Et tant pis pour l'adaptation climatique

Malgré les dispositions de la directive relative à l’efficacité énergétique, un consortium de journalistes démontre l’incapacité, voire la mauvaise volonté de la Commission européenne et des États membres à faire la transparence sur les impacts environnementaux des centres de données. Lighthouse Reports se tourne désormais vers la Convention d’Aarhus, qui impose des obligations juridiques de transparence à ses signataires.

Quel est l’impact environnemental des centres de données installés en Europe ? La question est répétée, de manière lancinante, auprès des opérateurs européens ou internationaux, auprès des géants numériques qui multiplient les projets, y compris en France : en Alsace, dans le Centre Val-De-Loire, en Seine-et-Marne, auprès des administrations.

Et, quand bien même les règlements européens prévoient que les centres de données envoient les données relatives à leur usage en eau, en électricité, leur recours aux énergies renouvelables ou leur réutilisation de chaleur fatale à la Commission européenne, seulement 36 % les transmettent effectivement. Comme Next le détaillait récemment, sur ces données finalement récupérées, seulement 70,1 % sont jugées fiables. Ne parlons même pas des bilans volontaires des géants du Net qui ne sont loin de donner toutes les informations importantes et contiennent en plus des erreurs.

Alors que l’Europe vient de proposer officiellement un barème de notation des centres de données de A à G, en fonction de leurs impacts, le consortium Investigate Europe révélait au mois d’avril que les pratiques de confidentialité adoptées par Bruxelles correspondent directement aux demandes formulées par Microsoft et Digital Europe, le lobby du numérique dont Meta, CapGemini, NVIDIA et Google comptent parmi les membres.

Pour obtenir malgré tout des informations plus précises, un autre consortium d’investigation, Lighthouse Reports, s’est tourné vers la justice. Au fil de plusieurs mois d’enquête, celui-ci constate, dans les pages de Mediapart, d’El Confidencial, d’Il Manifesto et d’autres médias européens, qu’un voile de silence s’oppose à la publication d’informations précises sur les impacts environnementaux des centres de données.

• UE : la Commission a copié/collé les lobbys pour cacher les données sur les datacenters

Face aux refus d’accéder aux demandes d’information, la Convention d’Aarhus

Son réseau d’enquêteurs a soumis des demandes d’accès aux documents administratifs des 27 États membres pour demander la publication des informations relatives à tous les indicateurs prévus par la directive relative à l’efficacité énergétique (DEE).

Ce texte a été révisé en septembre 2023, moins d’un an après le lancement public de ChatGPT (OpenAI), à peine six mois après celui de Claude (Anthropic). C’est en vertu de ces dispositions que les citoyennes et citoyens européens peuvent demander l’accès aux données relatives à la consommation énergétique et d’eau des centres de données, à leurs émissions de chaleur fatale, à l’énergie nécessaire pour refroidir les bâtiments, au type de réfrigérants et de systèmes d’air conditionné utilisés, etc.

• Datacenters : 0,1 % de la chaleur fatale réutilisée en France, moins de 2 % en Europe

En octobre 2025, alors qu’un rapport technique de la Commission décrivait le reporting et la transparence des consommations énergétiques comme « fondamentalement important pour l’estimation correcte de la soutenabilité », Lighthouse reports indique avoir constaté un refus global de transmettre ces éléments.

Dans un courrier échangé avec la Commission, la Slovénie indique par exemple n’avoir « rien reçu » et demande conseil sur la manière de faire. Au total, dix pays indiquent ne pas disposer des informations en question – ce qui signifie qu’ils ne contrôlent pas les impacts environnementaux des centres de données de leur territoire.

Et si plusieurs pays, dont la France, voient leurs commissions chargées de la transparence rendre des avis positifs sur la diffusion de ces informations, plusieurs entreprises citent le secret des affaires pour éviter de les partager.

Faute de meilleur résultat, de la part des États membres comme de la Commission, Lighthouse Reports a entrepris d’interroger le comité de conformité à la Convention d’Aarhus. Signé en 1998, ce traité international garantit en effet que le public accède aux informations environnementales.

Données environnementales contre protection des intérêts commerciaux

En France, l’entité chargée de collecter et de transmettre ces données à la Commission européenne est l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep). Auprès de Mediapart, le ministère de la Transition écologique n’en souligne pas moins la nécessaire « mise en balance » à effectuer entre l’intérêt de diffuser les informations environnementales relatives à ces établissements et la « protection des intérêts commerciaux ainsi que la confidentialité des informations des exploitants ».

• Datacenters : l’Europe agite son barème de A à G… sans avoir toutes les copies

Concrètement, cela signifie que l’Arcep peut fournir les « données relatives aux performances énergétiques et environnementales », mais pas les informations administratives qui permettraient de les relier aux bons bâtiments. En l’espèce, le journal français indique avoir finalement reçu un tableau de « près de 163 lignes et 28 colonnes », mais dont « tous les indicateurs sont mélangés, selon un ordre aléatoire ». Impossible, dans ces conditions, d’attribuer correctement les impacts énergétiques, de température ou de consommation d’eau.

Cette logique kafkaïenne est d’ailleurs loin de ne concerner que les médias : présidente du groupe Les Écologistes à l’Assemblée nationale, rapporteur de la commission d’enquête parlementaire sur les vulnérabilités du système numérique, Cyrielle Chatelain indique avoir elle aussi eu maille à partir avec le secret des affaires. Citant les commandes réalisées par les administrations auprès de fournisseurs états-uniens comme Microsoft ou Oracle, elle qualifie la situation de « délirante », dans la mesure où il devient impossible de publier des informations relatives à l’usage de l’argent public.

Dans les autres pays, la situation n’est pas meilleure : l’Allemagne a ainsi mis neuf mois avant d’envoyer sa réponse, qui renvoyait les journalistes vers une base de données publique, par ailleurs incomplète. L’Italie a déclaré ne pas disposer des éléments demandés, quand bien même le pays les avait transmis à Bruxelles. Aux Pays-Bas, l’Agence néerlandaise des entreprises, chargée de collecter les informations, a transmis une liste de 104 bâtiments, alors que l’association locale des data centers déclarait compter 185 centres de données commerciaux d’une capacité de 500 kW minimum sur le territoire.

« Nous ne pensons pas que ce mur de silence soit le fruit du hasard, écrit Lighthouse Reports dans le mémoire soumis ce 28 septembre à la commission de la transparence de la Convention d’Aarhus. Au contraire, on observe chez les décideurs politiques de toute l’Union européenne une volonté claire et constante de nier ou d’entraver l’accès aux informations relatives aux performances des centres de données et à leurs impacts environnementaux, et d’en brouiller la compréhension. » Depuis 2023, relève le consortium d’enquêteurs, le budget du principal lobby des centres de données en Europe, la European Data Centre Association, a été multiplié par huit.

Alors qu’au début des années 2020, l’essentiel des géants numériques avaient pris des engagements pour lutter contre leurs impacts environnementaux, six ans et une vague de l’IA plus tard, même les financiers des sociétés spécialisées dans les technologies climatiques ne s’en cachent plus : « la décarbonation est morte ». C’est du moins ce qu’a lancé Sophie Purdom, fondatrice de la société de capital-risque Planeteer, au Wall Street Journal. Plutôt que de se concentrer sur le financement de solutions dédiées à lutter contre les émissions carbone, son secteur se focalise, lui aussi, sur l’IA. Autrement dit, dans ce cas précis : sur les manières de fournir son infrastructure, en particulier les centres de données, en énergie.

À Cannes, lors du sommet DataCloud qui réunissait les pontes de l’industrie des centres de données, le PDG de la société américaine QTS DataCenter, Thomas Greason, s’est de son côté moqué des « hommes des cavernes » (« Citizens against virtually everything », dont les initiales forment, en anglais, le mot CAVE, caverne). L’idée : faire passer les citoyens qui seraient « contre tout », et surtout contre les data centers, pour des gens du passé.

• Face aux projets de centres de données, des résistances s’organisent

"They're not loot boxes, they're surprise mechanics"

Placé sous l’égide de Bruxelles, le réseau européen des autorités nationales de protection des consommateurs lance une série d’actions coordonnées contre dix éditeurs de jeux vidéo dont Blizzard, Ubisoft, Riot et Supercell. Elles ciblent principalement les monnaies virtuelles et cherchent à aboutir à l’application de principes tels que la transparence sur les prix, le respect du droit de rétractation ou la protection des joueurs vulnérables.

Après les tentatives de persuasion et les guides de bonnes pratiques, place à des démarches plus vindicatives : le réseau de coopération en matière de protection des consommateurs (CPC), coordonné par la Commission européenne, a annoncé mercredi le lancement d’une série d’actions coordonnées visant à assainir les pratiques des éditeurs de jeux vidéo en matière de monnaies virtuelles.

Une action coordonnée pour assainir les pratiques

Le réseau CPC rappelle qu’il a déjà tenté d’initier un échange avec les éditeurs de jeux vidéo au sujet des monnaies virtuelles. À cette fin et en parallèle d’une action déjà engagée contre l’éditeur du jeu Star Stable Online (simulateur d’équitation), il avait notamment publié au printemps 2025 un guide des « principes clés des monnaies virtuelles dans les jeux ».

Problème : selon le réseau CPC, « le dialogue n’a pas donné de résultats satisfaisants », ce qui a conduit ses membres à analyser les pratiques des éditeurs en la matière. Il en tire une liste de jeux qui devraient, selon lui, faire l’objet d’une évaluation plus approfondie. Sur cette base, le réseau annonce l’ouverture d’actions contre neuf éditeurs, chacun d’entre eux étant visé pour au moins un jeu.

Dans le lot figurent Riot Games (Valorant), Mojang (Minecraft), Ubisoft (For Honor), King.com (Candy Crush), Supercell (Clash of Clans), Crytek (Hunt : Showdown 1896), InnoGames (Forge of Empires), Plarium Europe (Mech Arena) et PLR Worldwide Sales (Gardenscapes).

Le réseau CPC indique par ailleurs mener une action spécifique à l’encontre d’Activision Blizzard (via sa filiale britannique) « afin de garantir le respect de la législation de l’UE en matière de protection des consommateurs dans les jeux Diablo Immortal et Call of Duty Mobile ».

Ces actions visent, selon le réseau CPC, à garantir l’application des principes qu’il prônait dans son guide de 2025, à savoir principalement la transparence des prix (montrer le prix réel d’un objet en jeu, ne pas masquer les coûts associés, fournir une information claire et complète).

Ils appellent également à renforcer la lutte contre les mécaniques d’incitation (qui poussent à acheter de grandes quantités de monnaie virtuelle), le respect du droit de rétractation de 14 jours (y compris pour les monnaies non utilisées) et la protection des consommateurs vulnérables, notamment les enfants.

Dans une déclaration conjointe, les membres du réseau ajoutent vouloir vérifier la conformité de certaines techniques susceptibles d’être qualifiées de trompeuses (dark patterns) telles que les comptes à rebours, la fausse rareté des objets virtuels, ou les systèmes de récompense variable (les fameuses loot boxes).

Un coup de semonce, en attendant des procédures nationales ?

Reste à voir quelle sera la portée réelle de cette action conjointe qui, pour l’instant, fait surtout office de nouveau coup de semonce.

