L’académie Goncourt a annoncé vendredi 25 septembre la suppression de C’était ça ou mourir, de l’écrivain canado-haïtien Thélyson Orélien, de la liste des romans présélectionnés pour son célèbre prix, qui sera décerné le 4 novembre prochain.

« Ce choix est dicté par la volonté de préserver l’intégrité du prix Goncourt, celle de l’Académie, dont le rôle central consiste à promouvoir et couronner la littérature écrite par des femmes et des hommes », fait valoir l’académie dans un communiqué (PDF).

La publication de ce communiqué intervient après plusieurs jours d’une tempête médiatique inédite dans le monde littéraire.

Lundi 21 septembre, un compte X anonyme « Balance ton Claude » qui ne compte qu’une centaine d’abonnés publie des captures d’écran d’une analyse réalisée au moyen d’un outil de détection d’IA générative, Pangram, sur le texte du roman de Thélyson Orélien, qui vient de recevoir le prix du roman Fnac.

Le compte affirme avoir testé 20 passages du roman, et que tous ressortent comme intégralement générés par IA selon Pangram. L’auteur, interrogé par Libération, dément tout recours à l’IA et son éditeur, Grasset, évoque selon Radio France une « campagne de haine ».

Entre le 22 et le 23 septembre, plusieurs internautes ayant entrepris d’éplucher l’œuvre de Thélyson Orélien font émerger de nouvelles accusations, de plagiat cette fois. Elles visent notamment sa nouvelle Où va le monde, récompensée en 2012 d’un prix décerné par le groupe audiovisuel public Radio-Canada, qui emprunte largement son texte à un extrait du livre Le matin des magiciens de Louis Pauwels et Jacques Bergier, paru en 1960.

Ces accusations sont vérifiées et confirmées par de nombreux médias, dont Radio Canada.

Jeudi 24 septembre, le Figaro révèle que le compte anonyme est administré par Samuel Fitoussi, lui-même chroniqueur au Figaro et relais de la première heure des accusations liées à l’utilisation potentielle d’une IA générative dans l’écriture de C’était ça ou mourir.

Et vendredi donc, l’académie Goncourt prend la parole, alors même que son président, Philippe Claudel, avait appelé à ne pas jeter l’opprobre sur l’auteur, et laissé entendre qu’une décision serait prise avant le 6 octobre, date à laquelle le jury doit publier sa liste resserrée.

Le court texte de l’académie Goncourt montre bien le caractère inconfortable de sa position. Il associe en effet deux accusations de nature totalement différente et s’appuie sur les faits avérés de plagiat pour justifier sa décision de sanctionner une faute qui reste, à ce stade, supposée. L’académie le reconnait implicitement quand elle écrit que le roman est « selon toute vraisemblance très largement » écrit à l’aide de l’IA.

S’ils revendiquent une fiabilité élevée, les concepteurs de Pangram admettent d’ailleurs qu’il subsiste une marge d’erreur : ils ne vendent pas une preuve définitive, mais une présomption.

• IA et littérature : les détecteurs automatiques comme Pangram surfent sur le doute

La fin du texte de l’académie soulève de nouvelles questions. Elle indique en effet que sa décision doit être comprise comme « un message qui affirme que nous ne cautionnons ni n’adoubons d’une façon ou d’une autre la création de textes générés avec l’aide de l’IA ». Faut-il comprendre que les textes postulant au Goncourt devront désormais systématiquement passer sous les fourches caudines d’une analyse assistée par intelligence artificielle ? Le cas échéant, à quel niveau d’assistance IA détecté dans l’écriture l’œuvre concernée sera-t-elle recalée ?

En attendant de voir si et comment les autres grands prix littéraires de la rentrée (Renaudot, Femina…) se positionnent, l’académie prévient commodément que, de son côté, le débat public est clos.

Cherche échange sarrasin commun contre loutre d'Europe

Lancé au printemps, le jeu WikiMasters a déclenché un phénomène viral sur le web francophone, jusqu’à attirer 215 000 utilisateurs quotidiens selon son créateur. Son principe, associé à des options payantes, est d’une efficacité redoutable : il transforme les fiches Wikipédia en cartes à collectionner, que les joueurs peuvent échanger, vendre ou utiliser pour s’affronter sur des QCM de culture générale.

J’hésite encore entre collectionner les villages de la Manche, les représentants de la dynastie des Capétiens, ou les entrées du tableau périodique des éléments. Les premiers sont sans doute plus faciles à acheter aux enchères que les dernières, mais bon, je ne suis pas breton normand… Voilà le genre de dilemme cornélien auquel sont confrontés les joueurs de WikiMasters, le nouveau jeu de cartes à collectionner qui fait l’objet d’une diffusion virale assez exceptionnelle depuis quelques jours sur le web francophone.

Un booster de cartes toutes les dix minutes

Le principe ? WikiMasters fait de chaque fiche de la Wikipédia francophone une carte à collectionner. Chaque carte dispose de valeurs d’attaque et de défense ainsi que d’un indice de rareté, déterminés à partir des statistiques de l’article Wikipédia correspondant : plus la fiche source est consultée, et plus sa valeur virtuelle augmente. Un obscur diplomate polonais devient une carte commune, tandis que la Lune, AC/DC ou Un indien dans la ville deviennent des cartes légendaires.

Pour alimenter sa collection, le joueur dispose d’un booster de cinq cartes offert toutes les dix minutes, avec la possibilité d’empiler jusqu’à dix paquets en cas d’absence. Les cartes peuvent ensuite être mises à profit pour créer des « vitrines », illustrant par exemple une collection thématique.

Elles peuvent aussi, et surtout, être échangées, défaussées ou vendues aux enchères, grâce à une monnaie virtuelle, le « wikibidou ». La plateforme propose enfin un système de guildes et une mécanique de bataille, qui permet d’affronter un autre joueur sur la base de questions (QCM) élaborées à partir du contenu de la fiche Wikipédia associée à la carte mise en jeu.

Lancé en mars dernier, WikiMasters a vécu dans un anonymat relatif jusqu’à ce que sa viralité explose, notamment grâce à plusieurs sessions de jeu diffusées en direct par des streamers populaires à l’occasion du ZEvent, le célèbre marathon caritatif diffusé sur Twitch début septembre. Depuis, les nouveaux adeptes affluent, ce qui ne va pas sans provoquer quelques ralentissements au niveau de l’hébergement du jeu.

« On a atteint environ 215 000 utilisateurs actifs par jour dans la dernière semaine, nous confie Naïm Ouellet, le développeur québécois à l’origine de WikiMasters, qui entend bien surfer sur la vague de cette popularité grandissante. En ce moment on galère à tout mettre à l’échelle, mais une fois le jeu stable, on compte bien développer une appli native et traduire le jeu dans plusieurs langues. » En attendant, le site souffre encore de quelques lacunes, à commencer par l’absence de mentions légales.

Une mécanique économique déjà bien rodée

Animée pour l’instant par deux développeurs, l’équipe en charge du projet semble néanmoins partie pour se développer. Sur LinkedIn, Naïm Ouellet indique recruter jusqu’à quatre personnes, deux développeurs, un chargé de projet et un gestionnaire de communauté, ce qui atteste que l’activité dégage un chiffre d’affaires prometteur.

WikiMasters dispose en effet d’un modèle économique. L’inscription et l’accès au jeu sont gratuits, mais le site propose un abonnement Pro facturé 9,99 dollars canadiens (environ 6,5 euros) par mois, qui permet d’augmenter la fréquence d’apparition de nouveaux boosters, la rareté des cartes piochées, ainsi que le nombre de batailles ou d’enchères possibles par jour. Il offre également l’accès à un historique des ventes de cartes sur le marché, et des statistiques supplémentaires sur la rareté des cartes. En parallèle, le jeu propose également à la vente sa monnaie virtuelle, à hauteur de 4,99 dollars canadiens les 2 500 WikiBidous.

Les mécaniques commerciales n’ont rien d’inédit : elles sont typiques de la logique des loot boxes (coffres à butin) que connaissent bien les amateurs de jeu free-to-play, et notamment de cartes à collectionner, dans la droite ligne des jeux gacha venus du Japon.

WikiMasters n’est d’ailleurs pas le premier à exploiter le filon. Il existe un précédent, justement baptisé Wikigacha, qui semble avoir été lancé quelques semaines plus tôt, en février 2026. Et il ne sera probablement pas le dernier : un certain Wiki-pick vient ainsi de faire son apparition, avec une promesse très proche (pour ne pas dire identique) et un nom de domaine enregistré le 12 septembre dernier.

Pour alimenter leurs services, tous ces jeux exploitent les API (interfaces de programmation) mises à disposition par Wikipédia afin de faciliter la circulation du savoir. Chez WikiMasters, on affiche un éventail de quelque 2,7 millions de fiches, régulièrement actualisé pour générer de nouveaux drops de cartes. Une carte qui était commune en août peut ainsi devenir légendaire en septembre, si la fiche associée a connu un pic de trafic, en raison par exemple de l’actualité.

Circulation ou marchandisation du savoir ?

Le site semble à première vue respecter les conditions d’utilisation, ou plutôt de réutilisation, fixées par Wikipédia. L’encyclopédie diffuse pour mémoire ses contenus sous licence CC-BY-SA, qui autorise le partage à l’identique avec attribution. Les cartes WikiMaster n’affichent qu’un extrait du texte de la fiche concernée, proposent un lien direct, et mentionnent systématiquement la licence. Les puristes noteront peut-être que les visuels et photos sont quant à eux affichés sans mention directe de la licence associée (parfois plus spécifique que la licence globalement appliquée aux textes).

Wikipédia tient à jour une liste des jeux qui exploitent son contenu, parmi lesquels quelques incontournables, comme Pédantix, Wikitrivia ou Factle, qui sont développés par des contributeurs dans un esprit de valorisation du savoir et sans logique marchande.

Quid de Wikimasters (ajouté le 2 septembre dernier sur la page en question) ? « Sur le principe, on est ouvert à toutes les formes de réutilisations des contenus des projets Wikimedia, c’est ce que permet la licence. Cela permet effectivement d’accroître la diffusion du savoir », nous répond l’association Wikimédia France, qui indique toutefois n’avoir pas encore étudié spécifiquement ce cas et les nouvelles questions qu’il soulève en matière de respect précis de la licence.

Dans le Discord communautaire du Wikipédia francophone, on observe que la contagion a déjà gagné certains contributeurs de l’encyclopédie, avec pour certains une quête un peu particulière : mettre la main sur la carte des articles qu’ils ont eux-mêmes rédigés.

L’entreprise bulgare Shelly, bien connue des amateurs de domotique pour ses capteurs et interrupteurs connectés, devrait passer sous pavillon français.

L’industriel Schneider Electric vient en effet d’annoncer (PDF) une offre publique d’achat (OPA) portant sur au moins 95 % du capital de Shelly Group. Une fois réussie, l’opération permettra à l’acquéreur de procéder au retrait obligatoire des dernières actions cotées, conduisant à une prise de contrôle totale.

