Petit acteur sur le marché français et européen des appareils de streaming, Roku est en revanche un poids lourd en Amérique du Nord. Et c’est ce qui explique la grosseur du chèque signé par le groupe Fox pour s’offrir le constructeur : 22 milliards de dollars.

Grosse transaction dans le paysage du streaming : Fox, un des principaux groupes audiovisuels américains (Fox News, Fox Sports…), a annoncé l’acquisition de Roku pour la modique somme de 22 milliards de dollars. Cela représente une prime d’environ 20 % par rapport à la valeur de l’action Roku vendredi dernier ; la clôture de l’opération est prévue pour le premier semestre 2027.

Fox ajoute donc à son arsenal tout un catalogue de boîtiers de streaming et de téléviseurs connectés, mais ce n’est pas tellement le matériel qui intéresse le groupe détenu par la famille Murdoch, bien que Roku soit un mastodonte dans ce secteur. La plateforme revendique plus de 100 millions de foyers actifs dans le monde… un monde qui reste largement circonscrit à l’Amérique du Nord. Roku est tout simplement la plateforme numéro 1 aux États-Unis, au Canada et au Mexique en nombre d’heures visionnées.

Fox cherche surtout à renforcer sa position sur le marché plus général du streaming qui lui échappe aujourd’hui. « Ensemble, Fox et Roku entendent créer un groupe média et technologique de nouvelle génération doté d’une grande envergure, à la croisée de deux tendances majeures qui redessinent la consommation vidéo : la place toujours centrale du sport et de l’information en direct, et la progression continue du streaming », peut-on lire dans le communiqué.

Avec Roku, Fox met également la main sur The Roku Channel, l’un des principaux services gratuits financés par la publicité aux États-Unis, qui viendra compléter sa propre plateforme Tubi.

Certaines sources évoquent chez CNN l’impérieuse nécessité pour Fox de sortir de son isolement relatif, surtout après les premiers feux verts réglementaires donnés au rapprochement entre Paramount et Warner Bros. Discovery. Fox risquait de devenir le seul grand groupe média américain sans véritable plateforme de distribution grand public.

Au-delà de ses box, Roku est aussi et surtout un coffre au trésor publicitaire. L’entreprise possède en effet une montagne de données utilisateurs, des outils de ciblage publicitaires et un important inventaire d’espace publicitaire sur les téléviseurs connectés. Le groupe pourra ainsi vendre des campagnes qui combineront ses deux principaux canaux de diffusion Fox News et Fox Sports, mais aussi Tubi, The Roku Channel et au-delà, l’écosystème de Roku.

Histoire de rassurer les partenaires qui ont contribué au succès de Roku, Fox promet que la plateforme restera ouverte – elle continuera d’accueillir Netflix, Disney+, YouTube, Prime Video et d’autres services qui sont désormais des concurrents directs.

Think of the children !

« Redonner leur enfance aux enfants », c’est le nouveau credo de Keir Starmer, le Premier ministre britannique. Ce dernier a annoncé ce lundi 15 juin la mise en place d’une interdiction des réseaux sociaux aux moins de 16 ans, en y ajoutant des restrictions sur les jeux vidéo et les plateformes de streaming vidéo en direct.

D’ici l’année prochaine, l’horizon des internautes de moins de 16 ans pourrait bien se réduire fortement au Royaume-Uni. Le gouvernement britannique a annoncé un projet de loi imposant de nouvelles restrictions significatives aux jeunes du pays : pas de réseaux sociaux, interdiction de diffuser des vidéos en direct, interdiction pour des inconnus adultes de contacter directement des mineurs, limites pour d’autres services en ligne comme certaines plateformes de jeux vidéo. Sans pour autant empêcher les enfants de participer à des jeux multijoueurs en ligne type Minecraft ou Roblox.