Le réseau CPC s’appuie en effet sur le règlement du même nom (2017/2394) qui permet aux autorités nationales (dont la DGCCRF pour la France) d’agir ensemble contre des infractions généralisées, qui touchent tout ou partie des États membres. Dans ce contexte, la Commission européenne coordonne l’ensemble, mais c’est tout de même aux autorités nationales qu’il revient « d’ouvrir des enquêtes ou des procédures de leur propre initiative si elles apprennent l’existence d’infractions couvertes par le présent règlement ».

« Environ la moitié des Européens jouent à des jeux vidéo, remarque dans un communiqué Michael McGrath, commissaire européen à la démocratie, à la justice, à l’état de droit et à la protection des consommateurs. Avec cette portée vient la responsabilité. L’industrie doit veiller à ce que ses jeux n’exposent pas les joueurs – en particulier les enfants – à des pratiques néfastes ou déloyales ».

Le sujet a notamment été porté à l’attention de l’exécutif européen par les associations de consommateurs. Que Choisir Ensemble (qui s’appelait alors UFC-Que Choisir) a par exemple saisi la DGCCRF et la Commission européenne contre la présence et l’usage de monnaies virtuelles dans des jeux vidéo comme Diablo IV, Fortnite ou encore Minecraft en septembre 2024.

Ce 29 septembre, Canonical a officiellement ouvert la mise à niveau directe d’Ubuntu 24.04 LTS (Noble Numbat) vers Ubuntu 26.04.1 LTS (Resolute Raccoon). L’information peut surprendre, Ubuntu 26.04 ayant près de six mois déjà. Pourtant, ce chemin de migration n’a en réalité qu’un mois de retard sur le calendrier habituel.

Pour rappel, les versions printanières sortant les années paires comme 24.04 et 26.04 sont étiquetées LTS, pour Long Term Support. Chez Canonical, cela signifie un support de cinq ans, extensible via l’offre Ubuntu Pro. Par défaut, ces versions ne se mettent pas à jour vers les versions intérimaires (c’est-à-dire autres que LTS). Si l’on ne touche à rien, les seules évolutions possibles sont vers les nouvelles LTS.

Souvent, les personnes choisissant ces versions privilégient la stabilité au détriment des nouveautés. En entreprise ou dans d’autres organisations, Ubuntu peut par exemple être utilisé sur des appareils de production, des serveurs, etc. Le choix de migration est donc prudent : le chemin ne s’ouvre qu’une fois que Canonical s’est assuré que les principaux problèmes ont été réglés.

Dans une annonce, Canonical indique que le chemin de migration commence à être ouvert. L’entreprise y explique que la version 26.04.1 va être proposée dans les jours qui viennent à l’ensemble des ordinateurs équipés de 24.04, via le gestionnaire de mises à jour. Le déploiement étant progressif, la notification peut ne pas apparaître tout de suite.

Signalons quand même plusieurs éléments. D’une part, rien n’oblige à installer cette nouvelle version, qui peut être refusée : Ubuntu 24.04 est supportée jusqu’en 2029, ou 2034 avec Ubuntu Pro. D’autre part, les personnes qui n’ont pas envie d’attendre la notification peuvent lancer la commande « do-release-upgrade » dans le terminal. Enfin, la migration ne peut se faire que si toutes les mises à jour en attente sont installées, que ce soit dans le gestionnaire graphique ou en ligne de commande avec apt.

En outre, attention à la migration, car ce type d’installation n’est jamais anodin. Canonical souligne plusieurs points de vigilance, dont la fin de la session GNOME sous Xorg. Le serveur graphique n’est ainsi pas supprimé, mais l’option disparait de l’écran de connexion. La session par défaut repose sur Wayland, les applications X11 passant par XWayland depuis Ubuntu 25.10. En revanche, Xfce, LXQt, Cinnamon et MATE prennent toujours en charge Xorg. Autre point de vigilance, la quantité de mémoire recommandée : 6 Go, contre 4 Go pour Ubuntu 24.04. L’installation n’est pas bloquée sur une machine avec 4 Go de mémoire, mais l’ensemble fonctionnera sans doute moins bien.

Rappelons qu’Ubuntu 26.10 arrivera le 15 octobre. Pour les personnes utilisant Ubuntu 26.04 (ou 24.04 et sur le point de migrer), la situation est celle que nous décrivions : cette mise à jour ne vous sera pas proposée. Pour recevoir cette mise à jour, il faudra soit avoir déjà une version intérimaire (semestrielle), soit avoir une version LTS configurée pour les recevoir. Si vous voulez changer ce réglage sur Ubuntu 26.04 par exemple, il faut vous rendre l’application « Logiciels et mises à jour », dans l’onglet « Mises à jour ». Dans le champ « Me notifier des nouvelles versions d’Ubuntu » choisissez alors « Pour toute nouvelle version ».

• Ubuntu 26.10 : du retard pour la bêta et un « snapping » à la Windows 11

À défaut de bouger en France, les lignes entre droit d’auteur et intelligence artificielle générative pourraient-elles se déplacer à l’échelle européenne ? Bruxelles vient de donner un signe allant dans le sens d’une possible évolution du cadre réglementaire. La Commission européenne a en effet lancé, mardi 29 septembre, une consultation visant à recueillir des « commentaires sur les défis et les perspectives d’avenir concernant l’impact des technologies sur le droit d’auteur ».

Bien que le droit communautaire protège déjà le droit d’auteur (notamment via la directive de 2019 sur le droit d’auteur dans le marché unique numérique), Bruxelles estime que « les nouveaux défis et l’évolution du marché soulèvent la question de savoir si ce cadre devrait être renforcé par d’éventuelles mesures supplémentaires ».

Entre autres sujets d’étude, la consultation se concentre notamment sur « l’utilisation de contenus protégés par le droit d’auteur en intelligence artificielle ».

À ce sujet, la Commission indique, dans l’avant-propos du questionnaire dédié, vouloir étudier « des moyens de faciliter l’octroi de licences et l’application du droit d’auteur et des droits connexes dans le contexte de l’IA et d’améliorer les conditions de rémunération des créateurs, tout en permettant aux fournisseurs de modèles et de systèmes d’IA, y compris les start-up, d’accéder légalement au contenu protégé par le droit d’auteur et de l’utiliser pour l’innovation en matière d’intelligence artificielle ».

La consultation ne se limite cependant pas à l’IA. Elle interroge aussi la « lutte contre le piratage en ligne de contenus tels que les événements en direct », « l’application du droit à une rémunération équitable unique pour les artistes-interprètes et les producteurs de musique » et « le droit d’auteur sur la recherche scientifique ».

Ouverte jusqu’au 3 novembre prochain, cette démarche qui vise donc à explorer des solutions s’adresse notamment aux titulaires de droits d’auteur et droits voisins, aux acteurs de l’IA générative, aux organismes de gestion collective, mais aussi aux organismes de recherche, aux associations de consommateurs et aux autorités nationales ou organisations non gouvernementales.

Bruxelles avait déjà procédé à une phase de cadrage (call for evidence) entre le 18 mai et le 25 juin 2026. À l’époque, l’exécutif européen évoquait explicitement la possibilité de faire évoluer la directive de 2019.

Rappelons qu’en France, la proposition de loi qui souhaitait instaurer la présomption d’utilisation des contenus culturels par les acteurs de l’IA au nom de la défense du droit d’auteur a achoppé en juillet dernier à l’Assemblée nationale, alors qu’elle avait été votée à l’unanimité au Sénat.

Supercalifragilisticexpialidocintelligence !

Donald Trump veut assurer à l’écosystème de la tech états-unienne qu’il n’y aura pas de régulation juridique de l’IA. Rassemblant les CEO milliardaires de la tech pour un déjeuner, il leur a fait signer à la place un accord « contraignant moralement » mais pas légalement. Au passage, le dirigeant américain officialise le remplacement du terme « intelligence artificielle » par « super intelligence » dans toutes les communications officielles fédérales des États-Unis.

Donald Trump a réuni une vingtaine de CEO du numérique états-unien pour un déjeuner ce mardi 29 septembre et en est ressorti avec la promesse qu’il avait déjà martelée de ne pas ajouter de loi contraignant les entreprises d’IA, mais aussi un accord qu’il qualifie de « contraignant moralement ».

Autour de lui, le dirigeant des États-Unis avait notamment rassemblé les dirigeants milliardaires des principales entreprises de l’IA : Elon Musk, bien sûr, mais aussi Jeff Bezos, Mark Zuckerberg, Jensen Huang, Satya Nadella, Sundar Pichai, Alex Karp et même Dario Amodei (avec lequel il s’est confronté médiatiquement en début d’année). OpenAI était aussi présente, représentée par son président Greg Brockman et non son CEO Sam Altman.

Droit dans ses bottes contre de nouvelles lois

Face à une contestation croissante aux États-Unis contre la construction de data centers sur le territoire pour supporter les besoins de l’IA et à des demandes venant des deux camps politiques de réguler, Donald Trump a réaffirmé son opposition à tout renfort légal sur le sujet.

Pourtant son ancien conseiller Steve Bannon s’est même affiché récemment dans une alliance baroque au côté du sénateur de gauche Bernie Sanders pour dénoncer les milliardaires cités plus haut et exhorter les Américains à exiger des lois plus strictes pour encadrer l’intelligence artificielle.

• Les datacenters IA, un sujet électoral incontournable aux États-Unis

Donald Trump s’est au contraire affiché très solidaire des dirigeants de ces entreprises tout en mettant en scène son pouvoir sur eux, les faisant défiler devant les caméras après le déjeuner et qualifiant, par exemple, de façon ironique le CEO de Google, Sundar Pichai de « monstre » que « personne ne connaît », comme le raconte le Financial Times.

Trump soutient une autorégulation des entreprises d’IA

Au lieu de nouvelles lois, le dirigeant des États-Unis préfère laisser ces entreprises à une autorégulation qu’il qualifie de « formidable ». Rappelons que ces entreprises ont revendiqué avoir laissé plusieurs fois leur IA attaquer des sites du gouvernement états-unien, australien ou d’autres entreprises. Concernant l’environnement, leur autorégulation semble aussi défaillante. Ainsi, par exemple, xAI (maintenant nommé SpaceXAI) a outrepassé les réglementations locales en utilisant des générateurs illégaux au gaz pour alimenter ses centres de données. Sans parler de leurs rapports environnementaux au mieux incomplets et faux, au pire sans données utiles.

Donald Trump a voulu quand même faire signer à ces dirigeants d’entreprises du numérique un accord dont il a diffusé le texte sur son réseau social.

Interrogé lors de sa conférence de presse par une journaliste sur la possibilité que cet accord soit « contraignant d’une quelconque manière », Donald Trump a affirmé qu’il était « moralement contraignant », signifiant en creux que les dirigeants ne s’étaient pas engagés de façon juridique sur le sujet.

Dans ce texte, les signataires « [estiment] que chaque entreprise devrait mettre en œuvre les quatre niveaux de contrôles et d’audits suivants :

• Mettre en œuvre des contrôles internes robustes pour surveiller les capacités et la conformité des modèles lors de la formation et du déploiement dans des domaines tels que la cybersécurité, la biosécurité et les menaces chimiques, et pour garantir que ces modèles ne piratent pas les systèmes techniques ou n’y accèdent pas de manière non autorisée.

• Constituer une équipe interne chargée de veiller au bon fonctionnement de l’ensemble des contrôles, de la surveillance et de la détection, et de corriger tout problème rencontré.

• Collaborer avec un auditeur ou un évaluateur externe indépendant pour réaliser des évaluations indépendantes du bon fonctionnement des contrôles, de la surveillance et de la détection.