Schneider Electric a proposé 70 euros par action pour l’ensemble des titres qu’il ne détient pas déjà. L’opération représente une plus-value relativement modeste par rapport au cours actuel de l’action Shelly Group (cotée à Francfort et à Sofia), qui s’affichait à 64,40 euros le 23 septembre au soir. Elle valorise tout de même l’entreprise bulgare à plus de 1,2 milliard d’euros, et bénéficie du soutien des deux fondateurs de Shelly.

D’après Schneider Electric, ces derniers se sont en effet engagés à apporter les 57 % qu’ils détiennent à eux deux dans l’opération, puis à réinvestir une partie du produit de la cession dans l’entreprise pour au moins trois ans. Comme toujours en pareille circonstance, la transaction reste toutefois subordonnée à l’approbation des autorités bulgares.

Bien que Shelly dispose d’une activité tournée vers le grand public (interrupteurs Shelly Gen4, modules pour tableau électrique de type Shelly Pro 1PM), c’est principalement le volet entreprises (BtoB) qui semble intéresser Schneider. L’acquéreur indique ainsi :

« L’acquisition permettrait d’associer la plateforme logicielle de gestion de l’énergie domestique de Shelly au leadership technologique de Schneider Electric dans les bâtiments résidentiels, les projets de rénovation et les petits bâtiments commerciaux ».

Âge déraison

Discord a commencé le déploiement mondial de ses outils de contrôle de l’âge. La plateforme affirme que 90 % des utilisateurs ne seront pas concernés, et promet à ceux qu’elle ne peut pas cataloguer automatiquement comme des adultes plusieurs options de vérification.

Alors que la France et l’Europe affichent publiquement leur intention d’interdire l’accès aux réseaux sociaux aux jeunes publics mineurs, Discord prend les devants. La plateforme vient en effet d’annoncer le début du déploiement de sa propre solution de contrôle de l’âge. La décision avait été annoncée en début d’année, avant qu’une bronca des utilisateurs ne pousse Discord à temporiser de quelques mois.

« Les législateurs d’innombrables pays et États se font entendre et nous disent qu’ils veulent des protections plus solides pour les adolescents, de l’Union européenne à l’Indonésie. À mes yeux, cela rend plus forte que jamais la nécessité de montrer que cela peut être fait dans un cadre qui préserve la confidentialité », justifie Stanislav Vishnevskiy, cofondateur et directeur technique de Discord.

Les utilisateurs classés en trois groupes

Chez Discord, la mesure poursuit officiellement deux objectifs : limiter l’accès aux moins de 13 ans, et protéger les mineurs de 13 à 17 ans de l’exposition à des contenus sensibles ou de sollicitations inappropriées. Pour ce faire, la plateforme indique avoir élaboré un dispositif qui devrait permettre à 90 % de ses utilisateurs de ne pas avoir à justifier de leur âge.

Celui-ci prend la forme d’un outil chargé de catégoriser les utilisateurs en trois groupes : les adultes confirmés, pour qui rien ne change par rapport à l’existant, les adolescents de 13 à 17 ans, et les profils non confirmés, pour lesquels la plateforme n’a pas réussi à trancher. Les internautes placés dans les deux derniers groupes devront montrer patte blanche pour activer ou réactiver l’affichage des contenus protégés sur leur profil et accepter de recevoir des demandes d’inconnus.

Comment s’opère cette classification ? Discord évoque des signaux liés au compte : « depuis quand celui-ci existe, à quels types de serveurs vous appartenez, etc. », tout en assurant qu’aucun serveur individuel ne détermine le groupe d’âge. Elle promet par ailleurs n’examiner ni les messages, ni les appels, « ni aucun autre contenu ».

Une classification confiée à un modèle d’apprentissage automatique

Un billet plus technique décrit la méthode mise en œuvre : basée sur un modèle d’apprentissage automatique, elle étudie plusieurs critères tels que la façon dont le compte s’inscrit dans le graphe social global de Discord, les métadonnées liées au compte, des indicateurs d’engagement, et des signaux relatifs aux communautés avec lesquels l’utilisateur interagit le plus.

Discord invite à vérifier dans quel groupe vous avez été placé via l’entrée « Statut du compte » des paramètres utilisateur. Le déploiement est cependant censé s’étaler sur plusieurs jours, ce qui signifie que l’entrée Groupe d’âge n’est pas encore affichée chez tout le monde.

Quid de la vérification ? En février, Discord avait d’abord évoqué un contrôle basé sur une pièce d’identité et une reconnaissance faciale, opéré par un prestataire tiers de type Persona. La plateforme a depuis fait marche arrière, et promet désormais un éventail d’options plus varié.

« Nous avons examiné minutieusement chaque méthode avant de l’approuver, et les données que vous fournissez à Discord et à nos fournisseurs sont utilisées uniquement pour déterminer votre groupe d’âge ; il ne vous reste donc plus qu’à choisir l’option avec laquelle vous êtes le plus à l’aise. »

Plusieurs méthodes de vérification d’âge

Les méthodes proposées sont les suivantes : validation par carte de crédit au travers d’un micro paiement via Stripe et d’une vérification de l’âge du détenteur opérée par le service tiers k-ID ; autorisation du partage de la tranche d’âge via l’App Store d’Apple ou via le Google Play Store, contrôle d’un passe d’identité déjà enregistré dans Google Wallet (non disponible en France) ; ou vérification d’un justificatif d’âge AgeKey.

« En lançant une approche globale avec des options non biométriques, nous prenons de l’avance sur des lois qui pourraient nous imposer de mettre en œuvre une solution moins axée sur la protection de la vie privée. Les décisions que les législateurs et politiques prennent actuellement définiront la manière dont les plateformes avanceront en matière de sécurité des adolescents et de confidentialité pour les années à venir, et j’encourage les gens à faire entendre leur point de vue là où ils vivent », conclut Stanislav Vishnevskiy.

La FAQ qui suit son annonce se veut rassurante pour les utilisateurs allergiques au principe même de vérification d’âge. Pour les comptes classés comme adolescents ou non confirmés, les mesures de protection s’appliquent, mais « l’expérience Discord centrale (envoyer des messages à des amis, rejoindre des appels vocaux ou des serveurs qui ne font pas l’objet d’une restriction d’âge) reste la même ».

Lycos.fr reprend du service. Racheté aux enchères pour 35 300 euros, le vénérable nom de domaine accueille un nouveau projet de portail porté par l’acquéreur. Il ambitionne d’y proposer page personnelle, moteur de recherche et agrégateur de médias, sans lien avec la société historique du même nom.

Comme souvent dans ce genre de cas, les enchères se sont jouées dans la dernière ligne droite : proposé à la vente sur le site spécialisé WebExpire, le nom de domaine lycos.fr a trouvé preneur lundi 21 septembre pour 35 300 euros.

Cette fois, hors de question de laisser le nom de domaine dormir en mode parking. Quelques heures plus tard, une nouvelle page d’accueil s’affiche aux yeux des internautes curieux. Elle propose de réserver une adresse en lycos.fr/votrenom en échange d’une adresse email pour obtenir, au lancement, « votre page personnelle sur l’une des adresses les plus connues du Web français ».

À ce service, baptisé Lycos ID, le nouvel acquéreur promet d’ajouter un agrégateur de médias, avec une actualité « rangée et mise à jour en continu », ainsi qu’un moteur réunissant « actualités, articles et profils Lycos ID dans une seule barre de recherche ».

Le retour d’une vedette d’antan

L’ambition dessinée ici rappellera certainement des souvenirs à ceux qui, parmi les lecteurs de Next, surfaient déjà en ligne au tournant du nouveau millénaire. Lycos.fr, édité par la société Lycos Europe gmbh, est en effet l’un des plus célèbres représentants de la génération des grands portails Web qui mêlaient messagerie, pages perso et surtout recherche en ligne entre la fin des années 90 et le début des années 2000.

Né en 1994 sous la forme d’un projet de recherche et installé en tant que société commerciale un an plus tard, Lycos a d’abord connu une ascension fulgurante et un développement mondial (en 2000, Lycos vantait son célèbre slogan « va chercher » à la télévision française), avant de lentement péricliter, balloté entre une succession d’actionnaires.

Le portail, identifiable à son logo en forme de retriever noir, a officiellement disparu du Web européen le 15 février 2009, même si le moteur de recherche américain est longtemps resté accessible par le biais des différentes extensions nationales du nom de domaine lycos, dont le .fr.

Un départ sur les chapeaux de roue

Jusqu’à ce que ce dernier soit finalement libéré, proposé aux enchères, et donc racheté, avec mise en place de cette page d’inscription en forme d’apéritif pour un lancement à venir. La conclusion des enchères a toutefois suscité plusieurs commentaires publics, sur les réseaux sociaux, de spécialistes des noms de domaine et du référencement, contribuant à braquer les projecteurs sur le nouveau lycos.fr.

« On a récupéré le domaine hier, on n’a encore rien annoncé, et il y a déjà des milliers d’inscriptions. On n’avait pas prévu que ça aille aussi vite, ce sont les gens qui ont décidé pour nous, et ça confirme que ce nom réveille quelque chose de bien réel », confie à Next Benjamin Romei, fondateur d’ADN Contents, la société qui a remporté les enchères (par ailleurs éditrice de médias thématiques). Qui entend bien donner une seconde vie à cette vénérable adresse : « L’idée tient en une phrase : refaire de Lycos une porte d’entrée simple du web français ».

D’où cette triple ambition affichée, avec un moteur de recherche constitué sur un index en propre et un agrégateur de médias attendu dans les prochains jours, tous deux en bêta, et le futur service de page personnelle pour lequel les plus impatients ont déjà réservé une adresse à leur nom (vanity URL). « Lycos ID est une carte de visite en ligne, à une adresse que tout le monde connaît », résume Benjamin Romei.

L’entrepreneur indique envisager un modèle économique hybride, basé pour partie sur la publicité, et sur des options premium associées aux pages personnelles. Il précise ne pas vouloir se limiter aux nostalgiques. « Le premier cercle, c’est ceux qui ont grandi avec Lycos, Caramail et Multimania. Pour eux, ce nom réveille quelque chose. Mais on espère bien toucher d’autres générations : on ne veut pas faire un musée ».

L’épée de Damoclès du recours d’un ayant-droit

Reste une inconnue de taille. L’entrepreneur ne prend-il pas un risque à racheter et à exploiter un nom de domaine associé à une marque à la notoriété certes ternie, mais historiquement bien établie ?

Outre l’éventualité d’une action en contrefaçon, le fait que le domaine concerné soit en .fr signifie que le nouveau propriétaire s’expose à la possibilité d’une réclamation extra judiciaire formulée directement auprès de l’Afnic, l’office d’enregistrement des extensions nationales, notamment via la procédure Syreli.

Encore faut-il qu’il subsiste un ayant droit. À l’échelle française, une recherche dans les bases de données de l’INPI confirme que les différents enregistrements de marque liés à des activités numériques (édition de site, publicité en ligne) sont expirés de longue date. D’après les données disponibles auprès du bureau américain des brevets (USPTO), la marque Lycos en tant qu’activité Web semble également avoir été abandonnée depuis 2020. Le site lycos.com a par ailleurs pris des airs de coquille vide, avec un index de recherche limité à la portion congrue, et des mentions légales qui ne mentionnent plus grand chose.

