité des assistants IA à répondre correctement, mais bien d’observer comment les participants font confiance aux réponses générées par IA. Affectant ainsi à la fois leur capacité de discernement et leur propension à ne plus oser répondre « je ne sais pas ».

Les participants étaient divisés en deux groupes : le premier devait répondre aux questions sans aide externe, le second pouvait reposer la question à une IA. Or, en moyenne, 44 % des membres du premier groupe ont répondu « Je ne sais pas », contre 3 % seulement de ceux qui ont pu interroger une IA (soit une différence de - 93 %).

De plus, le taux de bonnes réponses des premiers était de 27 %, contre seulement 9 % pour le second (- 67 %). Dans le même temps, le niveau de confiance des premiers était de 30 %, contre 76 % chez les seconds (+ 153 %).

L’IA les a non seulement induits en erreur, au point de tripler le nombre de réponses erronées par rapport au groupe témoin, mais elle leur a dans le même temps donné une illusion de compétence totalement infondée. Et ce, alors que près d’un tiers d’entre eux aurait pu donner la bonne réponse s’ils n’avaient pas interrogé l’IA.

Dit autrement : en se reposant aveuglément sur l’IA, le taux de réponse correcte s’écroule de deux tiers, alors que les participants se sentent deux fois et demi plus confiants. Et seule une infime minorité des participants recourant à l’IA (3 %) reconnaît ne pas savoir répondre à la question, l’IA ayant donné aux autres un (faux) sentiment de certitude, basé sur des réponses (majoritairement) fausses.

Pour parfaire leur expérimentation, les chercheurs ont également proposé des incitations financières, ce qui a légèrement amélioré les résultats obtenus par les participants car ils se comportaient un peu plus prudemment.

Dans le groupe ayant accès à l’IA, la disposition à admettre son ignorance est ainsi passée de 3 % à 8 %, et la pertinence des réponses de 9 % à 16 %, des taux restant bien inférieurs à ceux du groupe de contrôle, respectivement de 44 % et 27 %.

Les IA génératives ne savent pas répondre « je ne sais pas »

Comme le résume Walter Quattrociocchi, le problème n’est pas simplement que l’IA puisse se tromper, mais que le fait qu’elle propose une réponse incite les gens à vouloir y croire au point de la reprendre à leur compte. Ce qui ne peut avoir que des effets négatifs tant dans l’éducation ou la recherche que dans le débat public.

« Pour les êtres humains, la capacité à dire “Je ne sais pas” est très importante, car elle traduit la reconnaissance des limites de nos propres connaissances », explique Valerio Capraro à The Register. Cette incapacité peut donc aussi, a contrario, donner un sentiment de surpuissance à ceux qui, pourtant, « ne savent pas » si ce qu’ils relaient est vrai, ou pas, ni donc de quoi ils parlent.

The Register précise par ailleurs que, bien que les chercheurs aient choisi des questions portant sur des anecdotes cinématographiques, ils affirment que leurs conclusions peuvent s’étendre à d’autres domaines.

Comme le relevaient des chercheurs d’OpenAI dans un preprint publié en septembre dernier, les IA sont en effet « encouragées à fournir une réponse au hasard plutôt qu’à avouer leur ignorance », quitte à raconter n’importe quoi, afin de satisfaire leurs utilisateurs, sur fond de concurrence exacerbée.

• Pourquoi les chatbots d’IA générative répètent deux fois plus d’infox que l’an passé

Les évaluations portant sur l’exactitude sont en outre majoritaires dans les classements et les fiches système des modèles, « ce qui pousse les développeurs à créer des modèles préférant les hypothèses à l’abstention ». Ce pourquoi, « même si les modèles gagnent en sophistication, ils hallucinent toujours au lieu d’expliquer qu’ils ne savent pas répondre ».

Des études universitaires sur la « sycophancy » (que l’on peut traduire par « effet sycophante » ou « biais de complaisance ») ont par ailleurs montré que ChatGPT, Claude et Gemini flattaient ceux qui les interrogeaient dans près de six réponses sur dix, indiquant des « taux de complaisance » s’échelonnant de 47 % à 95 %, sur sept familles de modèles.

« Je suis très inquiet pour les enfants »

« Je suis très inquiet pour les enfants, car les adultes ont acquis un esprit critique », déplore Capraro auprès du site : « Mais pour les enfants, qui naissent pour ainsi dire avec ces systèmes, le risque est qu’ils n’acquièrent même pas les compétences critiques de base ».

