LastPass est de nouveau touché par une fuite de données. Le gestionnaire de mots de passe a prévenu ses utilisateurs que des informations personnelles ont été volées non pas sur ses serveurs, mais chez un partenaire. Le résultat est le même : des données clients se sont retrouvées entre les mains d’attaquants.
Le 12 juin, LastPass a été informé d’un incident de sécurité chez Klue, une plateforme tierce utilisée par les équipes commerciales du gestionnaire de mots de passe. Des attaquants ont réussi à obtenir des jetons d’authentification OAuth que Klue conservait pour plusieurs clients, dont LastPass. Ces identifiants ont ensuite été utilisés pour accéder à des données clients de LastPass stockées dans son environnement Salesforce.
Une fuite par procuration
L’incident, qui se limite aux systèmes connectés à Klue, n’a pas affecté les produits, services et infrastructures de LastPass. Les coffres-forts des utilisateurs sont restés en sécurité. L’entreprise a coupé l’accès de ses employés à Klue, renouvelé les jetons d’accès API compromis et lancé une enquête avec Klue et Salesforce. L’affaire a été signalée aux autorités.
Les données compromises concernent des informations CRM et commerciales : nom des clients, numéros de téléphone, adresses email et postales, données des tickets de support, informations commerciales et de vente. LastPass affirme qu’aucun mot de passe maître n’a été compromis. Les informations dérobées pourraient toutefois servir à alimenter des campagnes de hameçonnage ciblé.
LastPass recommande à ses clients de faire preuve d’une vigilance renouvelée sur les courriels, les appels téléphoniques et les demandes d’informations non sollicitées. Elle ne réclamera jamais un mot de passe maître à un utilisateur.
Sync-in est une solution d’hébergement et de synchronisation de fichiers libre et open source (licence AGPL 3), dont le code est disponible depuis un dépôt GitHub. Nous nous étions entretenus avec le créateur du projet, Johan Legrand, qui nous avait alors expliqué ses motivations : proposer une solution simple de synchronisation et de gestion des fichiers, et se concentrer sur l’aspect collaboratif.
La version 2.4, disponible depuis ce 23 juin, comporte bon nombre d’améliorations. En plus d’OnlyOffice et Collabora, l’outil prend en charge Euro-Office. Il est désormais possible d’annuler des tâches (envois, téléchargements, extractions…) depuis le panneau des tâches. Les tâches liées aux fichiers sont d’ailleurs maintenant mises en file d’attente et limitées par utilisateur. Ce changement doit empêcher de lancer un trop grand nombre d’opérations lourdes en parallèle.
On note également deux améliorations bienvenues. Sync-in 2.4 apporte ainsi le support des archives ZIP, en plus des TAR et TGZ déjà prises en charge. D’autre part, l’outil peut à présent vérifier l’email OpenID Connect. Il s’agit d’une option, qui permet aux administrateurs d’exiger qu’un utilisateur OIDC ait une adresse vérifiée avant de pouvoir associer son compte.
Une mesure de sécurité complétée par plusieurs corrections, notamment pour une application renforcée de l’authentification multifacteur et une meilleure défense contre les essais répétés de codes TOTP (Time based One Time Password). On note aussi des améliorations de fiabilité, dont les téléchargements depuis une URL, diverses corrections pour les éditeurs texte et Markdown, la sélection filtrée, le démarrage du serveur et le chargement de configuration.
Le projet a largement accéléré depuis l’automne dernier, avec la sortie de multiples versions. Au cours des six derniers mois, on a pu voir l’arrivée d’un éditeur Markdown intégré, la rétention optionnelle de la corbeille, une amélioration de l’indexation, l’OCR pour les PDF, le support d’OpenID Connect ou encore une refonte de l’interface.
Le langage Rust et son écosystème ont désormais un ingénieur sécurité résident. Le contrat prévoit pour l’instant qu’il reste six mois, et davantage en fonction du financement. Cette embauche doit permettre la coordination et l’évolution de la sécurité au sein de l’écosystème Rust.
La fondation Rust est la structure créée en février 2021 pour gérer le développement et l’orientation du langage créé par Mozilla. Depuis, elle gère une Security Initiative destinée à protéger les parties de l’écosystème « qu’aucun mainteneur individuel ne peut raisonnablement couvrir seul » : modélisation des menaces pour crates.io (les crates sont des binaires ou des bibliothèques), signature de provenance des artefacts, publication de confiance, ou encore création d’outils comme Painter et Typomania pour cartographier les dépendances et détecter les typosquattages.
Comme l’indique la fondation dans un communiqué publié le 16 juin, l’ensemble est soutenu financièrement par des membres de la fondation (AWS est cité) et par Alpha-Omega, « une initiative inter-industrie qui finance des travaux de sécurité dédiés à travers les projets open source critiques ». C’est dans ce cadre et grâce à ces apports que la fondation annonce l’embauche d’un ingénieur à temps plein pour chapeauter la sécurité de Rust et de son écosystème.
L’impact de l’intelligence artificielle
Dans le communiqué d’Alpha-Omega publié le même jour, on peut lire que cette embauche découle d’un constat : les outils automatisés sont suffisamment puissants pour révéler les failles de sécurité à grande échelle. Plusieurs grands projets Rust ont ainsi reçu des signalements pour corriger de vraies vulnérabilités.
Cependant, le communiqué note aussi que ces outils génèrent un grand nombre de signalements qui peuvent être aussi plausibles qu’inutiles. Alpha-Omega évoque les heures perdues par les mainteneurs à trier ces informations. Une mention qui renvoie, une fois encore, à l’exemple de FFmpeg qui se plaignait du flot ininterrompu de signalements par des personnes n’ayant que peu d’expérience et incapables de voir si les informations envoyées étaient crédibles. Les signalements doivent cependant tous être analysés de peur de laisser passer une faille importante, avec une contrainte forte sur les petites équipes.
Un travail de synthèse et de lubrification
Le nouvel ingénieur, Jacob Finkelman, utilisera « un mélange de méthodes dirigées par l’humain et assistées par l’IA » pour examiner le langage Rust proprement dit et les crates sur lesquels l’écosystème s’appuie le plus. Il sera chargé de séparer le bon grain de l’ivraie : les vrais problèmes exploitables d’un côté, le reste à la poubelle, pour que seules des informations utiles soient envoyées aux mainteneurs.
Jacob Finkleman est un ingénieur logiciel plus connu sous le pseudonyme Eh2406. Il a commencé à utiliser Rust en 2015 et fait partie de l’équipe Cargo de Rust depuis 2018. Il est également le mainteneur de pubgrub-rs, un résolveur de dépendances qui alimente notamment uv, un gestionnaire de paquets et projets Python (écrit en Rust). « Sa connaissance du graphe de dépendances des crates le positionne idéalement pour travailler sur les risques liés à la chaîne d’approvisionnement logicielle », indique la fondation Rust.
Le travail s’effectuera en collaboration avec « les pairs d’autres écosystèmes » et le SRWG (Security Response Working Group) de Rust. Tout ce petit monde devra se concerter pour évaluer rapidement la gravité du contexte et aider autant que possible au développement rapide des correctifs. Cette équipe réduite devra en outre coordonner la divulgation et la publication responsables des informations. Elle servira aussi de guichet unique pour les rapports entrants, « y compris ceux arrivant via des initiatives comme le Project Glasswing », et d’intermédiaire entre chercheurs et mainteneurs quand des situations urgentes se produisent.
Au vu de l’attraction dont jouit Rust depuis plusieurs années et son utilisation plus intensive dans les projets commerciaux (y compris chez Microsoft et Google qui l’utilisent en programmation système), l’écosystème a de quoi se réjouir.
Cette embauche n’est cependant pas définitive. La fondation précise que ce nouveau poste sera à temps plein pour six mois et la suite dépendra de plusieurs facteurs, selon ce que les personnes impliquées « apprendront » et… les financements disponibles bien sûr.
En revanche, la fondation précise que tout ce travail donnera naissance à des méthodes, manuels et consignes qui seront dûment documentés « pour que le travail ne s’arrête pas avec le contrat ». Les outils et pratiques seront partagés avec d’autres écosystèmes, en particulier ceux ayant aussi reçu un financement d’Alpha-Omega, comme la fondation PHP et la Drupal Association.
Enfin, la fondation invite les mainteneurs de crates largement utilisés à la contacter pour être pris en compte dans le cadre de cette initiative de sécurisation.
Les esprits s’échauffent à la Chancellerie, et ce n’est pas uniquement à cause de la canicule. Au lendemain de la publication du pré-rapport de la mission d’inspection chargée de faire la lumière sur l’affaire Lyhanna, Gérald Darmanin a annoncé « un choc numérique » au ministère de la Justice.
« Zéro papier d’ici six mois » : l’annonce de Gérald Darmanin, le garde des Sceaux, a de quoi étonner. Le ministère de la Justice n’est donc pas complètement numérisé et connecté ? Le traitement de la plainte pour viols sur mineure visant Jérôme Barella, principal suspect dans la mort de Lyhanna, a mis en lumière plusieurs défaillances de la justice, comme l’a pointé le pré-rapport [PDF] de la mission d’inspection (la version définitive est attendue le 5 septembre, avec une étape intermédiaire le 10 juillet).
