Vos papiers et que ça saute

C’est une première pour les chatbots IA. Claude peut désormais réclamer une vérification de l’identité de l’utilisateur. Il faudra alors présenter un passeport, un permis de conduire ou une carte d’identité avec photo. Les photocopies, les captures d’écran ou « photos d’une photo » ne sont pas acceptées. Un selfie pourra aussi être demandé.

La demande de vérification de l’identité, repérée par Decrypt, a commencé à apparaitre chez de nouveaux abonnés de Claude. Ce qui ne manque pas d’étonner, sachant que pour le moment du moins, aucun législateur ou régulateur n’a exigé une telle opération. Dans une fiche d’assistance mise en ligne le 14 avril, Anthropic explique que « la vérification de l’identité nous aide à prévenir les abus, à appliquer nos politiques d’utilisation et à respecter nos obligations légales ». 

Une vérification de l’identité inédite pour un bot

La vérification de l’identité concerne « certains cas d’usage » non précisés, et lors de l’accès à « certaines fonctionnalités », le tout dans le cadre des vérifications régulières d’intégrité de la plateforme « ou d’autres mesures de sécurité et de conformité ». 

En cas d’échec de la vérification, il est toujours possible de contacter l’entreprise qui examinera alors le dossier. Persona Identities est le prestataire chargé de la vérification ; ce sous-traitant travaille aussi pour le compte de Roblox, DoorDash, LinkedIn, mais aussi… OpenAI, dans certains cas, pour contrôler l’âge des utilisateurs de ChatGPT.

• ChatGPT estime l’âge de ses utilisateurs pour plus ou moins lacher la bride

En février dernier, des chercheurs en sécurité ont découvert qu’une interface web appartenant à Persona était accessible publiquement. Ce frontend contenait 2 456 fichiers (du code et des outils internes) hébergés sur un serveur autorisé par le gouvernement américain, isolé de l’environnement de l’entreprise. 

Pas de données confidentielles ici, mais les fichiers exposés ont permis de mesurer l’ampleur des capacités du système Persona : il réalise jusqu’à 269 types de vérifications possibles, il compare les selfies à des listes de surveillance, détecte les profils à risque et calcule un score de risque. On a également appris à cette occasion que Persona conservait les données des utilisateurs jusqu’à 3 ans. 

Après avoir supprimé l’accès au frontend et assuré qu’aucune donnée personnelle n’avait fuité, l’entreprise a expliqué qu’elle ne travaillait avec aucune agence fédérale états-unienne, et qu’aucun de ses clients n’exploitait la totalité des 269 types de vérifications. 

L’ombre de Peter Thiel

Ce frontend avait été découvert à l’occasion de la mise en place par Discord de son système de vérification de l’âge. La plateforme a depuis révoqué le sous-traitant, suite à une autre polémique : Persona est en effet financé par Peter Thiel, cofondateur de Palantir. Une entreprise dont les outils sont très populaires chez les forces de l’ordre comme l’ICE, qui fait la chasse aux immigrés en situation irrégulière.

• Discord temporise sur la vérification d’âge

Anthropic n’a pas ces états d’âme, et rappelle que Persona traite les données de vérification « selon nos instructions ». Ces informations, chiffrées en transit et au repos, n’en restent pas moins collectées et stockées par Persona. Anthropic peut y accéder, ainsi qu’aux dossiers de vérification si nécessaire pour examiner un appel, par exemple. Les données sont conservées et supprimées « conformément aux limites de conservation » établies par Anthropic et à la loi applicable.

L’entreprise précise aussi, et c’est important vu le contexte, que les données d’identité ne sont pas utilisées pour entraîner ses modèles IA, mais « uniquement pour confirmer votre identité et pour respecter nos obligations légales et de sécurité ». Ces informations ne sont partagées avec personne, sauf en cas de demande légale valide. Enfin, Anthropic affirme ne collecter que les données minimales requises pour vérifier l’identité.

L’opacité avec laquelle Anthropic demande la vérification de l’identité, ainsi que le choix de ce sous-traitant, ne manquent pas d’inquiéter certains. ChatGPT ou Gemini n’en sont pas encore là, même si le premier peut effectuer des vérifications d’âge. Quant au deuxième, son opérateur Google connait déjà beaucoup de ses utilisateurs. Mais Anthropic pourrait bien être précurseur.

Si ce n'est toi, c'est donc ton frère

L’IGN, le Cerema et Inria vont assurer la mise en route d’un projet visant à créer, d’ici trois ans, un socle technique adapté à la création d’un jumeau numérique national (JUNN) des territoires. Il doit permettre aux acteurs du public comme du privé de simuler l’évolution de ces territoires, notamment au regard du changement climatique, et de construire des outils décisionnels innovants.

Un consortium de 14 partenaires copiloté par l’IGN, le Cerema (pour Centre d’études et d’expertise sur les risques, l’environnement, la mobilité et l’aménagement) et Inria va s’attacher à développer un socle technique « commun et souverain » dédié à la création de jumeaux numériques de territoire. En pratique ?

Un socle pour relier les jumeaux numériques existants

Il s’agit d’assembler les différentes briques nécessaires à la création d’un service dans lequel il sera possible de reproduire les caractéristiques d’un territoire (une rue, une ville, les rives d’un cours d’eau…) pour ensuite tester des scénarios d’évolution, au sein de cette réplique virtuelle, à des fins d’aide à la décision.

« Un jumeau numérique de territoires peut par exemple simuler les conséquences d’une crue centennale sur un territoire, en tenant compte de l’évolution du climat. Il peut également simuler des scénarios d’aménagement et leurs conséquences sur le trafic routier », illustrent les porteurs de projet dans un dossier de presse.

Il existe déjà de nombreux projets de jumeau numérique de territoires en France, à l’échelle de métropoles (Rennes, Lille, Lyon, Angers, Brest, Aix-Marseille et d’autres), ou de zones spécifiques (l’estuaire de la Gironde), mais il manquait un cadre et un outillage permettant de faire communiquer les différents projets, et donc de mutualiser à la fois les données, les développements techniques et les initiatives.

C’est à cette ambition que veut répondre le projet JUNN, pour jumeau numérique national, dont le coup d’envoi officiel a été donné le 13 avril dernier, avec l’annonce d’un financement de 25 millions d’euros consenti dans le cadre du plan France 2030, sur un budget prévisionnel fixé à 40 millions d’euros.

L’initiative, dont le site dédié a été mis en ligne, associe donc 14 premiers partenaires au premier rang desquels les établissements publics spécialisés dans la gestion de la donnée. L’IGN apporte sa « maîtrise de la production et de la gouvernance des données pour décrire le territoire », tandis que Inria, Géodata Paris et GeometryFactory « fondent les briques scientifiques et technologiques des modèles 3D et temporels, des graphes de connaissances, de l’IA ou encore des interactions avancées ».

Le Cerema a quant à lui vocation à structurer les cas d’usage et les interfaces. Enfin, plusieurs acteurs privés sont partie prenante du projet, dont 1Spatial, éditeur de solutions de gestion de données géospatiales, qui aura la charge de l’intégration et de l’industrialisation de ce nouveau socle commun.

Une exploitation opérationnelle visée sous trois ans

Le site dédié ne donne pas d’information précise sur la structure technique du projet. On trouve cependant des éléments relatifs à la vision cible développée par les porteurs dans un document de présentation (PDF) préalable, daté de janvier 2025, qui donne une idée de l’architecture retenue.

Le calendrier annoncé au lancement évoque quant à lui un objectif à trois ans. La première année doit permettre la mise en place des outils techniques, la production des premiers jeux de données 3D et la réalisation des premiers cas d’usage ou démonstrateurs. Les Alpes-Maritimes, la Charente-Maritime, la Gironde et l’Ille-et-Vilaine feront à ce titre l’objet de territoires pilotes.

Les deux années suivantes doivent quant à elles permettre l’émergence ou la connexion d’applications destinées à des usages réels. Au terme de ces trois ans débutera la phase d’exploitation opérationnelle. C’est en principe de la réussite de cette dernière que dépendra l’avenir du jumeau numérique national, puisque le consortium JUNN est censé parvenir à définir « un modèle économique pérenne pour l’exploitation des ressources et des infrastructures technologiques développées ».

• À l’IGN, « l’avenir de la carte » passe par Panoramax, les communs et jumeaux numériques

Les boutiques d'apps à poil

L’App Store d’Apple et le Play Store de Google hébergent des dizaines d’applications permettant de générer des nus synthétiques à partir d’images réelles. Suite à une enquête du Tech Transparent Project, les contrôleurs d’accès en ont supprimé quelques unes, mais d’autres sont toujours disponibles.

Les politiques d’Apple et de Google qui régissent leurs boutiques d’apps respectives sont très claires : l’App Store exclut les applications « offensantes, choquantes ou de mauvais goût », y compris celles qui proposent du contenu « explicitement sexuel ou pornographique ». Le Play Store interdit les apps qui prétendent « déshabiller les personnes ou [permettre] de voir à travers les vêtements ».