Le Financial Times racontait lui aussi récemment que l’écrivain et scénariste Dave Eggers, invité par Sam Altman à effectuer une conférence devant 200 employés d’OpenAI, leur avait déclaré l’an passé que « L’impact de ChatGPT sur la vie des enseignants est catastrophique » :

« Que ce soit votre intention ou non, vous avez rendu la vie de chaque enseignant infiniment plus difficile qu’elle ne l’était il y a deux ans. Alors, prenez bien conscience de cela… Si les élèves l’utilisent pour rédiger, ce qui est la plus grande tragédie de toutes, ils n’apprendront jamais à écrire. Et on leur vole leur voix. Ils n’auront jamais la capacité d’exprimer leur vérité et de raconter leur propre histoire. Et cela revient à réduire au silence une ou deux générations entières. »

• À Berkeley, plus d’un tiers des étudiants en informatique sont recalés à cause de l’IA

Enseigner l’IA, et l’esprit critique

« Nous ne pouvons pas laisser une génération entière découvrir l’intelligence artificielle sans lui donner les clés pour la comprendre et donc la maîtriser », avait de son côté souligné Sébastien Lecornu en juin dernier dans un message posté sur X :

« Fonctionnement des modèles, usages, éthique, souveraineté numérique, esprit critique face aux manipulations et aux fausses informations : notre école doit préparer les jeunes au monde qui vient.
Former à l’IA et réduire l’exposition aux écrans participent d’une même ambition : faire de nos élèves des citoyens libres, autonomes. Condition de notre souveraineté collective. »

• Les smartphones « très probablement » interdits dans les lycées dès la rentrée

Le ministre de l’Éducation nationale, Edouard Geffray, venait en effet d’annoncer (en anglais) lors d’une table ronde à VivaTech que « tous les élèves français de première année de lycée bénéficieront d’un enseignement dédié à l’IA. Ce sera la première fois que tous les élèves en France disposeront d’un dispositif permanent et spécifique ».

Le Monde et l’AFP rappellent qu’Élisabeth Borne, alors ministre de l’Éducation nationale, avait elle aussi annoncé que collégiens et lycéens bénéficieraient à la rentrée 2025 d’une formation en ligne à l’IA, « avec des sessions obligatoires pour les élèves de 4^e et de 2^de ». Une formation peu mise en œuvre, de source syndicale.

Le Premier ministre a précisé que cette heure hebdomadaire serait intégrée au cours de sciences numériques et technologie (SNT), confié depuis sa création en 2019 à des professeurs de mathématiques et de technologies, ou à n’importe quel autre professeur paraissant plus qualifié.

« Or la durée hebdomadaire de ce cours est d’une heure et demie », précise à l’AFP Sophie Vénétitay, secrétaire générale du SNES-FSU, syndicat majoritaire dans le second degré, qui appelle à « une clarification ».

Conférer à l’informatique et l’IA un « statut de bien culturel commun »

Le Café pédagogique relève pour sa part que les programmes de SNT sont centrés sur l’informatique et ses développements, et que l’intelligence artificielle n’y apparaît qu’une seule fois.

Début juillet, la Société informatique de France (SIF), créée pour fédérer les professionnels de l’enseignement et de la recherche en informatique, publiait un communiqué saluant cette « initiative propre à développer chez tous les élèves une citoyenneté numérique éclairée », tout en regrettant que ce dispositif exclue les lycées professionnels, « qui représentent plus de 28% des élèves ».

Elle souligne qu’un enseignement d’IA au lycée « nécessite de disposer a minima de professeurs d’informatique en nombre ». Or, « à peine une petite centaine de professeurs d’informatique, certifiés ou agrégés, établissements publics et privés confondus, sont recrutés en moyenne chaque année depuis 2022 », alors qu’on dénombre « environ 19 000 » classes de seconde en France, et qu’il faudrait donc en ouvrir « plusieurs centaines » par an, et leur proposer une formation continue :

« Le premier enjeu consiste donc à intégrer dans chaque lycée au moins un enseignant d’informatique avec un bagage complet pour que chaque élève puisse comprendre les fondements scientifiques informatiques de l’IA. »

Le deuxième enjeu consiste à pourvoir ces enseignants d’un programme à la hauteur de l’objectif affiché, « avec une colonne vertébrale scientifique », ainsi qu’une « sensibilisation aux enjeux environnementaux, éthiques et d’autonomie ».