Courrier mal trié
Est notamment mise en cause la communication entre le parquet de Toulouse, qui s’était dessaisi du dossier au profit de celui d’Auch : la procédure a été transmise par courrier postal avec un scellé, sans envoi en parallèle d’une version dématérialisée. Alors que c’est tout à fait possible, et cela aurait permis d’accélérer la prise en compte rapide de la procédure.
Ce d’autant qu’une fois à Auch, cette procédure a été mal triée et n’a pas été enregistrée comme urgente. « La procédure prioritaire qui aurait dû être enregistrée le jour de son entrée au [Bureau d’ordre pénal] a été classée dans le stock des affaires à enregistrer sans caractère d’urgence, en raison d’une erreur de tri, par un service affecté d’un retard important d’enregistrements de procédures papier », explique le rapport. Le parquet de Toulouse n’a pas insisté sur le caractère prioritaire du dossier – pas de coup de fil ou de courriel.
Interrogé par France Info, Gérald Darmanin promet « un choc numérique au ministère de la Justice ». Un « choc » qui a commencé « depuis un an » affirme-t-il, avant d’expliquer que les deux juridictions possèdent bien des boîtes email, et que les parquets de Toulouse et d’Auch ont internet, « je tiens à vous rassurer ». Seuls deux tribunaux sur 160 étaient numérisés à son arrivée au ministère en 2024, indique-t-il aussi, contre la quasi-totalité aujourd’hui.
Un des problèmes qui se pose à la Justice, c’est le manque de moyens, et le garde des Sceaux ne le cache pas : « ce n’est pas si facile que ça avec les moyens que m’a donnés le président de la République ». Une manière polie de pousser l’Élysée à prendre ses responsabilités… « On a encore entre 20 et 30 % de papier dans les juridictions », déplore-t-il encore.
L’IA à tout faire
Une autre solution : faire appel à l’IA. « On va tout scanner [avec] l’intelligence artificielle dans toutes les juridictions. C’est une réponse structurelle à des difficultés qui existent partout ». L’IA peut-elle raisonnablement être la réponse aux difficultés du ministère ? Il est permis d’en douter, ne serait-ce que pour les problèmes de sécurité des données que cette technologie pose.
Gérald Darmanin en convient d’ailleurs, en notant aussi que les données de la Justice sont « très sensibles » et qu’il n’est pas question de les stocker ailleurs qu’en France. Mais il n’en démord pas : « Il faut des outils informatiques modernes qui répondent à la façon dont l’IA est utilisée par les avocats ou les notaires ou les citoyens ».
Sébastien Lecornu a présenté mi-juin la feuille de route de l’État pour intégrer l’IA dans les rouages de l’administration. Le ministère de la Justice va pouvoir accéder aux technologies « les plus avancées » développées par le ministère des Armées.
OpenAI étend le front de guerre sur la cybersécurité avec une extension de son programme Daybreak. L’entreprise a fait plusieurs annonces, dont le lancement d’une version finale pour son modèle dédié GPT-5.5-Cyber et l’initiative Patch the Planet destinée au monde de l’open source.
En mai, OpenAI lançait Daybreak, une plateforme de cybersécurité conçue pour rassembler tous les produits et services de l’entreprise dans ce domaine. On y trouvait notamment trois modèles combinés à Codex Security : le GPT-5.5 classique, le même avec l’option Trusted Access for Cyber (TAC) et GPT-5.5-Cyber, alors en préversion. Plus on grimpe dans les modèles, plus l’outil se veut puissant, et plus les vérifications sont importantes.
Ce 22 juin, OpenAI a annoncé une importante extension de sa plateforme et veut clairement doubler Anthropic sur le devant de la scène.
Un GPT-5.5-Cyber mis à jour
On commence avec une nouvelle version du modèle GPT-5.5-Cyber, qu’OpenAI décrit bien sûr comme plus puissante. Il est présenté par l’entreprise comme le plus puissant et le plus permissif « pour des travaux avancés et autorisés en cybersécurité ».
« C’est notre modèle le plus solide à ce jour pour trouver et aider à corriger les vulnérabilités logicielles, tout en conservant l’intelligence polyvalente de GPT-5.5 et sa capacité à travailler sur des tâches longues et complexes », affirme OpenAI.
L’analyse se veut notamment plus profonde sur les grandes bases de code. Selon OpenAI, GPT-5.5-Cyber peut identifier les composants importants pour la sécurité, trouver le code vulnérable, identifier et valider les problèmes probables dans des environnements contrôlés, développer et tester des correctifs, ou encore préparer des preuves pour des examens humains.
Pour l’entreprise, il n’est plus question de seulement détecter les problèmes, mais d’aider les développeurs à « traverser toute la boucle de remédiation ». En clair, faciliter l’intégralité du processus allant de la détection à la correction.
OpenAI aligne évidemment des scores issus de benchmarks. Sur CyberGym (qui mesure la capacité d’un agent à reproduire des vulnérabilités connues dans des environnements logiciels), GPT-5.5-Cyber a obtenu 85,6 %, contre 81,8 % pour GPT-5.5 classique, mais surtout contre 83,6 % pour Mythos 5. OpenAI n’évoque pas le grand concurrent dans son communiqué, mais le score apparaît quand même dans un tableau. Sur deux autres benchmarks, ExploitGym et SEC Bench Pro, GPT-5.5-Cyber obtient respectivement 39,5 % et 69,8 %, contre 29,95 % et 63,1 % pour GPT-5.5. Pas question de modèles concurrents cette fois.
La société indique dialoguer avec le gouvernement américain sur son approche cyber. Elle déclare travailler en collaboration avec le Center for AI Standards and Innovation (CAISI) sur les tests préalables au déploiement de GPT-5.5 et 5.5-Cyber, avec le Bureau du Directeur national de la cybersécurité (ONCD) et avec l’Office de la politique scientifique et technologique (OSTP) sur la mise en œuvre du décret présidentiel du 2 juin sur l’IA.
OpenAI ajoute que la combinaison GPT-5.5 avec Trusted Access for Cyber et Codex Security constitue un « bon point de départ ». Le duo a aidé à identifier et à valider des failles dans diverses bases de code, dont Firefox, V8, Safari, OpenBSD, FreeBSD et les implémentations HTTP/2.
Quant à GPT-5.5-Cyber, il est destiné « aux défenseurs vérifiés dont le travail autorisé nécessite nos capacités cyber les plus avancées et un comportement plus permissif, associé à une vérification, un suivi, des contrôles et une révision plus stricts ». En d’autres termes, le même type d’acceptation sur dossier que pour Mythos chez Anthropic.
Patch the Planet : l’offensive sur l’open source
Autre initiative d’OpenAI, particulièrement intéressante celle-là : Patch the Planet. Créée avec Trail of Bits et en partenariat avec plusieurs structures comme HackerOne, elle vise à financer des chercheurs en sécurité reconnus et à les équiper avec Codec Security pour travailler directement avec les mainteneurs de code open source.
OpenAI cite une étude de la Linux Foundation et d’Harvard selon laquelle 94 % des projets open source les plus utilisés ont moins de dix personnes responsables de plus de 90 % du code ajouté sur une année. « Les logiciels open source alimentent des produits, des services publics, des outils pour développeurs et des infrastructures critiques à travers les secteurs. Une vulnérabilité dans une bibliothèque réseau largement utilisée peut affecter des milliers de systèmes en aval », déclare OpenAI.
Le processus suit un cheminement spécifique : une consultation entre les chercheurs et les mainteneurs, la définition par ces derniers des priorités et préférences, puis la prise en charge par les chercheurs du travail. Ce dernier comprend la validation et la déduplication des vulnérabilités et correctifs avant qu’ils atteignent les mainteneurs, réduisant d’autant leur charge.
« Les projets participants reçoivent ChatGPT Pro, un accès conditionnel à Codex Security, ainsi que des crédits API pour le développement principal, l’automatisation des mainteneurs et les flux de travail de publication », ajoute OpenAI. Pour plusieurs projets, le « sprint initial » (5 jours) aurait montré des centaines de problèmes. Des dizaines de correctifs auraient été fusionnés avec d’autres en cours. Trail of Bits a également publié un communiqué sur le sujet.
Reste à voir maintenant si l’initiative tiendra ses promesses et si les conditions d’accès ou encore les crédits seront modifiés par la suite. OpenAI frappe en tout cas là où de gros problèmes ont été révélés ces dernières années, notamment le manque de financement, de mainteneurs et la gestion de la sécurité. On se souvient aussi que l’IA a un impact négatif sur les mainteneurs, le nombre de signalements augmentant drastiquement, comme s’en était plainte l’équipe de FFmpeg.
OpenAI annonce également des collaborations « étroites » avec des gouvernements et institutions du monde entier, avec l’objectif de renforcer leur niveau de cybersécurité. Courant mai, la France a ainsi obtenu un partenariat pour GPT-5.5 avec Trusted Access for Cyber, de même que l’Australie, le Canada, l’Allemagne, le Japon, la République de Corée et des institutions européennes comme l’ENISA, l’agence de cybersécurité de l’Union.
La question de la souveraineté n’est pas abordée par OpenAI. Mi-mai, cette facette a été directement mise en avant par Mistral, via son CEO Arthur Mensch, qui accusait notamment Anthropic – sans le nommer – de verser dans le « marketing de la peur ». Le message de l’entreprise française était clair : « Vous ne pouvez pas avoir les bases de données et le code de l’armée française scannés par Mythos. Ça crée une dépendance tellement irrémédiable qu’il faut absolument trouver des solutions ». Et Mistral a assuré qu’elle en aurait bientôt à proposer.