Résultats de recherche équivoques

Si c’est le cas, comment se fait-il alors que les boutiques continuent de distribuer ce genre d’applications ? Une nouvelle enquête du Tech Transparent Project (TTP) datée du 15 avril confirme la présence persistante de ces apps dans les rayons des magasins, malgré un premier rapport en janvier qui avait mis au jour plus de 100 d’entre elles. Apple et Google en avaient alors supprimé plusieurs dizaines.

Le TTP s’est cette fois penché sur les moteurs de recherche des boutiques, et a constaté qu’en saisissant des requêtes comme « nudify », « undress », « deepfake », « deepnude » ou encore « AI NSFW », il était toujours possible de tomber sur des applications permettant de créer des deepfakes dénudés. Au total, 46 applications ont été proposées par l’App Store, 49 du côté du Play Store. L’enquête s’est concentrée sur les 10 premières apps de chaque résultat de recherche.

Les tests, réalisés à partir d’images de femmes générées par IA, montrent que 40 % des applications (18 sur l’App Store, 20 sur le Play Store), permettent de dénuder ou de déshabiller les sujets ou suggèrent clairement cette possibilité, parfois gratuitement. Le TTP s’est ensuite penché sur les suggestions de recherche automatique proposées par les boutiques : les termes suggérés par Apple et Google renvoyaient vers encore plus d’apps de deepfakes à caractère sexuel. Ce qui veut dire que les boutiques suggèrent elles-mêmes des résultats de recherche menant à ces applications.

Un exemple : en saisissant « AI NS » (pour « AI NSFW »), l’App Store suggère des termes de recherche équivoques, comme « image to video ai nsfw ». Toucher cette recommandation renvoie vers plusieurs applications de génération de nus.

L’enquête indique que 31 apps sont autorisées pour les mineurs. En tout, les applications dénichées par le TTP via les moteurs de recherche des boutiques représentent 483 millions de téléchargements et elles ont réalisé plus de 122 millions de dollars de revenus, selon des chiffres d’AppMagic. Elles profiteraient donc directement à Apple et à Google, qui prélèvent une commission sur ces ventes. 

Les contrôleurs d’accès bénéficient aussi de la manne publicitaire : ces applications achètent des annonces pour apparaître en tête des résultats de recherche. Apple interdit en principe les contenus publicitaires qui font la promotion de thèmes pour adultes ou des contenus explicites. Pourtant, le premier résultat d’une recherche sur le mot « deepfake » renvoie vers un bandeau pour une application qui permet de générer des nus truqués à partir d’une photo d’une femme.

Même constat du côté du Play Store, malgré là encore l’interdiction faite aux contenus publicitaires de montrer des images ou des vidéos de scènes sexuelles explicites, de promouvoir des thèmes sexuels non consentis « qu’ils soient simulés ou réels », ou encore de montrer des contenus synthétiques « modifiés ou générés pour être sexuellement explicites ou contenant de la nudité ». Des applications de deepfakes sexuels continuent d’apparaitre dans les pubs de la boutique.

Les boutiques mobiles ne respectent pas leurs propres règles

Interpellé, Google a annoncé que la plupart des applications identifiées par l’enquête avaient été suspendues (7 ont été supprimées), et que le renforcement des règles sur le Play Store était en cours. Apple n’a pas publiquement répondu à TTP, mais a tout de même supprimé 15 apps litigieuses suite à la publication de l’enquête. Nos propres recherches sur l’App Store (sur un iPhone en région États-Unis en anglais, avec un VPN basé aux États-Unis) ne retournent aucun résultat sur plusieurs des termes testés par TTP comme « nudify », « deepnude » ou « AI NSFW ». En revanche, le moteur de recherche propose bien plusieurs applications avec le terme, plus générique, de « deepfake ».

Les conclusions de l’enquête sont sans appel. L’App Store et le Play Store ne respectent manifestement pas les règles édictées par Apple et Google : « les moteurs de recherche et la publicité mettent activement en avant ces applications », assène le TTP. Et les boutiques génèrent des revenus à partir de ces apps.

Même si les deux entreprises ont supprimé quelques apps, leur position demeure pour le moins ambiguë, comme on l’a encore vu avec Grok et X qui ont facilité la création et la diffusion d’images dénudées de jeunes filles et de femmes, et leur diffusion. Leurs applications respectives sont restées en ligne sur les boutiques mobiles, malgré le scandale et la pression réglementaire.

• Deepfakes pornographiques : Apple a menacé de suspendre X de son App Store

Google est très mobilisé pour faire évoluer la proposition de loi sur l’intelligence artificielle adoptée au Sénat le 8 avril dernier. En l’état, le texte instaure surtout une présomption d’usage des contenus culturels par les constructeurs d’IA dès que des indices peuvent en être repérés dans les résultats.

Concrètement, cette présomption s’appliquerait dès qu’il est possible de créer des contenus « dans le style » d’un ou une autrice, ou dès que la machine recrache des éléments visiblement protégés, comme ces extraits de Harry Potter retrouvés dans les données d’entraînement des machines de Meta ou de Mistral.

• IA : Grammarly suspend son outil de révision à la manière de vos auteurs préférés

D’après L’Informé, Google a tenté de pousser trois stratégies pour minimiser les effets du texte : l’une aurait consisté à « limiter l’effet du texte aux contenus culturels de qualité », c’est-à-dire ne réserver l’idée de présomption d’entraînement qu’aux œuvres présentes dans les catalogues d’organismes de gestion collective.

Une autre cherchait à « clarifier » la manière dont la loi s’agençait « avec l’exception de fouille de données », ou « text and data mining » (TDM) de la directive de 2019 sur le droit d’auteur et les droits voisins dans le marché unique numérique.

Si elle est « alléguée par les fournisseurs d’IA comme fondement juridique à leurs pratiques de moissonnage de contenus protégés », écrivait le Sénat dans son rapport, il s’agit néanmoins d’un « détournement » de l’objectif initial du texte.

Une autre tentative a consisté à empêcher que le texte final ne s’applique aux litiges déjà ouverts lorsqu’il entrera en vigueur. Là encore, le Sénat a retoqué sa proposition.

Que les sociétés numériques tentent d’influer sur la rédaction des textes légaux fait partie intégrante du jeu de la régulation – on retrouve quelquefois très directement leurs traces, y compris au niveau européen.

Dans le présent cas, les propositions de Google ont échoué à l’étape sénatoriale. Le texte doit encore être débattu à l’Assemblée nationale.

• Entrainement des IA et droit d’auteur : le Sénat inverse la charge de la preuve

Breitbart et X aiment ce message

L’autorité états-unienne de la concurrence (FTC) a négocié un accord avec les trois plus grandes agences de publicité au monde, pour contraindre ces dernières à ne plus coordonner l’exclusion de certains médias ou plateformes au nom de la désinformation. La FTC, qui dans son action évoque spécifiquement le cas du média d’extrême-droite Breitbart, prend le contrepied de la justice texane, qui a refusé de donner suite à la plainte formulée par X sur le même sujet.

Les annonceurs sont libres de choisir la façon dont ils flèchent leurs achats média, mais les agences publicitaires auxquels ils confient leurs budgets n’ont plus le droit, aux États-Unis, de s’entendre pour écarter certains journaux ou certaines plateformes au nom de la désinformation. WPP, le français Publicis et Dentsu, trois des plus grandes agences au monde, viennent de passer un accord en ce sens avec la FTC, l’autorité états-unienne de la concurrence.

Annoncé par voie de communiqué, cet accord fait suite au dépôt, mercredi 15 avril, d’une plainte (PDF) de la FTC dénonçant la façon dont ces agences se seraient alliées pour démonétiser certains sites pour des raisons politiques, en invoquant l’argument de la désinformation. Plutôt que de défendre leur cause en justice, les trois agences ont donc immédiatement accepté de passer un accord avec la FTC, sous la forme d’un consent decree (décret de consentement) qui prendra force de loi une fois ratifié par un juge.

Une alliance contre les médias conservateurs selon la FTC

Andrew N. Ferguson, président de la FTC, se réjouit de cet accord qui, d’après lui, met un terme à la façon dont les grands noms de la pub « complotent » au nom de la brand safety. Cette « défense de marque » représente pour mémoire l’idée selon laquelle une agence d’achat média cherche à qualifier les éditeurs chez qui elle prend des espaces, pour éviter que les publicités de ses clients se retrouvent à côté de contenus jugés inappropriés (terrorisme, pornographie, escroqueries…).

La brand safety peut aussi dans certains cas prendre des accents politiques : en France, le phénomène s’incarne par exemple au travers du chapitre local du collectif Sleeping Giants, qui interpelle publiquement les annonceurs accusés de financer des discours de haine, notamment parce qu’ils achètent des espaces publicitaires sur Cnews.

C’est bien ce volet politique qui motive l’action de la FTC. « Cette collusion illégale a non seulement nui à notre marché, mais a également faussé le marché des idées en discriminant les discours et les idées qui ne respectaient pas un seuil illégalement convenu », écrit ainsi Andrew Ferguson. Nommé à la tête du gendarme de la concurrence fin 2024 par Donald Trump, il avait explicitement annoncé qu’il s’en prendrait aux acteurs suspectés de pratiques anticoncurrentielles en vue d’interférer avec la liberté d’expression.