Le nouvel acquéreur n’ignore pas la question, mais se dit confiant : « On a fait ce travail sérieusement, en amont, avant même de se lancer. La situation de ce nom n’est pas la même selon les territoires, et notre projet est français : pensé ici, pour le public d’ici, sur un .fr laissé à l’abandon depuis des années. On est accompagnés sur le juridique, on suit la situation de près et des démarches sont en cours. »

À ce stade, la page lycos.fr ne pousse toutefois pas la filiation jusqu’à reprendre la silhouette du célèbre retriever.

Amazon vient de faire une petite concession à ses adversaires dans la bataille qui l’oppose depuis deux ans aux acteurs de la vente de livres, librairies et grandes surfaces spécialisées. Un porte-parole de la branche française de l’entreprise a en effet déclaré au Figaro qu’elle allait mettre un terme à la livraison gratuite de livres quand ces derniers sont récupérés en consigne automatique (locker).

« Nous avons décidé, pour les livres neufs, de concentrer la remise de 5% et la livraison gratuite sur les points de retrait en comptoir et accueils de magasin – et d’exclure les casiers automatiques », annonce l’intéressé. En pratique, Amazon France va donc continuer à combiner gratuité des frais de port et remise de 5 % sur le prix des livres neufs, mais uniquement lorsque le retrait s’opère au niveau de l’accueil d’un magasin.

Rappelons que depuis 2023, la loi Darcos impose des frais de port de 3 euros pour toute commande en ligne de moins de 35 euros intégrant un ou plusieurs livres neufs. Dans le prolongement de la loi Lang sur le prix unique du livre (1981), elle prévoit toutefois une possibilité de livraison gratuite quand « le livre est retiré dans un commerce de vente au détail de livres ».

Amazon s’est appuyé sur cette subtilité pour proposer la livraison gratuite dans ses consignes à partir de 2024, arguant du fait que seuls les casiers « situés dans les magasins français vendant des livres » (par exemple, un supermarché) sont éligibles.

Saisi par le ministère de la Culture à la demande du Syndicat de la librairie, le médiateur du livre avait conclu quelques mois plus tard que les pratiques d’Amazon constituaient « un réel défi à la mise en œuvre de la loi ». Loin de s’en émouvoir, le géant du e-commerce a remis le couvert en octobre 2025, en ajoutant à la livraison gratuite en casiers la réduction de 5 % sur les livres neufs. En décembre de la même année, son DG France Frédéric Duval (depuis remplacé par Jean-Baptiste Thomas) s’était fendu d’une tribune pour dénoncer la « taxe sur la lecture » que représentent, selon lui, les frais de port obligatoire sur le livre.

Dix mois plus tard, Amazon a donc décidé de lâcher du lest. Il faut dire qu’entre temps, l’entreprise a vu son recours visant à faire annuler l’arrêté de mise en œuvre de la loi Darcos rejeté par le Conseil d’Etat le 15 avril dernier.

« Adoptée à l’unanimité par les deux chambres du Parlement, cette loi protège la diversité culturelle, soutient un réseau unique au monde de plus de 4 700 librairies et commerces physiques du livre sur l’ensemble du territoire, et contribue à faciliter l’accès à la lecture et à un conseil de qualité », s’était félicité (PDF) à cette occasion le syndicat de la librairie.

Un autre facteur a peut-être motivé cette décision. D’après le Figaro, le Syndicat de la librairie française, le Syndicat des distributeurs de loisirs culturels et la Fnac se préparaient en effet à assigner Amazon devant le tribunal des affaires économiques de Paris.

La fondation GNOME a bouclé dans les temps le chantier de la version 51 de son environnement de bureau, livrée et annoncée mercredi 16 septembre. Six mois après la sortie de GNOME 50, qui signait l’abandon de X11 au profit de Wayland, GNOME 51 mêle améliorations de performances et nouvelles fonctionnalités.

Côté performances, l’équipe du projet indique avoir amélioré l’ordonnancement des animations au niveau de Mutter, le gestionnaire de fenêtres et compositeur graphique. Ces optimisations devraient se traduire par une fluidité accrue au niveau de la manipulation des fenêtres sur le bureau, y compris lorsque le système fait l’objet d’une charge importante. L’interface gagne également des curseurs en SVG, qui devraient donc rester nets, quelle que soit la résolution de l’écran.

GNOME 51 promet également une capture d’écran plus rapide, grâce à la réduction du nombre de copies de buffer entre la mémoire vidéo et l’outil d’enregistrement. L’environnement est désormais allégé des anciennes interfaces de pilotes NVIDIA, et sait désormais mémoriser la luminosité de l’écran d’un redémarrage à l’autre.

Sur les appareils portables, GNOME 51 sait maintenant gérer la rotation automatique de l’écran (via accéléromètre) et désactiver automatiquement le pavé tactile lorsqu’une souris est branchée. L’environnement profite aussi d’une nouvelle interface pour la gestion des empreintes digitales.

Sous le capot, la nouvelle version rend la recherche de domaine DNS accessible au niveau de l’interface graphique. Elle supprime la prise en charge du vénérable WEP pour la sécurité des réseaux Wi-Fi (déprécié depuis longtemps au profit du WPA). Elle introduit par ailleurs le support des sockets systemd, pour n’activer le service SSH qu’à la demande, et la prise en charge de Kerberos pour la connexion à une machine distante.

Du côté des applications, Cartes gagne la possibilité de télécharger des plans par zone pour une consultation hors-ligne, ainsi que l’intégration des transports en commun avec infos en temps réel (dans les villes prises en charge). Le gestionnaire de fichiers s’enrichit d’un compteur indiquant le nombre d’éléments déplacés en cas de glisser-déposer, d’un affichage plus explicite de l’état (lecture seule par exemple), et d’une réactivité accrue.

Le navigateur profite quant à lui d’un raccourci permettant de copier l’URL de la page ouverte sans sélectionner la barre d’adresses (Ctrl+Shift+C), et d’un nouveau générateur de mots de passe forts, tandis que Papers sait maintenant gérer les signatures manuelles au niveau d’un PDF. L’interface de l’outil de prévisualisation Sushi (mis en œuvre en pressant Espace après sélection d’un fichier) a fait l’objet d’une refonte complète (sous GTK 4 et libadwaita). Elle est maintenant harmonisée avec le reste de l’environnement.

GNOME 51 introduit enfin quelques nouveaux logiciels : Bobby (navigateur SQLite), Tally (création de compteurs), et Bazaar (nouveau magasin d’applis Flatpak/Flathub). Comme à chaque nouvelle version, un nouveau fond d’écran par défaut est également de la partie.

GNOME 51 est surnommée A Coruña (La Corogne), en référence à la ville espagnole où s’est tenue la dernière édition de l’événement communautaire dédié. Cette nouvelle version fera son chemin dans les prochaines semaines vers les distributions Linux courantes, à l’image de Fedora 45, dont la bêta a également été publiée cette semaine.

Plusieurs utilisateurs d’iPhone ont remarqué qu’après avoir installé iOS 27, leur téléphone contournait les solutions domestiques de blocages de publicités basées sur le DNS telles que Pi-hole ou AdGuard.

Un rapide tour dans les réglages dans l’appareil a permis d’identifier la source du problème. De façon empirique, elle semble liée à la fonction Assistance connectivité (Connectivity Assist) proposée par iOS au niveau des paramètres de la connexion Wi-Fi. Désactiver cette dernière rétablit le blocage des publicités, comme en témoignent plusieurs utilisateurs de Reddit.

Une fiche du support Apple datée du 15 septembre confirme que le phénomène est lié à l’Assistance connectivité. « Si vous souhaitez rester connecté en permanence au Wi-Fi pour une configuration de routeur spécifique (par exemple, votre bloqueur de publicités), vous pouvez désactiver l’assistance à la connectivité pour ce réseau particulier. », indique explicitement cette dernière.

La fonction Assistance connectivité, désormais logée dans le menu Wi-Fi des réglages, permet à iOS de basculer automatiquement vers la connexion cellulaire de l’appareil lorsque le réseau sans fil local est trop lent. Quand elle est activée, le système interprète le blocage des contenus publicitaires comme une défaillance du Wi-Fi, et va donc emprunter le réseau cellulaire pour appeler les données correspondantes.

Cette fonctionnalité n’est pas apparue avec iOS 27. Jusqu’à iOS 27, cette fonctionnalité était intégrée au menu Données cellulaires des réglages, sous le nom Assistant Wi-Fi. Le problème vient en réalité d’un changement de paramétrage lors de la mise à jour, qui avait d’ailleurs déjà été constaté par certains utilisateurs des versions bêta d’iOS 27.

Nous l’avons expérimenté directement mercredi matin en mettant à jour un iPhone de iOS 26.6 vers iOS 27. La fonction Assistant Wi-Fi, désactivée avant la mise à jour, était effectivement activée une fois la migration achevée.

Bref, si vous utilisez Pi-hole, AdGuard ou une solution équivalente avec un iPhone, contrôlez simplement les réglages de votre Wi-Fi.

Mozilla tient son rythme de mises à jour bimensuelles. La fondation a publié Firefox 156 mardi 15 septembre, une nouvelle mouture qui sur le plan fonctionnel introduit deux nouveautés : la possibilité de lancer automatiquement Firefox au démarrage de macOS, et l’arrivée des « suggestions sponsorisées » au niveau de la barre d’adresses.

Ces dernières s’intègrent à « Firefox suggère », l’outil qui, habituellement, explore l’historique de navigation pour conseiller des adresses susceptibles d’anticiper les besoins de l’internaute. Ces dernières peuvent maintenant afficher des propositions émanant soit de l’édition locale de Wikipédia et, de temps à autres, des « suggestions sponsorisées occasionnelles », dont la consultation est donc censée générer du chiffre d’affaires pour Mozilla.

Ces suggestions sponsorisées existent depuis longtemps, mais jusqu’ici, elles n’étaient pas encore déployées en France, Allemagne et Italie, les trois pays concernés par cette mise à jour. La suggestion sponsorisée prend place en bas du champ qui s’ouvre lorsqu’on commence la saisie dans la barre d’adresses.

Ces suggestions sponsorisées peuvent tout à fait être désactivées, comme l’ensemble des propositions liées à Firefox suggère. Pour ce faire, il suffit de se rendre dans les réglages, ligne Recherche, et de cocher ou décocher les différentes propositions.

En coulisses, Firefox 156 introduit également quelques améliorations de performances. Mozilla annonce ainsi que la visionneuse PDF intégrée s’ouvre désormais 45 % plus vite qu’avec la version précédente. L’empreinte mémoire vive / CPU devrait également être améliorée lorsque le navigateur doit afficher des images JPEG mises à l’échelle. Sur les machines Windows on ARM, la nouvelle mouture sait désormais faire appel au décodage matériel H264 lors des appels vidéo via WebRTC, ce qui devrait là aussi améliorer les performances, puisque les versions précédentes passaient par un décodage logiciel.

La prochaine mise à jour de Firefox devrait intervenir le 29 septembre prochain. Cette version 157 est censée s’accompagner de la nouvelle interface Nova, aux contours très arrondis déjà présentés sur Next. Activée par défaut depuis quelques semaines sur le canal Nightly (préversions très en avance de phase), celle-ci est maintenant distribuée via la bêta de Firefox 157.