Le troisième enjeu est « comme c’est le cas pour le français et pour les mathématiques – de conférer à l’enseignement de l’informatique et de l’IA un statut de bien culturel commun », conclut la SIF, afin de les « installer définitivement au cœur des compétences des générations qui font le XXI^e siècle » :

« Un an de préparation ne sera pas superflu pour y parvenir ! Pour favoriser le succès de ce projet, il faudra s’appuyer sur l’expérience d’une pluralité d’acteurs – dont la Société informatique de France – qui mènent déjà des réflexions sur ces sujets et peuvent dès aujourd’hui contribuer utilement à la création et au déploiement d’un tel enseignement. »

Un cours d’IA qui ne débutera qu’à la rentrée scolaire 2027

Ce 20 juillet, Edouard Geffray a précisé (.pdf) que cette heure hebdomadaire d’enseignement dédiée à l’IA débutera « à la rentrée scolaire 2027 », mais également que l’horaire hebdomadaire de SNT « sera désormais fixé à 2 heures » :

« L’enseignement rénové de SNT conservera un ancrage scientifique. Il visera à faire comprendre le rôle central des données, à consolider la pensée informatique et algorithmique, ainsi qu’à faire appréhender la réalité matérielle et des infrastructures du numérique. Il devra permettre de saisir les enjeux environnementaux, géopolitiques, économiques, informationnels et démocratiques qui structurent les espaces numériques, notamment les réseaux sociaux. »

Le ministre de l’Éducation souligne qu’au sein de ce programme, le volet consacré à l’intelligence artificielle visera à :

• « poser les bases d’une compréhension scientifique et technique de l’IA, sans technicité excessive à ce niveau, articulée à une réflexion sur les données, leurs biais et leur protection, ainsi qu’à la question de la souveraineté numérique ;
• développer l’esprit critique en abordant les dimensions sociétales, éthiques, juridiques, notamment en termes de protection de la vie privée ou de secrets protégés, et environnementales, en articulation avec l’éducation aux médias et à l’information et avec l’enseignement moral et civique ;
• donner à chaque élève les clés d’un usage éclairé de l’IA, dans le cadre du cadre de référence des compétences numériques. »

Le ministre y souligne également que les filières et métiers du numérique et de l’intelligence artificielle restant « marqués par de fortes disparités entre filles et garçons », l’enseignement de SNT dès la seconde « est un levier précoce pour agir sur ces inégalités ».

Le programme révisé devra dès lors « susciter, chez les filles comme chez les garçons, l’intérêt et la confiance nécessaires à un engagement vers ces études et métiers, à travers des exemples et des activités donnant à voir une représentation équilibrée des femmes et des hommes ».

Full-Scale Deflection

Alors que plusieurs pays européens viennent de donner leur feu vert, le ministre des Transports Philippe Tabarot explique que la France n’est pas encore disposée à autoriser la conduite assistée de Tesla, dite FSD pour Full Self Driving. Il affirme vouloir se ranger derrière le cadre réglementaire européen, et dit attendre des véhicules autonomes homologués en France dès 2027.

Les conducteurs de Tesla vont devoir prendre leur mal en patience. Bien que les Pays-Bas, la Lituanie, l’Estonie, le Danemark et la Belgique aient donné leur feu vert, la France ne souhaite pas autoriser l’activation du mode de conduite automatique supervisée dit FSD, pour Full Self Driving. C’est du moins la position exprimée mercredi 22 juillet par le ministre des Transports Philippe Tabarot, dans une vidéo publiée sur le site Agora, qui propose aux internautes de soumettre leurs questions au gouvernement.

Excès de vitesse et vigilance insuffisante des conducteurs

Le ministre indique répondre à la question d’un certain Ludovic, qui s’enquiert de la possibilité d’utiliser le mode FSD en France. Et sa réponse se veut sans équivoque : « En France, on considère que ce système apporte un certain nombre de progrès technologiques mais que les contreparties en termes de sécurité ne sont pas encore suffisantes pour une autorisation en l’état ».

Tesla présente pour mémoire ce mode FSD comme une « conduite automatique supervisée », ce qui n’est pas exactement la même chose qu’une conduite totalement autonome. La fiche produit de ses véhicules décrit d’ailleurs le FSD comme une agrégation de fonctionnalités d’aide à la conduite (assistance au maintien de cap, reconnaissance des feux de signalisation et des panneaux, etc.).

En pratique et contrairement à un système de conduite totalement autonome, la surveillance active du conducteur reste un prérequis, même si Tesla assure que les performances sont suffisantes pour ne nécessiter qu’une « intervention minimale ». Longtemps vendu en supplément lors de l’achat d’une Tesla, le mode FSD est désormais commercialisé sous la forme d’un abonnement mensuel (99 euros par mois). Son activation reste cependant subordonnée aux autorisations réglementaires.

Et sur ce point, Philippe Tabarot exprime deux réserves principales. La première concerne les dépassements de vitesse dont se rendrait coupable le FSD. « S’il constate que les véhicules autour de lui roulent plus vite, en clair, il peut rouler à 70 km heure au lieu de 50 si le trafic circule à cette vitesse et ça sans demande explicite du conducteur. Dans certains cas, un véhicule peut ainsi aller jusqu’à 50 % au-dessus de la limite de vitesse autorisée. Le code de la route n’est donc pas respecté », avance le ministre.