La plainte illustre les accusations formulées par la FTC avec le cas précis du média d’extrême-droite Breitbart, qui aurait fait l’objet d’une volonté explicite de démonétisation orchestrée par la Global Alliance for Responsible Media (GARM, ou alliance mondiale pour des médias responsables), une émanation de la Fédération mondiale des annonceurs (WFA), créée dans la foulée de l’attentat de Christchurch, en Nouvelle-Zélande, pour travailler sur les questions de brand safety.

La plainte rapporte l’incident lié à Breitbart de la façon suivante :

« En novembre 2021, le responsable de l’initiative GARM avait suggéré d’inclure les contenus « délibérément trompeurs » dans la catégorie « désinformation afin de priver spécifiquement le site conservateur Breitbart de revenus publicitaires. Il avait expliqué à un exécutif de GroupM/WPP : "L’exemple de la manière dont Breitbart peut utiliser les faits de manière sélective pour induire en erreur était un exemple donné" pour illustrer la nécessité d’amender la définition par le GARM du terme "désinformation."  »

Elle ajoute qu’en parallèle de cette nouvelle formulation, « des éditeurs conservateurs identifiés comme publiant ce que le seuil de brand safety définissait comme de la « désinformation » ont subi des baisses spectaculaires de leurs ventes d’espaces publicitaires numériques ».

X également concerné au premier chef

L’ex-Twitter n’est mentionné qu’à la marge de la plainte de la FTC. Le réseau social d’Elon Musk a pourtant lui aussi maille à partir avec la GARM. En août 2024, X a ainsi déposé plainte contre les géants de la publicité pour pratiques anticoncurrentielles. La plateforme estimait alors que l’alliance des agences avait agi en sous-main pour assécher ses recettes publicitaires.

Beaucoup d’annonceurs se sont effectivement détournés de X suite à la reprise du réseau social par Elon Musk, en invoquant la prolifération de contenus inappropriés, mais les agences publicitaires ont toujours nié s’être accordées pour enclencher ou favoriser un tel mouvement. La GARM a tout de même annoncé sa dissolution trois jours après le dépôt de la plainte de X, affirmant n’être qu’une petite association aux moyens bien insuffisants pour faire face à une telle procédure.

L’affaire a tout de même suivi son cours en justice, la WFA ayant elle aussi été poursuivie aux côtés de la défunte GFAM, avec une issue qui s’est finalement révélée défavorable à X. Un rapport de la Commission judiciaire de la Chambre des représentants des États-Unis (House Judiciary Committee) avait pourtant lui aussi dénoncé l’influence de la GARM sur les revenus publicitaires de Twitter en juin 2025.

Dans son jugement rendu le 26 mars 2026 (PDF), la juge Jane Boyle a en effet statué que X n’avait pas apporté la preuve d’un quelconque préjudice pouvant être imputé à une action concertée des agences de publicité. Dit autrement, si les annonceurs se sont détournés de X, c’est de leur propre chef, a estimé la juge.

Toujours très prolixe sur son réseau social, Elon Musk n’a pour l’instant pas commenté l’annonce de cet accord qui lui permet finalement d’obtenir gain de cause, même si c’est de façon indirecte.

La FTC indique que Omnicom et IPG, les deux grandes agences états-uniennes d’achat média engagées dans un processus de fusion, devraient elle aussi signer cet accord. En juin 2025, l’autorité avait explicitement (PDF) conditionné son accord au projet de fusion à un assouplissement des règles en matière de brand safety.

Qui moderera le modérateur ?

Un vaste réseau d’escroquerie notamment financé via des cryptomonnaies continue de sévir sur Telegram, quand bien même le gouvernement britannique l’a sanctionné mi-mars.

Depuis plus de trois ans, un vaste marché noir nommé Xinbi Guarantee prospère sur Telegram. L’essentiel des services qui y sont vendus ? Du blanchiment d’argent, des escroqueries aux cryptoactifs, des armes potentiellement utilisées pour les opérations de trafic d’êtres humains de ces mêmes escrocs, de la prostitution de mineurs…

Connu depuis plusieurs années des experts en cybersécurité, sanctionné en mars par le gouvernement britannique, ce marché noir continue de prospérer sur l’application sociale et de messagerie de Pavel Durov. D’après Wired, depuis sa création, Xinbi Guarantee a permis de réaliser pour 21 milliards de dollars de transactions en langues chinoises. Depuis sa condamnation par le Royaume-Uni, il a notamment facilité 505 millions de dollars d’échanges. Pour autant, Telegram n’en modère pas les comptes principaux.

Sanctions britanniques

Que Telegram héberge des comptes problématiques n’est pas une nouveauté : des sociétés comme le spécialiste russe de la cybersécurité Kaspersky publient même des guides pour permettre aux internautes de rester en sécurité sur la plateforme, soulignant qu’elle est devenue un outil de choix pour les adeptes du phishing ou d’autres types de cyberdélinquances.

Dans le cas de Xinbi Guarantee, cela dit, l’ampleur du réseau et des transactions qu’il permet d’opérer ont poussé le ministère des Affaires étrangères britannique à sévir mi-mars. Dans un communiqué, le gouvernement expliquait s’attaquer directement à la place de marché recourant aux cryptoactifs pour lutter contre les trafics d’êtres humains, mais aussi protéger les victimes constatées et potentielles contre la revente de leurs données.

Cette décision était prise dans le cadre d’une action plus large contre les propriétaires et opérateurs d’un vaste centre d’arnaques nommé #8 Park et installé au Cambodge. Depuis plusieurs années, les Nations Unies et les forces de police de multiples États constatent l’augmentation des cas de phishing, d’arnaques sentimentales et d’autres types d’escroqueries opérées depuis des centres illégaux d’Asie du Sud-Est, par des personnes elles-mêmes privées de leurs droits.

• Asie du Sud-Est : des centaines de milliers de personnes forcées à réaliser des fraudes en ligne

Dans de précédentes tentatives de mettre fin à l’existence de Xinbi Guarantee, la place de marché dédiée à l’escroquerie s’est illustrée par sa capacité à déployer ses propres outils, et notamment son propre système de paiement, XinbiPay.

Dans le cas présent, le Royaume-Uni annonçait concrètement isoler Xinbi Guarantee et ses outils de « l’écosystème crypto légitime, perturbant nettement ses activités en affectant sa capacité à effectuer des transactions. BYEX, une autre plateforme de cryptomonnaies qui avait été utilisée pour blanchir les profits issus d’escroqueries, a fermé ses portes à la suite des sanctions britanniques l’année dernière. »

Telegram comme infrastructure d’échanges

Pour autant, une large part des échanges passe par une plateforme grand public dont les conditions d’utilisation devraient théoriquement justifier la modération. La politique de Telegram interdit en effet de recourir à ses services pour « spammer ou escroquer les utilisateurs » et « réaliser des activités reconnues illégales dans la majorité des pays. Ceci inclut les agressions sexuelles sur mineurs, la vente ou l’offre de biens et de services illégaux, etc. »

Trois semaines après la décision britannique, la plateforme n’a cela dit toujours pas bloqué les principaux comptes gérant le fonctionnement de Xinbi Guarantee. « Ça me dépasse. Il n’y a littéralement aucune entreprise légitime au monde qui accueille ce niveau d’activité criminelle et qui l’affiche si ouvertement », explique à Wired le chercheur en cybersécurité Gary Warner.

• Birmanie : 100 000 personnes potentiellement forcées d’opérer des arnaques en ligne

Cette décision est d’autant plus difficile à comprendre que la plateforme a suspendu Xinbi Guarantee quelque temps au printemps 2025. En juin, après l’avoir laissé se déployer à nouveau sur ses outils, l’entreprise a justifié son choix de laisser la place de marché – et la multitude d’autres groupes qui orchestrent eux aussi de vastes réseaux d’escroqueries et de trafics – au motif qu’ils permettraient aux citoyens chinois « de trouver des circuits alternatifs pour déplacer des fonds à l’international », une description qui passe sous silence l’ampleur et la gravité des activités échangées via ces hubs d’escroquerie.

Ce refus d’agir résonne par ailleurs avec l’absence d’actions de Telegram sur d’autres thématiques théoriquement interdites par ses propres règles d’utilisation. Début avril, l’ONG AI Forensics pointait la persistance de vastes groupes de diffusion d’images non consenties à caractère sexuel sur le réseau.

Le rapport appelait la Commission européenne à qualifier la plateforme de « Très grande plateforme en ligne » au sens du règlement sur les services numériques (DSA), pour pouvoir le soumettre à de plus hautes exigences de gestion des risques. Le lendemain, Pavel Durov répondait en recourant à des ressorts typiquement complotistes et présentait la régulation européenne comme une forme de censure.

• Diffusions d’images sexuelles : Pavel Durov accuse l’État profond, Soros et les médias

Le braco tourne à l'avantage de Take-Two

Take-Two peut remercier les hackers. Des données confidentielles du studio Rockstar, filiale de l’éditeur, ont fuité suite à une cyberattaque à quelques mois du lancement de GTA 6. Ces informations rendues publiques ont donné un coup d’accélérateur à l’action du groupe.