• Désigner un comité indépendant du conseil d’administration chargé de superviser les équipes chargées des contrôles, de recevoir les rapports des auditeurs et évaluateurs internes et externes, et de veiller à la résolution de tout problème identifié ».

Trump veut imposer un nouveau terme pour parler d’intelligence artificielle

En parallèle, Donald Trump en a profité pour publier son texte officiel qui met en pratique l’annonce du remplacement du terme « intelligence artificielle » par « super intelligence » dans tous les documents officiels fédéraux pour représenter ce qu’il considère être une « nouvelle ère » dans laquelle ce terme mettrait « en lumière la promesse, le potentiel et les capacités en constante évolution de ces technologies ».

La Maison Blanche a aussi accompagné ces annonces d’un nouveau chatbot officiel sur America.gov qui doit être le « portail numérique unifié vers le gouvernement fédéral pour chaque individu aux États-Unis recherchant des informations ou des services fédéraux », selon l’executive order qui le rend officiel.

L’agence de presse Associated Press a déjà remarqué que ce chatbot, qui s’appuie sur des sources gouvernementales et qui est animé par Gemini de Google, contredit bon nombre des déclarations du dirigeant.

La grande loterie des nouveautés

Microsoft a lancé ce 29 septembre sa nouvelle mise à jour annuelle. Contrairement aux années précédentes cependant, la 26H2 est surtout là pour prolonger le support, Microsoft ayant choisi une approche plus souple.

L’automne est toujours pour Windows synonyme de mise à jour majeure, d’autant que Microsoft n’en propose désormais plus qu’une par an, le reste étant fourni en continu au fil des mois. Si les versions 24H2 et 25H2 ont apporté de longues listes de nouveautés, la 26H2 est cependant d’un genre nouveau. Ses apports ont en fait été disséminés dans les mises à jour mensuelles depuis quelques mois.

En clair, pour une machine actuellement à jour en 25H2, la 26H2 ne va pas apporter grand-chose. Son rôle premier est de relancer un cycle de support technique : 24 mois pour les éditions Famille et Professionnelle, 36 mois pour Entreprise et Éducation. Ce cycle de deux ans pour le grand public signifie que l’heure de la fin est proche pour la 24H2. Si vous avez encore une machine sur cette version, il est temps de passer à la 25H2 ou 26H2, car vous n’aurez plus de mises à jour mensuelles de sécurité après le 13 octobre.

Le déploiement de cette version 26H2 est dit « contrôlé ». Un comportement habituel chez Microsoft, qui propose d’abord ses versions majeures aux machines jugées les plus compatibles. Ensuite, au fur et à mesure des installations, la télémétrie permet à l’éditeur de voir l’état du déploiement et des bugs rencontrés. Le téléchargement est ensuite proposé à un nombre croissant d’ordinateurs au cours des mois suivants. Toutefois, il est possible de court-circuiter ce mécanisme en allant dans Windows Update pour cliquer sur le bouton « Rechercher des mises à jour », ou chez les personnes qui ont activé l’option « Recevez les dernières mises à jour dès qu’elles sont disponibles ».

Et donc, c’est tout ? Pas tout à fait. La situation va être très variable selon les configurations. Les fonctions ajoutées au cours des derniers mois ne sont pas activées chez tout le monde. Ce fonctionnement flou est une marque de fabrique de Microsoft depuis longtemps. En revanche, l’arrivée de la 26H2 signifie dans la plupart des cas l’activation des nouveautés « dormantes », et elles peuvent être nombreuses.

Côté interface, beaucoup de bonnes choses

Si vous n’avez pas suivi l’actualité des derniers mois, la 26H2 peut être synonyme de bonne surprise, surtout dans les fonctions du quotidien. La barre des tâches récupère ainsi la possibilité d’être placée sur n’importe quel bord de l’écran, avec en plus une option pour réduire sa taille. Des fonctions présentes depuis longtemps dans les systèmes de Microsoft mais que Windows 11 avait supprimées.

Le menu Démarrer a droit à une refonte qui le rend nettement plus personnalisable. On peut désormais choisir précisément les sections à afficher, supprimer les catégories et les applications recommandées, avoir uniquement la liste alphabétique des applications installées, etc. Autre nouveauté, la possibilité de choisir entre des versions petite et grande du menu.

Autre gros morceau, la recherche est enfin à la hauteur. On peut ainsi désactiver les résultats web dans les options pour n’afficher que les contenus locaux. La recherche tolère maintenant les fautes de frappe (il était temps), affiche un aperçu des résultats et indexe automatiquement les dossiers fréquemment utilisés. On peut également supprimer la recherche dans le Microsoft Store.

L’Explorateur a reçu de son côté bon nombre d’améliorations. Il s’ouvre nettement plus vite et l’affichage de l’Accueil est plus rapide. On y trouve aussi la prise en charge d’autres types d’archives (uu, cpio, xar et nupkg), la conservation des préférences d’affichage et de tri (enfin !) ou encore la possibilité d’utiliser la dictée vocale pour renommer un fichier ou un dossier. En revanche, certains travaux arriveront plus tard, dont le menu contextuel remanié et personnalisable. Dans ce dernier, on peut quand même signaler le regroupement des actions OneDrive dans un sous-menu dédié.

Ces apports ont été répartis sur l’été et ne sont pas encore présents chez tout le monde. Si certains ne vous disent rien, l’installation de la 26H2 devrait changer la donne, la mise à jour étant surtout un « Enablement Package », pour reprendre la terminologie de Microsoft.

Du neuf pour la sécurité

L’un des plus gros apports de ces derniers mois est la protection Administrateur, dont le rôle est de remplacer les droits d’administration permanents. Les droits sont maintenant accordés au moment du besoin, avec séparation des profils pour renforcer le système contre l’élévation de privilèges. Dans les entreprises, cette fonction s’active via Intune ou une stratégie de groupe. Pour le grand public, l’option doit apparaitre dans le centre de sécurité, dans la section Protection du compte. Si elle n’est pas là, c’est qu’elle fait l’objet d’un déploiement progressif. Dans notre cas, elle est absente pour le moment.

Parmi les autres apports, signalons l’intégration native de Sysmon pour la capture des évènements système, que l’on peut ensuite utiliser pour de la détection de menaces. Smart App Control peut à présent être activé ou désactivé à la volée, sans plus nécessiter une réinstallation propre du système. Un changement majeur, car si la protection permet de surveiller le comportement des applications pour bloquer les comportements douteux, elle peut entrainer des soucis de compatibilité dans certains scénarios.

Voici d’autres nouveautés dans le domaine de la sécurité :

• Windows accepte désormais les gestionnaires de mots de passe tiers pour les clés d’accès, s’ils sont compatibles avec cette nouvelle intégration à l’échelle du système
• Windows Hello Enhanced Sign-in Security (ESS) prend en charge les lecteurs d’empreintes périphériques compatibles, et plus uniquement ceux intégrés dans les ordinateurs
• Windows ne fait plus confiance par défaut aux pilotes à signature croisée, seuls restant admis les pilotes du programme WHCP et une liste de pilotes historiques de confiance
• Prise en charge des algorithmes de cryptographie post-quantique ML-KEM et ML-DSA

Un peu de tout

Les modifications ajoutées au cours des derniers mois sont nombreuses. Voici une liste pêle-mêle de ce que vous pourriez avoir avec la version 26H2 si ces fonctions n’étaient pas déjà présentes.

Parmi les dernières nouveautés, on note un renforcement important de la fiabilité et des performances pour le Bluetooth, surtout dans des scénarios comme les appels, la reconnexion après veille prolongée, l’écoute via LE Audio, ou encore la synchronisation de la mise en sourdine. On trouve également du mieux pour l’USB, dont une connexion plus fiable des écrans via des docks et hubs USB4.

Windows Update se veut en outre plus léger sur ses procédures d’installations, avec moins de redémarrages. Les mises à jour éligibles sont installées en même temps que celles de sécurité et le mécanisme est capable de restaurer certains comportements. Par exemple, Windows Update peut sortir un PC de veille pour installer des correctifs et le remettre ensuite en veille. Ce cas ne survient que pour les machines configurées pour ne jamais se mettre en veille automatiquement, mais quand même plongées en veille manuellement. Microsoft ne donne pas d’autres précisions sur ce fonctionnement, qui reste en partie mystérieux.

Le gestionnaire des tâches récupère plusieurs nouvelles colonnes optionnelles : NPU, moteur NPU, mémoire NPU dédiée ou partagée, et « Isolation » pour pointer les applications exécutées dans un AppContainer.

Enfin, côté accessibilité, la Loupe accepte un pourcentage de zoom précis ainsi qu’un niveau de zoom distinct par écran en mode étendu. Le Narrateur intègre maintenant Braille Viewer et améliore la navigation dans Word. L’accès vocal comprend le langage naturel sur les PC Copilot+ et ajoute le français, l’allemand, l’espagnol et le coréen.

Installation et problèmes connus

Avant de vous lancer, sachez que plusieurs problèmes sont déjà connus et que cette liste peut évoluer fortement dans les prochaines semaines. Par exemple, les problèmes de son signalés apparus avec les derniers correctifs du Patch Tuesday sont considérés comme « atténués », mais pas complètement corrigés. Idem pour les soucis déjà signalés de perte d’approbation à des domaines en entreprise ou d’écran noir après connexion dans certains environnements de bureau virtuel.

Quant à l’installation, selon votre configuration, elle peut se révéler très rapide. Sur une machine en 25H2 à jour, la 26H2 ne va servir que de module d’activation pour les nouveautés des derniers mois. Elle ne sera pas plus lourde qu’une mise à jour mensuelle et ne devrait donc pas immobiliser longtemps la machine. Comme toujours, le temps dépend de la configuration logicielle et de la puissance de la machine.

À moins d’être passé au travers des déploiements progressifs des derniers mois, nous recommandons d’attendre que Windows Update propose de lui-même cette nouvelle version. Le déclenchement manuel de l’installation peut révéler des incompatibilités.

Enfin, la page de téléchargement de l’image ISO de Windows 11 a été mise à jour. Si vous avez envie ou besoin de réinstaller proprement le système, l’image fournie correspond bien désormais à la version 26H2 (build 26300).

Nouvelle diversification inattendue pour Opera : dans sa version Android, le navigateur permet désormais d’acheter une carte SIM virtuelle (eSIM) dédiée aux données mobiles lors des séjours à l’étranger (roaming).

L’option s’active directement depuis l’interface du navigateur. L’utilisateur est alors invité à ajouter une carte SIM virtuelle à son système, qui servira ensuite à se connecter a Internet une fois le téléphone connecté à un réseau étranger éligible.

« Vous n’avez donc pas besoin d’une application supplémentaire, fini les files d’attente aux guichets des aéroports pour obtenir une nouvelle carte SIM et les factures d’itinérance exorbitantes. Vous pouvez configurer l’eSIM chez vous ; elle ne sera décomptée qu’à votre arrivée à destination. L’eSIM est dédiée aux données et ne remplace pas votre numéro de téléphone actuel », décrit l’éditeur.

Opera revendique 47 destinations disponibles pour ce service opéré par l’intermédiaire d’un prestataire spécialisé, Holiday.com. Le principal prérequis technique consiste à disposer d’un téléphone compatible eSIM, sous Android 10 ou version ultérieure.

Pour séduire les nouveaux utilisateurs, l’éditeur propose une offre de bienvenue gratuite qui permet de profiter de 3 Go de données pendant trois jours, sans enregistrement préalable (ni email, ni carte bancaire nécessaire).