Cette question se pose d’autant plus que les ambitions d’OpenAI sont claires. Parmi les annonces du 22 juin, la société indique ainsi qu’elle va travailler directement avec des « opérateurs éligibles d’infrastructures critiques, y compris les réseaux gouvernementaux ». OpenAI veut être en mesure de proposer des « garanties adaptées » et devenir ainsi un acteur incontournable de la cybersécurité. Incontournable probablement au point que l’industrie logicielle ne pourra bientôt plus se passer de l’IA pour la recherche et la correction de failles de sécurité.
Temps d’écran, usages scolaires et loisirs du numérique, recours aux réseaux sociaux comme aux jeux vidéo pour sociabiliser, voire s’informer… pour accompagner les familles, le CLEMI et l’UNESCO publient le guide « Grandir dans un monde connecté ».
« Grandir dans un monde connecté, ça s’apprend. » Tel est le titre du guide publié par le CLEMI, Centre pour l’éducation aux médias et à l’information en charge de l’éducation aux médias et à l’information dans le système éducatif, jusqu’à la fin du secondaire.
Composé avec l’aide de 37 chercheurs, accessible en français, en anglais et en espagnol, le guide propose d’aider les parents à naviguer dans une variété de sujets susceptibles d’agiter les vies familiales, de la gestion du temps d’écran au recours aux réseaux sociaux et à l’intelligence artificielle, en passant par la protection face aux cyberviolences et des outils pour affûter l’esprit critique.
En 112 pages, le guide cherche à équiper parents et éducateurs qui se « sentent souvent mal outillés pour accompagner les enfants et les jeunes dans l’usage des technologies numériques, d’une manière qui favorise leurs droits tout en les protégeant des risques ». L’enjeu est de taille : 44 % des adolescents accèdent aux réseaux sociaux avant l’âge légal de treize ans, plus de quatre sur cinq les utilisent au quotidien et 83 % déclarent y avoir été exposés à au moins un risque numérique, rappelle en préambule le ministre de l’Éducation.
L’exemple des adultes et la nécessité du mouvement
Logiquement, on y retrouve diverses propositions qui résonnent avec les débats politiques et légaux du moment. Alors que les parents se sentent « partagés entre leur devoir de protection et la place incontournable qu’occupent les outils numériques dans la vie quotidienne », pour reprendre les mots du directeur général de l’UNESCO Khaled El-Enany, le premier chapitre se penche sur la gestion du temps d’écran : « faut-il limiter, interdire ou négocier ? »
Au fil des pages, le guide est agrémenté de témoignages collectés par le gouvernement brésilien auprès d’enfants et d’adolescents de 43 municipalités. Ainsi de cette réflexion simple, mais qui demande aux adultes de s’interroger sur leurs propres pratiques numériques : « Quand les adultes donnent l’exemple, c’est plus facile pour nous de comprendre ce qu’on nous demande. »
Outre évoquer le rapport aux différents écrans et aux applications qui se trouvent dessus – le guide suggère notamment d’identifier les différences de pratiques liées à l’école et celles au loisir, et d’établir des temps dédiés en fonction de chaque usage –, le guide s’intéresse aux effets collatéraux de la connexion des plus jeunes. 80 % des adolescents n’atteignent pas les niveaux d’activité physique recommandés par l’Organisation mondiale de la santé, alors qu’elle est une « condition essentielle pour grandir en bonne santé ». Et de recommander diverses pratiques pour inciter au mouvement.
Le numérique comme espace de sociabilité et d’information
Le document incite par ailleurs les adultes à approcher les différents usages numériques avec nuance. Le jeu vidéo, par exemple, réunit les dimensions de réseau social, de commerce en ligne (avec ses effets de mode et ses demandes de monnaie virtuelle, payable en euros bien réels) et d’espace de créativité. Pour mieux approcher ces diverses dimensions, le Clemi et l’Unesco incitent les parents à jouer « ne serait-ce qu’une fois » avec leurs enfants, pour créer la confiance et faciliter les discussions.
Les réseaux sociaux, eux, sont autant d’espaces de sociabilité que d’information (la principale source en la matière pour 44 % des 18 - 24 ans). Comme le relève un récent rapport du Reuters Institute, le recours aux chatbots d’IA générative pour s’informer grimpe aussi, même s’il est encore loin derrière la consommation de vidéos publiées sur des réseaux comme TikTok, YouTube ou Instagram.
À ce titre, les échanges sur le fonctionnement du journalisme, celui des réseaux sociaux sur lesquels l’information circule, les manières de repérer de la désinformation, sont autant de sujets aussi utiles pour aiguiser le sens critique que pour éviter les manipulations. Il en va de même pour tout ce qui relève de l’exposition sur les réseaux sociaux, souvent autant le fait des parents, et de pratiques comme le sharenting (partage de photos des enfants en ligne, alors que ceux-ci sont trop jeunes pour y consentir pleinement), que de leurs enfants.
Cas pratiques et sensibilisation des parents
Les enjeux que posent les compagnons IA, très plébiscités par les adolescents, sont ainsi détaillés, de même que les nouveaux visages du cyberharcèlement (qui passe notamment, aussi, par le recours à l’IA générative). Clemi et Unesco fournissent plusieurs listes de signaux à repérer pour prendre soin de la santé mentale des plus jeunes et aider les parents à protéger leurs enfants des risques numériques – y compris de la cyber pédocriminalité.
En s’appuyant sur de nombreux cas pratiques, le guide se veut une bibliothèque d’outils à même d’aider les adultes à naviguer les aléas de l’éducation au numérique.
Meta met sur pause son projet de surveillance de ses employés destiné à entraîner ses moteurs d’IA. En cause : les données sensibles récoltées étaient accessibles par toutes les personnes travaillant dans l’entreprise de Mark Zuckerberg.
Ce ne sont pas des considérations éthiques sur la récolte et l’utilisation de données sensibles de ses employés qui poussent Meta à stopper (au moins temporairement) son projet Model Capability Initiative (MCI), mais plutôt le manque de sécurisation de l’accès à ces données.
En avril dernier, on apprenait que le groupe dirigé par Mark Zuckerberg lançait en interne cet outil qui récupère les mouvements de curseur des souris, les clics, les frappes clavier de ses employés et réalise des captures d’écran de temps en temps. L’entreprise promettait de ne pas s’en servir pour surveiller ses employés, mais pour récolter des données afin d’entrainer ses modèles, notamment dans l’objectif d’améliorer les fonctions d’agents IA.
Des données disponibles aux yeux de tous en interne
Mais récemment, des employés de l’entreprise ont remarqué qu’ils pouvaient accéder à ces données qui étaient, pour ainsi dire, disponibles aux yeux de tous en interne. Business Insider a ainsi pu consulter des captures d’écran montrant qu’il était possible de consulter des discussions privées, des données de performance et des transcriptions.
L’entreprise, qui a classé cet incident au niveau 2 de son échelle de sévérité (de 5 à 0, 0 étant le plus haut niveau), répond à nos confrères que « nous avons soigneusement conçu ce programme en intégrant des mesures de protection de la vie privée, et bien que nous n’ayons pour l’instant aucune indication laissant penser que des employés de Meta auraient accédé de manière abusive à des données, nous le suspendons le temps de mener notre enquête ».
L’avis de sécurité, qui circulait en interne lundi et que Wired a pu consulter, indique que « les données des employés contenues dans 45 000 tables Hive » étaient exposées.
De quoi raviver les critiques de son personnel quant à la gestion de ce projet. Déjà au début du mois, face à une fronde interne, Meta avait mis un tout petit peu d’eau dans son vin en permettant à ses employés de mettre MCI en pause sur leurs ordinateurs. Cette fonctionnalité n’était pas un bouton de désactivation de l’outil de surveillance puisqu’elle ne leur permettait un répit que de 30 minutes.
Des salariés furieux
Mais depuis la révélation du problème de sécurité interne, certains employés ont redoublé leurs critiques. « Je suis furieux », a écrit l’un d’entre eux dans un groupe de discussion interne, selon Business Insider.
« J’ai consulté des informations fiscales et médicales personnelles depuis mon ordinateur professionnel, tout comme des milliers d’autres employés. On nous avait assuré que ces données seraient protégées et utilisées uniquement à des fins professionnelles légitimes, après avoir été soumises à un filtrage rigoureux », explique un autre dans un post cité par Reuters.
Comme l’indique Wired, certains se demandent pourquoi les contrôles de confidentialité mis en place par Meta n’avaient pas détecté le problème. Ils aimeraient que chaque employé concerné puisse participer à une réunion d’analyse des causes de l’incident. Sur le canal dédié aux discussions de machine à café, l’un d’entre eux a posté un mème extrait de la série The Office où Jim Halpert tient une pancarte sur laquelle est écrit : « 0 jour depuis notre dernière bêtise ».
Nos confrères ont aussi pu consulter un message que le CTO de Meta, Andrew Bosworth, a envoyé en interne affirmant : « Nous avons mal configuré les ACL [listes de contrôle d’accès] et nous devons comprendre comment cela s’est produit, retracer chaque accès aux données et en analyser les causes ».
Si certains salariés de l’entreprise s’expriment sur l’outil interne de communication, ils ne sont pas autorisés à parler publiquement, mais certains, anonymement, ont expliqué à Wired que l’incident était maintenant marqué comme « fermé » et serait donc résolu.