L’autre point d’achoppement concerne les mécanismes mis en œuvre par Tesla pour garantir que le conducteur soit pleinement attentif à la conduite lors de certaines manœuvres comme les changements de voie ou les franchissements de ronds-points. « Pourtant, un manque d’attention peut avoir des conséquences très graves aussi bien pour les personnes à l’extérieur que pour les occupants du véhicule », déclare le ministre, avant de rappeler que le conducteur reste pénalement responsable en cas d’erreur d’un système d’aide à la conduite.

Des véhicules réellement autonomes homologués dès 2027 ?

Philippe Tabarot ne se dit pas foncièrement opposé à l’homologation de la conduite automatique supervisée de Tesla, mais réclame des évolutions du système, suivies d’une nouvelle évaluation. « Je tiens à le souligner : la France soutient ces technologies et leur déploiement doit se faire dans un cadre de confiance qui permet d’évaluer les systèmes et de déterminer les ajustements du FSD nécessaires pour garantir un haut niveau de sécurité ».

En attendant, le ministre rappelle que la France encadre depuis plus de dix ans des expérimentations autour du véhicule autonome. Et formule un objectif pour le moins ambitieux : « En France, plus de 200 expérimentations de véhicules autonomes ont été réalisées depuis 2015. C’est une base solide, mais je veux aller plus loin et permettre l’arrivée de véhicules autonomes homologués en France dès 2027 ».

Relayées par des actionnaires et soutiens de l’entreprise sur X, ces déclarations ont suscité un commentaire d’Elon Musk. « Retarder l’approbation de FSD en France coûtera des vies », a estimé le patron de Tesla, qui a fait de la conduite autonome l’un des principaux axes stratégiques de l’entreprise, incarné notamment par le projet Cybercab (ou Robotaxi).

Une accidentalité limitée, mais en hausse

Musk vante depuis longtemps les performances du FSD, nourri par « des données de conduite anonymes prélevées sur des milliards de miles » et jusqu’à « sept fois plus sûr » qu’un conducteur humain, selon la communication de Tesla. L’expérience acquise dans les pays où le FSD est déjà autorisé confirme la fiabilité générale du système, mais elle souligne aussi qu’il n’est pas exempt de défauts.

Aux États-Unis, Tesla a par exemple rapporté à l’agence fédérale en charge de la sécurité routière (la NHTSA) 207 accidents survenus alors que le FSD était enclenché pour le seul mois de mai 2026, soit le plus haut volume jamais rapporté par le constructeur. Le média Electrek, qui révèle ce chiffre, salue les performances générales du dispositif, le qualifiant de meilleur système de niveau 2 disponible sur le marché.

Il signale dans le même temps un paradoxe qui va dans le sens des déclarations de Philippe Tabarot. Les progrès du système, et la façon qu’a Tesla de communiquer sur une promesse de conduite automatique (et non sur un simple ensemble d’assistances au conducteur) participent à une forme de déresponsabilisation des conducteurs, qui délèguent de plus en plus les manœuvres à la machine, et provoquent de ce fait une augmentation du nombre d’accidents, alors même que la technologie s’améliore.

Un levier commercial bien identifié

La récente publication des résultats financiers de Tesla pour le deuxième trimestre 2026 (PDF) révèle quant à elle l’importance croissante du FSD dans le modèle économique de l’entreprise. Elle revendique désormais 1,48 million de souscriptions actives, sur un total de 9,7 millions de véhicules livrés depuis son lancement. L’homologation du système est par ailleurs présentée comme un facteur de dynamisation des ventes sur les marchés concernés :

« Nous avons également atteint des taux d’adoption record pour le FSD en Amérique du Nord, plus de 55 % des nouvelles livraisons incluant un abonnement à cette fonctionnalité. Dans le prolongement de l’autorisation de déployer le FSD aux Pays-Bas, nous avons obtenu des autorisations supplémentaires en Lituanie, en Estonie, au Danemark et en Belgique ; à la date de juillet, les clients de ces pays avaient parcouru plus de 50 millions de kilomètres (31 millions de miles) en mode FSD. Nous constatons un vif intérêt pour nos véhicules sur les marchés où le FSD est autorisé. »

Première fois, mais pas la dernière

Dans un billet de blog, l’entreprise explique comment l’apparition d’une faille critique dans le moteur de virtualisation KVM a entrainé une vaste campagne de mises à jour dans ses infrastructures. Elle a choisi une approche radicale, avec un impact assumé sur les clients, prévenus en amont.

L’incident débute le 6 juillet, quand les détails d’une faille critique apparaissent. Estampillée CVE-2026-53359 et surnommée Januscape, elle réside dans le code de shadow paging du moteur de virtualisation KVM sur l’architecture x86.