• Firefox active sa nouvelle interface Nova par défaut dans le canal Nightly

Capgemini a finalement coupé les ponts avec l’ICE, la tristement célèbre police de l’immigration des États-Unis. Le groupe français a en effet annoncé le 12 septembre dernier la signature d’un accord de vente définitif de sa filiale états-unienne spécialisée dans les contrats gouvernementaux, Capgemini Government Solutions. La transaction devrait être bouclée dans les prochaines semaines.

« Capgemini annonce aujourd’hui avoir conclu un accord avec ITC Federal, un fournisseur américain de services et de solutions digitales pour les agences fédérales chargées de sécurité intérieure et de défense, en vue de la vente de Capgemini Government Solutions, sa filiale qui travaille avec le gouvernement fédéral américain. »

Capgemini avait lancé ce processus de vente en début d’année, après que la presse a révélé les différents contrats gagnés par sa filiale CGS auprès de l’ICE. Parmi les différents appels d’offre remportés figurait une prestation d’identification et de localisation des personnes recherchées par l’ICE, en croisant l’ensemble des informations publiques ou privées susceptibles d’être recueillies en ligne à leur sujet.

Plusieurs syndicats représentants du personnel de Capgemini s’étaient insurgés contre ces missions, jugées incompatibles avec les valeurs éthiques prônées par le groupe et sa gouvernance.

Le montant de la transaction n’a pas été communiqué. Capgemini a rappelé samedi que CGS « représentait 0,4% du chiffre d’affaires du Groupe en 2025 et moins de 2% de son chiffre d’affaires aux Etats-Unis ».

Meta a présenté cette semaine Muse, son nouvel agent IA destiné au grand public et censé pouvoir gérer de façon autonome des tâches du quotidien. Stratégique au regard des ambitions affichées par Mark Zuckerberg dans le domaine de l’intelligence artificielle générative, ce lancement (réservé pour l’instant aux États-Unis) s’accompagne sans surprise d’une vaste campagne de communication en ligne sur les supports du groupe.

Pour ce faire, Meta avait logiquement besoin de comptes @Muse sur les principaux réseaux sociaux, à commencer par les siens. Problème : l’adresse en question est occupée, depuis de longues années déjà, par le célèbre groupe britannique du même nom.

Plusieurs internautes ont remarqué mercredi que le groupe emmené par Matt Bellamy s’était fait déloger de ladite adresse, d’abord sur Instagram. Le compte @Muse renvoie désormais vers l’agent IA de Meta, tandis que les 2,7 millions d’internautes qui suivaient les images de concert de Muse doivent désormais se rendre sur @museband. Même topo sur Facebook, où le groupe est désormais hébergé sur une adresse en /museband.

X, pourtant en dehors du réseau Meta, reflète lui aussi ce mouvement, dans des conditions identiques : Muse pour l’agent IA et Museband pour le groupe. Le site officiel de Muse référence encore, en pied de page, l’adresse de ses anciens réseaux sociaux, à l’exception d’Instagram qui avait été mis à jour au moment de la rédaction de cette brève.

Plusieurs des fans de Muse (le groupe, pas l’agent) se sont émus de ce qu’ils considèrent comme une spoliation, et y sont allés de leurs commentaires mécontents sous les publications annonçant le lancement de Muse (l’agent, pas le groupe).

Cette prise de contrôle paraît à première vue fort cavalière, mais on ne sait pas pour l’instant dans quelles conditions elle a été réalisée, ni si le groupe avait été prévenu, voire indemnisé d’une façon ou d’une autre. Ni Meta, ni Bellamy et sa bande n’ont pour l’instant réagi publiquement.

En attendant d’avoir le fin mot de l’histoire, on ne peut tout de même s’empêcher de penser, et de rappeler, que l’univers musical de Muse, riche de plus de vingt ans de carrière, est profondément marqué par la dystopie et des critiques à peine larvées contre les dérives totalitaires du système moderne. « They will not control us. We will be victorious. »

Mistral de nuit ne dure qu’un pain cuit

Mistral AI a annoncé mardi avoir réuni 3 milliards de dollars lors d’un tour de table emmené notamment par Samsung et d’autres investisseurs étrangers. L’entreprise profite de l’occasion pour affirmer qu’elle n’a pas renoncé au développement de modèles de pointe, et met en avant sa capacité à accompagner les entreprises au-delà de la simple fourniture de modèles ou d’infrastructures de calcul.

Installée depuis peu dans le XVIII^e arrondissement de Paris, Mistral AI a annoncé mardi 8 septembre sa quatrième levée de fonds, hors amorçage, en trois ans d’existence. Cette série D constitue un record à l’échelle européenne : l’entreprise a en effet réuni 3 milliards d’euros, à l’issue d’un tour de table qui la valorise à 21 milliards d’euros.

Les multiples n’ont rien de comparable avec ceux affichés par OpenAI ou Anthropic, mais ils témoignent tout de même d’une accélération significative : le dernier tour de table de Mistral remonte à septembre 2025, date à laquelle ASML avait pris 11 % du capital pour 1,3 milliard d’euros. Depuis, Mistral a été chercher des fonds supplémentaires sous forme d’emprunts bancaires, à hauteur de 722 millions d’euros, pour soutenir l’approvisionnement en GPU de ses datacenters. Elle a également annoncé un investissement à hauteur de 1,2 milliard d’euros dans un complexe de datacenters en Suède.

Des fonds asiatiques, européens et états-uniens

La nouvelle levée de fonds annoncée mardi fait entrer Samsung Electronics au capital. Le fabricant sud-coréen est présenté comme le principal acteur de ce tour de table qui associe aussi le fonds suédois EQT, le géant états-unien PSG Equity, et la plupart des fonds ayant déjà financé Mistral. Dans le lot subsistent quelques rares acteurs français, dont la banque publique Bpifrance, Carmignac ou Eurazeo, aux côtés d’acteurs principalement états-uniens, dont NVIDIA.

Mistral indique que ces nouvelles ressources contribueront à « étendre significativement sa recherche de pointe », ainsi qu’à développer son infrastructure et à accélérer sa croissance commerciale et son expansion internationale. Face aux critiques qui soulignent depuis quelques temps sa propension à déployer des modèles à poids ouverts qu’elle n’a pas conçus, l’entreprise laisse donc entendre qu’elle n’abandonne pas ses projets en matière de modèles frontier en propre. Elle n’en fait cependant pas l’alpha et l’omega de sa stratégie, au contraire.

« Lors de la première vague d’IA générative, la question centrale était de savoir qui serait capable de concevoir le modèle le plus performant. Aujourd’hui, les organisations et les gouvernements se posent une question différente : comment exploiter la puissance de l’IA pour leurs besoins critiques sans perdre le contrôle de l’infrastructure et du processus d’analyse ? », expose ainsi Mistral.

Sur ce volet, Mistral affirme être « la seule entreprise d’IA au monde à développer l’ensemble de la pile technologique nécessaire pour répondre à cette question : des modèles à poids ouvert, l’infrastructure et la capacité de calcul sur lesquelles ils fonctionnent, et les produits qui permettent leur mise en production ». Une approche à la fois « full stack » et ouverte, qui serait donc gage de limitation de la dépendance vis-à-vis d’un fournisseur unique pour les clients concernés.

Support your local devconf dealer

33 collectifs et associations engagés dans l’organisation d’événements techniques pour développeurs lancent un appel collectif. Entre budgets de sponsoring et achats de billets en baisse, ils redoutent que leurs conférences ne soient plus économiquement viables et que leur disparition ne participe à un appauvrissement général du secteur, particulièrement dans le contexte d’un recours accru à l’IA.

Bon nombre de conférences techniques destinées aux développeurs reposent principalement sur l’engagement d’une communauté de bénévoles, qui se chargent de trouver un lieu, fédérer des intervenants, communiquer en amont et assurer l’accueil des participants le jour J.

Leur motivation est indispensable, mais pas suffisante : entre location d’une salle, obligations réglementaires de sécurité, fournitures, repas et autres kakémonos, il faut aussi que le budget de l’événement s’équilibre. Particulièrement quand il est porté par une association locale ou un collectif qui ne dispose pas d’autres ressources financières que les recettes de l’événement et les adhésions de ses membres.

La mécanique économique se grippe

L’équation s’équilibre en principe grâce aux sponsors, c’est-à-dire les entreprises qui paient pour afficher leur marque sur les supports de l’événement, disposer d’un stand sur place le jour J et, souvent, profiter d’un canal privilégié pour diffuser ou faire connaître leurs recrutements en cours. Le reste du budget provient généralement de la billetterie, autrement dit le public payant de l’événement, dont les entrées (le tarif est de l’ordre de quelques dizaines d’euros) sont généralement payées par l’employeur des développeuses et développeurs concernés par la thématique.

Problème : il semblerait que cette mécanique plutôt conventionnelle se grippe. 33 organisations en charge de conférences tech viennent en effet de signer un appel commun à une plus large mobilisation du secteur :

« Les événements techniques traversent aujourd’hui une crise silencieuse. Budgets sponsoring resserrés, achats de billets en baisse, adhésions associatives en recul : partout, les mêmes signaux d’alerte s’allument et l’inquiétude s’installe au sein des organisations. Si rien ne change, nombre d’entre eux ne verront pas de nouvelle édition. Nous, organisateurs, organisatrices et associations tech, alertons aujourd’hui l’écosystème sur ce qui est en train de se jouer. »

L’appel est notamment lancé par l’AFUP, l’Association française des utilisateurs de PHP, qui organise chaque année le Forum PHP (prochaine édition les 8 et 9 octobre prochain à Disneyland Paris) et, en 2026, des déclinaisons baptisées AFUP Day, portées par ses antennes locales de Lille, Lyon et Poitiers.

« L’an dernier, notre événement phare était déjà en deçà de ses objectifs. Sur l’année 2026, la tendance s’est accélérée et a touché également l’AFUP Day. Nous avons été globalement en dessous de nos objectifs (billetterie et sponsoring), pour un résultat à- 17 % – soit environ 6 500 euros », nous confie Xavier Leune, membre de l’association.

Le forum PHP, nettement plus ambitieux en termes de budget, s’annonce quant à lui sous des auspices inquiétants. « Les premières semaines de vente ont marqué un nouveau recul puisque nous étions en moyenne à 30 % en dessous de l’année dernière. L’été nous a fait connaître un nouveau décrochage, nous sommes désormais à- 47 % sur la billetterie. Le sponsoring quant à lui est en recul de 25 % », s’inquiète notre interlocuteur. Sans inversion de tendance, l’événement pourrait se solder par un déficit suffisamment important pour compromettre la pérennité de l’association.

Trouver des sponsors et des visiteurs payants

Début juin, l’AFUP avait déjà alerté sur les difficultés rencontrées autour de ses différents événements :

« Malgré nos multiples prises de contact, malgré les appels à la communauté, la recherche de soutiens est difficile. De multiples entreprises nous indiquent ne pas avoir de budget marketing en 2026. La grande incertitude qui règne dans le secteur, que cela soit lié au contexte mondial, à l’arrivée de l’IA ou d’autres raisons économiques, n’invite pas les acteurs de l’écosystème à s’impliquer auprès de l’association ».