Au-delà, il faudra en passer par les packs payants. Opera et Holiday fonctionnent sur une logique de packs à l’achat unique, qui ouvrent droit respectivement à 3 Go, 5 Go et 10 Go à consommer sur 30 jours. Le prix dépend de la destination visée.

Les pays couverts par le service sont les suivants : Albanie, Australie, Autriche, Belgique, Bulgarie, Croatie, Chypre, République tchèque, Danemark, Égypte, Estonie, Finlande, France, Géorgie, Allemagne, Grèce, Hong Kong, Hongrie, Islande, Irlande, Italie, Lettonie, Liechtenstein, Lituanie, Luxembourg, Malaisie, Malte, Monténégro, Pays-Bas, Nouvelle-Zélande, Norvège, Pologne, Portugal, Roumanie, Singapour, Slovaquie, Slovénie, Corée du Sud, Espagne, Sri Lanka, Suède, Suisse, Taïwan, Thaïlande, Turquie, Royaume-Uni et États-Unis.

• L’Europe envisage d’étendre le « roaming comme à la maison » à six pays des Balkans

BYOD nouvelle version : Bring Your Own... Désastre

Cet été, la Direction générale des Finances publiques (DGFiP) reconnaissait une intrusion dans ses systèmes informatiques avec l’accès à des données concernant pas moins de 678 000 contribuables et entreprises. Deux suspects de 16 et 18 ans ont été interpellés fin août, dont un mis en examen et placé en détention provisoire.

L’attaquant disposait de mots de passe de dizaines de comptes

Ce piratage a fait grand bruit, d’autant qu’il s’inscrit dans une longue liste de sites et institutions publiques piratés ces dernières semaines, mois et même années. Plusieurs enquêtes ont été lancées, dont une du cyberpompier français, l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Elle vient de publier son rapport d’incident (pdf).

• Troisième fuite confirmée aux impôts, Bercy détaille sa réponse aux attaques

S’il fallait résumer l’affaire en une phrase : « La compromission des SI de la DGFiP n’est pas la conséquence d’une attaque sophistiquée, mais de l’exploitation de faiblesses dans trois domaines ». Il s’agit de l’identité, de l’architecture réseau et de la détection des signaux.

Premier point, la volumétrie : les données volées concernent « près de 353 000 particuliers et 252 000 professionnels, obtenues à partir d’un outil de gestion de la relation avec les usagers de la DGFiP ». Les infiltrations dans la DGFiP ont commencé dès le mois de mai 2026.

• Piratage du fisc : 678 000 usagers touchés, enquête de l’Office anticybercriminalité

L’ANSSI revient tout d’abord sur la sécurité des comptes et le volume important de ceux auxquels le pirate pouvait accéder car il disposait des couples identifiant et mot de passe. En effet, « aucune tentative d’attaque par force brute ou credential stuffing n’a été identifiée, ce qui signifie que l’attaquant disposait de mots de passe pour ces comptes (pouvant être valides ou expirés) ».

Dans son rapport, l’ANSSI anonymise les comptes compromis et utilise la dénomination suivante : compte-dgfip-X pour ceux internes à la DFGIP, et compte-dgfip-xt-Y pour les externes. Les X et Y sont incrémentés pour différencier chaque compte. Voici le bilan officiel : compte-dgfip-X va jusqu’à 22 et compte-dgfip-xt-X jusqu’à 7… soit presque une trentaine de comptes compromis par infostealer.

Pour les comptes externes, « les investigations de la DGFiP mettront en évidence que la compromission du poste d’un géomètre-expert au sein d’un cabinet privé a permis de contourner la double authentification par messagerie, puis l’accès et l’exfiltration des données entre le 27 juillet 2026 et le 8 août 2026 ».

La réinitialisation des mots de passe n’a pas servi à grand-chose.

Une des pistes évoquées pour obtenir ses informations est « la fuite d’identifiants de connexion fréquente et consécutive à l’utilisation d’appareils personnels ». La DGFiP a procédé à la réinitialisation des mots de passe, mais si des machines restent infectées et/ou que les sessions actives ne sont pas coupées, cela n’est pas d’une grande utilité.

Preuve en est : la réinitialisation du 24 juin 2026 « n’interrompt pas la session et l’exfiltration en cours qui se poursuivent », précise l’ANSSI dans le détail de la chronologie des faits. Ajoutez à cela « l’absence d’authentification forte sur deux portails dont l’un donnant accès à des ressources sensibles » et vous avez un combo explosif.

Des indices en pagaille : IP en Inde, des Go téléchargés, connexions nocturnes

Autre problème pour l’ANSSI, le manque de détection : « Les sessions d’exfiltration menées par l’attaquant n’ont pas été détectées en temps réel par les mécanismes de contrôle implémentés sur les applicatifs métiers ni sur les équipements de sécurité de la DGFiP ».

Il y avait pourtant des indices élémentaires facile à identifier : « la volumétrie d’informations échangées lors des connexions (11Go entre le 22 et 25 juin, 3Go entre le 21 et 23 juillet) », ainsi que « le nombre de requêtes par utilisateur sur une plage temporelle ».

L’Agence prend soin de préciser que « la technique de scraping utilisée par les attaquants impose de devoir initier autant de requêtes que de pages accédées ». Cela aurait dû déclencher des alertes. Une technique connue depuis la nuit des temps aurait dû être mise en place : un rate-limiting. Le but est de bloquer un nombre trop important de requêtes, permettant aussi de limiter des attaques par force brute.

Ce n’est pas le seul problème. La DGFiP n’analysait pas les adresses IP puisque des connexions ont été réalisées « depuis des adresses de VPN, depuis des adresses localisées en Inde et pour plusieurs catégorisées comme malveillantes ». Ajoutez à cela des adresses IP déjà identifiées comme liées à un compte compromis qui peuvent revenir en toute impunité et des heures de connexions nocturnes ; vous avez un beau tableau de ce qu’il ne faut pas faire.

« Ces paramètres pris individuellement ne permettent généralement pas d’identifier des comportements suspects sans générer d’importants volumes de faux positifs, néanmoins la corrélation de plusieurs d’entre eux aurait pu permettre de lever des alertes », ajoute l’ANSSI.

Après « le besoin d’en connaître », le besoin d’y avoir accès

Troisième point de faiblesse : le RIE ou Réseau Interministériel de l’État, utilisé par les pirates pour accéder « au portail ADER [Accès Distant aux Échanges Réseau, ndlr] de la DGFiP ». Opérationnel depuis 2013, il raccorde les services de l’État. L’ANSSI note que « plusieurs accès illégitimes identifiés proviennent du RIE [la suite est caviardée, ndlr], à partir de localisations n’ayant pas de besoins apparents d’accéder à des infrastructures de la DGFiP ».

« Pendant l’incident, le SOC [Security Operation Center, ndlr] de la DGFiP ne supervisait pas le portail ADER, utilisé par l’attaquant pour exfiltrer les informations E-Contact », contrairement au portail PIGP (Portail internet de la gestion publique) qui était bien surveillé. Ce trou dans la raquette a permis aux pirates de s’infiltrer, mais a aussi empêché « de corréler des activités malveillantes avec le reste du SI ou en provenance du RIE suite à un signalement d’un autre ministère ».

• Le Réseau Interministériel de l’État (RIE) fête ses 10 ans et se modernise

Là encore on retrouve un basique de la cybersécurité : la segmentation réseau avec le cloisonnement des « accès aux seules populations et zones logiques qui en ont le besoin ». L’Agence recommande de mettre en place « un filtrage plus fin des accès réseau entre ministères et au sein du RIE ».

Comment les pirates sont rentrés dans le RIE ? Par la porte ouverte d’un autre piratage : « L’utilisation du RIE lui a été rendue possible à cause de la compromission d’infrastructures appartenant au ministère de l’Éducation nationale elles-mêmes raccordées au RIE ». Pour l’ANSSI, cela illustre parfaitement le « risque de latéralisation depuis des ressources d’organismes tiers » et le besoin de cloisonner.

Des signalements en pagaille

L’ANSSI fait son mea culpa sur sa supervision. « Les acteurs malveillants utilisaient des comptes légitimes pour accéder aux applications et la supervision réseau de l’Agence n’a pas permis de les voir ». De plus, « le volume cumulé de requêtes que l’attaquant a dû générer pour orchestrer l’exfiltration de données aurait dû déclencher des alertes ».

Dans la même veine, elle explique qu’un partenaire l’a informé le 15 juin de la compromission de deux comptes DGFIP. Cette dernière « ne répond pas et n’est pas relancée par l’Agence ». Nouveau signalement le 22 juin, suivi d’une action cette fois-ci : « un partenaire informe l’ANSSI de la compromission d’un compte. La DGFIP répond le jour même à l’ANSSI avoir réinitialisé ce compte et sensibilisé leur agent ».

D’autres signalements sont remontés dans la chronologie, notamment le 29 juin 2026 avec un bel acte manqué : « un partenaire informe l’ANSSI de la compromission du compte. Il s’agit du compte utilisé pour l’exfiltration de données le 24 juin 2026, or cette compromission n’était pas connue à cette date et les analyses menées par le SOC de la DGFIP ne l’identifient pas. La DGFIP répond le jour même à l’ANSSI avoir déjà connaissance de ce fait et confirme l’avoir réinitialisé ».

D’autres signalements ? Le 1ᵉʳ juillet, la « DGFIP est informée par son prestataire de la vente de deux comptes ». Là aussi le pot aux roses aurait pu être découvert : « les investigations montreront, à posteriori, des échecs de connexion sur le PIGP le même jour et le jour précédent avec ces comptes à partir d’une des adresses IP utilisées pour l’exfiltration du 24 juin 2026 ».

Plein de mesures de remédiation, ça fait pas de mal de les relire !

Enfin, l’ANSSI propose des mesures de remédiation (page 10) afin « d’assurer que le même chemin de compromission ne puisse être emprunté de nouveau, par le même acteur ou un nouveau ». Elles couvrent toutes les lacunes précédentes et ouvrent aussi de nouvelles pistes.

Cela va des restrictions d’accès aux ressources métiers à la protection contre les vols d’identifiants. On y retrouve notamment des propositions sur le matériel. « L’usage d’appareils personnels pour accéder à des ressources professionnelles doit être proscrit », et les machines professionnelles doivent être durcies. Évidemment, l’authentification multifacteurs doit être généralisée.

Pour les applications à usage interne, l’accessibilité ne doit se faire « que depuis des postes administrés par la DGFiP. Dans ce cas, l’accès à l’application ne doit pas être possible depuis Internet, sauf à travers un VPN dédié aux agents de la DGFiP ». Les VPN ne servent pas uniquement à contourner des restrictions, ils permettent aussi de renforcer la sécurité, mais attention aux promesses de certains !

• [Édito] Au pays des VPN menteurs…

Dans sa synthèse, l’ANSSI rappelle que l’exfiltration des données s’est produite sept semaines avant la revendication des pirates le 12 août, et « qu’elle a été précédée de plusieurs semaines d’exploration sur des applicatifs de la DGFIP ».

Des indices étaient bien présents, mais pas correctement pris en compte, c’est un rappel important pour toute la communauté cyber. En effet, ces recommandations peuvent s’appliquer bien au-delà de la DGFiP. Il est toujours bon de les lire et de vérifier qu’elles sont bien appliquées.

Nvidia veut tenir les agents ia en laisse, grand bien leur fasse : ils font bien plus que grignoter nos vieilles charentaises !