Ban à gogo

Pour éviter un effet de seuil brutal à 16 ans, le projet prévoit de laisser actives certaines restrictions pour les 16 et 17 ans, notamment celles concernant les contacts avec des inconnus et certaines fonctions à risque comme les « compagnons romantiques » générés par IA (qui ne seraient plus accessibles qu’aux adultes). Londres doit publier des détails supplémentaires courant juillet sur plusieurs autres pistes, à l’instar d’un couvre-feu numérique nocturne, ainsi que des interruptions obligatoires du scrolling infini pour réduire le temps passé sur les plateformes.

Le tout repose sur l’Online Safety Act, ce texte qui impose la vérification de l’âge sur les sites porno. Les contrôles sont jugés insuffisants par le gouvernement, qui veut désormais imposer des systèmes de vérification plus robustes et qui finiront par s’imposer à tous les internautes outre-Manche. Les autorités se sont inspirées du modèle australien, qui a banni les réseaux sociaux aux moins de 16 ans, mais en y ajoutant des plateformes et des fonctionnalités en ligne supplémentaires.

« Sur plusieurs aspects, nous allons plus loin qu’une simple interdiction », convient Keir Starmer. « Nous nous attaquons aux fonctionnalités à risque présentes sur les sites de jeux vidéo ou les plateformes de diffusion en direct, où des inconnus peuvent actuellement contacter n’importe quel enfant sans véritable contrôle. » Le gouvernement veut également empêcher le partage de photos intimes par des ados.

• Londres veut empêcher les mineurs d’échanger des photos intimes

La défense des plateformes

Les principales intéressées ont expliqué qu’une interdiction généralisée allait pousser les enfants vers des services plus risqués n’offrant pas le même niveau de protection qu’elles ont mis en place. Autre angle d’attaque : les plateformes visées proposent aussi des fonctions qui aident les plus jeunes. « YouTube est une ressource essentielle pour les jeunes, les enseignants et les parents », a déclaré un porte-parole.

Snapchat indique de son côté que cette interdiction couperait les adolescents des échanges privés avec leurs amis et leur famille (les messageries comme WhatsApp ou Signal ne sont pas concernées). Meta, qui est une des principales entreprises visées avec Facebook et Instagram, a fait valoir que l’expérience australienne augmentait les risques d’isolation des ados de leur communauté.

« Une interdiction n’est pas seulement une loi : c’est aussi l’expression de nos valeurs, une norme sociale », ajoute le Premier ministre. « Bien sûr, certains enfants trouveront des moyens techniques de contourner l’interdiction. Mais cela ne signifie pas que nous ne devons pas agir ou que cette mesure sera sans effet. » Le texte devrait être en vigueur d’ici le printemps 2027.

Un projet d’interdiction des réseaux sociaux aux moins de 16 ans est également en discussion dans l’Union européenne, tandis qu’en France ils devront demander l’âge afin de bloquer les utilisateurs de 15 ans ou moins.

• Interdiction des réseaux sociaux aux moins de 15 ans : le compte à rebours est lancé

Le loup dans la bergerie

Aqara, fabricant d’appareils connectés populaires dans l’univers HomeKit, a récemment corrigé la bagatelle de 26 défaillances de sécurité détectées principalement au niveau de la plateforme cloud qui sous-tend ses services. Dix des failles découvertes ont donné lieu à publication d’une CVE. L’exploitation combinée des quatre premières aboutit à une vulnérabilité notée 10, le niveau maximal de sévérité.

Une recherche indépendante, publiée le 11 juin dernier, vient de mettre en lumière un vaste ensemble de vulnérabilités affectant les produits de la marque Aqara. Ce fabricant chinois commercialise pour mémoire une large gamme de capteurs de température, caméras IP, ampoules pilotées, thermostats et autres serrures ou verrous connectés. La bonne intégration de ses produits dans Apple Maison (HomeKit) les rend particulièrement populaires chez les amateurs de domotique.

La plateforme cloud qui sous-tend leur fonctionnement présentait toutefois quelques sérieuses failles en matière de sécurité. L’exploitation combinée de plusieurs d’entre elles créait ainsi une voie pour usurper n’importe quel compte enregistré sur la plateforme Aqara, et donc potentiellement de forger un accès à l’ensemble de l’écosystème domotique d’un utilisateur.