Si le Forum PHP fait figure de locomotive, les difficultés n’épargnent pas de plus petites conventions locales. En juin, l’asso qui organise le BreizhCamp indiquait elle aussi faire face à un sponsoring en retrait pour son édition 2026. « Cela nous a amené à augmenter le prix des billets, mais cette augmentation n’est malheureusement pas suffisante pour absorber le manque de recettes, nous avons donc dû renoncer à certaines dépenses cette année », décrivait-elle alors.

D’autres signataires jonglent eux aussi avec un budget d’autant plus difficile à équilibrer qu’il recèle une part d’incertitude jusqu’à l’ouverture des portes. Hors early birds, le gros des billets se vend en effet souvent dans les dernières semaines, alors qu’il faut engager en amont les dépenses liées au lieu ou à la restauration.

La conférence girondine BDX I/O, dont l’édition 2026 se tiendra les 29 et 30 octobre prochain, a par exemple abandonné le Palais des congrès de Bordeaux au profit des couloirs et des amphis de l’école Enseirb-Matmeca de Talence. Le mouvement traduit une réalité économique, que l’asso organisatrice a tournée à son avantage, en profitant des frais de location réduits pour passer son événement sur deux jours et donc proposer un programme plus soutenu.

À ce stade, elle envisage un atterrissage à l’équilibre, mais le résultat final dépendra à la fois de la billetterie et de la décision des sponsors encore en attente. « Les budgets se resserrent partout et sur toutes les topologies d’entreprises, et malheureusement des événements comme le nôtre ne sont pas la priorité quand il s’agit d’attribuer des budgets », analyse Amélie Benoit, membre de la petite équipe bénévole qui s’active, et s’épuise, depuis des mois pour monter l’événement.

Même si l’optimisme reste de rigueur, l’organisation chasse donc les postes de dépense susceptibles d’être réduits sans dégrader la qualité de l’accueil, tout en cherchant des leviers pour dynamiser son offre. « Nous sommes très heureux de pouvoir accueillir des start-ups gratuitement cette année. C’est un choix, pas économique du tout pour le coup, qui nous tenait énormément à cœur pour pouvoir diversifier le paysage d’entreprises présentes à l’événement, et pour avoir une meilleure représentation de l’écosystème tech à Bordeaux », illustre Amélie Benoit.

Entre expertise et velléités d’ouverture

Quels que soient la communauté, le langage ou les pratiques de développement concernées, la clé de voûte du succès reste bien sûr la programmation. Elle doit à la fois garantir un niveau d’expertise suffisant pour motiver le déplacement sur le temps professionnel, mais aussi s’ouvrir aux problématiques transverses qui animent les réflexions et les transformations du secteur. Sans surprise, l’IA fait désormais partie intégrante de la plupart des programmes, qui intègrent également de plus en plus de sessions dédiées à des enjeux sociaux ou sociétaux.

• À Bordeaux, IA et productivité au cœur des discussions chez les développeurs

Pour les signataires de l’appel lancé par l’AFUP, c’est précisément cette alliance entre technique et humain qui fait le sel des conférences spécialisées, et qui justifie que l’on se mobilise pour leur survie :

« Nous passons désormais une large partie de nos journées à échanger avec des IA. Dans ce contexte, les événements techniques prennent une valeur unique : ce sont des lieux où l’on se retrouve entre humains, où l’on partage une expertise, où de nouvelles vocations naissent, notamment autour des projets open source dont dépendent silencieusement la majorité de nos entreprises. Ces projets ont besoin de contributeurs et contributrices, de mainteneurs et mainteneuses, de relève mais aussi d’enthousiasme et d’inspiration. Les événements techniques sont l’un des rares endroits où cette relève se construit. »

De façon plus pragmatique, ils rappellent que ces conférences sont avant tout un accélérateur de compétences, nourri par la confrontation directe à des retours d’expérience, d’autres pratiques, et les échanges informels avec des pairs.

Pour autant, les organisateurs invitent les entreprises à ne pas raisonner que via le prisme du retour sur investissement. « On oublie parfois que sponsoriser un événement, c’est aussi apporter une visibilité durable et un soutien incommensurable à tout un écosystème tech local. Sans ce soutien, les événements vont tout simplement mourir. Et il n’y aura possiblement plus d’événements lorsqu’elles auront des besoins de visibilité et de recrutement », regrette Amélie Benoit.

La perte serait d’autant plus dommageable que la plupart des conférences recueillent un haut niveau de satisfaction chez les développeurs qui les fréquentent. La conjoncture impose toutefois déjà des choix. Plusieurs associations ont par exemple entrepris de basculer vers des formats plus légers, de type meet-ups mensuels, plus simples à équilibrer sur le plan financier, mais aussi moins ambitieux. « On est loin d’un format conférence où l’effervescence, les échanges et l’apprentissage varié sont au cœur des valeurs », remarque Amélie Benoit.

Destiné à la gestion d’un serveur multimédia local (hébergé par exemple sur un NAS), le projet Jellyfin passe en version 12.0.

Les amateurs de cette alternative open source (licence GPL 2.0) à Plex noteront immédiatement que cette nouvelle mouture s’accompagne d’un changement dans la numérotation adoptée. Jellyfin passe en effet d’un versionnage élaboré sous la forme « 10.11.11 » à un schéma simplifié, censé mieux refléter la publication d’une mise à jour considérée comme majeure.

Et c’est le cas pour Jellyfin 12.0. D’après les notes de version publiées par l’équipe, le logiciel serveur achève enfin les travaux de migration du modèle de données engagés un an plus tôt lors de la sortie de la précédente version majeure (la 10.11).

« L’un des changements majeurs concerne le stockage des listes de lecture et des collections. Auparavant, tous les éléments d’une liste de lecture étaient stockés dans une seule et même liste interne, et la base de données ne pouvait pas y accéder », décrit Cody Robibero, responsable de l’équipe core, serveur et plugins du projet :

« Chaque élément d’une liste de lecture correspond désormais à une ligne distincte. La base de données peut compter les lignes, afficher une seule page et ajouter ou supprimer un élément individuellement sans affecter les autres, ce qui représente une amélioration significative pour les listes de lecture volumineuses. »

Outre ces améliorations de performance, Jellyfin 12.0 passe à FFmpeg 8.1, traite maintenant les fichiers .ogg comme de l’audio, peaufine son ouverture à la gestion des livres et des bandes dessinées numériques (le plugin dédié, Bookshelf, est de ce fait maintenant déprécié) et sait désormais gérer proprement la présence de plusieurs fichiers pour un même épisode de série, comme il le faisait déjà pour les films.

Du côté des clients, l’interface « Modern » devient l’interface par défaut sur desktop ou mobile. Elle profite elle aussi de nombreuses optimisations. L’abandon du support TLS/SSL interne, programmé pour cette version 12, a quant à lui été repoussé à une échéance ultérieure.

Les notes de version complètes et les téléchargements sont disponibles sur GitHub pour le serveur et le client web. Une sauvegarde complète de la configuration existante est fortement recommandée avant d’appliquer la mise à jour, dont le processus va dépendre de la nature exacte de votre installation (paquet natif sur un NAS, conteneur Docker, etc.).

Cette mise à jour intervient alors que Plex a procédé cet été à une nouvelle hausse de tarifs, qui porte le prix de sa licence à vie à 690 euros.

Le chien de Pandore

Robots aspirateurs, tondeuses connectées, caméras, sonnettes, capteurs… le célèbre Internet des objets offre des possibilités fascinantes pour améliorer le confort du foyer au quotidien, mais il se gagne bien souvent au prix de compromis aussi inacceptables que passés sous silence en matière de sécurité et de vie privée. Le problème n’est toutefois pas inéluctable… pour peu qu’on s’en empare.

Si j’étais de mauvaise foi, je dirais que tout ça c’est la faute du chien, mais comme en vrai il n’y est pour rien, il vaut mieux que je vous explique. Il se trouve que dans la vraie vie, j’ai trois jeunes enfants très dynamiques, et depuis dix-huit mois environ, un chien. Un épagneul breton, pedigree SPA. Comme tous les épagneuls bretons, il est sympa, têtu et un brin hyperactif. C’est-à-dire qu’il pionce la moitié de la journée, mais quand il se réveille, il se transforme en tornade, et pour peu qu’une baie vitrée soit ouverte après la pluie, le parquet du salon se retrouve rapidement constellé de traces de patte.

Ajoutez à ça qu’il perd toute l’année autant de poils qu’un mammouth laineux en pleine mue, et vous comprendrez que mon sol intérieur n’est pas exactement d’une propreté clinique. Perso, j’ai un seuil de tolérance assez élevé et je trouve ce petit tapis de poils plutôt confortable sous les pieds, surtout en hiver, mais il se trouve que je partage ma vie avec quelqu’un d’un peu moins dilettante sur le sujet, et que certains enfants donnent des signes d’allergie. Accessoirement, il y a un consensus familial : tout le monde déteste passer le balai. Bref, la paix du ménage passe par l’achat d’un aspirateur robot.

Sur le principe, je n’ai rien contre. Il se trouve que cet été, j’ai déjà entrepris de connecter certains éléments de la maison, histoire de programmer l’ouverture des volets le matin, ou d’éteindre à distance les lumières laissées allumées par les enfants quand ils s’endorment le nez dans leur bouquin. Je fais ça via Home Assistant, qui tourne sur un petit serveur domestique, et comme je suis tombé dans un véritable rabbit hole, je serais ravi d’intégrer un aspirateur robot dans les automatisations en cours de construction.

Mais des principes, j’en ai quelques-uns. En matière de domotique, le premier d’entre eux consiste à protéger mordicus le caractère privé de mon foyer : tous mes équipements doivent fonctionner en local. Ça n’exclut pas des possibilités de contrôle à distance, notamment pour la sécurité, mais ces dernières doivent être strictement cantonnées aux deux adultes de la maison.

Control freak ?

Pourquoi ériger ça en principe cardinal ? Mettez ça sur le compte d’une déformation professionnelle. Sur Next et ailleurs, j’ai eu l’occasion de couvrir à de multiples reprises des incidents de sécurité impliquant des objets connectés, avec à chaque fois de graves implications potentielles en matière de vie privée. Le dernier exemple en date vient d’être publié : des failles de sécurité exposaient complètement la gamme de robots tondeuse Mammotion. Un peu plus tôt cette année, j’ai eu l’occasion de relater en détail la découverte de vulnérabilités béantes au niveau d’une infrastructure gérant des centaines de milliers de caméras IP et de babyphones connectés à l’échelle mondiale.

Impossible, faute de temps, de les traiter systématiquement, mais la rédaction voit passer presque toutes les semaines des alertes de sécurité relatives à des objets connectés du quotidien.

Le phénomène m’inquiète à au moins trois titres. Le premier, c’est qu’il concerne aussi bien les produits chinois premier prix que les appareils vendus à prix d’or par des marques renommées. Outre Mammotion, et ses tondeuses à 2 000 euros, vous avez peut-être vu passer en début d’année cette info selon laquelle un développeur a découvert presque par inadvertance qu’il pouvait prendre le contrôle à distance de près de 7 000 aspirateurs robots haut de gamme DJI.