Le géant chinois du commerce en ligne JD.com veut remplacer ses centaines de milliers de livreurs par des robots. Richard Liu, fondateur et président du groupe, ne veut cependant laisser personne « sans manger ni travail ».
« Tôt ou tard », les livreurs de JD.com seront remplacés par des robots, a prévenu Richard Liu, le président de l’entreprise, un des plus importants acteurs du commerce en ligne en Chine. « À l’avenir, lorsque les robots livreront les colis, tôt ou tard viendra un jour où les livreurs ne seront pratiquement plus nécessaires », a-t-il expliqué durant le forum des PDG de l’APEC (Coopération économique pour l’Asie-Pacifique) à Shenzhen.
Plusieurs projets pilotes ont déjà démarré en Chine : livraison de repas à l’aéroport de Shenzhen, directement jusqu’aux portes d’embarquement ; d’autres réapprovisionnent les supérettes en empruntant les trains de banlieue.
Le casse-tête social des robots livreurs
Richard Liu n’est cependant pas allé jusqu’à prédire quand les robots prendront la place de ses livreurs. Néanmoins, il l’a martelé : « Ce seront assurément des robots qui livreront les colis », a-t-il indiqué dans une déclaration reprise par le Financial Times. Mais il assure aussi qu’il ne laissera personne sur le bord du chemin : « Je ne veux vraiment pas que nos 700 000 collègues se retrouvent sans revenus, sans emploi. » Comment résoudre cette quadrature du cercle ?
Pour lui, les métiers liés à la maintenance des robots devraient se multiplier, « parce que les robots sont des machines (…) et qu’ils finiront toujours, à un moment ou à un autre, par tomber en panne ». La technologie doit « améliorer la vie des êtres humains » et rendre le travail « plus intéressant », indique Liu qui ne veut pas « priver les personnes de leur droit au travail ».
En attendant, JD.com va faire bûcher 120 établissements de formation pour lancer le processus de reconversion des livreurs vers ces nouveaux métiers.
Il n’y a bien sûr pas qu’en Chine que les entreprises de commerce en ligne s’intéressent aux robots de livraison. Amazon travaille ce dossier depuis des années : en 2019 par exemple, le mastodonte américain avait lancé une expérimentation de robots autonomes Scout pour livrer des colis sur le dernier kilomètre dans un quartier au nord de Seattle.
En mars dernier, Amazon s’offrait les services de Rivr, une start-up suisse issue du laboratoire de robotique de l’ETH de Zurich. La jeune pousse conçoit des robots de livraison, là aussi pour parcourir les derniers mètres entre le camion et le client.
Au-delà des livreurs, une enquête du New York Times en octobre dernier indiquait que l’avènement de la robotique allait éviter à Amazon 600 000 nouvelles embauches d’ici 2033. L’entreprise aurait comme objectif d’automatiser 75 % des opérations réalisées dans ses entrepôts.
Aux États-Unis comme en Chine et ailleurs, l’avènement des robots livreurs risque de mettre à mal une grande partie de la « gig economy », autrement dit les travailleurs indépendants à la tâche. En Chine, cette économie des petits boulots occupe 320 millions de travailleurs, d’après le centre de recherche chinois sur les nouvelles formes de travail. Ces derniers représenteraient environ 40 % de l’emploi urbain du pays.
Image : JD.com
JD.com opère la plateforme d’e-commerce Joybuy dans plusieurs pays européens, dont la France. Le service possède sa propre logistique entre entrepôts et livreurs regroupés sous la bannière JoyExpress, qui compte une centaine de salariés dans l’Hexagone. Il n’est pas question de les remplacer (pour l’instant) par des robots.
Meta s’est offert le nouveau patron de WhatsApp, assez littéralement. En signant un chèque de 900 millions de dollars, le géant des réseaux a non seulement acheté un gros morceau de la fintech Cred, mais aussi Kunal Shah, fondateur de cette entreprise indienne. Il va donc devenir le directeur de la messagerie, à la place de Will Cathcart en poste depuis sept ans.
« WhatsApp n’a jamais été dans une position aussi solide, et cela m’a semblé être le bon moment pour passer la main », écrit-il sur les réseaux sociaux. Il se dit « fier » d’avoir proposé une messagerie chiffrée de bout en bout à trois milliards d’utilisateurs : « Nous l’avons étendue aux discussions de groupe, aux appareils compagnons et à de nouvelles interfaces, tout en défendant le droit de chacun à des conversations privées partout dans le monde. »
Crédit Greg Bulla (@gregbulla)
Will Cathcart reste chez Meta, où il va occuper un « nouveau poste », annonce Mark Zuckerberg. Il travaillera à « la création de nouveaux produits à partir de zéro », ajoute-t-il. Mais la vedette du jour est Kunal Shah, le fondateur de Cred, qui va apporter « un esprit de bâtisseur et une vision internationale qui lui seront précieux pour prendre les commandes de la plus grande application de messagerie au monde. »
Meta s’offre un dirigeant à coups de milliards
Cred est une fintech indienne créée en 2018, elle se présente comme une plateforme de paiements qui récompense ses clients en réglant leurs dettes en temps et en heure. Elle compte 17 millions de clients en Inde, où son catalogue de services s’étend jusqu’aux prêts, aux assurances, au commerce et à la gestion de patrimoine. Le chiffre d’affaires annuel s’élève à environ 325 millions de dollars. L’entreprise a enregistré son premier trimestre dans le vert cette année.
Meta fait désormais partie des actionnaires minoritaires de la start-up (à hauteur de 20 %), par l’entremise d’un investissement de 900 millions de dollars qui valorise Cred à hauteur de 4,5 milliards. La société a connu des jours meilleurs : à son pic en 2022, sa valorisation avait grimpé à 6,4 milliards, rappelle TNW.
L’opération ressemble beaucoup à celle réalisée l’an dernier avec Scale AI : Meta a dépensé 14 milliards de dollars pour acquérir 49 % de la jeune pousse… et surtout son directeur général, Alexandr Wang. Il dirige désormais le « Meta Superintelligence Lab » chargé de développer les grands modèles de langage de l’entreprise.
Kunal Shah prend la tête d’une plateforme de messagerie en bonne santé, mais que Meta aimerait rentabiliser davantage. La dernière initiative en date a été le lancement d’un abonnement payant pour des options cosmétiques et une poignée de fonctionnalités supplémentaires. Le groupe américain espère aussi imposer la solution de paiement de WhatsApp en Inde, un pays où la messagerie est très populaire. WhatsApp Pay n’a cependant jamais vraiment percé derrière les mastodontes Google Pay et le régional de l’étape, PhonePe.
On attendait le coup de bambou, et comme redouté, il est arrivé ! Valve a finalement dévoilé les prix de la Steam Machine, sa nouvelle console de salon. Ils sont salés, crise de la mémoire oblige.
La Steam Machine est (presque) là ! Enfin, si vous avez le budget pour. Et si vous avez la chance d’être tiré au sort par Valve… La console de salon, présentée en novembre dernier, commençait à se faire attendre, mais le constructeur n’a pas pu faire autrement que de se dépatouiller de la crise actuelle qui frappe la mémoire vive et le stockage.
Un prix d’entrée de gamme qui n’en est pas un
Les prix de ces composants sont tellement élevés – et ce n’est pas terminé – que les constructeurs n’ont pas d’autre choix : leurs appareils doivent suivre la marche forcée. Tim Cook a ainsi prévenu d’une hausse à venir pour les produits d’Apple. C’est le cas aussi chez Valve, qui n’imaginait pas devoir proposer la Steam Machine d’entrée de gamme à 1 039 euros. Il s’agit du modèle de 512 Go, livré sans manette.
Le bundle complet, avec un Steam Controller et deux façades, revient à 1 428 euros. Image : Valve
Selon une indiscrétion d’IGN, la console de base devait coûter à l’origine autour de 750 dollars, soit une cinquantaine de dollars de plus qu’une Xbox Series X ou une PS5. Un tarif mine de rien plutôt avantageux, sachant que la Steam Machine est aussi un PC Linux de bureau, pour peu qu’on y branche un moniteur, un clavier et une souris. Mais évidemment, au-delà du seuil des mille dollars, c’est une autre histoire.
La version 2 To est commercialisée à 1 359 euros, toujours sans manette. Valve propose des bundles avec le Steam Controller, il faut alors ajouter à la facture 69 euros, ce qui représente une petite économie de 30 euros par rapport au prix de la manette seule.
Dans un billet de blog, Valve explique le raisonnement derrière la grille tarifaire de la Machine. « Nous pensions avoir une vision solide de l’évolution de ces couts au fil du temps lorsque nous avons commencé nos approvisionnements pour la Steam Machine en 2023 », écrit l’entreprise. Mais la vision de prix qui ont « principalement tendance à baisser avec le temps à mesure que de nouvelles technologies émergent » est tombée à côté de la plaque cette fois.