Dix CVE et de nombreux problèmes de configuration

L’une de ces failles a reçu la note maximale de 10.0 dans la base de Common Vulnerabilities and Exposures (CVE) officielle – une sévérité qui reflète son rôle dans la chaîne plutôt que son impact pris isolément, le chercheur lui ayant lui-même attribué 7.5. « La passerelle Aqara IAM/SSO (gw-builder.aqara.com) expose des échanges AES bidirectionnels contre la clé de signature de la plateforme sans authentification », indique la notice associée.

Derrière ce scénario du pire (dont aucune mise en œuvre malveillante n’a été attestée) se cache en réalité un catalogue de failles et de lacunes de sécurité bien plus vastes, comme le présente sur GitHub l’auteur de ces découvertes, le Français Sammy Azdoufal. Ses travaux, confirmés par Tod Beardsley de runZero, ont donné lieu à la publication de dix CVE individuelles, dont quatre sont qualifiées de critiques (note supérieure à 9).

« L’audit a révélé dix vulnérabilités côté produit suffisamment graves pour justifier l’attribution de CVE, ainsi que onze problèmes côté opérateur affectant l’infrastructure d’Aqara (son CRM, ses plateformes CI/opérations internes, sa passerelle IAM, son forum et son GitHub). Les quatre premières CVE sont liées entre elles. Aucune d’entre elles n’atteint individuellement le niveau 10.0. C’est leur enchaînement qui aboutit à ce niveau », décrit Sammy Azdoufal.

Il a découvert ces failles en étudiant l’application mobile dédiée à ses utilisateurs, ce qui lui avait déjà permis de découvrir plus d’un million de babyphones espion basés sur le cloud Meari, et près d’un million de pièces d’identité exposées sur Internet par le fournisseur d’un outil de CRM dédié aux coffee shops et autres cannabis clubs sociaux.

Sammy Azdoufal indique avoir listé et informé Aqara d’un total de 27 défaillances. Le fabricant aurait reconnu et corrigé 26 d’entre elles, laissant de côté l’allusion à un forum Discourse dont les messages et les comptes utilisateurs étaient accessibles sans authentification préalable. « L’un des éléments signalés comme corrigés est un problème structurel (CVE-2026-50091, clés cryptographiques codées en dur intégrées au SDK mobile et au firmware déployé) pour lequel un correctif côté serveur n’est pas architecturalement suffisant », estime de son côté l’auteur de la découverte.

La marque minimise l’impact

Il relate par ailleurs la chronologie de ses échanges avec Aqara, de la première prise de contact, en mars, à la déclaration publique transmise le 11 juin, date de la publication de ses découvertes. Dans cette dernière, telle que reproduite par Sammy Azdoufal, l’entreprise affirme que « la possibilité potentielle de contrôler les appareils des utilisateurs se rapporte à un environnement de test totalement distinct des systèmes de production d’Aqara », et que l’accès « à de véritables appareils ou comptes utilisateurs via l’environnement de test est impossible dans notre architecture, car les environnements ne partagent aucune donnée utilisateur, identifiant ni service backend ».

Des affirmations que réfute le chercheur indépendant. « Le point d’accès de récupération des jetons (famille CVE-2026-50083) a renvoyé 2 969 sessions actives, dont les sessions JWT actives de deux employés d’Aqara. Les environnements de test ne contiennent pas les sessions de travail actives des employés réels », fait-il par exemple valoir.

Nous avons contacté Aqara pour essayer de tirer au clair ces contradictions. En attendant, les utilisateurs de l’application du même nom ont sans doute tout intérêt à révoquer les autorisations tierces qu’ils n’auraient pas eux-mêmes accordées dans les paramètres de leur compte. Ainsi qu’à privilégier les options de contrôle local, notamment via HomeKit, plutôt que de piloter leurs appareils par l’intermédiaire d’un cloud opéré par le fabricant. Un conseil qui vaut sans doute d’ailleurs bien au-delà du cas particulier d’Aqara…

• Domotique « intelligente » : ne nous laissons pas enfermer par nos objets connectés

Quoi de mieux pour chanter les louanges de l’IA qu’un rapport truffé d’hallucinations rédigé par une IA ? KPMG a dû retirer une étude sur l’IA agentique après la découverte de plusieurs cas d’usage apparemment inventés. Oups.