Le deuxième motif d’inquiétude, c’est que les constructeurs concernés réagissent avec une diligence toute relative aux alertes. Si DJI a très vite corrigé les failles de ses robots en se coordonnant avec l’auteur de la découverte, d’autres lambinent, et mettent des semaines, voire des mois, à combler des failles pourtant béantes. L’examen des vulnérabilités en question participe de mes angoisses : on ne parle pas d’attaques sophistiquées, menées à grands coups de rootkits et de virus. Les portes sont souvent liées à des identifiants laissés en clair dans le code et à l’oubli de protections pourtant basiques dans le monde des réseaux.

Le troisième point découle du deuxième, en lien avec les possibilités offertes par l’IA. Je ne parle pas des Mythos, Fable, Atlas et autres modèles de pointe qui alimentent les discours ambigus des acteurs spécialisés en matière de cybersécurité. Non, je fais référence à un Claude ou ChatGPT courant qui, correctement interrogé, est capable en quelques prompts de disséquer le code d’une application mobile pour en identifier tous les éléments problématiques. Je dis ça en connaissance de cause, puisque je l’ai fait pour contrôler certaines des allégations relatives aux failles de sécurité mentionnées plus haut, ou pour vérifier l’histoire de ce prestataire des dispensaires de cannabis qui stockait en clair les pièces d’identité de ses clients…

Le piège de la simplicité

Dans la grande famille des objets connectés, plusieurs ont besoin de « voir » chez moi pour faire leur boulot, à commencer bien sûr par les caméras de vidéosurveillance. Les robots aspirateurs ou robots tondeuses s’y mettent aussi : pour mieux détecter leur environnement, les meubles ou les objets laissés au sol, ils s’appuient sur des batteries de capteurs, notamment optiques. Cette capacité est attendue, et bienvenue, mais elle s’accompagne d’une zone d’ombre : où sont opérés les traitements informatiques nécessaires à la détection de mouvement de la caméra, ou à l’analyse des objets observés par le robot aspirateur ?

La question n’est pas anodine. Comme beaucoup, j’ai attaqué le sujet de la vidéosurveillance chez moi avec une caméra IP Wi-Fi chopée à l’occasion d’une promo sur Internet il y a quelques années. Pour l’utiliser, je devais passer par l’application mobile du constructeur : c’est elle qui permet de recevoir les images ou les alertes à distance. Lors de l’installation, je suis passé rapidement sur les conditions d’utilisation et le parcours d’explications qui mentionnaient vaguement une possibilité de stockage dans le cloud, pressé que j’étais d’en tester le fonctionnement. C’est après coup, au moment de me connecter pour la première fois à distance à la caméra, que je me suis dit « hey, mais au fait, elles passent par où les images ? ».

Mon illumination est rhétorique : je sais très bien que ces images transitent par un serveur distant (le cloud du fabricant), qui gère ensuite l’envoi d’une alerte sur mon téléphone. Ce qui est moins évident en revanche, c’est ce qu’il advient des images ainsi envoyées : sont-elles stockées, analysées, utilisées à des fins d’entraînement, ou autre ? Et accessoirement, qui peut y accéder ? Compte tenu des nombreuses failles évoquées plus haut, il y a un risque, difficile à mesurer mais confirmé par l’expérience, que des images de mon intérieur circulent auprès de personnes malintentionnées. Bon, à la rigueur, s’il s’agit du portrait d’un cambrioleur ou de la langue pendante du chien, je m’en remettrai. Mais si ce sont mes enfants qui déclenchent la détection de mouvement, c’est une autre paire de manches. Exit la caméra premier prix.

Il se trouve que moi, comme bon nombre de lecteurs de Next sans doute, je suis sensibilisé à ces questions. Je suis aussi en mesure de circonvenir le problème. Je dispose chez moi de l’équipement nécessaire pour créer un réseau local privé, coupé d’Internet. Mes nouvelles caméras IP envoient désormais leurs images vers mon serveur domestique, sur lequel un logiciel déconnecté d’Internet, Frigate, réalise la détection de mouvement et peut, au besoin, déclencher via Home Assistant une alerte vers nos deux téléphones.

Pour un geek, cette configuration n’est pas particulièrement complexe (un routeur capable de gérer plusieurs réseaux locaux, des caméras choisies pour leur capacité à travailler en local, un serveur domestique chargé de coordonner l’ensemble), mais elle n’est pas triviale. D’abord parce qu’elle suppose une réflexion préalable, et quelques heures de paramétrage. Ensuite, parce qu’elle représente un investissement financier non négligeable, de l’ordre de quelques centaines d’euros.

Revenons-en à nos poils de chien

Revenons à nos moutons, ou plutôt à nos poils de chien. Ce n’est jamais expliqué très clairement dans les modes d’emploi, mais les aspirateurs robots fonctionnent un peu comme les caméras IP : ils disposent de commandes locales (les boutons physiques par exemple) et parfois d’intégrations dans des applications domotiques (Home Assistant, Apple HomeKit), mais le plus souvent, les fonctions avancées (détection d’objets, programmation pièce par pièce) ne sont accessibles qu’au travers de l’application mobile du fabricant, soi-disant parce qu’elles supposent des traitements réalisés à distance, sur ses propres infrastructures informatiques.

Qu’à cela ne tienne, je vais faire comme avec mes caméras : chercher un modèle d’aspirateur répondant à mes attentes (capacité à vider son bac à poussières à sa base, serpillière, gestion d’une programmation à distance pièce par pièce, cartographie de la maison pour optimiser le parcours, intégration dans Home Assistant pour éviter l’enfermement dans un écosystème propriétaire), mais avec un fonctionnement exclusivement en local, c’est-à-dire isolé d’Internet.

La démarche est aussi un enjeu de pérennité : s’il tourne uniquement en local, mon robot est à l’abri d’une éventuelle panne du cloud, ou d’une fermeture décidée arbitrairement par son fabricant (n’est-ce pas, les éditeurs de jeux vidéo ?).

Bref, deux-trois recherches sur Internet devraient bien me permettre de trouver ça ? Que nenni.

J’ai d’abord consulté quelques tests récents de médias tech, pour essayer d’isoler un ou deux robots considérés comme de bons rapports qualité-prix, sachant que je ne souhaite pas dépenser une somme à quatre chiffres pour une serpillière à roulettes. J’ai bien noté quelques références intéressantes saluées pour leur autonomie, leur aspiration ou leur gestion des obstacles, mais aucun des articles concernés n’abordait la question de la confidentialité. Seule exception : les tests et actus consacrés à l’entreprise états-unienne Matic, qui revendique une approche privacy first, mais ne distribue pas ses robots sur le Vieux Continent.

Je me suis donc tourné vers les forums et Reddit, où d’autres se sont déjà posé la même question. Et j’ai découvert, un peu surpris, qu’il n’y avait pas de solution évidente. Ou plutôt, pas de solution sans compromis.

Je vous la fais courte : la quasi-totalité des robots du marché qui disposent de fonctionnalités avancées imposent l’utilisation de l’application dédiée, et donc l’exploitation de données dans le cloud. Les fabricants présentent généralement ça comme une nécessité technique, et assurent offrir des garanties de pseudonymisation, voire des flux chiffrés, mais ils refusent que l’on coupe le cordon.

À défaut, le robot est limité à des fonctions de base (qui peuvent se révéler suffisantes mais ne répondent pas à mes attentes). Certains modèles récents affichent une compatibilité avec la norme Matter pour permettre un contrôle local natif plus étendu, en Wi-Fi ou en Thread, mais là aussi le niveau de contrôle reste limité.

Pour celui ou celle qui voudrait aller plus loin, la voie la plus complète, mais aussi la plus complexe, consiste à rooter l’appareil (remplacer son logiciel par une alternative non officielle). Plusieurs modèles courants (Dreame, Ecovacs, Roborock, Eureka) peuvent être déverrouillés au moyen du firmware Valetudo, mais la manipulation revêt plus ou moins de complexité selon les robots.

Pour certains, un simple flash via un PC sous Linux suffit. Pour d’autres, il faut intervenir physiquement sur la carte mère et donc rompre les scellés de garantie. Il y a quelque chose d’assez satisfaisant dans le fait de voir qu’une initiative particulière permet de court-circuiter le verrouillage orchestré par toute une industrie, mais celle-ci n’est valable que sur certains modèles (et parfois même uniquement sur certaines générations d’un modèle donné), et la manipulation a de quoi refroidir bon nombre d’utilisateurs néophytes.

Si l’on écarte cette piste « expert », l’acquéreur potentiel de robot aspirateur se retrouve confronté à trois choix : accepter de laisser ses données circuler vers un cloud extérieur, tirer un trait sur une partie des fonctionnalités associées, ou tout simplement continuer à passer l’aspirateur à la main. En ces temps qui imposent de réfléchir à l’impact environnemental de la tech, la dernière n’est probablement pas la plus mauvaise des solutions.

Reste que si l’on souhaite tout de même s’équiper, l’industrie nous place face à un choix cornélien : fonctions avancées ou vie privée ? De mon côté, je sais que je ne transigerai pas. Je me prépare donc soit à chercher un robot à prix raisonnable susceptible de passer par la case Valetudo, soit à compromettre les relations diplomatiques familiales en opposant mon veto au robot.

De la nécessité d’informer correctement

Chacun prend bien les risques qu’il souhaite, tant qu’il les a correctement soupesés. Avant de m’équiper plus sérieusement, j’ai utilisé pendant quelques semaines mes caméras connectées avec la Chine, parce qu’elles me rendaient un service dont j’estimais avoir besoin, mais je l’ai fait de façon précautionneuse, en veillant à n’activer les appareils que quand la maison était vide de tout occupant.

Ce qui m’ennuie, et motive en réalité ce long laïus, ce sont tous les utilisateurs d’objets connectés qui acceptent tacitement d’exposer leur vie privée à un risque parce qu’on ne leur a pas expliqué la nature du risque en question. J’ai posé quelques questions naïves à des gens de mon entourage ces dernières semaines, en mode : « Au fait, tu es sûr que c’est sécurisé ton robot ? Il a quand même une caméra et des fonctions qui permettent d’en prendre le contrôle à distance ? ». Dans certains cas, j’ai eu droit à des retours de type : « Ho ben oui, l’application est sur mon téléphone protégé par mot de passe, donc c’est sûr ».

Mauvaise réponse :/

La situation n’a cependant rien d’inéluctable.

Du côté des particuliers, il me semble primordial de sensibiliser sans relâche sur le sujet, et c’est bien sûr l’objectif premier de cet édito. Je prêche probablement des convaincus parmi les lecteurs assidus de Next, mais puisse ce texte contribuer à informer des internautes moins au fait des subtilités techniques de nos objets connectés.

Je profite de l’occasion pour en appeler à mes consœurs et confrères de la presse : bon nombre de médias consacrent d’innombrables news, tests et bons plans relatifs aux aspirateurs robots. Pourquoi ne pas intégrer à vos revues un paragraphe et des éléments de notation spécifiques au respect de la vie privée et à la confidentialité des données ? Vos tests y gagneraient en qualité, et n’y perdraient probablement pas tant que ça en conversion vers des liens affiliés.