Rockstar, qui met actuellement la dernière touche à GTA 6 avant son lancement très attendu le 19 novembre, a été victime d’une fuite de données confirmée le 11 avril par l’entreprise. Le groupe de pirates ShinyHunters a obtenu l’accès à des serveurs opérés par Snowflake, via une faille du service de détection d’anomalies dans le cloud Anodot. Les hackers en ont profité pour mettre la main sur un maximum de données confidentielles.

13 ans plus tard, GTA Online rapporte toujours autant

Les pirates ont laissé jusqu’au 14 avril à Rockstar pour payer une rançon, avant que les informations en question soient mises en ligne et accessibles au public. Le studio a reconnu qu’une « quantité limitée d’informations internes non sensibles » avaient été « consultées ». Un incident qui n’a « aucun impact sur notre organisation ni sur nos joueurs ». 

Manifestement, aucune rançon n’a été versée, puisque ces données ont été livrées en pâture sur le site de ShinyHunters. Certains pouvaient peut-être espérer des informations juteuses et inédites sur le prochain volet de GTA, mais comme les hackers l’avaient annoncé, il s’agit surtout d’analyses utilisées pour surveiller les services en ligne des jeux Rockstar (Grand Theft Auto Online et Red Dead Online) : indicateurs de revenus et de ventes, éléments de suivi du comportement des joueurs, infos sur l’économie des jeux, tests de modèles anti-triche.

Rien qui ne vende du rêve, mais des informations tout de même très intéressantes du point de vue financier. Kotaku a compilé les principales révélations de ces fuites et surprise : les jeux Rockstar rapportent beaucoup d’argent ! On apprend ainsi que GTA Online a engrangé près de 500 millions de dollars entre septembre 2025 et avril 2026, soit en moyenne 9,6 millions de dollars par semaine. Pas si mal pour un jeu sorti en 2013… Le studio apporte régulièrement du contenu frais pour occuper les joueurs (et leur vendre toutes sortes de babioles).

Comme tous les jeux service, la bonne fortune de GTA Online repose sur une poignée de joueurs fortunés : 4 % seulement de l’ensemble des joueurs dépensent de l’argent dans le jeu.

Take-Two ramasse la mise

Red Dead Online fait figure de tout petit Poucet à côté, avec 26,4 millions de dollars sur la même période (507 000 dollars par semaine en moyenne). La version en ligne de Red Dead Redemption bénéficie de beaucoup moins d’attention de la part de Rockstar qui se contente du service minimum, principalement de la maintenance technique.

Autre enseignement : les joueurs PS5 sont surreprésentés dans GTA Online. On en dénombre environ 3,4 millions d’actifs chaque semaine, qui rapportent 4,5 millions de dollars. Derrière, ce sont les joueurs Xbox Series X qui dépensent le plus (1,9 million), même s’ils sont moins nombreux (1,1 million) que les joueurs PS4 (1,9 million). Ces derniers dépensent un peu moins d’1 million par semaine. La Xbox One suit avec 1 million de joueurs pour 920 000 dollars. Les quelque 900 000 joueurs PC sont bons derniers avec 260 000 dollars seulement. On comprend mieux pourquoi Take-Two, l’éditeur de Rockstar, n’est pas pressé d’annoncer une version PC de GTA 6.

Toutes ces informations n’auraient jamais dû fuiter évidemment, mais Take-Two ne s’en plaindra probablement pas : le cours de l’action du groupe a en effet grimpé de près de 5 % suite à la divulgation de ces données… Les investisseurs ont sans doute apprécié à leur juste valeur la bonne santé de GTA Online et parié que la (probable) déclinaison en ligne de GTA 6 s’annonçait tout aussi fructueuse.

A feature, not a bug

Microsoft pensait avoir réglé tous les problèmes de Recall, mais peut-être pas. Annoncée en juin 2024, la fonction IA de Windows 11 a subi pratiquement un an de retard pour boucher de sérieux trous de sécurité. Elle est de nouveau sous le feu des projecteurs suite à la découverte d’un chercheur.

Recall, alias « Retrouver », est une fonction des PC Copilot+ qui permet de remettre la main sur n’importe quel document, page web, application ou tout autre information, en piochant dans l’historique de l’utilisateur. Elle réalise des captures d’écran à intervalles réguliers (« quelques secondes », indique Microsoft). Avec l’aide de modèles IA, elle analyse ensuite les images pour en extraire toutes les données exploitables.

Un édifice sécuritaire aux pieds d’argile

La fonction devait être lancée en 2024, mais très rapidement Recall a été la cible de critiques de la part des défenseurs de la vie privée, mais aussi des chercheurs en sécurité. Microsoft a dû remettre l’ouvrage sur le métier et repartir de zéro. Le chantier a mis près d’un an pour être achevé.

• Microsoft retente sa chance avec sa fonction Recall, cette fois pour de bon

Microsoft a profondément revu l’architecture de sécurité de la fonction. Les données sont désormais stockées dans une enclave sécurisée, isolée du reste du système, et chiffrées de bout en bout. L’accès est conditionné par une authentification Windows Hello, censée empêcher tout logiciel malveillant de profiter de la session de l’utilisateur pour accéder aux informations. 

Recall n’est par ailleurs plus activé par défaut, et exclut de sa base de données des informations sensibles comme les identifiants bancaires. Tout n’est pas parfait pour autant. Alexander Hagenah, chercheur en sécurité, avait démontré avec son outil – baptisé… TotalRecall, évidemment – qu’il était très simple de récupérer des informations sur n’importe quel PC avec Recall première génération.

Il récidive avec TotalRecall Reloaded, disponible sur GitHub : cette nouvelle version montre qu’il est possible d’injecter du code (une bibliothèque DLL) dans AIXHost.exe, le processus Windows chargé d’afficher la chronologie de Recall. Le programme est en mesure d’accéder aux données déchiffrées (captures d’écran, texte extrait par OCR, métadonnées) au moment où elles sont manipulées par le système.

L’attaque ne nécessite pas de droits d’administrateur, ni d’exploitation complexe. Il suffit d’un simple logiciel pour intercepter ces informations, à condition toutefois qu’une authentification Windows Hello ait eu lieu au préalable (empreinte digitale, scan facial, code de déverrouillage). Pour le chercheur, le système de protection mis en place par Microsoft est « réel », mais il s’arrête trop tôt.

TotalRecall Reloaded est également en mesure de récupérer la dernière capture d’écran réalisée par Recall, cette fois sans passer par Windows Hello, ou même d’effacer complètement l’historique.

« Lorsque vous utilisez Recall normalement, TotalRecall Reloaded laisse discrètement la porte ouverte derrière vous, puis extrait tout ce que la fonction a enregistré. C’est précisément ce type de scénario que l’architecture de Microsoft est censée empêcher. »

Le problème ne vient pas de l’enclave, qualifiée de « solide », ni du modèle d’authentification. Pour Alexander Hagenah, « ce n’est pas le chiffrement, ni l’enclave, ni l’authentification qui posent problème, mais le fait que les données déchiffrées soient transmises à un processus non protégé ». Le souci, c’est que le système transmet les données de Recall au processus AIXHost.exe qui ne bénéficie pas du même niveau de sécurité.

Il n’y a pas de vulnérabilité, selon Microsoft

Alexander Hagenah a alerté Microsoft début mars, mais l’éditeur a fermé le dossier en expliquant qu’il ne s’agissait pas d’une vulnérabilité. « Après un examen approfondi, nous avons déterminé que les modes d’accès observés sont conformes aux protections prévues et aux contrôles existants », détaille l’éditeur à The Verge. Ces modes « ne constituent pas un contournement d’une barrière de sécurité ni un accès non autorisé aux données. » 

Microsoft ajoute que la période d’autorisation pour accéder aux données de Recall est limitée dans le temps et que le système intègre des protections contre les requêtes répétées. Mais pour le chercheur, le délai d’expiration est neutralisé, et surtout « [le] principal problème reste le fait qu’ils affirment, dans leur annonce officielle, que l’enclave empêche un “malware latent de se greffer” — ce qui n’est clairement pas le cas. »

Pour Microsoft, il s’agit d’un comportement normal de Windows : un logiciel avec les droits utilisateur, ce qui est le cas après une authentification, peut injecter du code dans un autre logiciel. C’est une souplesse qui peut se justifier pour des besoins légitimes, mais cela ouvre aussi la porte à des abus potentiels. Et la nature même de Recall, qui collecte un grand nombre de données, en fait une cible particulièrement attractive.

Recall pourrait cependant faire l’objet de nouveaux et profonds changements. La fonction, « dans sa forme actuelle, a échoué », auraient affirmé des sources internes en février dernier. Microsoft n’envisagerait pas un abandon, mais une évolution du concept.

Coup de pompe

Le 1er avril étant passé, on peut exclure la mauvaise blague. L’entreprise californienne Allbirds a décidé de changer de cœur de métier en devenant fournisseur d’infrastructures IA. De prime abord, rien de très surprenant au vu de la ruée vers l’or actuelle dans ce secteur. Sauf que Allbirds était depuis sa création en 2015 un fabricant de… chaussures.

L’entreprise est ainsi connue pour ses baskets Wool Runner, son design minimaliste et un positionnement écolo. Son introduction en Bourse de 2021 lui a permis d’atteindre des sommets, avec une capitalisation atteignant 4 milliards de dollars. La chute a été brutale et rapide, non seulement pour l’action, qui vivote depuis des années sous le seuil des 10 dollars, mais aussi pour les ventes qui ont commencé à reculer dès 2022.