« KVM constitue le moteur de virtualisation sur lequel repose l’immense majorité des instances hébergées chez OVHcloud. Le mécanisme est le suivant : lorsqu’une modification externe d’un Page Directory Entry (PDE) survient, l’entrée RMAP peut conserver une référence vers une page mémoire déjà libérée. Le noyau déréférence ensuite cette page obsolète, ce qui peut entraîner un plantage de l’hyperviseur ou, dans les scénarios les plus défavorables, une élévation de privilège côté hôte. L’exploit est reproductible : un test interne sur un hôte non patché provoque un crash en environ deux minutes », explique OVHcloud dans son billet.

Le lendemain, OVHcloud déclenche une cellule de crise pour aborder la situation, avec la question centrale : comment mettre à jour des dizaines de milliers de serveurs hôtes hyperviseurs, représentant environ un million de machines virtuelles ?

Cinq solutions, aucune idéale

Comme l’entreprise l’explique dans son billet, cinq possibilités étaient sur la table. Elle pouvait attendre l’arrivée des noyaux Linux officiels mis à jour, mais elle aurait été alors « tributaire d’un agenda tiers ». Un live patch ? Une opération « sensible par nature », qui permet de gagner du temps mais entraine aussi une réduction du niveau de durcissement et une baisse des capacités de détection en cas de compromission.

OVHcloud a considéré rapidement la désactivation de la virtualisation imbriquée, qui permet notamment de lancer des machines virtuelles à l’intérieur d’autres machines virtuelles. La solution est écartée, faute de pouvoir mesurer l’impact sur les clients.

Une piste plus sérieuse était la migration live, depuis des hôtes vulnérables vers d’autres vides et patchés. L’option est décrite comme « très satisfaisante » pour la continuité, sans impact sur les machines virtuelles. Elle a toutefois un sérieux désavantage : elle prend beaucoup de temps. OVHcloud la garde sous le coude pour certaines machines critiques.

La solution adoptée consiste finalement à mettre les mains dans le cambouis, en intégrant soi-même le patch dans les noyaux utilisés, en diffusant ces derniers et en redémarrant la totalité des hôtes.

Un « patching unilatéral à impact contrôlé »

Le choix de cette solution est « assumé », selon OVHcloud. Elle affirme qu’il s’agissait de la seule solution possible pour tenir compte des paramètres : la criticité de la faille, le nombre de machines à traiter et le degré de perturbation pour les clients. « Une action rapide et globale protège le plus grand nombre, quitte à impacter une minorité de manière temporaire », ajoute OVHcloud.

Tout s’est très vite enchainé. Le soir du 7 juillet, le « backport » du correctif est réalisé dans le noyau et les tests de validation commencent. Dans les heures qui suivent, les équipes confirment que le noyau mis à jour n’est plus sensible à la faille. Dans la foulée, le comité exécutif donne son feu vert pour un déploiement dès le lendemain matin.

OVHcloud n’a cependant pas déclenché ce déploiement sur la totalité des machines virtuelles au même instant. L’opération commence dans la région Sydney, avec plusieurs avantages : le nombre d’hôtes est limité, la plage de déploiement correspond aux heures de bureau en France et l’entreprise pourra collecter les premiers retours, avant de se tourner vers des déploiements plus importants. Le 8 juillet, en début d’après-midi (heure de Paris), tous les hôtes VPS (Virtual Private Server) de la région sont mis à jour et redémarrés.

L’entreprise suit littéralement le soleil : « Chaque région prend le relais à son tour, sur sa matinée locale, en transmettant le contexte à la suivante ». Elle estime avoir récolté assez de retours pour lancer la première vague européenne sur les VPS (RBX, GRA6, WAW, DE, SBG, MIL, UK) à 18h30, toujours le 8 juillet. À chaque fois, les VPS sont migrés les premiers, l’offre Public Cloud présentant d’autres défis. Les régions à plus faible densité sont traitées d’abord, tandis que celles à fort volume sont « orchestrées avec une granularité plus fine, lot par lot, pour diluer le risque ».

Plusieurs mécanismes ont été mis en place pour limiter les risques pendant les opérations, notamment des seuils d’arrêt. Chaque vague de redémarrages était bornée par un seuil d’arrêt automatique : 15 hôtes en panne simultanée pour les régions à forte densité (GRA, RBX, BHS), 5 hôtes pour les autres, avec arrêt systématique à 06h00 locales ou sur demande du centre de données. Ce mécanisme vise à ne pas superposer des redémarrages supplémentaires à une situation de panne matérielle déjà en cours de traitement.