Demain c'est trop tard

La place de marché française de Rakuten (ex PriceMinister) fermera ses portes le 30 septembre à 23h59. Les acheteurs ou vendeurs conserveront un accès leur permettant de récupérer les sommes dues ou l’historique de leurs transactions jusqu’au 10 novembre.

Fin de parcours pour l’un des pionniers de l’e-commerce français. Après l’échec du processus de recherche d’un repreneur, la direction de l’antenne française du géant japonais du commerce en ligne Rakuten a signé mercredi l’acte de décès de la plateforme Rakuten France.

Baroud d’honneur

À la connexion sur le site, un bandeau informe que le site fait l’objet d’une cessation d’activité programmée au 30 septembre à 23h59. « Rakuten France cessera toute activité de mise en relation entre acheteurs et vendeurs le 30 septembre 2026. À partir de cette date, il ne sera plus possible d’y effectuer de nouveaux achats ou ventes », indique le panneau d’information associé.

Ce dernier renvoie vers un document plus formel (PDF), qui informe « de l’arrêt définitif de nos services de mise en relation entre acheteurs et vendeurs » et par conséquent de « l’impossibilité d’y effectuer des ventes ou des achats auprès de vendeurs, tant professionnels que non-professionnels, à compter du 30 septembre 2026, 23h59 ».

En page d’accueil, Rakuten France affiche une ultime promotion titrée « jour de fermeture », avec 30 euros offerts sur un panier d’au moins 300 euros.

Les clients ont intérêt à récupérer leurs informations d’achats

Dans son document contractuel, la place de marché se veut rassurante quant au service après-vente relatif aux produits vendus par son intermédiaire, mais elle ne s’engage à rien, se contentant de renvoyer vers la responsabilité du vendeur : « vous pourrez contacter directement nos vendeurs professionnels en particulier, ceux-ci restant directement tenus des garanties légales, notamment celles de conformité et de vices cachés, couvrant les produits vendus par l’intermédiaire de notre Plateforme ».

Elle indique par ailleurs qu’un accès aux comptes utilisateurs, comprenant à la fois attestations d’achats et coordonnées des vendeurs professionnels le cas échéant, reste ouvert « jusqu’au 10 novembre 2026, 23h59, date à laquelle celui-ci sera rendu définitivement inaccessible ».

L’équipe française conclut sur un mot de remerciements. « De PriceMinister à Rakuten France, vous avez contribué à l’évolution et à l’histoire de notre plateforme. Merci d’avoir fait partie de cette aventure à nos côtés ».

Reprise manquée

La fin était programmée : Rakuten France avait en effet annoncé mi-juillet que sa fermeture interviendrait avant la fin de l’année, faute d’avoir trouvé un repreneur suite au processus de cession lancé en avril dernier.

« Malgré les efforts déployés par le Groupe pour mener à bien une cession de l’activité, les discussions approfondies menées avec les repreneurs potentiels n’ont pas permis d’aboutir à une solution viable permettant d’assurer la poursuite de l’activité de manière pérenne », déclarait alors Rakuten France.

Plusieurs candidats à la reprise s’étaient pourtant manifestés. Dans le lot figurait notamment Pierre Kosciusko-Morizet, fondateur de PriceMinister en 2000, accompagné d’autres anciens dirigeants et d’un fonds d’investissement. Rappelons que le site Priceminister a été racheté en 2010 par le géant japonais Rakuten avant d’être rebaptisé Rakuten France en 2018. Autres figures du e-commerce français, les frères Rosenblum, fondateurs de Pixmania, s’étaient aussi positionnés.

Aucune des offres n’a cependant été retenue. « Chaque offre reçue a été rigoureusement évaluée, notamment à l’aune des critères suivants : la préservation des emplois, les conditions financières de l’offre et les risques qui y sont associés, ainsi que la capacité du plan de redressement à assurer la pérennité de l’activité à long terme. Aucune des offres reçues ne remplissait ces trois critères », justifiait Rakuten France en juillet.

Le 28 juillet, Rakuten France avait fait évoluer ses conditions générales d’utilisation pour interdire l’inscription de nouveaux vendeurs, particuliers ou professionnels.

Coup de froid dans l'App Store

Apple n’a pas supprimé l’application ICEBlock sous la pression de l’administration Trump, affirme l’entreprise. Il s’agissait, selon elle, de protéger les agents de la police de l’immigration américaine après une fusillade dans un centre de détention de l’ICE. Un argument crédible ?

Droit dans ses bottes. La décision de supprimer ICEBlock (et d’autres applications du même genre) de l’App Store était motivée par des préoccupations concernant la sécurité des agents de la police de l’immigration américaine. C’est ce qu’affirme Apple dans un courrier envoyé à Jamie Raskin, représentant démocrate et membre de la commission judiciaire de la Chambre des représentants américains. Un courrier partagé par CNN.

Raskin a lancé une enquête au mois de juin sur le rôle du ministère de la Justice (DoJ) dans la suppression de ces applications des boutiques d’Apple et de Google. Joshua Aaron, le développeur d’ICEBlock, avait porté plainte contre l’administration Trump en décembre dernier, deux mois après le retrait de son app de l’App Store.

Il accuse le gouvernement d’avoir fait pression sur Apple, ce que la procureure générale des États-Unis de l’époque, Pam Bondi, avait d’ailleurs confirmé dans une déclaration ne laissant planer guère de doute : « Nous avons contacté Apple aujourd’hui pour leur demander de retirer l’application ICEBlock de leur App Store, et Apple l’a fait ».

• États-Unis : procès contre les pressions sur Apple pour enlever ICEBlock de l’App Store

La fusillade de Dallas au cœur de la justification d’Apple

Dans cette lettre, qui remonte au mois de juillet, Apple explique qu’ICEBlock a été autorisée en avril 2025, après que le développeur a serré les boulons sur des fonctions de confidentialité. Pour rappel, l’app permettait à quiconque d’alerter les utilisateurs d’une descente de la tristement célèbre police de l’ICE dans les parages.

En septembre 2025, une fusillade a lieu dans un centre de détention de l’ICE à Dallas (Texas), faisant trois morts : deux détenus et l’auteur des tirs. Selon Apple, c’est après cet événement que Pam Bondi a fait part de ses inquiétudes concernant ICEBlock, une app qui « représente une menace pour la sécurité des agents fédéraux ». Kash Patel, le directeur du FBI, avait également affirmé que le tireur avait recherché des apps permettant de connaître la localisation des agents.

Apple indique aussi avoir relevé une hausse importante des activités de l’ICE et des menaces visant l’agence. La situation pouvait mettre en danger aussi bien les agents que les personnes détenues, écrit Timothy Powderly, directeur principal des affaires gouvernementales de l’entreprise. Ce sont tous ces éléments qui l’ont conduit à un nouvel examen de l’application.

Apple a déterminé qu’ICEBlock et les autres plateformes de localisation des agents de la police de l’immigration enfreignaient ses politiques, « et, par conséquent, d’autres personnes susceptibles de se trouver à proximité, comme des manifestants ou des personnes détenues —, offrant ainsi une possible feuille de route pour des violences ciblées et créant un risque important de préjudice ».

Un « risque important » de violences ciblées

L’opérateur de l’App Store assure ne pas prendre à la légère la décision de retirer des applications, mais qu’il intervient quand c’est nécessaire, « en particulier lorsqu’il existe de sérieuses raisons de penser qu’une application crée des risques pour la sécurité ». Des explications qui exonèrent l’administration Trump des accusations de pression politique, mais qui ne convainquent pas Jamie Raskin.

Dans sa réponse envoyée ce lundi à Timothy Powderly, le représentant écrit qu’Apple porterait atteinte aux droits garantis par le premier amendement de la Constitution américaine, « notamment celui de documenter les activités de leur propre gouvernement et d’en rendre compte ». Selon Raskin, il n’existe aucune preuve que ces apps aient été utilisées pour commettre la fusillade de Dallas.

Même si le tireur a pu rechercher des apps pour localiser les agents de l’ICE, « il n’avait pas besoin d’une application de suivi pour localiser un bâtiment gouvernemental dont l’emplacement est fixe ». Le tireur aurait tout simplement trouvé l’adresse du centre à l’aide d’une app « installée par défaut sur les appareils Apple » (probablement Apple Plans).

Pour Jamie Raskin, il n’existe aucun lien direct entre ce qui s’est passé à Dallas et les applications retirées de la boutique. Le représentant demande au constructeur de procéder à un nouvel examen indépendant pour décider si ces applications enfreignent réellement les règles de l’App Store.

Critiquer les conditions de travail dans les entrepôts d’Amazon, pour l’art, trop clivant ? C’est l’avis de Yannick Le Roux, maire d’extrême droite de la ville de Vierzon, dans le Cher.

Le 1^er avril 2027, le comédien Aurélien Labruyère, coauteur du seul en scène Amazonia, devait jouer son spectacle au théâtre Mac-Nab, la salle municipale de Vierzon. Mais en ce mois de septembre, la programmatrice de la salle annonce à son équipe que le spectacle est déprogrammé. 
La justification ? « La commande politique du maire, c’est de dépolitiser au maximum les spectacles et de mettre l’accent sur le beau », selon les termes du cabinet du maire rapportés par Mediapart.

Exit, donc, ce spectacle inspiré de l’histoire du syndicaliste Christian Porta : une partie du seul en scène s’intéresse à son arrivée chez Amazon pour tenter d’y organiser les travailleurs d’un entrepôt subissant des conditions de travail difficiles, une autre, le combat du syndicaliste aux prud’hommes, contre le géant de la livraison.

Pour Aurélien Labruyère, cette décision constitue une « grave atteinte à la liberté de création », ce que conteste le cabinet du maire. Toujours auprès de Médiapart, ce dernier rétorque : « Vous avez tout à fait la possibilité de continuer à créer et de vous produire, ailleurs ».

Pour la compagnie, la décision illustre aussi l’hypocrisie du Rassemblement National, qui « prétend défendre les ouvriers, les petites gens », mais décide d’empêcher les spectacles qui évoquent leur vie, rythmes chronométrés et accidents du travail compris.

En 2024, la filiale française d’Amazon avait été condamnée à 32 millions d’euros par la CNIL pour avoir surveillé de manière disproportionnée les cadences de ses salariés.

• Surveillance des salariés : la CNIL inflige une amende de 32 millions d’euros à Amazon

La mairie de Vierzon l’assure : sa décision n’implique aucune prise de parti « pour ou contre Amazon », mais simplement le refus de voir le théâtre Mac-Nab produire des « choses politiques ». Nul doute qu’Amazon, dont la messagerie interne interdisait, en 2022, les termes « syndicat » et « injuste », appréciera.

À une trentaine de kilomètres de Vierzon, le maire divers gauche de la ville de Bourges, qui sera Capitale européenne de la culture en 2028, a indiqué ouvrir ses portes pour accueillir Amazonia.

• Black Friday, Cyber Monday : des travailleurs d’Amazon en grève partout sur la planète

OpenAI met des Dots partout

Dans le petit monde de l’IA, beaucoup se demandaient quand OpenAI allait réagir face à l’offensive de Meta avec son agent Muse. C’est chose faite ce soir avec la présentation de Dots, un agent qui accomplit des tâches au nom de l’utilisateur et qui prend la forme d’un blob de couleur. Ça n’est que l’une des innombrables annonces d’OpenAI à l’occasion des DevDay 2026.

Que d’IA, n’en jetez plus, le bateau déborde ! Loin de ralentir la cadence, OpenAI a noyé les participants des DevDay 2026 d’annonces, de nouveautés et de fonctionnalités en tout genre. Difficile de faire le tri dans ce tsunami, mais Dots fait clairement partie des gros morceaux de la keynote.