Les chaussures mènent vraiment à tout

Ajoutez à cela une mutinerie des actionnaires en mai 2023 contre la stratégie de diversification de l’entreprise. La plainte n’a débouché sur rien de concret (elle a finalement été rejetée en février 2026), mais la confiance était irrémédiablement brisée. Tout comme l’activité du fabricant, qui à partir de 2023 a commencé à fermer des magasins. Il ne restait plus que 4 boutiques Allbirds aux États-Unis et au Royaume-Uni fin février.

À la fin du mois dernier, l’entreprise a cédé ses actifs à American Exchange Group, une société spécialisée dans les accessoires et les licences de marque, pour la modique somme de 39 millions de dollars. Très loin des sommets boursiers d’il y a quelques années… 

La coquille vide qu’est devenue Allbirds a donc décidé un pivot radical : passer des chaussures à la fourniture d’infrastructures de calcul pour l’IA ! La société, qui au passage change de nom pour devenir NewBird AI, va proposer des services de types « GPU-as-a-Service », autrement dit de la location de puissance de calcul histoire de profiter de la demande explosive actuelle.

L’action Allbirds devient un memestock

Rien à voir avec des baskets, donc. Et au passage, l’entreprise tourne le dos à ses engagements écolo. Les actionnaires vont en effet devoir se prononcer sur la suppression de toute référence à un objectif d’intérêt public en matière de protection de l’environnement… Une orientation effectivement difficile à concilier avec l’exploitation de centres de données.

• Face à un public inquiet, l’IA continue son expansion à grande vitesse

Un accord avec un investisseur institutionnel (non cité) a été signé pour une ligne de financement de 50 millions de dollars, avec une finalisation attendue pour le deuxième trimestre. Au vu des prix actuels des serveurs et de la demande exponentielle en GPU, c’est presque de l’argent de poche qui ne permettra pas à NewBird d’aller très loin.

La société peut toutefois se réjouir d’avoir au moins ponctuellement trouvé de l’argent frais sur les marchés : l’annonce a en effet donné un sérieux coup d’accélérateur à l’action, qui a pris plus de 700 % à Wall Street ! Un vent spéculatif caractéristique de l’engouement autour de l’IA mais qui ne repose sur rien de tangible, faisant entrer l’action Allbirds dans la famille des memestocks (« actions mèmes »), l’équivalent boursier des memecoins du monde crypto.

L’embellie du cours risque donc de n’être que passagère, cette annonce ressemblant surtout à un coup pour grappiller l’argent fou qui circule dans l’industrie de l’IA. Dans ce domaine, Allbirds adapte à sa sauce la formule des entreprises de minage de bitcoins voulant surfer sur la hype IA et qui convertissent leurs infrastructures pour entraîner des modèles. Mais n’est-ce pas courir à sa perte ?

• Bitfarms pivote du minage de bitcoin vers l’intelligence artificielle

Avec un million de vues en moins de dix heures, et déjà des milliers de partages et d’extraits sur les réseaux sociaux, la dernière vidéo de la chaîne scientifique Veritasium (20,6 millions d’abonnés) est partie pour faire un véritable carton. Il faut dire que son titre est efficace : « Pouvez-vous voler 10 000 dollars à partir d’un iPhone verrouillé ? ».

Pour faire bonne mesure, Veritasium s’est adjoint les services d’une autre vedette de YouTube, le vidéaste tech Marques Brownlee (20,9 millions d’abonnés). C’est l’iPhone personnel de ce dernier qui sert de cobaye pour cette vidéo de 26 minutes pendant laquelle Verisatium illustre, puis explique, comment il est possible, dans un environnement très contrôlé, de forcer un paiement à partir d’un iPhone verrouillé.

L’opération est réalisée deux fois, avec des paiements de respectivement 5 et 10 000 dollars, qui sont effectivement validés avec le petit signal sonore caractéristique des transactions sans contact sur iPhone. Outre sa production haut de gamme, la vidéo est extrêmement didactique : elle explique en effet dans le détail comment le hack a pu être réalisé.

Et pour cause : Veritasium met en scène ici une faille de sécurité découverte en 2021 et largement documentée depuis. Portée au crédit de chercheurs des universités britanniques de Birmingham et du Surrey, elle exploite une vulnérabilité qui affecte Apple Pay quand une carte Visa est configurée en mode Express Transit, c’est-à-dire la validation automatique de la transaction pour passer les portiques d’un transport en commun, telle qu’elle est déployée par exemple, dans le métro londonien.

L’attaque, de type man in the middle, consiste à faire croire à l’iPhone de la victime que ce dernier communique avec un portique de contrôle, pour faire disparaître l’étape de la validation du paiement. Pour ce faire, il faut être équipé d’un iPhone avec une carte Visa en mode Express Transit et enregistrée dans le Wallet, d’un Proxmark utilisé comme émulateur de lecteur, d’un smartphone Android équipé d’une puce NFC. Il faut enfin que l’iPhone, qui peut effectivement rester verrouillé, soit au contact d’un terminal de paiement NFC, lui-même connecté à un ordinateur chargé de faire tourner le script qui génère le code nécessaire à la manœuvre.

Bref, des images impressionnantes et une vulnérabilité avérée, mais une mise en œuvre particulièrement complexe, qui rend le scénario d’une exploitation en conditions réelles assez peu plausible. « Il s’agit d’un problème avec le système Visa, mais Visa ne pense pas que ce type de fraude puisse avoir lieu dans le monde réel, étant donné les multiples couches de sécurité en place. Dans le cas peu probable où un paiement non autorisé aurait lieu, Visa a clairement indiqué que les porteurs de cartes seraient protégés », commentait à ce sujet Apple en 2021. Visa et Apple maintiennent ce même discours en 2026 en réponse à Veritasium.

Rappelons que les consommateurs victimes d’une fraude au paiement sans contact ont jusqu’à 13 mois après le débit des sommes pour demander à leur banque le remboursement de ces dernières, quel que soit le prestataire de carte bancaire impliqué.

Puisqu’il ne reste plus de bugs (connus) dans Windows 11, les ingénieurs de Microsoft ont tout loisir de boucher les vulnérabilités dans leurs différents logiciels. Ils ne s’en privent pas : à l’échelle du vaste catalogue produit de l’éditeur, le dernier patch tuesday contient la bagatelle de 165 correctifs de sécurité. La volumétrie pour avril surpasse largement les mois précédents : Microsoft publiait 97 avis en mars, 61 en février, et 124 en janvier.

On dénombre dans le lot 8 vulnérabilités critiques : 7 permettent d’exécuter du code à distance, 1 est un déni de service, déchiffre Bleeping Computer. Le lot comprend aussi deux correctifs pour des failles « zero-day » : CVE-2026-32201 a déjà été exploitée dans des attaques, CVE-2026-33825 avait été rendue publique avant le correctif. 

La première zero-day, exploitée activement, concerne SharePoint Server, elle permet à un malandrin de se faire passer pour quelqu’un d’autre et d’accéder à des informations sensibles. La seconde, qui touche Microsoft Defender, permet une élévation de privilèges jusqu’au niveau le plus élevé sur Windows (SYSTEM). Le correctif est déployé automatiquement via une mise à jour de la plateforme de sécurité.

Plusieurs failles d’exécution de code à distance touchant Office (en particulier Word et Excel) sont également au menu de cette livraison. Les pirates peuvent exploiter ces failles dès que leurs victimes ouvrent des fichiers malveillants comme des pièces jointes. Il est (évidemment) fortement recommandé d’appliquer ces mises à jour sans tarder.

L’application de vérification de l’âge européenne est « techniquement prête ». À la veille d’une réunion du groupe spécial sur la sécurité des enfants en ligne, Ursula von der Leyen vient d’annoncer que cette app sera bientôt accessible aux citoyens.

« Cette application permettra de prouver son âge lors de l’accès à des plateformes en ligne, de la même manière qu’un commerce demande une pièce d’identité pour l’achat d’alcool », décrit la présidente de la Commission européenne. L’app fonctionne sur smartphone, tablette et ordinateur, et le mode d’emploi se veut aussi simple que possible.

Après avoir fourni « un passeport ou une carte d’identité » (sans plus de précisions à ce stade), l’application transmettra aux services en ligne compatibles la preuve du respect de l’âge minimum de l’utilisateur, « sans divulguer d’autres informations personnelles ». Dans les faits, le processus de vérification passe par un tiers de confiance chargé d’émettre cette fameuse preuve.

Le système est « totalement anonyme et ne permet pas de suivre les utilisateurs », assure la dirigeante. Le code source des versions iOS et Android est disponible sur GitHub, il est open-source avec une licence EUPL version 1.2. Le développement a été confié aux bons soins d’un consortium, T-Scy, composé des éditeurs suédois Scytales et allemand T-Systems International. Ils fournissent aux plateformes la brique nécessaire au support de la solution européenne.

L’initiative a été lancée l’été dernier avec la publication des lignes directrices. Plusieurs États membres avaient alors annoncé tester le prototype européen pour la version nationale de leurs propres apps, dont la France. « Il n’y a donc plus d’excuse : l’Europe propose un outil gratuit et simple pour protéger les enfants contre les contenus nuisibles et illégaux », indique Ursula von der Leyen.