Les orchestrateurs ont en outre calculé un graphe de co-localisation par projet et ont défini des vagues mutuellement exclusives. Ainsi, deux hôtes portant des instances du même projet ne sont jamais redémarrés dans la même fenêtre, un hôte devant être revenu en service avant le lancement du suivant dans la même classe. Cette règle est appliquée en « best effort », non garantie à 100 % sur l’ensemble du parc.

Des incidents quand même

Malgré les précautions, des problèmes sont quand même apparus. Certaines machines virtuelles n’ont pas redémarré après le reboot de leur hôte, dès la première vague européenne. Un conflit a été détecté entre libvirt-guests.service et Nova Compute, provoquant l’arrêt des instances sans synchronisation API.

Dès le deuxième jour, un problème de corruption de données est apparu sur des services synchrones. Des machines virtuelles réparties sur trois clusters ont présenté des données corrompues, à cause probablement d’un redémarrage forcé en pleine écriture disque. La période d’attente avant kill forcé a été étendue à 60 secondes, et un script de redémarrage automatique des VM restées éteintes a été déployé.

À Paris, dans la nuit du deuxième au troisième jour, des soucis de saturation mutuelle sont apparus entre les API Nova et Neutron. Cette dernière plafonnant à 10 processus, la situation a provoqué deux heures de panne HTTP 503. Le correctif appliqué a consisté à augmenter le nombre de workers Neutron de 10 à 30 et celui des processus Apache de 10 à 32.

Sur le plan matériel, environ 20 à 30 hôtes sur 6 000 ne sont pas revenus seuls après la première nuit de redémarrages (barrettes mémoire défaillantes, configuration BIOS, interfaces réseau inactives), indique OVHcloud. Certains cas aux États-Unis ont même nécessité un retrait de la batterie CMOS et un drain d’alimentation. Des techniciens ont été mobilisés en renfort sur chaque site pour intervenir en priorité sur les hôtes en échec.

En tout, l’opération s’est étalée sur 11 jours.

Ce type d’opération se reproduira, assure OVHcloud

Côté communication aux clients, la stratégie retenue a été l’envoi de messages ciblés de manière progressive, déclenché région par région et vague par vague, aux seuls clients concernés par les hôtes programmés.

Le choix initial de ne pas ouvrir de page publique de statut visait à ne pas exposer la séquence de déploiement, un arbitrage voulu entre transparence et risque (éviter d’inciter des clients à tester l’exploit). Les limites de ce dispositif sont pointées par OVHcloud : pour GRA6 (près de 90 000 clients non contactés), l’envoi massif d’e-mails a été écarté pour ne pas saturer le support, ce qui a conduit à un pivot vers une bannière conditionnelle dans le Manager (basée sur une liste de comptes impactés) le lendemain et – finalement – la création d’une page de statut Public Cloud le jour suivant.

En revanche, malgré les détails fournis par l’entreprise, le descriptif est essentiellement qualitatif : on ne connait pas le nombre total d’incidents clients, la durée cumulée d’indisponibilité, ni les éventuelles compensations.

L’entreprise indique en tout cas avoir tiré des enseignements de cette migration, car elle n’avait jamais été confrontée à une situation critique d’une telle ampleur, les épisodes précédents ayant été traités par rotation naturelle du parc combinée à des migrations live planifiées sur une durée longue.

OVHcloud se veut claire également : ce type de procédure d’urgence est amené à se reproduire compte tenu du rythme des publications de vulnérabilités noyau, sous l’impulsion de l’IA générative notamment. Les axes d’amélioration identifiés par l’entreprise portent sur trois points : la maîtrise de l’impact brut des redémarrages, l’information en amont des clients, et la procédure d’accompagnement des clients impactés. L’entreprise évoque donc un « exploit » réalisé par ses équipes, mais ajoute : « Nous devrons faire mieux la prochaine fois, aussi bien dans la maîtrise de l’impact brut des redémarrages que dans l’information en amont des clients et dans la procédure d’accompagnement des clients impactés lors des opérations ».

Finalement un oeuf, n’est-ce pas un peu une forme de grosse boulette ?

La fondation Raspberry Pi étoffe son offre en matière d’écran avec le lancement d’une version 10 pouces de son Touch Display 2, l’écran tactile introduit en 2024 d’abord en format 7 pouces (voir notre prise en main) puis décliné en 5 pouces l’année suivante.

Le nouveau venu adopte une dalle 24 bits affichant 1 200 x 1 920 pixels, sur une surface utile de 135,4 x 216,6 mm. Pensé principalement pour une utilisation portrait (avec un ratio 1:2), il offre d’après sa fiche technique (PDF) des angles de vision de 85 degrés, une luminosité de 400 cd/m², et un tactile multi-points capable de reconnaitre jusqu’à dix doigts (contre cinq pour les formats 5 et 7 pouces).