« L’année écoulée a marqué une rupture rapide et importante, spécialement en ce qui concerne les composants de mémoire vive et de stockage. Les raisons en sont multiples, mais toutes affectent directement le matériel informatique, et ce, absolument partout. Il en résulte globalement que notre objectif initial pour le prix de la Steam Machine n’est plus viable. Les prix que nous annonçons aujourd’hui reflètent donc les conditions mondiales actuelles de fabrication. Ou, plus précisément, le coût des composants tels que nous les avons négociés au cours des six derniers mois. »
Pour Valve, il n’est pas question de subventionner la Steam Machine. Dans sa FAQ, le constructeur considère en effet l’appareil non pas comme une console, mais comme « une extension du jeu sur PC ». Pas question donc d’adhérer au modèle économique traditionnel des fabricants du secteur (comme Sony, Microsoft ou Nintendo) « qui consiste à vendre le matériel à perte, puis à compenser ces pertes grâce aux services par abonnement ou à la vente de jeux réservés à la plateforme ».
À court terme, cela peut avoir du sens, mais « les écosystèmes ouverts [comme le PC] sont plus avantageux pour la clientèle sur le long terme ». Pour Valve, « l’histoire du jeu sur PC le démontre : depuis des décennies, l’ouverture de l’écosystème PC est le principal moteur de l’innovation matérielle et logicielle. » La Steam Machine s’inscrit dans cette philosophie : « la liberté de choisir à la fois ses jeux et son matériel ». Est-ce que tout cela vaut les 1 000 euros et plus demandés pour la Steam Machine ?
Malgré des prix difficiles à avaler, Valve ne prend aucun risque avec les scalpers et a mis en place un système de tirage aléatoire. Il faut s’y inscrire avant le 25 juin, et croiser les doigts très fort pour être sélectionné dans la liste des réservations. Dès lors, une Steam Machine a été réservée au nom de l’heureux élu. À mesure que les unités seront prêtes à être expédiées, les personnes sur cette liste recevront un courriel contenant l’option d’achat. Le premier lot d’unités sera envoyé dès le 29 juin.
Image : Valve
Avec quoi repart-on ? Avec une console au design presque cubique, équipée d’une puce AMD Zen « partiellement sur-mesure » équipée de 6 cœurs/12 threads, d’un GPU d’AMD lui aussi « custom » avec 28 CU (Compute Units) RDNA3, 16 Go de mémoire DDR5, 8 Go de mémoire vidéo GDDR6, un SSD NVMe de 512 Go ou 2 To, un slot pour carte microSD, le support du Wi-Fi 6E, du Bluetooth 5.3 et du Gigabit Ethernet.
Une barre lumineuse en façade fait office d’indicateur d’état (pour la progression des téléchargements par exemple), à personnaliser selon les envies. Tout comme la façade : on peut la retirer pour la remplacer par une plus à son goût, bon ou mauvais. La console fonctionne évidemment sur SteamOS, et on peut la basculer sur un mode bureau (environnement KDE Plasma) avec une interface proche de celle d’un PC classique.
C’est d’ailleurs là que Valve tente de justifier son positionnement tarifaire. Contrairement à une console classique, la Steam Machine peut aussi servir d’ordinateur traditionnel, capable d’exécuter des applications Linux classiques. Il est même possible d’installer Windows pour ceux qui le souhaitent.
Une console de salon qui fait aussi PC
Durant la présentation de la Steam Machine l’an dernier, Valve a promis une expérience de jeu 4K à 60 FPS. Dans les faits, il faudra compter sur l’upscale FSR pour y parvenir. Les premiers tests montrent que la promesse n’est pas totalement hors de portée. IGN a obtenu entre 50 et 60 images par seconde dans la plupart des jeux testés en 4K avec FSR, à condition d’accepter des réglages graphiques moyens. Cyberpunk 2077 atteint ainsi 64 FPS après quelques ajustements, tandis que Forza Horizon 6 frôle les 60 FPS dans les mêmes conditions.
The Verge dresse un constat similaire. Le site estime que la machine est davantage à l’aise en 1440p qu’en 4K native, mais souligne la stabilité de ses performances, notamment sur les téléviseurs compatibles VRR. Des titres exigeants comme Indiana Jones et le Cercle ancien, Returnal ou encore Cyberpunk 2077 restent parfaitement jouables depuis un canapé grâce à l’upscaling.
En réalité, les deux testeurs considèrent que la machine se situe globalement au niveau d’une PS5 ou d’une Xbox Series X. The Verge constate toutefois que certains jeux affichent une image plus nette sur la console de Sony, malgré un tarif près de deux fois inférieur. Ces premiers retours saluent en revanche le système de refroidissement mis au point par Valve. Malgré son format compact, la Steam Machine se montre particulièrement discrète, y compris en charge. Personne ne veut d’un gros ventilateur qui hurle à la mort à côté de la télé.
En revanche, les joueurs devront souvent mettre les mains dans les réglages graphiques pour trouver le bon équilibre entre qualité d’image et fluidité, là où une PlayStation ou une Xbox masque généralement cette complexité aux utilisateurs. Valve compte ici sur la bonne volonté des développeurs pour faciliter la vie des clients de la Steam Machine, en proposant des réglages « clés en main ».
D’après le président du principal lobby européen des centres de données, qui représente aussi des acteurs numériques venus des États-Unis, l’Union européenne doit renoncer à ses objectifs climatiques si elle veut rester dans la course à l’IA.
À quelques jours de la vague de canicule historique qui sévit actuellement en Europe, le président de l’association européenne des centres de données a formulé une alerte tout à fait intéressante : soit l’Europe met l’accent sur le développement de l’intelligence artificielle, ce qui ne peut selon lui se faire qu’en recourant à de l’énergie carbonée, soit elle priorise ses objectifs climatiques.
C’est, du moins, les propos de Lex Coors auprès de Politico. Le contexte ? Dans le cadre de son plan d’action pour une IA continentale, la Commission européenne veut tripler les capacités rendues disponibles par l’industrie des centres de données d’ici 2032. Or, pour le président du principal lobby européen de cette industrie, qui représente aussi des géants états-uniens comme Microsoft, Google ou Amazon, ce plan est irréalisable si l’Union ne se repose que sur son énergie nucléaire ou renouvelable.
Entre centres de données et objectifs climatiques, il faudrait choisir
Si la France produit de l’énergie en excédent, cela ne signifie ni que c’est le cas de ses voisins, ni que le réseau permet pour autant d’encaisser les pics que lui demande l’installation de nouveaux data centers. Pour faire face à la demande impressionnante de ces usines de données, une possibilité consiste donc à lancer des projets permettant de les approvisionner directement en énergie.
Or, d’après Lex Coors, toutes les tentatives à l’étude en matière d’alimentation renouvelable ou nucléaire sont trop lentes. Si l’Union européenne veut réellement rester dans la course à l’IA, il appelle à « ouvrir la conversation » sur le recours à des énergies fossiles – des sources énergétiques auxquelles les géants de la tech font déjà largement recours, notamment sur le territoire états-unien.
Ce faisant, il met les pieds dans le sujet sur lequel le Think tank Shift Project alertait dès le mois d’octobre 2025 : menée sans discernement, la politique de l’IA pourrait empêcher l’Union européenne d’atteindre ses objectifs climatiques.
Plus largement, scientifiques et groupes de la société civile spécialisés dans les questions climatiques rappellent régulièrement le rôle des énergies fossiles dans le bouleversement climatique à l’échelle mondiale, et dans la vulnérabilité aux crises énergétiques à l’échelle européenne.
Cette opposition entre course à l’IA et enjeux climatiques qui semble ne souffrir aucune alternative est par ailleurs formulée dans un contexte de forte pression à ce que l’Union européenne trouve une manière de renforcer sa souveraineté dans le domaine numérique en général, dans celui de l’IA en particulier.
Mi-juin, un think tank bruxellois publiait par exemple Europe 2031, une « expérience de pensée » qui venait alimenter l’idée selon laquelle l’Union européenne devrait nécessairement se lancer dans la course à l’IA sous des modalités proches de celles observées aux États-Unis ou en Chine, faute de quoi elle se verrait rapidement rayée de la carte économique mondiale. Le lendemain, Donald Trump obligeait Anthropic à fermer l’accès aux modèles Fable 5 et Mythos 5 aux pays étrangers.
Pour autant, alors que les émissions de CO₂ des centres de données français s’envolent déjà, le commissaire européen à l’Énergie Dan Jørgensen indique que les data centers sont les bienvenus sur le territoire dans la mesure où ils participent à la transition énergétique – c’est-à-dire en finançant le déploiement d’énergie renouvelable et en recyclant leurs émissions de chaleur. L’Union travaille par ailleurs à des standards minimum en termes d’efficacité énergétique qu’elle pourrait imposer aux data centers à venir.
Les agences de cybersécurité des Five Eyes n’ont pas l’habitude de communiquer publiquement, mais elles ont fait une exception. Nous ne serions qu’à quelques mois d’un modèle IA de frontière capable de démultiplier les capacités des attaquants comme des défenseurs.
L’alliance Five Eyes, composée des agences de renseignement des États-Unis, du Canada, du Royaume-Uni, de l’Australie et de la Nouvelle-Zélande, préfère travailler dans la discrétion. Mais exceptionnellement, elle a publié un communiqué sur les dangers que font peser les modèles IA de frontière.
Illustration : Flock
« Les modèles d’IA les plus avancés devraient dépasser les attentes actuelles du secteur et transformer en profondeur les capacités offensives comme défensives dans le cyberespace », écrivent-elles dans une déclaration reprise par The Guardian. « L’horizon n’est pas de plusieurs années, mais de quelques mois. » Et ces modèles posent des risques qui « ne peuvent plus être considérés comme une question purement technique », préviennent-elles.