• Protection des mineurs en ligne : la France va tester le dispositif européen

Généré X

En janvier, Apple a participé à la pression mise sur xAI et Grok pour les obliger à freiner la production de deepfakes dénudés non consentis. Depuis, néanmoins, la génération de ce type d’image reste possible sur les deux plateformes.

Après la vague de contenus pornographiques générés à l’aide de Grok, le plus souvent à partir de l’image de filles et de femmes réelles, à la fin de l’année 2025, le système d’IA et le réseau social X se sont retrouvés sous le feu des projecteurs. Malgré l’ouverture d’enquêtes sur cinq continents, et notamment par la Commission de protection des données irlandaise, la Commission européenne ou la justice française, et l’interdiction de Grok dans certains pays, dont l’Indonésie et la Malaisie, la plateforme semble n’avoir toujours pas réduit la portée de ce type de fonctionnalité.

Aux États-Unis, c’est même un autre acteur de l’écosystème numérique qui a menacé X d’une forme de sanction : d’après NBC News, Apple a menacé la société de supprimer l’application de l’App Store en janvier. D’après un document envoyé aux sénateurs états-uniens, l’entreprise a contacté les équipes X et Grok en leur demandant de « créer un plan d’amélioration de leur modération de contenu ». Au sommet de la crise, fin 2025, la vague de publications de deepfakes pornographiques (qu’il était à l’époque possible de produire simplement depuis un compte gratuit sur X, en se contentant de mentionner le robot Grok) entrait en violation flagrante des conditions d’utilisation de l’App Store.

Relative mise au pas de X

Mi-janvier, devant la polémique internationale créée par la multiplication de contenus non consensuels, tombant parfois dans la catégorisation de contenus d’agressions sexuelles sur mineurs (Child Sexual Abuse Material, CSAM), le compte X dédié à la sécurité de la plateforme avait publié un message selon lequel l’entreprise s’engageait, précisément, à « prendre des mesures pour supprimer les contenus illicites hautement prioritaires, notamment les contenus pédopornographiques et la nudité non consentie ».

Auprès des sénateurs, Apple indique avoir étudié les évolutions proposées pour les applications de X et Grok. Elle en a conclu que si X avait « largement résolu ses violations », Grok restait « non conforme » aux politiques du magasin d’application. Ses équipes ont donc alerté les fabricants du robot qu’à défaut d’amélioration, « l’application pourrait être supprimée de l’App Store ». Au bout de plusieurs échanges privés, les deux sociétés sont parvenues à un accord.

Grok persiste à produire des deepfakes pornographiques sur demande

Malgré ces engagements, NBC News constate ce 14 avril que des dizaines d’images à caractère sexuel, générées par IA mais représentant des personnes réelles continuaient d’être publiquement publiées sur X. Dans la plupart des cas, les personnes représentées sont des femmes – quoique des hommes puissent aussi être représentés –, souvent des actrices, des pop stars ou des personnalités politiques.

Certaines évolutions ont bien été déployées : par exemple, Grok refuse désormais l’essentiel des demandes de « dénudage » formulées publiquement, en particulier lorsqu’elles reprennent des tactiques éprouvées. Ainsi, demander à la machine de « mettre en bikini » l’image d’une personne reste généralement sans réponse. La somme globale d’images non consensuelles générées a par ailleurs réduit et aucune des images collectées par NBC (puis soumises à X, qui les a modérées) ne semble représenter des mineurs. 

Pour autant, d’autres types de requêtes que celles repérées par X permettent de continuer de produire les images problématiques. Certaines tendances jouent ainsi sur le mélange de plusieurs images, demandant par exemple à Grok d’intervertir des vêtements, en s’appuyant sur au moins une image de femme quasiment dévêtue.

• Deepfakes pornographiques : l’Allemagne secouée par un scandale de « viols virtuels »

Ces constatations sont faites alors que la prolifération de contenus de CSAM générés par IA et les risques que les grands modèles de langage créent en termes de violence contre les femmes et les filles sont de plus en plus documentés (sur une expérimentation menée pendant 11 jours en janvier, le Center for Countering Digital Hate calculait que Grok générait en moyenne une image sexualisée d’enfant toutes les 41 secondes).

Quoiqu’il en soit, X semble envisager de revenir sur ses promesses formulées début janvier en matière de protection des internautes : lors d’un procès tenu aux Pays-Bas, X a déclaré ne pas être capable d’arrêter tous les détournements de ses outils à des fins d’agressions et ne pas devoir être pénalisé pour les actions d’utilisateurs malveillants. Le tribunal a néanmoins ordonné à xAI et à Grok de cesser la création et la distribution de contenus de « nudification » généré par IA, et menacé l’entreprise d’une amende de 100 000 euros par jour de non mise en conformité.

• Photos intimes, deepnudes : 13 femmes en colère s’organisent

Quand c'est vous le produit

Apple l’affirme : l’App Store est « l’endroit le plus sûr pour trouver les apps que vous aimez » grâce aux équipes chargées d’examiner de près les applications soumises par les développeurs du monde entier. Un message de sécurité repris aussi par Google pour le Play Store, qui est régulièrement mis à mal par la validation d’escroqueries dans les boutiques officielles.

Coup sur coup, deux exemples montrent que l’App Store n’est pas cette plateforme « sûre et fiable » si souvent vantée par Apple. Deux applications malveillantes sont passées dans les trous de la raquette. La première est une app macOS baptisée Ledger Live, distribuée sur le Mac App Store. Elle singeait celle de Ledger, un wallet de cryptos bien connu. Une fois téléchargée et installée, « Ledger Live » réclamait des utilisateurs leurs phrases de récupération (seed). 

L’arnaque crypto d’un wallet validé par l’App Store

En possession de cette information, les attaquants obtenaient un accès complet aux portefeuilles de leurs victimes ; ils pouvaient par la suite facilement transférer les actifs numériques vers des adresses externes. Ces fonds étaient redirigés vers plus de 150 adresses de dépôt liées à KuCoin, une plateforme d’échange centralisée qui a temporairement gelé les comptes concernés (jusqu’au 20 avril), le temps que les autorités se saisissent de l’affaire.

KuCoin n’est a priori pas impliquée dans l’arnaque en elle-même, néanmoins elle a déjà été épinglée par le passé pour des manquements liés à la lutte contre le blanchiment. C’est pourquoi son rôle ici attire l’attention. Selon le chercheur en sécurité spécialisé dans la blockchain Zachary Wolk, alias ZachXBT, l’app frauduleuse a volé pour 9,5 millions de dollars auprès d’une cinquantaine d’utilisateurs.

Cette fausse application est éditée par un compte qui n’est bien sûr pas du tout associé à Ledger, dont on trouvera l’app légitime pour Mac directement sur son site web. Une application pour iPhone est aussi disponible sur l’App Store, à cette adresse. Après des signalements, Apple a supprimé l’application de sa boutique.

Mise à jour 17/04 — Charles Guillemet, le directeur technique de Ledger, rappelle que l’entreprise ne demandera « jamais » les 24 mots de la phrase de récupération. « Si une personne ou une application vous les réclame, partez du principe qu’il y a un problème », explique-t-il à Next. Pour lui, la seule solution réellement sécurisée reste de stocker ses clés privés dans un wallet physique car « vous ne pouvez pas faire confiance à l’environnement software qui vous entoure, ni à votre navigateur, ni à votre app store, ni même à votre ordinateur. Les attaquants exploitent toutes les opportunités, y compris via des plateformes de distribution officielles », ce qui est le cas ici. Il ne faut en tout cas « jamais saisir sa phrase de récupération dans une application ou sur un site web ».

• Du phishing ciblé directement dans votre boite aux lettres physique, le cas Ledger

C’est vous le produit

Autre exemple de la difficulté, pour Apple mais aussi pour Google, d’assurer la sûreté des utilisateurs de leurs boutiques : l’app Freecash. Celle-ci a atteint le sommet du classement des applications gratuites de l’App Store aux États-Unis au mois de janvier, bien aidée par des publicités sur TikTok promettant aux utilisateurs de recevoir de l’argent simplement en consultant le flux vidéo du réseau social. 

Ces réclames laissaient entendre que les utilisateurs seraient embauchés directement par TikTok pour regarder des vidéos. Comme l’explique Malwarebytes, TikTok a supprimé plusieurs de ces annonces car elles enfreignaient ses règles en matière de représentation financière. Mais le mal est fait : des utilisateurs ont téléchargé Freecash. Et plutôt que d’être rémunérés pour scroller sans fin dans TikTok, ils étaient poussés à installer des jeux mobiles en échange d’une somme d’argent.

Le modèle de cette app est redoutable : diriger les utilisateurs vers des jeux où ils sont susceptibles de dépenser de l’argent, de voir des publicités et d’alimenter les bases de données avec des informations très sensibles. Sans compter que chaque jeu installé peut lui aussi collecter des données personnelles. Des listes d’utilisateurs vulnérables aux escroqueries ou à des comportements compulsifs en ligne s’échangeraient entre courtiers de données ; ces profils peuvent être encore affinés et ciblés grâce à ce genre d’application.