Un blob pour gouverner vos tâches

Dot est un agent IA carburant à GPT-6 Astra qui prend la forme d’un blob coloré à personnaliser, un peu comme Mico, la (défunte) mascotte de Copilot. Cet agent peut réaliser les opérations classiques d’un agent IA, comme réserver un restaurant ou acheter un billet d’avion, mais cela va plus loin : en plus d’être branché aux applications de l’utilisateur dont il tire du contexte, le Dot surveille constamment ce qui se passe sur internet afin de compléter les tâches plus complexes.

Dans un exemple donné par OpenAI, un utilisateur de Dot veut organiser un dîner. L’agent détecte de lui-même que l’utilisateur avait un rendez-vous de travail pendant l’heure prévue, et lui propose deux possibilités de livraison du repas avec leur prix respectif. Il n’y a plus qu’à valider l’alternative et l’heure de la livraison. Dot peut également se dépatouiller pour créer un site web de A à Z, l’utilisateur n’ayant qu’à demander des modifications.

On peut communiquer avec un Dot via ChatGPT bien sûr, mais aussi Slack, Teams, et même via une messagerie (RCS ou iMessage) pour les abonnés Pro à partir de 103 euros. Ces derniers seront d’ailleurs les premiers à pouvoir tester ces Dots. À terme, OpenAI a l’intention de proposer la possibilité de contrôler plusieurs agents simultanément.

Il faudra se montrer patient sur le vieux continent : l’espace économique européen, la Suisse et le Royaume-Uni sont pour le moment exclus du lancement.

Spaces, Decisions, Codex : le reste de l’offensive

Après s’être attaqué à Muse, OpenAI entend également gravir la montagne bureautique. ChatGPT Spaces est un espace collaboratif entre humains et Dots où ils peuvent créer et éditer des documents, via un système de commentaires où l’on taggue les collègues et les agents. Les fichiers téléversés par l’équipe (et ceux générés par ChatGPT) sont sauvegardés dans le Space pour que chacun y ait accès.

L’offre comprend pour le moment un traitement de texte, Pages, et un outil de création de diapositives (ce dernier étant encore en développement). Space est proposé dès aujourd’hui aux abonnés Pro, Business Premium et Enterprise.

Tout comme celui de Muse, le succès de Jev n’est pas tombé dans l’oreille d’un sourd. OpenAI a donc levé le voile sur l’API Decisions, qui repose sur Luna (le modèle meilleur marché de la gamme). Peu de détails ont été révélés, mais cette interface de programmation n’est pas un modèle qui répond directement à la question de l’utilisateur. C’est un outil qui indique le niveau de confiance dans un choix entre plusieurs réponses et actions fournis par le développeur. L’API est en aperçu limité à l’heure actuelle, OpenAI donnera davantage de détails au moment opportun.

• IA : le nouveau modèle Jev se veut le champion des « décisions typées »

Codex a aussi été à la fête, avec plusieurs nouveautés importantes. À commencer par des environnements de développement cloud réutilisables ; ces derniers peuvent être partagés au sein d’une équipe avec un système de réglages et de permissions. L’interface en ligne de commande peut désormais être pilotée à la voix, parce que pourquoi pas.

Dans l’app Codex (en fait ChatGPT avec une moustache), la revue de code a été revue et améliorée. Elle peut résumer les changements, répondre à des questions sur les problèmes qui pourraient se poser avant de commenter une pull request ou une merge request, et ces revues de code peuvent être lancées pendant que le développeur n’est pas devant sa machine.

GPT-6.1 Sol veut se rapprocher d’Astra

OpenAI a enfin profité de l’occasion pour dévoiler GPT-6.1 Sol, le modèle IA intermédiaire entre le puissant Astra et le moins cher Luna qui en sont tous deux restés à GPT-6 (ça ne va pas durer). L’entreprise promet un gain de performances important sur des tâches comme l’écriture de code et le déboggage par rapport à GPT-6 Sol, ainsi que sur la compréhension des documents et l’exécution de plusieurs tâches.

Dans plusieurs des évaluations, GPT-6.1 Sol s’approcherait même des capacités de GPT-6 Astra « à un coût substantiellement moins élevé ». Les prix, parlons-en : 2 dollars pour un million de tokens en entrée, 10 dollars en sortie, soit les mêmes tarifs que Sonnet 5.5, et 0,10 dollar pour un million de tokens d’entrée mis en cache (moitié moins cher que le dernier Sonnet). Le modèle est en phase de déploiement dès aujourd’hui pour les abonnés Plus, Pro, Business, Enterprise et Edu, ainsi que dans l’API.

Il va bien falloir financer cette tempête de nouvelles fonctionnalités ! OpenAI a donc dévoilé un nouvel abonnement qui coûte la bagatelle de 500 dollars par mois. Il comprend l’accès à un mode « UltraFast » (vitesse maximale) pour ChatGPT Work et Codex, ils pourront carburer à 300 tokens par seconde (la vitesse UltraFast est aussi proposée aux utilisateurs de l’API).

L’entreprise a également rouvert les inscriptions à la formule à 200 dollars par mois qui avait été fermée durant quelques semaines après le lancement de GPT-6 Astra. Un abonnement désormais moins intéressant : l’usage Codex et Work passe à 10 fois celui des abonnés Plus (20 dollars) alors que l’enveloppe était de 20 fois auparavant. Les abonnés actuels conserveront leurs limites actuelles pendant un certain temps.

It's not AI bug, it's AI feature

OpenAI a reconnu que des sites du gouvernement états-unien avaient été attaqués par certains de ses agents IA, portant le nombre d’incidents documentés à plus de quinze. En élargissant le spectre à Anthropic et aux découvertes faites par des chercheurs extérieurs, le nombre d’incidents problématiques se chiffrerait en « dizaines de milliers ». En attendant, OpenAI a suspendu les activités d’entraînement de ses modèles les plus performants.

OpenAI a reconnu vendredi 25 septembre avoir appris que certains de ses agents IA avaient perturbé le fonctionnement des sites web des ministères états-uniens de l’Éducation et du Commerce, ainsi que de la Commission des opérations de bourse (SEC), rapporte le New York Times.

Selon des chercheurs du cabinet de recherche en IA Transluce, la technologie d’OpenAI a en effet tenté de pirater le site web du ministère de l’Éducation afin de collecter des données auprès du bureau des droits civiques de ce dernier, mais sans succès.

L’IA a également extrait des données du site web du Bureau du recensement, qui relève du ministère du Commerce, en utilisant des identifiants de connexion trouvés en ligne. Par ailleurs, des agents d’OpenAI ont aussi partagé des données publiques provenant du site web de la SEC sur un forum en ligne.

Des révélations qui font suite à l’annonce, en marge de la réunion du Conseil de sécurité de l’ONU consacrée aux risques de l’IA qui se tenait la semaine passée, que des sites du gouvernement australien avaient eux aussi été attaqués. Réunion qui avait vu de nombreux pays, mais également les principaux patrons des IA, en appeler à une régulation mondiale.

• À l’ONU, les patrons de l’IA réclament une régulation mondiale

OpenAI suspend les activités d’entraînement de ses modèles les plus performants

OpenAI a également révélé avoir identifié 53 cas d’images partagées par des utilisateurs avec ChatGPT qui ont été publiées sur des sites d’hébergement d’images sous forme de liens non accessibles au public. Ces images provenaient de comptes dont les propriétaires avaient autorisé l’utilisation de leurs données pour améliorer les modèles. OpenAI précise avoir dissocié ces images de leurs comptes respectifs avant de les soumettre à un filtre de confidentialité.

Autre révélation d’OpenAI : un agent IA a conclu qu’il pouvait accéder à l’Internet public via un résolveur DNS. Son objectif était de savoir si un service de domaine public pouvait aider à déléguer une recherche vers une adresse intégrée dans le nom d’hôte : « Notre système de surveillance des désalignements a détecté cette anomalie en moins de 15 minutes, et une personne a commencé à l’examiner trois minutes plus tard. L’exécution a été interrompue 2 heures et demie plus tard. »

« Toutes les activités d’entraînement, d’évaluation et d’inférence liées à l’utilisation d’outils (au sens large) de nos modèles les plus performants restent suspendues », rajoute OpenAI.

Sam Altman a de son côté déclaré vendredi que l’entreprise n’avait « pas agi aussi rapidement qu’elle l’aurait souhaité » pour rendre publics ces incidents. « Nous établissons nos priorités du mieux que nous pouvons en fonction de la gravité », ajoutant que la violation de données chez Hugging Face en juillet dernier restait « l’incident le plus grave » que l’entreprise ait découvert.

• OpenAI : haute voltige marketing autour de l’attaque contre Hugging Face

Pour OpenAI, ces incidents ne constituent pas des failles de sécurité

L’entreprise a précisé qu’aucun de ces incidents ne constituait une faille de sécurité, mais qu’il s’agissait néanmoins d’exemples illustrant le comportement inattendu et préoccupant de sa technologie. « La plupart des activités que nous avons examinées jusqu’à présent concernaient des tâches de recherche courantes, telles que l’accès à des contenus web publics pour répondre à des questions », a précisé une porte-parole d’OpenAI au NYT. « Certaines concernaient des sites web gouvernementaux, car nos modèles s’y réfèrent souvent comme à des sources fiables d’informations publiques. »

Transluce, le labo de recherche IA a révélé la semaine passée que des agents d’OpenAI ont tenté de pirater deux sites gouvernementaux australiens. Il précise que ces incidents avaient comme points communs des agents IA cherchant à sonder des sites web gouvernementaux à l’aide de tactiques telles que l’utilisation d’identifiants exposés, le contournement des systèmes anti-bots et la création de faux comptes.

• Des agents IA d’OpenAI ont tenté de pirater deux sites gouvernementaux australiens

Sur le dossier australien, OpenAI veut faire amende honorable. « Nous sommes désolés et nous nous efforçons de faire mieux à l’avenir », écrit l’entreprise dans un billet de blog. « Les gens veulent savoir que l’IA est développée en toute sécurité, et cela commence par ce que les entreprises comme la nôtre font elles-mêmes. »

Histoire de montrer patte blanche, elle a annoncé plusieurs mesures : soutien aux agences touchées, financement et assistance technique pour renforcer la cybersécurité des infrastructures critiques, et la création d’une « task force » australienne afin de proposer des améliorations pour les alertes, la coordination avec les pouvoirs publics et la protection des systèmes du gouvernement.

Samedi, le chercheur en sécurité Rowan Howard-Jones révélait que des agents d’OpenAI avaient tenté d’attaquer par force brute l’API du site statistique de la Conférence des Nations unies sur le commerce et le développement (CNUCED) plus de 16 000 fois entre avril et juin.

Ils semblaient avoir pour mission de collecter des données relatives à l’indice des capacités de production (PCI), aux secteurs exportateurs, au commerce des denrées alimentaires et à d’autres thèmes. Ils ont utilisé des proxys, des techniques d’obfuscation et même le jeu XSS de Google, créé pour familiariser ses utilisateurs à la notion de failles de sécurité XSS (pour cross-site scripting).

Des modus operandi faisant clairement penser à ceux utilisés dans les tentatives de piratage des sites gouvernementaux australiens. Les agents IA, bridés dans leur accès au web, chercheraient ainsi à répondre aux questions qui leur sont posées, par quelque moyen que ce soit, quitte à utiliser des tactiques, techniques et procédures (TTP) relevant du piratage informatique.