Le dernier message s’adresse aux fabricants, avec un premier appel évident : quand allez-vous enfin prendre le mors aux dents et faire une passe complète d’audits sur vos outils afin d’en améliorer la sécurité ? Au-delà de cette simple mesure de bon sens, vous avez une carte à jouer en proposant des produits intelligents, mais véritablement respectueux de la vie privée. Plutôt que de simplement respecter a minima les exigences du RGPD ou du futur Cyber Resilience Act (CRA), faites de la confidentialité un argument commercial.

Si vous ne le faites pas pour vous, faites-le pour la paix de mon ménage !

Extinction du domaine de la lutte

Onze jours après avoir été désigné comme organisation terroriste par l’administration Trump, le collectif hacktiviste d’origine italienne Autistici/Inventati a annoncé mettre un terme à ses activités. Il explique ne plus pouvoir garantir la sécurité de ses membres, mais aussi des utilisateurs de ses services de messagerie ou d’hébergement, qui fermeront bientôt. Dans toute l’Europe, associations et mouvements en faveur des libertés numériques alertent sur cette attaque sans précédent contre un hébergeur alternatif.

Autistici/Inventati (A/I) baisse le rideau. Le collectif, né en Italie, désigné le 26 août dernier comme organisation terroriste par l’administration Trump, affirme ne pas pouvoir être en mesure de garantir la sécurité de ses membres, mais aussi des utilisateurs de ses services. « A/I ferme ses portes. Le collectif Autistici/Inventati cesse ses activités et interrompra prochainement tous les services qu’il propose », explique-t-il dans un billet daté du 6 septembre.

• Les US désignent les hacktivistes d’Autistici/Inventati comme organisation terroriste

Un revirement soudain

Depuis le 26 août, il affichait pourtant sa volonté de résister face à cette désignation, qui a entraîné le gel, via DNS, du nom de domaine de son site principal, autistici.org, puis la suspension de son compte PayPal, et la résiliation des services financiers que lui prodiguait sa banque italienne, Banca Etica.

Le 2 septembre, Autistici/Inventati avait ainsi lancé un nouveau site, keepitfree.ai, pensé spécifiquement pour servir de point de liaison entre le collectif, ses utilisateurs et ses soutiens. Il y rappelait que même si A/I ne peut pas être qualifié de structure « neutre », en raison de son orientation idéologique assumée, la structure n’avait jamais été condamnée pour un quelconque crime, que ce soit aux États-Unis ou en Italie.

Quatre jours plus tard, changement de ton. « La possibilité que notre travail puisse avoir des conséquences juridiques et financières pour nos proches – ou même pour ceux qui ont simplement un lien avec nous – ne nous laisse pas le choix. Chaque jour passé en ligne après le 26 août 2026 a été une victoire, mais nous sommes maintenant contraints d’arrêter », écrit A/I dans le billet qui annonce sa dissolution.

Le collectif annonce dans le même temps la fermeture prochaine de ses services, à commencer par la messagerie autistici.org et la plateforme noblogs.org, et suggère à leurs utilisateurs de prendre les devants en sauvegardant leurs données :

« Nous vous enverrons prochainement des instructions pour sauvegarder le contenu de vos blogs, boîtes mail et sites web, ainsi que des recommandations plus techniques. Cependant, gardez à l’esprit que, tout comme le domaine autistici.org est devenu inaccessible sans préavis, nous pourrions rencontrer des problèmes similaires et imprévisibles dans les prochains jours. »

De nombreux soutiens affichés

L’annonce de la disparition d’A/I intervient alors que de nombreuses structures, associations et collectifs engagés en faveur de la liberté d’expression sur Internet, ont affiché leur soutien explicite. Outre la lettre ouverte de Sabot Media cosignée par Framasoft et la Quadrature du Net entre le 31 août et le 1^er septembre, une trentaine d’organisations ont donné de la voix au travers d’une tribune publiée le 3 septembre par le réseau European Digital Rights (EDRi).

Tous dénoncent une attaque d’une gravité sans précédent contre le principe même de neutralité des infrastructures, et le risque que fait peser la sanction des États-Unis sur tous les fournisseurs de services alternatifs aux acteurs commerciaux dominants.

« Cette décision déplace la responsabilité des actes commis par les hébergés sur les hébergeurs. Et quand la menace qu’on fait peser sur toi est celle d’être qualifié d’organisation terroriste internationale, ce n’est pas la même chose qu’une fermeture administrative, ou qu’une réquisition de la police. Ici, la sanction est d’une violence extrême », analyse Pierre-Yves Gosset, coordinateur des services numériques de l’association Framasoft, initiatrice du Collectif des hébergeurs alternatifs, transparents, ouverts et solidaires (Chatons).

Le renoncement d’A/I parait, dans ce contexte, compréhensible. « Même si tu restes vindicatif, c’est difficile de te dire que tu vas te battre avec des cure-dents contre un porte-avion. Le rapport de force qui se met en place, une fois désigné comme organisation terroriste internationale, est intenable, donc il vaut sans doute mieux jouer la fluidité, quitte à renaître ailleurs », estime Pierre-Yves Gosset, qui rappelle les conséquences de la vindicte états-unienne sur la vie personnelle et la famille du juge Guillou, littéralement coupé de tout un pan de sa vie numérique en raison d’un décret signé par Donald Trump.

• Vassalisation de l’Europe : le numérique est « une infrastructure de pouvoir »

Outre le coup de boutoir frontal que constitue cette désignation comme organisation terroriste internationale, A/I subit également des assauts par la bande. Fin août, le collectif indiquait que sa plateforme noblogs.org, notoirement connue pour héberger des blogs de mouvements antifa parfois adeptes de la désobéissance civile, avait fait l’objet d’attaques informatiques, qui s’étaient traduites par le défaçage, pendant quelques heures, de sa page d’accueil.

Prévenir l’hypothèse du kill switch

Quelques jours plus tard (et sans qu’un lien direct avec la cyberattaque ait été établi), le site militant pro-Trump Datarepublican a publié une cartographie des 7 673 sites hébergés par noblogs. « NoBlogs, la tristement célèbre infrastructure antifa mondiale, sera fermée. Mais n’ayez crainte, les autorités détiennent tout le contenu, et nous le conserverons en mémoire sur TrumpBlogs », ironise sur X l’instigatrice de la plateforme.

Qu’adviendra-t-il des utilisateurs des services opérés jusqu’ici par A/I ? L’ONG norvégienne Electronic Forpost Norge (EFN) a annoncé dimanche qu’elle reprendrait une partie de l’infrastructure précédemment gérée par le collectif d’origine italienne. Les autres internautes qui cherchent des moyens de communication garantissant l’anonymat, ou l’alternative aux grands outils états-uniens, devront quant à eux trouver une nouvelle crèmerie, peut-être moins facilement identifiable que ne l’était A/I, dont les 25 ans d’histoire ont été émaillés de quelques coups d’éclat.

L’action contre Autistici/Inventati fait quoi qu’il en soit peser un risque nouveau sur les hébergeurs alternatifs qui, même sans afficher de coloration politique particulière, prennent le précédent très au sérieux. « C’est peut-être le point positif de cette histoire. Elle nous oblige à nous poser des questions, à réévaluer notre modèle de menaces et à anticiper la façon dont on répondrait si on était concernés », remarque Pierre-Yves Gosset.

• Tensions sur le Groenland : et si Trump coupait le robinet de la tech US ?

Christine de Stephen King, version tondeuse à gazon

Trois chercheurs indépendants en cybersécurité ont découvert 14 failles de sécurité critiques au sein de l’infrastructure qui sous-tend le fonctionnement des robots tondeuses Mammotion. Elles exposaient potentiellement jusqu’à 337 000 comptes utilisateurs, ouvraient l’accès aux infos des réseaux connectés, et permettaient accessoirement la prise de contrôle à distance.

Un gazon sans doute coupé au cordeau, mais une véritable porte ouverte sur le jardin. Trois chercheurs en cybersécurité se sont penchés sur l’application mobile fournie par Mammotion pour le pilotage de ses robots tondeuses.

Ils y ont découvert comment accéder en seulement deux requêtes à un compte admin branché sur l’infrastructure cloud qui en sous tend les fonctions connectées. De là, les failles se sont enchaînées, jusqu’à représenter un total de 14 vulnérabilités, présentées dans un rapport dédié.

Des robots ouverts aux quatre vents

À l’appui de leurs travaux, les trois chercheurs, Sammy Azdoufal (@n0tsa), Andreas Makris (@Bin4ryDigit) et Kevin Finisterre (@d0tslash), ont réalisé une attaque par piratage de compte sur un robot tondeuse détenu en propre. Ils revendiquent une prise de contrôle quasi totale, avec possibilité de piloter le robot à distance et visualiser les images transmises par la caméra.

S’ils affirment ne pas avoir avoir parcouru l’ensemble des services cloud exposés, ils donnent un aperçu de la surface potentielle de l’attaque, estimée à 337 000 comptes utilisateurs énumérables sans authentification, répartis sur quatre serveurs régionaux, dont un serveur EU servant 85 pays, avec une « forte concentration en Allemagne, France et Suède ». Sammy Azdoufal, qui avait déjà mis au jour les failles de sécurité béantes des babyphones et caméras IP Meari et dix CVE dans des produits connectés Aqara, précise à Next qu’environ 49 000 comptes correspondent à des utilisateurs français.

Pour chaque appareil, l’accès découvert donnait selon eux la possibilité d’interroger le robot à distance et d’en faire remonter, sans vérification de propriété, les informations réseau telles que les coordonnées GPS, l’adresse IP sur le réseau local, l’adresse MAC, ou l’IMEI de la connexion mobile, mais aussi le SSID du Wi-Fi domestique, et le numéro IMSI de la carte SIM utilisée pour les communications en cas d’absence de Wi-Fi.

Les chercheurs affirment par ailleurs avoir pu énumérer 46 785 stations RTK dont les clés de chiffrement RSA-2048 étaient récupérables sans vérification de propriété. Ces stations sont un accessoire commercialisé par Mammotion (et d’autres fabricants) pour offrir une référence de positionnement plus précise que celle du GPS et donc améliorer la capacité du robot tondeuse à s’orienter dans le jardin ou respecter les instructions de tonte.

« La flotte RTK européenne de Mammotion fonctionne avec des cartes SIM M2M d’Orange France. Chaque station de base équipée d’un module 4G (IMSI 208012xxxxxxx) transmet des données d’identité cellulaire à tout utilisateur authentifié de l’application », affirment à ce sujet les chercheurs.

Si les données GPS d’un robot individuel suffisent pour localiser son emplacement, les chercheurs suggèrent, sans l’affirmer explicitement, que l’exposition de cette infrastructure de communication mobile ouvrait la voie à des attaques à plus grande échelle.

Une communication assez limitée

La première et peut-être la plus inquiétante découverte tient à la façon dont les chercheurs ont pu accéder au cloud de Mammotion. D’après leur rapport, le fabricant référençait dans son application un endpoint (un point de terminaison pour se connecter à l’infra) lié à son serveur situé en Chine qui retournait, sans authentification ou token préalable, un mot de passe à usage unique (on parle de code OTP, pour One-Time Password), qui en réalité n’expirait pas.