Suite à un signalement de TechCrunch, Apple et Google ont supprimé Freecash de leurs boutiques respectives. Almedia, l’éditeur allemand de l’application, dément les accusations selon lesquelles il gonflerait artificiellement le trafic vers sa plateforme ou aurait recours à des techniques de marketing trompeuses. Et en veut pour preuve le fait que les deux contrôleurs d’accès validaient régulièrement les mises à jour de l’app…

Mais la présence de Freecash sur l’App Store est elle-même suspecte. L’application a en effet connu un parcours mouvementé : une première version, publiée à mars 2024 par Almedia, a été retirée deux mois plus tard. Quelques mois plus tard, l’app Rewards développée par 256 Rewards a été rebaptisée Freecash, sans qu’on sache si Almedia a acquis le compte développeur associé. C’est cette seconde version qui a grimpé dans les classements de la boutique.

Utiliser un autre compte développeur pour contourner un bannissement est une pratique courante, mais contraire aux règles de l’App Store. Tout comme les techniques dites de « bait-and-switch », visant à attirer l’utilisateur avec une offre avant de lui en proposer une autre.

Lancés en 2019, le smartphone Fairphone 3 et sa déclinaison 3 + prendront officiellement leur retraite à compter d’août 2026, a annoncé le constructeur mercredi 15 avril. L’appareil aura donc profité d’un support total de sept ans, supérieur aux cinq années promises initialement par l’entreprise.

« Notre objectif est d’inciter l’ensemble du secteur à concevoir des produits durables, et le Fairphone 3 est la preuve vivante de notre réussite », se réjouit pour l’occasion Chandler Hatton, directeur technique de l’entreprise hollandaise.

Si le support et donc les mises à jour d’Android ne sont plus officiellement garantis, Fairphone souligne qu’il est possible de prolonger, encore, la durée de vie de son Fairphone 3 en se tournant vers les alternatives au système d’exploitation de Google.

« Des projets communautaires tels que LineageOS (qui fonctionne actuellement sous Android 15), /e/OS (qui continuera à prendre en charge le Fairphone 3 pendant au moins deux ans) et postmarketOS sont quelques exemples de projets à explorer. Nous publierons également l’ensemble du travail de développement réalisé sur Android 14, dans l’espoir qu’il soit utile aux communautés open source », promet l’entreprise.

Fairphone défend pour mémoire l’idée de smartphones conçus avec une prise en compte maximale des enjeux de réparabilité (avec des pièces détachées en vente directe), de réutilisation ou de recyclage, ainsi que de juste rémunération de la chaîne d’approvisionnement. Le constructeur a depuis rehaussé sa promesse en matière de durabilité.

Le Fairphone 6, lancé en juin 2025 avec un nouveau design axé sur la modularité, promet ainsi huit ans de mises à jour d’Android, (contre sept depuis peu chez Google ou Samsung sur les modèles étendard), et cinq ans de garantie. L’appareil est aujourd’hui affiché à 549 euros en version Android et à 599 euros pour un modèle paramétré avec Murena /e/OS et son « expérience dégooglisée ».

• [Interview] Gaël Duval : Murena met le cap sur le B2B et l’IA générative, mais à sa façon

En septembre 2024, Next se lançait dans une nouvelle aventure : la production audio. Un an et demi plus tard, après deux séries thématiques et un cycle de grands entretiens, les podcasts de Next ont dépassé les 50 500 téléchargements.

Car Entre la chaise et le clavier, c’est un podcast qui a avancé par expérimentations. Alors que l’intelligence artificielle générative avait fait irruption depuis moins d’un an dans les pratiques du grand public, nous nous sommes lancés dans la série Algorithmique, pour mieux comprendre les enjeux que ce chamboulement technologique provoquait sur la société, le climat, la régulation, etc.

• [Algorithmique 1/6] Intelligence sans conscience

L’année suivante, alors que les géants du numérique délaissaient leurs objectifs climatiques pour se lancer dans une course à l’obtention de l’énergie nécessaire pour alimenter leurs infrastructures, nous avons publié Écosystème. En sept épisodes, il s’agissait d’étudier les effets concrets de l’industrie du numérique sur la planète, sur le recyclage, et même sur certaines logiques politiques d’adaptation à l’urgence environnementale.

• [Écosystème 1/7] Ce que la tech fait à la planète

Il y a quelques mois, nous avons intégré ces travaux à Entre la chaise et le clavier (promis, après ça, on ne change plus de nom !), devenu vaste collection d’entretiens pour mieux comprendre les effets des évolutions technologiques sur la société.

« Entre la chaise et le clavier », c’est le lieu où l’on propose quelquefois de chercher, lorsqu’on ne trouve pas de cause technique au dernier bug ou à la dernière fuite de données. L’expression sert à désigner l’endroit où se logent les failles que la rétro-ingénierie ne permet pas d’expliquer, ce mince espace d’où filtrent, parfois, des mots de passe qui auraient dû être soigneusement chiffrés, des erreurs qu’à aucun moment le fonctionnement normal de nos outils informatiques n’aurait dû engendrer.

Ce lieu, en réalité, désigne des personnes : vous, nous, le patron d’une société du CAC 40, l’entrepreneuse qui a « monté sa start-up from scratch », votre grand-père. Les internautes. C’est à ces derniers, qu’ils et elles soient spécialistes ou citoyens engagés, que Next a choisi de tendre le micro.

Et en ce joyeux mois d’avril, vous avez désormais écouté plus de 50 000 fois ces travaux, réalisés chaque fois avec l’aide de Clarice Horn à la réalisation et de Flock aux illustrations.

Merci pour votre écoute !

Continuez de faire connaître Entre la chaise et le clavier autour de vous !

Le 29 avril prochain, nous passerons un épisode aux côtés de la chercheuse en sciences de l’éducation et de la formation Rosa Maria Bortolotti, avec qui nous discuterons des usages des réseaux sociaux chez les jeunes.

Pour vous abonner, si ce n’est pas déjà fait, rendez-vous sur votre application de podcast favorite (par exemple Deezer, Podcast Addict, Spotify ou Apple Podcast). Et pour l’option flux RSS, c’est ici.

À très vite !

Mythos toujours mytho en Europe

En distribuant avec parcimonie les accès pour Mythos, Anthropic a mis les régulateurs européens à l’écart. Sur le Vieux continent, seul le Royaume-Uni a obtenu un sésame. L’analyse qui en découle souligne les performances du nouveau grand modèle d’Anthropic, mais elle en pondère aussi le potentiel dévastateur utilisé par l’entreprise dans sa communication.

Mythos est le nouveau grand modèle de langage d’Anthropic, un LLM soi-disant si puissant que l’entreprise a décidé de le contraindre à un domaine spécifique, celui de la cybersécurité. Et histoire d’entretenir un sentiment d’exclusivité au motif de ne pas tenter des hackers mal intentionnés, la distribution de Mythos est limitée à une quarantaine d’organisations et une dizaine d’entreprises, toutes américaines.

• https://next.ink/232581/anthropic-devoile-mythos-son-modele-dia-chasseur-de-failles-reserve-a-certains/

Les participants au projet Glasswing sont censés laisser le LLM examiner le code de leurs logiciels afin de détecter et de corriger les bugs, et de boucher les vulnérabilités. Les autorités et les gouvernements, dont les infrastructures informatiques auraient elles aussi bien besoin d’un sérieux ménage, n’ont pas été conviés à la fête.

La courte liste des invités d’Anthropic

Lors de l’annonce du projet, Anthropic indiquait avoir engagé des discussions avec des responsables du gouvernement américain : « la sécurisation des infrastructures critiques constitue une priorité majeure de sécurité nationale pour les pays démocratiques ». Depuis, on a appris que l’entreprise avait présenté Mythos à l’administration Trump ; à tel point que les banques US ont été encouragées à utiliser Mythos pour sécuriser leurs systèmes informatiques. JPMorgan Chase est le seul établissement partenaire du projet, pour le moment.

La situation aux États-Unis est un peu particulière. Le gouvernement a en effet désigné Anthropic « fournisseur à risque pour la sécurité nationale », suite au refus de l’entreprise d’accorder une licence pour certains usages militaires. Depuis, les deux parties bataillent devant les prétoires.

Malgré les tensions, il existe au moins une sorte de dialogue soutenu entre Anthropic et les autorités américaines. En Europe, c’est le flou le plus total. Sur les 8 agences de cybersécurité européennes interrogées par Politico, seule la représentante allemande (BSI) a indiqué avoir entamé des discussions avec la start-up IA au sujet de Mythos. Mais l’agence fédérale n’a pas pu tester le modèle.

Le NCSC-NL, l’agence nationale de cybersécurité des Pays-Bas, a indiqué de son côté que l’impact réel des vulnérabilités identifiées était difficile à vérifier en l’absence de détails techniques. Une manière de dire que l’agence ne sait pas grand chose de Mythos… Plusieurs institutions gouvernementales européennes ont cependant laissé entendre qu’elles avaient un accès au LLM, mais fragmentaire. 