Ces modèles constituent désormais « un risque stratégique pour les entreprises et une responsabilité directe des dirigeants. Une mobilisation de l’ensemble des organisations et de la société est nécessaire ». En résumé, selon les Five Eyes, les avancées de l’IA vont faciliter l’accès à des capacités offensives pour les acteurs malveillants, tout en rendant les cyberattaques plus rapides et plus sophistiquées.
L’avertissement ne tombe pas au hasard : mi-juin, le gouvernement américain interdisait à Anthropic de donner accès à ses modèles les plus performants – Fable 5 et Mythos 5 – à « tout ressortissant étranger, qu’il soit à l’intérieur ou à l’extérieur des États-Unis ». L’entreprise a préféré couper le robinet à l’ensemble de ses clients.
Le communiqué n’est pas sans rappeler le discours d’Anthropic qui, depuis la présentation de Mythos, multiplie les déclarations catastrophistes sur les possibilités de ces modèles très performants. Une manière pour le labo IA de faire sa promo, mais au vu des premiers résultats obtenus via le projet Glasswing (chez Firefox, par exemple), les capacités de détection des failles de sécurité de Mythos ne sont pas à prendre à la légère.
Reste à voir maintenant de quelle manière cet appel des Five Eyes va être entendu par le reste du monde. Les États-Unis semblent jusqu’à présent vouloir faire à leur façon, sans prendre en compte les intérêts de leurs alliés. Cette déclaration commune pourrait tout de même indiquer une certaine inflexion de l’isolationnisme états-unien en la matière.
Alors que l’Europe est sur le point d’adopter formellement l’omnibus numérique, le Sénat français vient d’adopter une résolution critiquant fortement le sens des « simplifications » prévues par la Commission et le Parlement européens.
Le digital omnibus proposé par la Commission européenne en novembre dernier est encore en cours de discussion en Europe. Alors qu’elle a réussi à trouver un accord avec le Parlement européen concernant la mise en œuvre des mesures inscrites dans l’AI Act, le Sénat français, lui, vient de voter, ce vendredi 19 juin, une résolution très critique du texte.
L’institution française, qui penche majoritairement à droite, dit accueillir « favorablement » la volonté « de simplifier le cadre applicable et de réduire la charge administrative et les coûts de conformité, notamment pour les petites et moyennes entreprises (PME) et les petites entreprises à moyenne capitalisation (PEMC), en vue d’améliorer leur compétitivité, » et qu’elle se « se réjouit des mesures techniques destinées à améliorer la coordination des différentes normes européennes dans le secteur numérique, aux fins de clarté et de sécurité juridiques ».
Ne pas trembler ni transiger
Mais les sénatrices et sénateurs estiment que le contenu du projet européen est en contradiction avec cet objectif de simplification affiché. Et ils appellent « l’Union européenne à ne pas trembler ni transiger dans l’application de l’arsenal juridique novateur et ambitieux qu’elle a commencé à construire pour encadrer l’IA et le secteur numérique ». Le Sénat « déplore que la proposition de règlement dépasse pour partie le seul objectif de simplification, tendant à complexifier un cadre régulatoire déjà complexe et dense, au risque de nuire à sa clarté et à son acceptation par les entreprises et les citoyens ».
La chambre haute du Parlement français critique la précipitation dans laquelle la Commission européenne mène les débats sur cet omnibus. Elle regrette l’absence d’étude d’impact et « souligne que les évolutions de la régulation en matière numérique ne doivent pas être menées avec une précipitation excessive, au risque d’être dictées par l’industrie numérique ».
Sur le terrain du droit d’auteur, les sénateurs et sénatrices français regrettent aussi « l’absence de clarification du régime juridique du droit d’auteur en matière d’IA, alors que les juridictions commencent à se prononcer sur des cas d’espèce et que des solutions juridiques ont été identifiées pour veiller à la rémunération des contenus culturels utilisés par les systèmes d’IA ».
Vous en voulez encore ? Le texte adopté au Sénat « déplore que le train de mesures omnibus numérique sur l’IA n’ait pas été l’occasion d’assurer une meilleure prise en compte de l’empreinte environnementale de l’IA ». Concernant les reports de plusieurs dispositifs de l’AI Act entérinés par la Commission et le Parlement européens, les élus français regrettent notamment que cela repousse de six mois le marquage des contenus générés par l’IA. Et il ajoute que « ce report révélateur tant de la difficulté à réguler et à réglementer un secteur technique aux évolutions si rapides, que des limites du processus décisionnel européen pour allier agilité et stabilité des normes ».
Soutien à l’interdiction des systèmes de « nudification »
Les sénateurs français soutiennent quand même le texte sur la proposition d’interdiction des systèmes d’IA de « nudification » mais ils ajoutent tout de suite après regretter que l’interdiction des systèmes d’IA capables de générer, manipuler ou reproduire des contenus (image, vidéo, audio) pédopornographiques n’ait pas abouti.
Concernant le déplacement des règles en matière de cookies de la directive « e-Privacy » vers le RGPD, les élus français considèrent que cela « créerait un double régime dangereux […] sans répondre à l’enjeu de réduction de la fatigue du consentement aux traceurs ». Les sénateurs considèrent « que les révisions proposées au RGPD sont trop substantielles et potentiellement dangereuses, eu égard à un texte devenu une référence mondiale en matière de protection des données à caractère personnel ».
Cette résolution du Sénat a été proposée par les sénatrices Catherine Morin-Desailly (Centriste) et Karine Daniel (PS). Celles-ci avaient déposé mi-mai un rapport sur le sujet, affirmant, en titre, que l’Omnibus numérique européen était « un risque pour la protection des droits numériques des citoyens ».
Les résultats d’une recherche web sur ChatGPT pourront désormais s’enrichir d’images provenant du catalogue Getty. L’agence photo états-unienne a annoncé un accord avec OpenAI qui permet au chatbot d’utiliser des contenus de la banque d’images dans ses réponses.
« Des contenus visuels de haute qualité et sous licence rendent la recherche et la découverte alimentées par l’IA plus utiles et plus fiables », explique Craig Peters, directeur général de Getty Images. « Ce partenariat avec OpenAI reflète cette conviction commune, et ensemble nous offrirons des expériences visuelles plus riches aux utilisateurs de ChatGPT. »
C’est une bonne nouvelle pour les utilisateurs de ChatGPT qui s’en servent comme moteur de recherche. Ils pourront bénéficier d’une iconographie plus riche, qui ne fera pas appel à des images générées par IA. Pour OpenAI, c’est également tout bénéfice : générer des images photoréalistes coûte cher en ressources, et les résultats ne sont évidemment jamais à la hauteur des photos originales (elles peuvent aussi alimenter la désinformation).
Mais c’est surtout pour Getty que l’accord est intéressant, en particulier pour son cours de Bourse : l’action de l’entreprise a en effet dévissé de 55 % depuis le début de l’année. Les investisseurs craignent que les images générées par ChatGPT et les autres IA ne finissent par remplacer purement et simplement les agences photo.
L’annonce de l’accord avec OpenAI a permis à l’action de rebondir de plus de 100 % en pre-market. On ignore les conditions financières du deal, qui ne précise pas si le labo IA pourra entraîner ses modèles avec la bibliothèque de Getty. L’agence a déjà eu maille à partir avec un labo IA, en l’occurrence Stability AI, créateur de Stable Diffusion. Une plainte avait été déposée en 2023 à Londres.
La même année, Getty lançait un nouvel outil de génération d’images entraîné à partir de son énorme fonds photos (hors photos d’actualités). En octobre 2025, Getty accordait ses violons avec Perplexity afin que le moteur IA de réponses puisse exploiter la banque de photos.
Ubisoft a perdu un de ses cofondateurs. Claude Guillemot, 69 ans, a trouvé la mort dans un accident d’avion de tourisme vendredi 19 juin, non loin de La Baule (Loire-Atlantique). Avec ses quatre autres frères, il a cofondé l’éditeur français de jeux vidéo (à l’origine sous le nom Ubi Soft) il y a quarante ans, en mars 1986. Le groupe est toujours dirigé par Yves Guillemot, mais les frères de la famille possèdent des parts égales dans l’entreprise ; ils siègent d’ailleurs tous au conseil d’administration.
Aîné de la famille, il cofonde deux ans plus tôt Guillemot Corporation, dont il prend la tête. Cette entreprise est spécialisée dans les périphériques de jeux vidéo, on connait mieux les deux principales marques sous sa bannière : Hercules et Thrustmaster.
Selon Ouest-France, le Cessna 421 de Claude Guillemot est parti vendredi 19 juin en fin d’après midi de Rennes pour participer à un rassemblement programmé le week-end dernier. Le bimoteur s’est écrasé quelques minutes plus tard, non loin de l’aérodrome de La Baule. Outre l’homme d’affaires, on déplore un autre décès, celui du pilote d’avion instructeur. Une enquête a été ouverte pour homicide involontaire pour éclaircir les circonstances du crash.