Affiché au prix public conseillé de 80 dollars (hors taxes et hors frais de port), le Touch Display 2 10 pouces revendique toujours une intégration sans effort avec l’environnement Raspberry Pi. Son dos permet d’installer un mini-ordinateur qui alimentera directement l’écran, et la dalle tactile est reconnue nativement par le système d’exploitation.

Le passage à une résolution plus élevée entraine toutefois une limitation : la version 10 pouces exige quatre lignes DSI pour fonctionner correctement, ce qui restreint sa compatibilité au Raspberry Pi 5 ou au Raspberry Pi Compute Module. Les Raspberry Pi 4 et modèles antérieurs restent quant à eux limités aux versions 5 et 7 pouces de l’écran.

Entre autres usages, la fondation Raspberry Pi suggère « les tableaux de bord domotiques, les bornes interactives, les interfaces robotiques, l’affichage dynamique, les systèmes de jeu, les panneaux de commande d’équipements d’atelier ou de laboratoire », etc. En parallèle de cet écran « officiel », il existe bien sûr d’innombrables écrans de toute taille issus de fabricants tiers et pensés pour l’environnement Raspberry Pi.

• 13 ans de Raspberry Pi : du 1 au 5, en passant par les Zero, Pico et Compute Module

Washington pas open à l'open source

L’administration Trump a peut-être trouvé la réplique à Kimi K3, le nouveau modèle IA du labo chinois Moonshot AI, dont les poids seront publiés la semaine prochaine. Un officiel de la Maison-Blanche accuse le LLM de distillation de Fable, le modèle d’Anthropic.

Depuis le lancement de Kimi K3 le 17 juillet dernier, on sent comme un petit vent de panique au sein du gouvernement américain. Le modèle développé par Moonshot AI a plusieurs arguments à faire valoir face à la concurrence des labos états-uniens : des performances 3T « de niveau frontière », en tout cas pas si éloignées des modèles US, des prix plus doux, et surtout une ouverture attendue le 27 juillet. Les poids de Kimi K3 doivent en effet être publiés la semaine prochaine, ce qui permettra aux entreprises et aux organisations de l’installer sur leurs propres serveurs et éventuellement de le modifier.

• Kimi K3 : ce qu’il faut savoir du modèle open source de 2 800 milliards de paramètres

Le côté open source couplé avec des capacités de premier plan risque de secouer très sérieusement le secteur de l’IA tout entier. Les entreprises pourraient trouver là un modèle à la fois abordable et personnalisable, bien plus souple que les concurrents GPT, Claude et consorts. La place de marché OpenRouter a d’ailleurs calculé que les modèles chinois (majoritairement à poids ouverts) représentaient 60 % de l’usage de tokens par les sociétés américaines, rapporte Bloomberg.

Cette ouverture des modèles provenant de Chine est une stratégie voulue par Pékin. Le président Xi Jinping a ainsi encouragé « l’open source, la collaboration et le partage » pour que l’IA bénéficie aux entreprises de toutes les industries durant la World Artificial Intelligence Conference de Shanghai la semaine dernière.

Washington cherche la faille

C’est un caillou dans la chaussure de l’IA américaine, où les modèles fermés et propriétaires sont la norme. Ils permettent aux labos d’avoir la haute main sur la tarification des tokens, ils peuvent aussi couper le robinet de leurs modèles à tout moment pour n’importe quelle raison – comme on l’a vu le mois dernier avec Fable 5. Le gouvernement américain veut désormais avoir un œil sur les nouveaux modèles de frontière avant leur mise à disposition.

Les modèles à poids ouverts ont ceci de particulier qu’une fois lâchés dans la nature, il devient pratiquement impossible de refermer la boîte. Pour protéger son industrie IA, la Maison-Blanche envisage donc plusieurs tactiques, mais une semble se détacher du lot.

• Avant même l’ouverture de ses poids, Kimi K3 inquiète déjà Washington

Michael Kratsios, directeur du Bureau de la politique scientifique et technologique de l’administration, affirme sur les réseaux sociaux : « Nous disposons d’informations selon lesquelles Moonshot AI a distillé Fable, le modèle d’Anthropic, pour développer son modèle K3 ». Le haut responsable explique que la startup chinoise a développé une « plateforme interne sophistiquée » pour mener des opérations de distillation à grande échelle.

De la sorte, Moonshot aurait ainsi pu « passer rapidement d’une méthode d’accès à une autre afin d’éviter d’être détectée ». L’entreprise aurait également eu accès à des serveurs équipés de puces GB300 de NVIDIA en Thaïlande, « probablement pour entraîner ses modèles d’IA ». Kratsios n’a rien contre la « distillation légitime », mais « les opérations clandestines de distillation industrielle menées à grande échelle dans le but de voler des technologies américaines propriétaires et de saper la recherche américaine sont inacceptables. »

Tout le monde ne partage pas l’inquiétude de Washington

Anthropic a par le passé déjà accusé Moonshot de distillation sauvage. De son côté, OpenAI se fait beaucoup plus prudente. Dean Ball, responsable de la prospective stratégique au sein du labo, pense ainsi que les performances de Kimi K3 ne peuvent pas être expliquées par une distillation.