« Mythos nous donne un avant-goût de l’importance que va prendre l’accès aux capacités d’IA de pointe dans les années à venir », explique à nos confrères Daniel Privitera, de l’ONG allemande KIRA qui promeut une IA éthique, ouverte et bénéfique pour la société. « L’Europe ne dispose actuellement d’aucun plan pour garantir cet accès. »

Malgré l’arsenal réglementaire européen, en particulier l’AI Act, l’Union reste manifestement dépendante du bon vouloir des acteurs américains pour accéder aux technologies les plus sensibles.

• https://next.ink/151260/systemes-a-haut-risque-modeles-a-usage-general-ce-que-dit-lai-act-en-pratique/

Le Royaume-Uni limite la portée des promesses associées à Mythos

Contrairement aux voisins européens, le Royaume-Uni a lui obtenu un sauf-conduit pour Mythos. L’AISI, organisme britannique dédié à la sécurité de l’IA, a publié lundi 13 avril une première évaluation indépendante des capacités cyber offensives du modèle. Il y a une progression nette par rapport aux générations précédentes de LLM : Mythos est ainsi capable de mener des attaques en plusieurs étapes sur des réseaux vulnérables, affirme l’institut.

Mythos atteint ainsi 73 % de réussite sur des tâches « capture-the-flag » niveau expert. Avant 2025, aucun modèle ne pouvait compléter ces tâches. L’étude va plus loin avec une attaque en 32 étapes (« The Last Ones »), qui représente environ 20 heures de travail humain. Mythos est le premier modèle à réussir l’attaque de bout en bout. Certes, il n’a réussi que 3 tentatives sur 10, mais tout de même. En moyenne, le LLM réalise 22 étapes sur 32. Claude Opus 4.6, le précédent modèle le plus performant, complète une moyenne de 16 étapes.

Du côté du verre à moitié vide, l’AISI relève que Mythos échoue dans certains environnements, notamment industriels, et il peut rester bloqué sur des étapes techniques. Les chercheurs rappellent aussi que les environnements de test sont simplifiés par rapport à la réalité. Ils ne prennent pas en compte les systèmes de défense actifs, les outils de détection ni les réactions humaines en temps réel (les humains peuvent encore servir à quelque chose, ouf !).

En revanche, Mythos est bien en mesure de compromettre des systèmes mal protégés de manière autonome, en sachant que les capacités du modèle devraient logiquement continuer à progresser.

C’est la raison pour laquelle Anthropic insiste sur la nécessité de travailler avec les pouvoirs publics, et plaide pour une coopération plus large entre industriels et institutions, pour mieux encadrer les usages de ces outils. L’entreprise évoque même la création d’un organisme indépendant capable de superviser ces travaux. Un point de vue que l’on pourrait trouver paradoxal, compte tenu de la façon dont les acteurs de la tech luttent contre les tentatives d’encadrement réglementaire du développement de l’IA, notamment en Europe. La même ambigüité se retrouve d’ailleurs dans les dernières communications d’OpenAI et de Sam Altman sur le sujet, comme s’il fallait à la fois impressionner et rassurer quant à l’avenir de l’IA générative…

La fondation Raspberry Pi introduit avec la dernière mise à jour de son environnement logiciel une petite nouveauté qui risque de surprendre les utilisateurs : par défaut, Raspberry Pi OS 6.2 réintègre la nécessité d’entrer manuellement le mot de passe d’un compte administrateur lors de l’appel de la commande sudo.

Jusqu’ici, Raspberry OS, désormais basé sur Debian 13 Trixie, laissait l’utilisateur accéder librement à sudo, pour simplifier la gestion et limiter les frictions. Le fait d’adopter ce comportement par défaut soulève cependant un risque de sécurité, puisque tout utilisateur qui arriverait à se connecter à la machine hôte dispose de fait de droits administrateurs.

D’où cette modification, annoncée mardi 14 avril :

« À partir de cette version, si vous utilisez sudo pour accéder aux privilèges d’administrateur, vous devrez saisir votre mot de passe. Dans le terminal, l’invite de mot de passe s’affichera directement, tandis que sur le bureau, une fenêtre de demande de mot de passe apparaîtra. Après avoir saisi votre mot de passe, vous n’aurez plus besoin de le saisir pendant cinq minutes, même si vous effectuez d’autres actions sudo durant ce laps de temps. »

Rapsberry Pi OS modifie le comportement par défaut, mais ceux qui souhaitent continuer à laisser leurs utilisateurs accéder à sudo sans mot de passe peuvent (heureusement) rétablir cette option, soit au moyen du centre de contrôle pour les systèmes dotés d’une interface graphique, soit au travers du fichier raspi-config.

Publiée le 13 avril, la version 6.2 de Raspberry OS introduit également d’autres petites nouveautés. Dans le lot, on peut notamment citer de nouvelles options au sein du centre de contrôle, l’intégration par défaut des plugins uBlock Origin Lite et h264ify dans Chromium, la prise en charge du glisser déposer au niveau du lanceur et l’intégration des mots de passe Chromium au gestionnaire du système. L’OS, qui reste sur le noyau Linux 6.12.75, profite également de quelques corrections de bugs.

• [Linux] sudo-rs affiche maintenant des * par défaut quand on tape son mot de passe

Depuis 2023 et le lancement de la 3^e génération de Surface Hub, Microsoft était restée bien silencieuse sur cette gamme de grands écrans tactiles de salles de réunion. On risque bien d’en entendre encore moins parler : selon Windows Central, le constructeur a tout simplement cessé de la produire. 

Les éventuels clients qui attendaient une génération 4 pour passer à la caisse en seront quitte pour trouver une autre solution, rien ne serait en effet prévu du côté de Redmond pour la suite. La lignée de cette famille d’appareils, lancée en 2015, s’éteint donc sans fleur ni couronne. Ceux qui auraient tout de même l’intention de s’équiper peuvent toujours se renseigner auprès des revendeurs tiers ou fouiner dans la boutique en ligne de Microsoft, où des cartons peuvent encore traîner.

Les Surface Hub sont (étaient ?) des produits destinés aux entreprises, conçus pour « favoriser le travail d’équipe » autour d’un écran 4K de 50 ou de 85 pouces sous Windows 10 et 11. La 3^e génération apportait un fonctionnement en portrait ou en paysage et des performances en hausse. Les écrans intègrent une baie de 8 microphones, ils sont fournis avec une caméra, et on peut dessiner ou écrire dessus en duo puisqu’ils prennent en charge deux stylets.

Les dernières générations de Surface Hub ont ceci de particulier que l’écran et l’ordinateur à proprement parler sont séparés. Il est donc possible de mettre à jour les composants matériels de l’appareil tout en conservant l’écran. Microsoft vendait d’ailleurs une cartouche pour Surface Hub 2S : il suffisait de la glisser dans l’emplacement à l’arrière de l’écran pour bénéficier des capacités de la Surface Hub 3. Ce module coûte 3 149 euros, ce qui représente une solution économique par rapport aux prix plein pot de la dernière génération : de 10 699 à 25 999 euros en fonction de la taille de la dalle. Au moins ils n’ont pas augmenté comme le reste de la gamme Surface !

Les possesseurs d’une Surface Hub 3 n’ont pas besoin de la transformer en table à manger tout de suite : Microsoft assure un support logiciel jusqu’en 2030.

Des données personnelles ont été volées durant une cyberattaque qui s’est déroulée en décembre dernier au sein du service de gestion des comptes des élèves. Des informations comme les prénoms, noms, identifiants ÉduConnect, établissements et classes, ainsi que les adresses email (si elles ont été renseignées) d’élèves sont en fuite. Le ministère de l’Éducation nationale a déposé plainte, et saisi l’ANSSI et la CNIL. 

Les auteurs de la cyberattaque ont exploité une faille suite à l’usurpation d’identité d’un personnel habilité. Ils ont de la sorte obtenu un accès frauduleux à ce service annexe à ÉduConnect, le système d’authentification pour les élèves (collège et lycée) et les parents. Il leur permet d’accéder à l’ensemble des services numériques scolaires sans avoir à multiplier les identifiants.

Un point d’entrée unique bien pratique donc, mais aussi très tentant pour les pirates. La faille a été corrigée par les services du ministère, mais pas avant que le ou les malandrins puissent se servir dans les serveurs. L’accès au service a été immédiatement suspendu, tandis qu’un travail de renforcement de la sécurité s’est engagé « par un mécanisme de double authentification ».

L’enquête a déterminé que l’attaquant a pu télécharger des données concernant des élèves « au-delà de ceux de l’établissement initialement visé ». Le nombre exact de victimes reste encore à évaluer.

Le ministère précise que les comptes ÉduConnect activés par les élèves et leurs parents ou responsables « au moment de l’attaque » ne sont pas compromis. Ces comptes peuvent continuer à être utilisés « en toute sécurité ». Les autorités ont procédé à une réinitialisation complète des codes d’accès pour les comptes qui n’avaient pas été activés au moment de la cyberattaque. Certains d’entre eux ont pu être compromis avec l’utilisation du code d’activation. Le ministère reste « pleinement mobilisé » pour garantir la sécurité des systèmes d’information « et accompagner les familles et les établissements concernés. »

Ce n’est malheureusement pas la première fois que des données scolaires sont en fuite. Le mois dernier, une intrusion dans le portail RH Compas a exposé les informations de 243 000 agents et stagiaires.