Le groupe a confirmé la terrible nouvelle dans une déclaration envoyée à la presse : « Ubisoft a appris avec une profonde tristesse le décès de Claude Guillemot, cofondateur du groupe et président de Guillemot Corporation, dans un accident. Nos pensées vont à sa famille et à ses proches dans cette épreuve ». Anne Le Hénanff, ministre déléguée en charge du Numérique, a salué la mémoire du « grand entrepreneur breton » sur les réseaux sociaux :
Pour Canonical, l’intelligence artificielle se répartit en deux grandes catégories : l’IA implicite, qui améliore discrètement des fonctions existantes, et l’IA explicite, qui correspond à des fonctions que l’on appelle en toute connaissance de cause. Dans notre article du 8 juin, nous évoquions quelques exemples d’IA implicite donnés, comme l’amélioration de l’autofocus pour la webcam ou la qualité du son sur le micro. Ces opérations pourraient être réalisées assez simplement depuis un modèle local.
La seule fonction d’IA explicite prévue était alors une dictée vocale à l’échelle de tout le système. Le 17 juin, Canonical a précisé dans un billet son projet, nommé Myna : « une nouvelle initiative visant à introduire la dictée vocale sur Ubuntu Desktop. Nommé d’après le myna [mainate religieux en français, ndlr], connu pour sa capacité à imiter la parole humaine, le projet vise à offrir une expérience de dictée qui ressemble naturellement à un ordinateur de bureau tout en respectant la confidentialité des utilisateurs et fonctionnant entièrement sur du matériel local ».
L’éditeur confirme l’arrivée de cette fonction dans Ubuntu 26.10, qui arrivera en octobre. Il s’agira d’une première version, au fonctionnement simple : en appuyant sur une touche, on déclenchera l’écoute et le texte s’affichera dans le champ texte de l’application utilisée. Cette première version visera Ubuntu Desktop sous Wayland avec GNOME. Canonical ajoute que l’architecture sera « suffisamment ouverte pour supporter d’autres environnements de bureau à l’avenir ».
Canonical affirme que la fonction est pensée dès la conception pour la confidentialité. Elle ne fonctionnera qu’en local, sans besoin d’une connexion internet. L’accès au microphone ne se fera qu’avec l’activation explicite du raccourci clavier. Quant à l’audio récupéré, il est effacé de la mémoire après avoir été traité et rien n’est envoyé sur des serveurs.
Ubuntu dit chercher des retours sur cette fonction. Un dépôt GitHub a été ouvert pour l’occasion, mais on ne trouve pour l’instant qu’un peu de documentation.
Il y a une semaine, une importante campagne d’attaque a été détectée contre les pare-feux Fortinet. 80 000 mots de passe ont été récupérés par des pirates, ce qui représenterait la moitié environ des pare-feux Fortinet exposés à Internet.
L’attaque a été découverte par le chercheur Volodymyr Diachenko (souvent appelé Bob). Dans une publication LinkedIn le 15 juin, il avertit qu’une « campagne massive de force brute/exploitation » a été découverte en pleine action sur des pare-feux Fortinet. Il évoque alors 21 634 noms de domaine uniques, liés à des entreprises allant de Chevron à Fortinet elle-même. Les mots de passe ont été obtenus par craquage du hachage, puis utilisés pour obtenir des données et la prise de contrôle de réseaux internes.
Selon les chercheurs de SOCRadar, le mode opératoire et les traces laissées sont à rapprocher des acteurs malveillants russes. L’attaque est décrite comme particulièrement sophistiquée, ayant abouti à un lot de données comprenant à la fois des mots de passe et des identifiants SSL VPN depuis des fichiers de configuration compromis.
Toujours selon SOCRadar, les équipements attaqués étaient répartis dans 194 pays. Les plus touchés sont l’Inde, les États-Unis et le Mexique, avec près de 12 000 identifiants compromis entre eux. La France est présente dans la liste avec 1 116 identifiants.
La répartition par type de « credentials » révèle une prédominance de comptes organisationnels, pointant vers un ciblage délibéré des entreprises. Foxconn, Samsung, Comcast, Siemens, Lenovo, PwC, Accenture et Oracle, ainsi que de nombreuses entités gouvernementales et opérateurs d’infrastructures critiques ont été touchés. Un contractant turc de l’OTAN figure également parmi les cibles.
Convergence de défaillances
Si l’attaque a été nommée FortiBleed, le cas n’a rien à voir avec Heartbleed : il s’agit bien d’une campagne industrielle de vol et d’utilisation d’identifiants. À la racine de l’attaque, il n’y a pas une faille unique et cataclysmique, mais une série de défaillances en lien avec l’hygiène numérique.
Selon le chercheur Kevin Beaumont dans un billet du 18 juin, les pirates ont commencé par scanner internet à la recherche d’instances Fortinet dont l’interface de gestion FortiGate était accessible publiquement. Ils se sont ensuite intéressés à celles présentant un profil spécifique.
Dans les versions 7.2.11, 7.4.8 et 7.6.1 de FortiOS, le système d’exploitation équipant ses pare-feux, Fortinet a en effet introduit la fonction de hachage PBKDF2 pour les identifiants administrateurs, pour remplacer l’ancien SHA-256. Cependant, lors d’une mise à jour depuis des versions antérieures, les mots de passe existants restent stockés en SHA-256 jusqu’à ce que l’administrateur se reconnecte après l’opération. De nombreuses organisations ont donc appliqué une nouvelle version sans déclencher de nouveau hachage : leurs firewalls, pourtant mis à jour, demeuraient vulnérables.
Les moyens des ambitions
Les pirates ne se sont pas lancés non plus à l’aveuglette. Ils ont opéré sur la base d’identifiants déjà obtenus par plusieurs sources : la fuite Fortinet de 2021 portant sur environ 500 000 comptes FortiGate VPN, les données obtenues après une faille 0-day en 2022, ou encore d’autres bases existantes. Les mots de passe testés n’étant donc pas aléatoires : ils avaient déjà fonctionné par le passé sur des appareils Fortinet.
L’ampleur de l’attaque est connue, car les chercheurs ont pu remonter jusqu’aux pirates russes, car leur serveur était lui-même exposé publiquement. Les journaux récupérés indiquaient environ 1,16 milliard de tentatives d’identification contre 320 777 cibles FortiGate, ainsi que 2,1 milliards de tentatives supplémentaires contre plus de 163 650 serveurs Microsoft SQL Server, indique le site InfoStealers. Le groupe interceptait les hachages d’authentification SSL VPN et les crackait sur un cluster dédié de 45 GPU géré via Hashtopolis, selon Kevin Beaumont.
Au moins une faille existante pourrait avoir été utilisée : la vulnérabilité CVE-2026-24858, qui permet un contournement d’authentification SAML SSO FortiCloud et est classée comme critique, avec un score CVSS de 9,8 sur 10, comme l’indique RansomNews. Elle a été révélée en janvier et est déjà corrigée, mais des appareils ont pu passer à côté du correctif. Du côté de SOCRadar, on note que deux autres failles ont été activement exploitées pendant cette période, CVE-2026-21643 et CVE-2026-35616. Elles concernent FortiClient EMS, mais le lien avec FortiBleed n’est pas confirmé. Aucune faille 0-day ne semble avoir été utilisée.
Pour Fortinet, tout n’est qu’un recyclage d’anciennes fuites
Les recommandations sont claires :
réinitialiser immédiatement tous les mots de passe administrateurs et VPN (notamment pour les appareils exposés sur Internet)
activer l’authentification multifacteur sur tous les comptes d’accès administrateurs et distants
restreindre l’accès à l’interface de gestion aux réseaux internes de confiance
mettre à jour FortiOS vers une version supportant PBKDF2 et s’assurer que chaque administrateur se reconnecte ensuite pour déclencher un nouveau hachage
Pour Fortinet, il ne s’agit que d’une exploitation d’anciennes bases de données. « D’après notre analyse, les données impliquées sont un mélange de données d’incidents précédents, ainsi qu’un [cracking par] force brute des identifiants, et ne sont pas liées à un incident récent ni à un avertissement. Les organisations qui suivent les meilleures pratiques, y compris la mise à jour régulière des identifiants de sécurité […] courent un risque minimal lié aux détails de compromission des identifiants mentionnés dans les rapports », a déclaré l’entreprise à TechRadar le 18 juin. Elle ajoutait cependant que l’enquête continuait et que la sécurité de ses clients restait sa priorité.
Kevin Beaumont relativise ces déclarations, précisant que les fuites contiennent des données plus récentes.
WhatsApp est la messagerie instantanée la plus utilisée au monde après Messenger, les deux appartenant à Meta. Le service possède plusieurs applications, dont deux « desktop » pour Windows et macOS. La différence de traitement est pourtant énorme.
L’histoire de la version Windows du client WhatsApp se découpe en trois phases :
Jusqu’en 2023 : la première version, essentiellement le service web encapsulé dans une application Electron, qui embarquait également tout le moteur Chromium pour le rendu
De fin 2022 à 2025 : nouvelle version, native et utilisant UWP (Universal Windows Platform). Particulièrement légère et rapide
Depuis 2025 : version en date, basée sur WebView2, donc retour à une encapsulation web
Depuis cette dernière mouture, les critiques n’ont pas manqué. Alors que la version native était célébrée pour ses performances, la nouvelle retourne à un rendu web, avec la consommation des ressources qui l’accompagnent.
Pluie de critiques
Si le grand public se « déplace » rarement pour commenter les applications du quotidien, il en va autrement de la presse spécialisée. Windows Latest s’est largement étendu sur le sujet dès novembre 2025, critiquant l’appétit vorace en ressources : 300 Mo de mémoire sur l’écran de connexion, en moyenne 1,2 Go en discutant, et jusqu’à 2 voire 3 Go en utilisation intensive. Nous avons nous-mêmes constaté que l’application pouvait dépasser ces 3 Go, notamment quand on ouvre le panneau des médias échangés dans une longue conversation. Dans ce cas, il n’est pas rare que l’occupation CPU grimpe en flèche, entrainant des ralentissements sur le reste du système.