• Le storytelling autour de la sécurité des agents IA a « perdu le contact avec la réalité »

Une quinzaine de cas documentés, pour l’instant

En se basant sur une source interne, Reuters écrivait ce samedi qu’OpenAI avait recensé « environ deux douzaines d’incidents au cours desquels ses agents avaient agi de manière indésirable » mi-septembre. Deux personnes proches de l’entreprise précisaient à l’agence que le chiffre n’a depuis cessé d’augmenter, à mesure que les équipes d’OpenAI examinent les journaux internes relatifs aux activités des agents, et découvrent des cas jusqu’alors inconnus.

Une centaine de personnes auraient en effet été impliquées d’une manière ou d’une autre dans le processus visant à élucider le piratage de Hugging Face. Au cours de ce processus, des indices laissent supposer que d’autres incidents ont été mis au jour, dont « [une quinzaine] présentant des niveaux de gravité variables, (…) révélés par l’entreprise ».

• Chez OpenAI, six nouveaux exemples d’agents « désalignés », dont un s’est servi de Gofile

De nombreux incidents ont par ailleurs été mis au jour par des chercheurs externes plutôt que par OpenAI directement, durant lesquels les agents ont procédé à des actions problématiques passées inaperçues au sein de l’entreprise pendant des mois.

OpenAI a indiqué que son examen « prendrait plusieurs mois, compte tenu de l’ampleur de la tâche », souligne Reuters. L’entreprise précisait également avoir d’ores et déjà signalé des activités inappropriées à des dizaines d’entreprises et organismes tiers.

Des « dizaines de milliers d’incidents » en cours d’examen

OpenAI n’est pas la seule entreprise de l’IA concernée par cette vague d’agents rebelles. Le site Axios a ainsi assuré qu’OpenAI donc, mais aussi Anthropic ainsi que des chercheurs en sécurité et en « sûreté de l’IA » (« AI Safety ») enquêtent actuellement sur « des dizaines de milliers d’incidents au cours desquels leurs modèles de pointe ont pris des mesures que des évaluateurs externes jugeraient problématiques ».

Ces incidents se sont produits lors de tests internes et en conditions réelles, et bon nombre d’entre eux n’ont pas encore été rendus publics, les chercheurs en sécurité poursuivant leurs investigations, précisent les sources.

OpenAI a annoncé le suspension de l’entraînement de ses modèles les plus performants et qu’il ne reprendrait « que lorsque nous serons certains d’avoir mis en place des mesures de sécurité supplémentaires et des améliorations en matière d’alignement », a déclaré un porte-parole. Il a ajouté que « ce n’est pas la première fois que nous faisons une pause pour prendre de telles mesures, et nous ne pensons pas que ce sera la dernière, car les capacités de l’IA ne cessent de progresser ».

Firefox 157 est désormais disponible au téléchargement, y compris en mise à jour. La nouveauté la plus visible littéralement est sa nouvelle interface. Baptisée Nova, elle ambitionne de moderniser le navigateur, en tablant largement sur les arrondis et des couleurs plus vivantes.

Il s’agit d’un changement visuel, qui n’implique pas de modifications plus profondes. Mozilla a pris soin de l’expliquer à plusieurs reprises, dont une dernière fois sur les réseaux sociaux le 23 septembre. L’arrivée de Nova ne change rien aux performances et n’a pas d’impact sur les extensions, les raccourcis ou encore les menus. Nova est disponible aussi bien dans la version pour ordinateurs que dans la mouture mobile.

L’ensemble se veut plus « propre », offrant moins de distractions visuelles. Nova affecte l’apparence de tous les éléments, de la forme des onglets aux couleurs de l’ensemble, en passant par les menus, les zones de sélection et ainsi de suite. Comme on pouvait cependant le voir sur X le 23 septembre, les réactions étaient globalement peu enthousiastes.

Nova est cependant là pour rester, même si rien n’empêche Mozilla d’adapter petit à petit cette interface aux retours des utilisateurs. Il s’agit également de l’interface par défaut de Firefox, elle ne peut pas être supprimée, même si le thème peut être changé. Il n’est pas non plus possible de revenir sur l’ancienne version. Et tant pis pour les personnes qui voient dans toutes ces rondeurs des abominations visuelles. Sur ce point, Vivaldi reste loin devant avec des options de personnalisation très poussées, dont la possibilité de régler l’arrondi des angles.

L’arrivée de Nova va de pair avec le retour d’une fonction réclamée à cor et à cri : le mode compact. Un retour d’autant plus bienvenu que Nova, dans son affichage par défaut, a tendance à prendre un peu plus de place. Le mode compact réduit ainsi la taille des onglets et des barres d’outils, y compris dans la barre latérale.

En dehors de Nova, il y a peu de nouveautés majeures. On note toutefois que le navigateur sait maintenant utiliser le décodage matériel pour AV1 pour les appels WebRTC si la machine utilisée en est capable.

Enfin, Firefox 157 corrige une longue liste de vulnérabilités, dont 38 critiques.

La vie privée, concept de vieux con ?

Meta a récemment lancé son agent IA, Muse. Mais des utilisateurs se plaignent qu’il agit de façon problématique concernant leurs données personnelles, en livrant par exemple une adresse postale ou en analysant des messages auxquels il ne devrait pas avoir accès.

Muse, qui, de l’aveu même du responsable produit chez Meta Superintelligence Labs est très grandement inspiré d’OpenClaw, semble avoir les mêmes problèmes considérant les informations de ses utilisateurs : une propension à les utiliser sans vergogne, sans en avoir la permission.

Côté OpenClaw, les utilisateurs étaient prévenus. La documentation du projet open source expliquait clairement que l’agent IA mis en place pouvait utiliser des données pour faire tout et n’importe quoi et même écrivait noir sur blanc qu’il « n’y a pas de configuration « parfaitement sécurisée » ». Quelques temps après sa sortie, NVIDIA proposait même un projet nommé NemoClaw qui essayait de canaliser OpenClaw.

Un rendez-vous avec un inconnu à votre adresse sans que vous soyez au courant

Mais, avec Muse, Meta a passé un cap en proposant le même genre d’agent en version grand public. On pourrait s’attendre, avec ce genre de version, que le côté « à vos risques et péril » s’efface. Cela ne semble pas le cas.

Pourtant, dans la FAQ accompagnant Muse, à la question « Muse me demande-t-elle mon accord avant d’agir en mon nom ? », Meta répond « Oui. Muse est conçue pour vous demander votre autorisation avant d’effectuer certaines actions, comme envoyer des messages, effectuer des achats ou partager des informations avec une application connectée. Vous pouvez choisir d’autoriser une action une seule fois, de l’autoriser systématiquement ou de la refuser ».

Mais il est difficile pour Meta de prévoir toutes les actions qui doivent passer sous la fourche caudine de la restriction de la divulgation d’informations privées.

Ainsi, comme le raconte sur Threads l’utilisateur Matt Robb, il a laissé Muse gérer pour lui toute la discussion pour la vente d’un de ses claviers sur Facebook Marketplace. Sauf que l’agent IA de Meta a proposé un prix cassé et donné rendez-vous chez lui à l’acheteur sans que Matt Robb ne le sache. Celui-ci n’était pas physiquement présent et donc l’acheteur est reparti bredouille, après s’être déplacé et avoir attendu une vingtaine de minutes. Surtout, comme il l’indique au Guardian, si Matt Robb avait indiqué son adresse sur son annonce dans le Marketplace, il n’avait pas autorisé Muse à la partager à d’éventuels acheteurs.

Des messages consultés et stockés au mépris du refus de l’utilisateur

Mais ce n’est pas tout. Le journaliste de Inc., Jason Aten, a testé Muse sur son iPhone et son Mac. Et il s’est rendu compte que l’agent utilisait du contenu provenant de ses conversations sur l’application Messages d’Apple, sans y être autorisé. Et ce malgré le choix explicite de ne pas laisser à Muse d’accès à ses messages mais aussi à son agenda et à d’autres informations personnelles.

Après avoir demandé à l’outil, celui-ci a généré une réponse suggérant que Muse récupérait les données dans les notifications : « Lorsqu’une notification s’affiche sur votre Mac appairé, le texte de cette notification m’est transmis – en gros, ce que vous verriez dans la bannière elle-même », puis un autre assurant : « Je ne peux pas ouvrir ton application Messages, faire défiler les fils de discussion ni consulter l’historique. Je ne vois que le flux des notifications entrantes, je n’ai pas accès à tes messages ». Sauf qu’un message généré par un agent IA, même sur son fonctionnement, n’est pas forcément vrai.

En creusant un peu dans les fichiers de Muse, Jason Aten a bien repéré que Muse avait synchronisé 187 462 lignes issues de la base de données de Message. Dans un post sur Threads, il partage un extrait d’un fichier montrant que les données proviennent bien de l’application Messages. L’utilisateur affirme qu’il n’avait pas activé l’accès complet à son disque dur pour Muse, tandis que Meta n’a pas répondu à ses questions.

David Singleton, le responsable des Meta Superintelligence Labs, a de son côté promis que Muse avait été conçue « en accordant une grande importance à la sécurité et à la confidentialité ». « L’intégration de Messages dans l’application Muse pour Mac est facultative. Votre application Muse ne peut lire le contenu de Messages que si l’accès complet au disque au niveau du système macOS est accordé et si le connecteur Messages est activé », a-t-il ajouté. Comme dit plus haut, Jason Aten assure ne pas l’avoir activé.

Pauvres barrettes

Discord travaillerait sur un mode jeu pour réduire son empreinte sur le processeur et la carte graphique. Si l’information reste à confirmer, elle laisse sur le carreau la question de la mémoire vive, inévitablement associée aux applications Electron. La pression actuelle sur le marché de la RAM augmente encore l’effet grossissant.

Sur X, le compte Discord Previews a pour habitude de vendre la mèche sur les changements en préparation dans l’application, le plus souvent avec précision. Le 26 septembre, il a affirmé que Discord travaillait sur un « mode jeu ».

Le fonctionnement de ce mode serait à peu près le même que dans les systèmes d’exploitation qui en proposent aussi, notamment Windows 11 et macOS. « Une fois activé, le client Discord réduira automatiquement les animations et désactivera les effets lorsqu’il détectera qu’un jeu est en cours, libérant ainsi des ressources CPU et GPU qui pourraient aider votre jeu à tourner de manière plus fluide », indique le tweet.

Du CPU, du GPU, mais pas de RAM

Si cette annonce doit encore être confirmée officiellement, elle arrive dans un contexte particulier. Discord a souvent été accusée de consommer trop de mémoire, l’application étant basée sur Electron et embarquant, dans les grandes lignes, un navigateur quasi complet (Chromium) pour afficher ce dont elle a besoin, un fonctionnement qualifié de « wrapper web ». Un gros avantage bien sûr pour les développeurs : le code est pratiquement identique d’une plateforme à l’autre, permettant à Discord de proposer des clients pour tous les systèmes ou presque.

Côté utilisateur, c’est parfois une autre paire de manches. Le sujet avait atteint un pic en décembre 2025, quand un employé de Discord était venu sur Reddit pour évoquer une expérience menée par l’entreprise : le redémarrage automatique de l’application si les 4 Go de mémoire étaient atteints. Un cas rare selon l’employé, et un redémarrage n’intervenant que dans des conditions précises (inaction depuis 30 min, jamais pendant un appel, etc.), mais qui jetait une lumière crue sur la situation.