Tout ce que raconte l’IA n’est pas d’or. KPMG, une des plus grandes agences de conseil au monde, a publié en octobre dernier un rapport pour « redéfinir l’excellence à l’heure de l’IA agentique ». Destiné aux dirigeants et aux décideurs, le document multiplie les études de cas censées illustrer l’adoption de cette technologie dans les secteurs de la finance, des transports ou encore de la santé.

Seul problème : de nombreux exemples du rapport sont faux, ou à tout le moins factuellement incorrects. Le rapport affirmait ainsi que la banque UBS utilisait des agents IA pour le conseil en investissement, la gestion des risques et la conformité réglementaire au sein d’une plateforme développée avec Microsoft. Des affirmations qui reposent sur des faits incorrects, affirme l’établissement financier au Financial Times et aux chercheurs d’hallucinations du détecteur de contenus générés par IA GPTZero.

Quand l’IA vante l’IA

Autre exemple, celui des chemins de fer fédéraux suisses, chez qui des agents IA étaient censés aider les voyageurs à planifier, réserver et optimiser leurs trajets en fonction de leurs préférences, des conditions en temps réel et de l’impact carbone. Sauf que la description donnée dans le rapport n’était « pas exacte ». Il prétendait aussi que Transport for London (TfL) employait des agents IA pour prévoir et gérer la congestion, personnaliser les informations aux voyageurs et coordonner les modes de transport. Une présentation « trompeuse », selon la TfL.

Enfin, KPMG affirmait que des agents IA prédisaient les réadmissions à l’hôpital, réalisaient un tri des patients et automatisaient les orientations médicales au sein du système de santé dans le grand Manchester. De fausses informations provenant manifestement de la mauvaise interprétation d’un communiqué sur un outil de détection du… cancer du poumon.

Sur les 45 références citées dans le rapport, seules 5 renvoient correctement à des sources réelles, a calculé GPTZero. 28 autres citations fournissent des titres paraphrasés et/ou des éléments erronés pour une source réelle. Les 12 dernières sont trop vagues ou comportent trop d’erreurs pour permettre de déterminer avec certitude si une source existe.

De plus, environ la moitié des affirmations étayées par ces 45 citations semblent être fausses ou attribuées à tort – probablement parce qu’un outil de recherche sur l’IA a trop pris au pied de la lettre une demande visant à trouver des exemples d’« IA agentique » exploitées en production.

Après avoir été alerté par le FT et GPTZero, KPMG a retiré le rapport de ses sites web, tout en affirmant prendre très au sérieux « l’exactitude et l’intégrité » de ses publications. Le cabinet a rappelé que ses employés doivent respecter des règles internes sur l’usage responsable de l’IA.

« Nous attendons de l’ensemble de nos collaborateurs qu’ils respectent nos directives relatives à l’utilisation responsable de l’IA, notamment en assurant une supervision humaine pour valider les contenus et vérifier les sources indépendantes », indique un porte-parole. Une enquête interne a été lancée, mais c’est un peu tard : les conclusions de ce rapport avaient déjà été reprises par plusieurs publications spécialisées du secteur, ainsi que par un important quotidien tchèque.

Ce n’est pas une première, les exemples d’hallucinations d’IA prises pour argent comptant se sont multipliés dans tous les domaines, et on n’est pas près d’en voir le bout.

• L’IA de Doctrine.fr a « halluciné » une décision de la CEDH qui disait tout le contraire

• Trois plaidoiries « hallucinées » par IA ont été identifiées en France en décembre

• Des délires « by design » ? Comment les IA génératives peuvent alimenter des psychoses