Ce code à usage unique est lié à la récupération en cas de mot de passe oublié. Pour un utilisateur lambda, il faut en principe une demande de réinitialisation pour que ce code soit généré, puis reconnu au niveau du endpoint. « Pour admin@mammotion.com, la situation était différente. L’administrateur n’avait apparemment jamais déclenché sa propre procédure de mot de passe oublié ; son code OTP enregistré n’avait donc ni durée de vie ni renouvellement. Il était juste là », décrivent les trois auteurs, avant de résumer : « Deux requêtes HTTP non authentifiées et vous possédez le compte administrateur Mammotion ».

Le dépôt GitHub créé pour l’occasion liste également les échanges par écrit entre les trois chercheurs et les services techniques de Mammotion. La conversation achoppe principalement sur des questions de forme, peut-être motivées par le passif de Kevin Finisterre avec la marque, quelques années plus tôt. Ce dernier s’était en effet inquiété de voir un service SSH tourner sur son robot, et avait donc demandé à la marque le mot de passe permettant de s’y connecter pour investiguer le sujet. Il s’était vu opposer une fin de non recevoir.

D’après la transcription publiée dans ce rapport, Mammotion indique avoir pris en compte les remarques des chercheurs et implémenté des « mesures de protection » adaptées. Affirmant travailler avec des institutions externes dédiées à la sécurité, elle a en revanche refusé d’ouvrir un canal technique avec les intéressés qui réclamaient la mise en place d’un processus de divulgation responsable. Elle ne livre par ailleurs aucune réponse sur le fond, mais a tout de même fini par corriger les failles les plus sérieuses. C’est ce constat qui a conduit les trois auteurs à publier leur rapport, daté du 21 août et mis en ligne sur GitHub le 24 août dernier.

Leurs conclusions relèvent d’ailleurs que trois problèmes restent en suspens : un secret codé en dur dans un élément JavaScript public, un processus d’auto-enregistrement de clients avec une adresse de redirection arbitraire ouvrant, par exemple, la voie à des tentatives de phishing, et des sous domaines internes résolus via des DNS publics.

Sur sa page de support, Mammotion s’engage à assurer des mises à jour de sécurité continues pour tous ses produits pendant les cinq ans qui suivent leur mise sur le marché. Contactée par nos soins le 24 août et relancée depuis, l’entreprise n’a pas répondu à nos questions.

Troisième sortie en seulement six semaines pour Google : la firme de Mountain View vient en effet de déployer la version 3.8 de son modèle Gemini Flash, la famille censée offrir le meilleur rapport entre rapidité et coût de traitement des requêtes. Cette nouvelle mouture succède aux versions 3.6 et 3.7, mises en ligne à trois semaines d’intervalle.

Gemini 3.8 Flash est présenté comme le meilleur workhorse model de Google, c’est-à-dire un modèle dédié à des tâches utilitaires. Et d’après les benchmarks publiés par l’entreprise, il tiendrait la route face à des modèles dits frontière. Elle revendique ainsi un score de 73,7 % sur le test DeepSWE, qui mesure les performances en développement logiciel avancé, contre 74 % pour Opus 5 chez Anthropic et 72,7 % chez OpenAI avec GPT-5.6 Sol.

En développement agentique (missions de code autonomes dans le terminal), Gemini 3.8 Flash se paierait même le luxe de dépasser d’un cheveu Opus 5. Google revendique également des performances en hausse sur les tâches liées à la finance, au monde du droit, à l’interprétation de documents complexes (principalement scientifiques) ou à la recherche en biologie.

Sur les tâches complexes impliquant du raisonnement ou une subdivision, Google prévient toutefois que le gain de performances promis avec Gemini 3.8 Flash se fait au prix d’une consommation plus élevée de tokens :

« Ces gains de performance découlent d’un choix de conception fondamental : Flash 3.8 travaille davantage. Sur les tâches complexes, il fait preuve d’une plus grande rigueur, en exécutant des étapes de raisonnement supplémentaires et en appelant les outils de manière itérative. Le modèle peut parfois utiliser plus de jetons pour optimiser les performances, notamment lorsque le niveau d’effort est élevé. »

Gemini 3.8 Flash est dès à présent disponible au travers des canaux courants d’IA chez Google, en API ou au travers de l’application Gemini pour les souscripteurs d’un forfait Google AI Pro ou Ultra. Pour ces derniers, c’est également lui qui sous-tend les Aperçus IA intégrés par le moteur à ses résultats de recherche.

Google affiche une tarification agressive pour le lancement, avec 0,75 dollar par million de tokens en entrée et 3,75 dollars par million de tokens en sortie. Ce prix n’est cependant valable que jusqu’au 31 décembre, date à laquelle la facturation se fera sur une base fixée à 1,50 / 7,50 dollars par million de tokens.

Google déploie dans le même temps la variante Cyber de son nouveau modèle, dotée de capacités spécifiques au monde de la cybersécurité. L’accès à ce dernier est cependant réservé aux organisations et entreprises enregistrées dans le programme Fairwind.

Tous dans la même passoire

L’ancien journaliste spécialisé dans la cybersécurité Bryan Krebs raconte comment il a découvert un service illégal donnant accès à la bagatelle de 153 millions de permis de conduire enregistrés aux États-Unis et au Canada. Ses recherches indiquent que les données semblent avoir été extraites depuis les systèmes d’un prestataire spécialisé dans la vérification d’identité. Le FBI a lancé une enquête.

N’en déplaise aux Cassandre, voilà une découverte qui rappelle que la problématique des fuites de données n’est pas exclusive à la France. Bryan Krebs, ancien journaliste reconverti dans le conseil en cybersécurité, vient ainsi de raconter comment il a découvert la mise à disposition, via un outil dédié baptisé Nexus, d’un jeu de données revendiquant quelque 170 millions de documents d’identité provenant des États-Unis et du Canada. L’outil était mis à disposition au travers d’un forum russe dédié à la revente de données, et semble avoir été placé hors ligne suite à la divulgation de son existence.

Un guichet ouvert sur 153 millions de permis de conduire

Krebs explique avoir été alerté lundi 31 août par une source qui, pour faire bonne mesure, lui a transmis une capture d’écran des informations relatives à son propre permis de conduire. Dans la foulée, il accède à l’outil. D’après les résultats de recherche retournés par ce dernier, la base de données afférente listait donc 153 millions de permis de conduire, mais aussi 10 millions de cartes d’identité, près de 2 millions de documents de voyage, et près de 600 000 cartes médicales.

Le chercheur remarque, au fil de ses investigations, que les compteurs ne cessent de s’incrémenter, ce qui laisse supposer une base alimentée en continu, et donc une source de données qui ne s’est pas tarie. Il affirme ainsi avoir constaté l’ajout de 400 000 nouveaux permis de conduire sur une fenêtre de 24 heures.

Une dynamique confirmée par les auteurs de l’outil. Sur l’annonce qui présente leurs services, ils affirment ainsi : « Depuis plus d’un an, nous enrichissons continuellement notre base de données privée avec de nouvelles données », selon les propos rapportés par Krebs.

D’où viennent les données en question ? L’ancien journaliste indique avoir sollicité douze de ses contacts en leur demandant l’autorisation de vérifier si leurs documents figuraient dans la base. La recherche a retourné des résultats positifs pour neuf d’entre eux.

Après recoupements, Bryan Krebs associe la présence de leurs documents à des voyages récents, et notamment à des locations de voiture chez Hertz, mais pas uniquement. C’est le cas par exemple d’un autre chercheur en cybersécurité alerté par ses soins, selon qui les captures visibles via Nexus et l’horodatage associé correspondent à une location de voiture lors de vacances récentes. Zach Edwards, un autre chercheur en cybersécurité sur lequel Krebs a mené une recherche fructueuse, indique n’avoir fourni son permis de conduire qu’à l’enregistrement dans un hôtel de Las Vegas et à l’entrée d’un dispensaire de cannabis à l’occasion d’un déplacement à la Defcon.

Identifier le single point of failure

De fil en aiguille, Bryan Krebs trouve le point commun aux différents services concernés : un prestataire états-unien spécialisé dans la vérification d’identité, IDScan, qui se présente comme le leader dans la lutte contre la fraude aux fausses pièces d’identité, et revendique une longue liste de clients, dont Hertz et la chaîne de dispensaires concernée, mais aussi FedEx, plusieurs constructeurs automobiles, Shell et sans doute d’autres acteurs du monde du transport dont le nom reste confidentiel. Contactée par ses soins, l’entreprise n’a pour l’instant pas commenté ou confirmé la possibilité d’une fuite de données.

Le sujet a, quoi qu’il en soit, très vite attiré l’attention du FBI. Bryan Krebs raconte avoir été ajouté à une conférence téléphonique avec plusieurs agents spécialisés dans la cybercriminalité du Bureau. « Ils ont probablement été mis au courant lorsque j’ai révélé à une source fiable que Nexus vendait également les informations relatives au permis de conduire du directeur adjoint du FBI (je n’ai pas trouvé le permis de conduire du directeur du FBI, Kash Patel, sur Nexus) », glisse-t-il.

Reste à voir quelle sera la réponse apportée par ID Scan, et sous quel délai l’accès temps réel aux données sera coupé ? Un commentaire laissé sous le billet de Krebs laisse entendre que l’entreprise a commencé à alerter ses clients entreprise mercredi 2 septembre, sans qu’il soit possible à ce stade de vérifier la légitimité du message.

• Cannabis clubs et coffee shops : 1 million de pièces d’identité exposées sur Internet

Ubisoft se prépare à introduire de nouveaux modes de jeu classés (ranked) au sein de For Honor, son champ de bataille virtuel dans lequel on peut gaiement s’étriper à grands coups de masse d’armes. La nouvelle est à première vue plutôt bonne pour les adeptes de ce titre sorti en 2017, puisqu’elle montre que l’éditeur continue à entretenir la flamme.

Elle s’accompagne toutefois d’un changement qui risque de faire grincer quelques dents : à compter du 10 septembre, date du lancement de la saison associée à ces modes classés, le titre ne sera plus jouable sur Linux et, par extension, sur le Steam Deck de Valve (dont l’OS exploite une base Arch).

Ubisoft s’en explique de la façon suivante :

« Afin de garantir un environnement compétitif équitable, l’équipe met en place des mesures de sécurité supplémentaires pour les joueurs. Nous retirons For Honor de la plateforme Linux pour assurer un environnement plus sûr, car il nous est impossible d’y déployer une protection efficace. Par conséquent, For Honor ne sera plus jouable sur Steam Deck à partir du 10 septembre. Nous continuons d’explorer différentes pistes pour améliorer notre système anti-triche, avec la possibilité de rouvrir la plateforme ultérieurement. »

L’éditeur ne donne pas de détails techniques précis, mais il invoque donc l’objectif de lutte contre la triche pour justifier cette décision. For Honor était compatible avec Linux depuis 2023, suite à l’adaptation deux ans plus tôt par Epic de son logiciel anti-triche, Easy Anti-Cheat pour assurer le support des trois environnements courants (Windows, macOS et Linux). Sur Reddit, la communauté For Honor a accueilli la nouvelle en des termes que la décence nous interdit de reproduire.

La décision d’Ubisoft semble particulièrement à contre-courant de la tendance générale, alors que la rumeur murmure qu’EA travaille à l’adaptation de son propre anti-cheat, Javelin, pour Linux, et qu’Epic prépare l’arrivée de son propre Store sur le système d’exploitation libre.