Or, le mode jeu – qui doit encore être confirmé – ne corrigerait pas ce point. Il s’attaquerait à la consommation CPU et GPU pour s’assurer que Discord ne prélève aucune ressource inutile. Mais il ne peut sans doute rien contre le fonctionnement même de la technologie Electron, souvent décriée pour cette raison.

Discord semble pourtant sérieuse sur le sujet des performances, avec certains pans de code réécrits en Rust, ou encore tout récemment le passage à la version 42 d’Electron. Cette dernière a permis de réduire l’utilisation médiane du processeur de 17 %, mais cette baisse s’est faite au prix d’une augmentation médiane de 4 % de la mémoire. Or, si le CPU et le GPU sont cruciaux pour les jeux, la quantité de mémoire disponible l’est également.

L’IA joue les trouble-fêtes

Windows Latest, qui a repris le tweet de Discord Preview, généralise ce type de constat à l’ensemble des applications Electron, notamment WhatsApp et Teams. Nos confrères pointent ces applications parce qu’elles sont fréquentes et peuvent donc fonctionner de concert sur la même machine. Ils militent pour le code natif, encourageant Discord à s’affranchir d’Electron pour une application moderne basée sur WinUI. Précisons que le code natif a beau être nettement plus léger, il demande souvent plus d’entretien, car il oblige à maintenir un plus grand nombre de spécificités pour chaque plateforme.

Cette « détestation » des applications Electron n’est pas nouvelle, mais elle prend une autre saveur à la jonction de deux trajectoires, intimement liées : la popularisation du « vibe coding » et les prix de la RAM.

On trouve depuis plusieurs mois un nombre croissant de témoignages de personnes s’étant lancées dans le développement, sans en avoir forcément les bases. L’objectif ? Répondre à un besoin spécifique ou… en finir avec les wrappers web. Sur X, l’Italien Carmine Paolino s’est par exemple fait un nom en développant Spotifast et Zapfast, des clients alternatifs pour respectivement Spotify et WhatsApp, développés en Rust et sous licence MIT.

Le problème, dans une grande partie des cas, est de pouvoir le faire avec un fonctionnement fiable, donc en passant par des API publiques. La zone est plus ou moins grise, selon le projet. Dans le cas de WhatsApp, les conditions d’utilisation interdisent ce type d’utilisation, l’entreprise se réservant le droit de bloquer les comptes qui en abuseraient.

Mais ces projets répondent à une demande autant qu’à une frustration. En juin dernier, nous relevions ainsi que la fin du client WhatsApp natif pour Windows avait laissé sa place à une application Electron, la consommation moyenne de mémoire explosant alors pour atteindre 1,2 Go, avec des pointes jusqu’à plus de 3 Go. Le mouvement était d’autant plus étonnant que l’ancienne version Windows était fluide et légère, ce qui soulignait une volonté d’économies au sein de Meta.

À l’heure où les prix de la mémoire continuent de grimper, les entreprises ne peuvent cependant plus compter sur l’accroissement « naturel » de la quantité moyenne de RAM. Parallèlement, la demande pour des applications et composants natifs augmente. Elle a notamment conduit Microsoft à faire une série d’annonces pour Windows 11 plus tôt dans l’année, l’éditeur affirmant que de gros efforts étaient en préparation dans ce sens, via son initiative K2.

Sans surprise, Google a formé un recours auprès du Tribunal de l’Union européenne concernant des mesures contraignantes décidées par la Commission le 16 juillet. Cet appel concerne deux décisions de Bruxelles.

• Bruxelles impose à Google d’ouvrir Android aux assistants IA et ses données de recherche

Google doit partager ses données de recherche avec ses rivaux, une mesure censée rééquilibrer un marché dominé de la tête et des épaules par Google. « Les gens utilisent le moteur de recherche pour poser leurs questions les plus personnelles – qu’il s’agisse de préoccupations médicales ou de relations intimes – et nous obliger à partager ces requêtes personnelles sans garanties suffisantes causerait un préjudice irréversible à la vie privée des utilisateurs », a déclaré Oliver Bethell auprès de Bloomberg.

La seconde, touche à l’ouverture d’Android aux bots IA concurrents de Gemini (Claude, ChatGPT, etc.), mais elle n’a suscité aucun commentaire particulier de la part de Google, bien qu’elle fasse l’objet du même appel.

Rendez-vous dans quelques mois ou années pour connaitre la position du Tribunal. Si elle n’allait pas dans le sens de Google, il est plus que probable qu’un appel soit déposé devant la Cour de justice, mais il sera alors limité aux questions de droit.

Google accumule les amendes et les sanctions en Europe. La semaine dernière, la Commission irlandaise à la protection des données infligeait à l’entreprise une douloureuse de 403 millions d’euros pour infraction au RGPD. En juillet, la Commission y allait de deux amendes d’un total de 890 millions d’euros pour violations du DMA.

Oura reporte son introduction en Bourse (IPO). Le constructeur de bagues connectées préparait depuis quelques mois son lancement au Nasdaq, l’indice américain des technologies. Mais « malgré une forte demande », un délai est nécessaire en raison des « incertitudes qui pèsent sur le marché [des IPO] ».

L’entreprise, créée en Finlande sous le nom Oura Health Oy, a transféré son siège juridique aux États-Unis cette année. La R&D reste toutefois ancrée en Finlande. Elle avait annoncé son intention de se lancer en Bourse le 21 septembre en vendant 50 millions d’actions à un prix oscillant entre 40 et 44 dollars. L’objectif était alors de lever 2,2 milliards de dollars.

La décision de reporter l’IPO une semaine après son annonce a de quoi étonner, d’autant que les incertitudes boursières relevées par Oura ne datent pas d’hier (ces conditions n’ont pas l’air de gêner Anthropic). « Nous voulons réussir une introduction en Bourse exceptionnelle pour nos salariés et nos investisseurs », a justifié Tom Hale, le directeur général d’Oura, « et nous avons le luxe de pouvoir choisir le moment opportun. D’ici là, nous continuerons à saisir les opportunités qui s’offrent à nous. »

L’entreprise est rentable, affirme le communiqué, sa croissance est soutenue et l’activité s’est « encore renforcée depuis le lancement du processus d’introduction en Bourse ». La bague Oura 5 a rencontré « un accueil exceptionnel », et le nombre d’abonnés payants a atteint les 5,7 millions (5,99 euros par mois). Le chiffre d’affaires devrait progresser de 90 % sur un an.

Retten wir die Daten

L’Allemagne se lance dans la résilience des données scientifiques sur le climat en finançant plusieurs projets et en mettant à disposition son data center créé en 2022 pour abriter les données allemandes sur le sujet. Reste que les financements ne sont pour l’instant pas pérennes et devront être renouvelés après 2027.

Depuis le retour de Donald Trump au pouvoir, les données sur le climat stockées par les États-Unis sont menacées. Les chercheuses et chercheurs allemands mettent maintenant en place des infrastructures pour les protéger.

Dès janvier 2025, des chercheurs et militants états-uniens ont essayé de prémunir les informations et données des agences de leur suppression. Mais l’attaque de l’administration Trump contre les données scientifiques est massive. 375 jeux de données ont déjà été touchés, selon le relevé du projet dataindex.us. Politico vient de son côté de révéler que des associations conservatrices traquent les chercheurs américains sur le climat en faisant nombre de demandes d’accès à des documents administratifs.

En Europe, une certaine volonté de les aider est affichée. L’année dernière, le directeur général délégué à la science du CNRS, Alain Schuhl affirmait que les bases de données sont « l’urgence absolue ». Mais, depuis, la plus importante structure scientifique française a encore vu son budget baisser avec le constat d’ « un net désengagement de l’État ». Et aucun projet de financement français ne semble émerger alors que la direction du CNRS s’est lancée dans une réorganisation du monde de la recherche.

• Baisse du budget : les universités, la recherche et France 2030 sacrifiées
• Maths, informatique et astronomie : le PDG du CNRS veut chambouler toute l’organisation

Concrétisation en Allemagne

C’est d’outre-Rhin que des initiatives plus concrètes semblent arriver. Ainsi, comme l’explique le magazine de l’École de l’environnement de Yale, plusieurs racks qui vont être ajoutés dans le German Climate Computing Center (DKRZ) pour accueillir les données jusque-là stockées par les laboratoires américains. Les capacités de stockage du DKRZ, actuellement de 254 pétaoctets, se voient augmenter de 5 pétaoctets qui doivent être alloués à la sauvegarde des données venant des projets américains.

La Fondation allemande pour la recherche (DFG) a obtenu de son gouvernement des financements visant à sécuriser les référentiels de données menacés et à promouvoir la résilience des données. En tout, l’Allemagne prévoit de financer 10 projets autour de cette « résiliences des données ».

Le projet SEND Earth Data va, par exemple, identifier les jeux de données et les services à risque et mettre en place des systèmes de redondance « là où cela s’avère nécessaire et en élaborant des stratégies durables pour leur conservation et leur accessibilité à long terme ». L’idée n’est pas seulement de faire des backups mais d’instaurer des standards pour l’acquisition des données, s’assurer de leur qualité, de leur enrichissement par des métadonnées et de leur conservation à long terme.

Certains chercheurs allemands ont déjà identifié des besoins. Ainsi, un autre projet, nommé CMIP7-ark, a prévu de mettre en place sur le DKRZ ce qu’ils appellent une « zone de réplication d’urgence » pour « dupliquer les flux de données américains hautement prioritaires dès leur publication » concernant le CMIP7, un projet international de comparaison des modèles climatiques.

« Bien que les données soient diffusées par l’intermédiaire de l’Earth System Grid Federation (ESGF), les faiblesses structurelles et les coupes budgétaires prévues au sein des agences scientifiques américaines (NASA, NOAA, NCAR, DOE) menacent la stabilité opérationnelle de leurs nœuds de données locaux », expliquent-ils. « Toute interruption de l’accès créerait un « vide de données » critique, entravant gravement les capacités de recherche allemandes en matière de détection de signaux climatiques à haute résolution et de modélisation comparative du système terrestre ».

Des projets de résilience des données au-delà du climat

Les projets de « résilience des données » ne s’arrêtent pas au climat. Ainsi, le biologiste Lorenz Christian Reimer a convaincu la DFG de financer l’intégration des données de transcriptions de gènes du projet RegulonDB, créé en 1998 et financé jusqu’à récemment par le NIH américain, dans l’outil DSMZ Digital Diversity géré par son équipe.

La DFG finance aussi un projet qui veut « répondre au besoin urgent de créer une plateforme européenne dédiée au dépôt des données biomoléculaires de résonance magnétique nucléaire (RMN), actuellement stockées, annotées et gérées par le BMRB aux États-Unis ».

Mais un financement non pérenne

L’Allemagne semble donc avoir mis les mains dans le cambouis de la « résilience » des données de la science, jusque-là très souvent stockées par les diverses agences états-uniennes. Si on peut saluer l’effort, notons quand même que la DFG souligne dans ses « guidelines » [PDF] que « cette initiative de financement est limitée aux années 2026 et 2027 » et que les « projets peuvent bénéficier d’un financement jusqu’au 31 décembre 2027 au plus tard ; cette date marque également la fin de la durée du projet ».

Ce financement « par projet », qui s’est généralisé depuis des années dans la recherche européenne et qui limite sa portée à quelques années, est en contradiction avec la résilience des données qui demande que l’engagement de financement s’étale sur le long terme. Les chercheurs qui les portent vont devoir espérer que d’autres institutions, allemandes ou européennes, acceptent de reprendre le flambeau.