Greg Brockman, cofondateur et président d’OpenAI, estime qu’il est encore trop tôt pour déterminer si Moonshot a extrait des résultats des modèles de son entreprise pour améliorer Kimi K3. Mais « c’est quelque chose que nous surveillons en permanence », a-t-il ajouté à Bloomberg, en tressant des lauriers au modèle concurrent, « plutôt bon ».

Les modèles chinois sont mêmes jugés « excellents » par Jensen Huang, le directeur général de NVIDIA. « Les modèles open source qui sont excellents devraient être utilisés », a-t-il ajouté auprès d’Axios. « Il n’existe aucun scénario où la Chine pourrait évincer les entreprises américaines, c’est tout simplement impossible », assène-t-il. Les labos IA américains n’ont donc pas à craindre les modèles à poids ouverts, selon lui, car ils élargissent le marché en permettant à davantage de personnes de découvrir l’IA.

De nombreux utilisateurs continueront de payer pour la simplicité, la fiabilité et les « performances supérieures » des modèles fermés, poursuit le dirigeant. Il prêche évidemment pour sa paroisse : « Une IA gratuite devrait être une excellente nouvelle pour le matériel informatique, une excellente nouvelle pour les puces, une excellente nouvelle pour les centres de données ». Toutes choses fournies par NVIDIA, bien sûr.

Microsoft soigne la rétrocompatibilité de son catalogue Xbox sur PC. Quatre jeux sortis dans les temps immémoriaux de la toute première Xbox sont désormais jouables sous Windows, sur ordinateur bien sûr, mais aussi sur les consoles portables type Xbox ROG Ally.

Les quatre titres en question sont Fuzion Frenzy (2001), Blinx: The Time Sweeper (2002), Crimson Skies: High Road to Revenge (2003) et Conker: Live and Reloaded (2005). Autant dire, pas des perdreaux de l’année ! Mais des jeux que les plus nostalgiques ou les curieux pourront découvrir dans une version améliorée, puisqu’il est possible de les afficher dans une définition jusqu’à x4, avec le support VSync (synchronisation verticale), en plein écran ou en fenêtré, avec un filtrage anisotrope et un anticrénelage amélioré. Les réglages pour la langue et l’audio sont aussi personnalisables.

Les années 2000 ont appelé, elles veulent récupérer leurs jeux

Microsoft prévoit d’ajouter des fonctions supplémentaires ainsi qu’une liste de succès à déverrouiller. Il s’agit d’une des fonctions les plus demandés par les joueurs, affirme l’éditeur. Intégrer des succès dans ces jeux ne doit pas être une mince affaire, avec leur code antédiluvien. La sélection du jour y aura en tout cas droit dans les prochains mois.

Les titres du programme « XBOX Backward Compatibility » sont proposés à l’achat sur la boutique Xbox pour PC, au prix d’une dizaine d’euros pièce. Ils sont également intégrés dans le catalogue Game Pass (toutes formules). Les joueurs qui possèdent une licence numérique pour ces jeux – acquis via les programmes de rétrocompatibilité Xbox – y ont aussi accès pour leur PC.

La configuration minimale pour jouer à ces classiques est assez modeste, même si Microsoft réclame Windows 11 : un circuit graphique Nvidia GTX 950 ou AMD Radeon RX 550 et 8 Go de RAM. La config’ recommandée est un peu plus exigeante : une Radeon RX 6800 ou Nvidia GTX 1070 Ti, avec 8 Go de mémoire vidéo et un CPU doté de 6 cœurs. Et si on n’a pas ça sous la main, pas de panique : ces titres sont compatibles avec le service Xbox Cloud Gaming. On peut aussi y jouer sur Xbox Series S/X depuis toujours grâce à la rétrocompatibilité de la plateforme.

Ce lancement marque « le début d’un chantier plus vaste pour préserver les anciens jeux Xbox et à les proposer progressivement sur PC », explique Jason Ronald, vice-président de la prochaine génération de Xbox. D’autres titres seront ajoutés au fil de l’eau.

La rumeur court toujours du développement d’un système permettant d’obtenir une licence numérique pour un jeu Xbox sur support physique, afin de pouvoir y jouer sur une console dépourvue de lecteur de galette. Rappelons pour finir que la prochaine console Xbox, le fameux projet Helix, sera capable de faire tourner des jeux Xbox et des jeux PC.