Fin mai, IntraBlog publiait un billet allant dans le même sens, notant ici encore la forte consommation des ressources. Le site signalait également la multiplication des processus en arrière-plan, un manque fréquent de réactivité et des problèmes de fiabilité, particulièrement dans la synchronisation. Même chose chez Digital Trends, où la critique était sévère fin avril. Même John Grubber, habitué des informations Apple sur son blog Daring Fireball, n’hésitait pas à dire fin 2025 que la nouvelle application était « merdique ».
Sur Reddit, même combat. Les plaintes sont nombreuses, la plupart soulignant la consommation excessive de ressources et la lenteur générale. Plusieurs affirment avoir basculé sur la version web, la mouture desktop n’apportant plus rien. D’autres évoquent des problèmes fréquents de déconnexion, et d’autres encore recommandent d’ouvrir la version web et de passer par l’installation d’application web de Chrome (ou d’un autre navigateur Chromium).
Silence de Meta et pression de Microsoft
On peut comprendre pourquoi Meta s’est orientée vers ces technologies. L’utilisation d’une version web réclame moins de ressources de développement, puisqu’il s’agit dans les grandes lignes de reprendre l’existant. Contrairement à la première version qui utilisait Electron, la dernière se sert de WebView2, une vue web dérivée d’Edge. Techniquement, cette application devrait donc être plus légère, notamment car il n’est plus nécessaire d’embarquer tout le moteur Chromium. En pratique, le client WhatsApp semble renvoyer plusieurs années dans le passé.
Interrogée par plusieurs médias sur le sujet, Meta n’a pourtant jamais répondu. En novembre 2025, certains y voyaient d’ailleurs le signe d’une bascule : l’âge du code natif était-il révolu ?
Pourtant, si le sujet refait intensément parler aujourd’hui, c’est parce que Microsoft semble avoir changé complètement de braquet. À la dernière conférence Build, l’éditeur a largement appuyé sur le code natif et l’utilisation de son framework WinUI. Une équipe est actuellement chargée de développer de nouvelles applications internes, dont le code a été confirmé comme natif. Des éléments actuellement en React Native, dont le menu Démarrer, vont également être réécrits en code natif.
Concrètement, pour les développeurs tiers, le message de Microsoft a été inhabituellement direct : WinUI n’est pas une expérience en attente d’être remplacée, ni un pont technologique avant la prochaine grande unification : c’est désormais la plateforme de production native pour les apps Windows modernes. L’entreprise en est même jusqu’à parler de « web app slop ».
Cette nouvelle insistance de Microsoft et la pression des utilisateurs seront-elles suffisantes pour faire changer d’avis Meta ? Pour l’instant, WhatsApp reste en zone grise. Mais il est probable que cette version WebView2 ait été conçue pour des questions de coûts. En attendant, la version Mac reste native, avec des performances sans commune mesure.
À l’heure du streaming tous azimuts et du pillage généralisé des œuvres de l’esprit par les labos IA, il est presque réconfortant de voir que certains gravent toujours de la musique piratée sur des CD pour les commercialiser, comme au bon vieux temps des années 2000.
Un résident anglais, Marc Kearns, 47 ans, a été condamné à une peine de prison avec sursis pour avoir enfreint le droit d’auteur, rapporte la BBC. Son crime ? Avoir remixé et vendu des CD contenant des morceaux d’artistes célèbres. La sentence laisse songeur : 26 mois de prison avec sursis assortis d’une mise à l’épreuve de 18 mois, et il devra effectuer 250 heures de travaux d’intérêt général.
La campagne de pub « Rip. Mix. Burn » d’Apple, en 2001. Une autre époque.
Le fieffé pirate a plaidé coupable de plusieurs chefs d’accusation devant la cour de justice de Hull, à environ 250 km au nord de Londres. « Cette activité lui a permis d’exploiter commercialement du contenu protégé et de générer des revenus au détriment des artistes et des entreprises légitimes de l’industrie musicale », explique un porte-parole du conseil local, dans une déclaration qui fleure bon (ou mauvais) les envolées ayant entouré la création d’Hadopi.
L’histoire ne dit pas combien cette activité illicite a rapporté au coupable, ni si ses clients étaient des inconnus passant commande, ou simplement des amis. Quoi qu’il en soit, le petit business a pris fin.
La justice locale n’a d’ailleurs pas mégoté pour ferrer ce dangereux criminel : l’enquête a en effet débuté en 2019, ce qui a débouché sur un mandat de perquisition exécuté trois ans plus tard. « Nous n’hésiterons pas à prendre des mesures fermes lorsque des infractions seront constatées. Cette condamnation envoie un message clair : ce type d’activité ne sera pas toléré », affirme, martial, un membre de l’exécutif local. On ne plaisante pas avec les dealers de MP3.
Après les smartphones, les chatbots. La Norvège va limiter fortement l’accès à ces outils d’IA générative à l’école. Pour le gouvernement, les enfants doivent d’abord apprendre à lire, écrire et compter, avant de déléguer leurs devoirs à ChatGPT.
Les enfants norvégiens seront privés de chatbots IA à partir de la prochaine rentrée à l’école. Jonas Gahr Støre, le Premier ministre du pays, a annoncé une interdiction de l’usage de ces outils d’IA générative aux jeunes écoliers (de 6 à 13 ans). Les collégiens et lycéens âgés de 14 à 16 ans pourront les utiliser sous la supervision des professeurs. Enfin, les étudiants entre 17 et 19 ans devront apprendre à s’en servir de manière responsable.
« Nous devons donner la priorité à l’essentiel : les élèves doivent apprendre à lire, à écrire et à compter avant de se familiariser avec l’IA », a affirmé le Premier ministre dans une déclaration reprise par Reuters. L’utilisation de chatbots IA par les jeunes enfants accroît le risque qu’ils sautent des étapes importantes de leur apprentissage, a-t-il ajouté durant une conférence de presse.
Le grand retour des livres
La Norvège est pourtant un pays pionnier quand il s’agit d’adopter les nouvelles technologies. Les ordinateurs ont fait leur apparition en classe dans les années 90, puis les tablettes à partir de 2010. Cette numérisation croissante de l’enseignement est peut-être allée trop loin : le gouvernement a ainsi annoncé vendredi dernier son intention de financer l’achat de plus de livres. Une manière de revenir en partie sur trente ans de numérisation à l’école à marche forcée.
Suivant en cela l’exemple de plusieurs autres pays, la Norvège va également bloquer les réseaux sociaux pour les moins de 16 ans. Confrontées à un recul des performances scolaires, les autorités ont également interdit les smartphones dans les établissements dès 2024.
Une étude, mise en ligne en 2024 par Sara Abrahamsson de l’institut norvégien de la santé publique et publiée récemment dans la revue The Journal of Human Resources, relevait d’ailleurs les effets positifs de l’interdiction des téléphones dans plusieurs collèges du pays entre 2010 et 2018. Les filles en particulier consultent moins souvent pour des problèmes psychologiques, elles signalent moins de situations de harcèlement, les notes progressent et elles sont davantage susceptibles de choisir une filière générale au lycée.
En revanche, l’autrice n’a relevé aucun effet significatif chez les garçons, bien que les signalements de harcèlement aient diminué chez les filles comme chez les garçons. L’étude ne mesure que l’effet d’une interdiction à l’école, pendant les heures de cours. Les élèves continuaient à utiliser leur téléphone le soir, les week-ends et pendant les vacances.
Pour Oslo, les deux sujets – smartphones et chatbots – relèvent d’une même préoccupation : éviter que les outils numériques ne se substituent à certains apprentissages fondamentaux. Nul doute à ce titre que l’interdiction des bots IA pour les écoliers sera elle aussi scrutée de près par les scientifiques.
La Norvège est en tout cas aux avant-postes sur cette question. En France, on essaie davantage de ménager la chèvre et le chou : un cadre d’usage de l’IA en éducation, publié en mai 2025 par le ministère de l’Éducation nationale, autorise l’usage de cette technologie mais pas avant la quatrième. Les élèves plus jeunes peuvent être sensibilisés, mais ils ne peuvent pas accéder aux outils en classe.
Dans les faits, les professeurs doivent surtout bricoler dans leur coin, avec le blanc-seing du ministère pour tester toutes sortes de choses. En novembre dernier, Amélie Hart, secrétaire nationale du syndicat SNES-FSU et enseignante en lycée en Histoire-Géographie, expliquait à Next que « l’institution pousse, à l’heure actuelle, à expérimenter tous azimuts. Il y a des initiatives partout de plein de rectorats qui font des expérimentations IA ».
Elle ajoutait : « Il y a une volonté de la hiérarchie de l’Éducation nationale à aller à fond sur les IA, y compris en étant hyper mal formés sur les enjeux de la protection des données (qui n’a pas commencé avec l’IA) ». La Norvège servira en tout cas de laboratoire à ciel ouvert. Si les résultats scolaires progressent et que les enseignants constatent moins de difficultés d’apprentissage, d’autres pays pourraient être tentés d’emprunter le même chemin.
Connexion
