Pirate, moi ?

Après plusieurs plaintes d’auteurs, cinq multinationales de l’édition (notamment scolaire et scientifique) attaquent Meta devant la justice américaine pour l’utilisation d’œuvres qu’elles éditent pour entrainer la famille de modèles d’IA générative Llama.

Meta fait face à une action en justice pour violation du copyright qui pèsera sans doute un peu plus lourd que celles qui sont arrivées devant les tribunaux jusque là concernant l’utilisation pour ses modèles d’IA générative d’œuvres copyrightées.

Ici, ce ne sont pas quelques auteurs qui attaquent le groupe dirigé par Mark Zuckerberg (qui est aussi visé personnellement par la plainte), mais cinq multinationales de l’édition : Hachette, Macmillan, McGraw Hill, Elsevier et Cengage. Scott Turow, auteur de thrillers à succès mais également éditorialiste et avocat, est aussi associé à la plainte.

• IA : Meta aurait entraîné son modèle Llama sur la bibliothèque clandestine LibGen

Meta encore accusé d’être passé par du téléchargement illégal

La plainte [PDF], qui a été déposée ce mardi devant la cour du district sud de New York, accuse Meta et donc Mark Zuckerberg d’avoir d’abord « illégalement téléchargé via torrent [torrented, en anglais] des millions de livres et articles de revues scientifiques copyrightés provenant de sites pirates notoires et de scrapes web non autorisés de virtuellement tout l’internet », puis de les avoir copiés « à maintes reprises pour entraîner le système d’IA générative de Meta, baptisé Llama, dont la valorisation s’élève à plusieurs milliards de dollars ».

« Non contents d’utiliser les œuvres protégées par le copyright extraites de Common Crawl, les accusés ont cherché d’autres sources de textes copyrightés pour entraîner leurs modèles Llama », expliquent les avocats des éditeurs.

« Au départ, les accusés avaient envisagé d’obtenir des licences auprès de grands éditeurs pour utiliser des œuvres littéraires. Ils ont finalement opté pour une autre solution : télécharger illégalement les œuvres des demandeurs et du groupe de plaignants à partir de sites de piratage notoires, notamment LibGen, Anna’s Archive, Sci-Hub, Sci-Mag et d’autres », ajoutent-ils. Chargeant le CEO du groupe, ils affirment que « Zuckerberg lui-même a personnellement autorisé et activement encouragé cette violation ».

Mais les éditeurs n’accusent pas seulement Meta de téléchargement. Comme dans d’autres cas concernant l’utilisation d’œuvres par des IA génératives, ils affirment que les modèles de Meta restituent aussi ces œuvres dans leurs réponses.

« Llama génère des reproductions verbatim ou quasi verbatim des œuvres protégées par le copyright » des plaignants, affirme la plainte. « Par exemple, lorsqu’on lui soumet deux courtes phrases tirées du manuel à succès de Cengage, Calculus: Early Transcendentals, 9e édition, de James Stewart, Llama se met à reproduire mot pour mot la suite de la section », ajoutent les avocats.

« L’IA est à l’origine d’innovations transformatrices, d’une productivité accrue et d’une plus grande créativité pour les particuliers et les entreprises, et les tribunaux ont à juste titre estimé que l’entraînement d’un modèle d’IA sur des contenus protégés par le copyright pouvait relever du fair use », a affirmé le porte-parole de Meta Dave Arnold, au New York Times, « nous nous défendrons avec vigueur dans cette affaire ».

• IA : le Bureau US du copyright se positionne sur le fair use, Trump vire sa responsable

La question du fair use n’est pas encore tranchée

Si l’année dernière, les entreprises d’IA avaient gagné plusieurs manches judiciaires, contrairement à ce qu’affirme Meta, le débat sur le fair use pour entrainer les IA n’avait pas été tranché et le sujet reste encore ouvert. À l’époque, le juge Vince Chhaabria avait expliqué qu’il doutait de l’utilisation du fair use concernant les manuels scolaires en expliquant qu’il fallait aussi prendre en compte des « préoccupations concernant le préjudice qu’elle [l’IA générative] peut infliger au marché des œuvres sur lesquelles elle est entraînée ».

Cette réflexion peut sans doute s’étendre aux nombreuses œuvres qui se trouvent dans les catalogues des cinq éditeurs plaignants. Hachette, McGraw Hill et Cengage font partie des plus gros éditeurs de manuels scolaires dans le monde, par exemple. Et, si Elsevier est devenue une filiale d’un des plus grands courtiers de données du monde et fait maintenant d’importants bénéfices en devenant un data broker de l’activité scientifique, elle reste un des plus importants éditeurs scientifiques mondiaux.

• Elsevier récupère le plus de données possible sur les étudiants et chercheurs américains

La plainte demande la destruction de toutes les copies d’œuvres copyrightées utilisées par Meta pour l’entrainement de ses modèles après que l’entreprise en ait fait la liste exhaustive, qu’elle « cesse toute activité illégale » et « toute autre mesure que la Cour jugera appropriée ».

Interrogée par le New York Times, la responsable de l’Association of American Publishers qui a rendu publique cette plainte, Maria A. Pallante, affirme : « Nous nous concentrons sur la création d’un paysage de l’IA bien plus viable — un environnement transparent, équitable et participatif, doté de garde-fous pour protéger les auteurs et les éditeurs contre tout préjudice. Les préjudices sont déjà évidents ».

Pirate, moi ?

Après plusieurs plaintes d’auteurs, cinq multinationales de l’édition (notamment scolaire et scientifique) attaquent Meta devant la justice américaine pour l’utilisation d’œuvres qu’elles éditent pour entrainer la famille de modèles d’IA générative Llama.

Meta fait face à une action en justice pour violation du copyright qui pèsera sans doute un peu plus lourd que celles qui sont arrivées devant les tribunaux jusque là concernant l’utilisation pour ses modèles d’IA générative d’œuvres copyrightées.

Ici, ce ne sont pas quelques auteurs qui attaquent le groupe dirigé par Mark Zuckerberg (qui est aussi visé personnellement par la plainte), mais cinq multinationales de l’édition : Hachette, Macmillan, McGraw Hill, Elsevier et Cengage. Scott Turow, auteur de thrillers à succès mais également éditorialiste et avocat, est aussi associé à la plainte.

• IA : Meta aurait entraîné son modèle Llama sur la bibliothèque clandestine LibGen

Meta encore accusé d’être passé par du téléchargement illégal

La plainte [PDF], qui a été déposée ce mardi devant la cour du district sud de New York, accuse Meta et donc Mark Zuckerberg d’avoir d’abord « illégalement téléchargé via torrent [torrented, en anglais] des millions de livres et articles de revues scientifiques copyrightés provenant de sites pirates notoires et de scrapes web non autorisés de virtuellement tout l’internet », puis de les avoir copiés « à maintes reprises pour entraîner le système d’IA générative de Meta, baptisé Llama, dont la valorisation s’élève à plusieurs milliards de dollars ».

« Non contents d’utiliser les œuvres protégées par le copyright extraites de Common Crawl, les accusés ont cherché d’autres sources de textes copyrightés pour entraîner leurs modèles Llama », expliquent les avocats des éditeurs.

« Au départ, les accusés avaient envisagé d’obtenir des licences auprès de grands éditeurs pour utiliser des œuvres littéraires. Ils ont finalement opté pour une autre solution : télécharger illégalement les œuvres des demandeurs et du groupe de plaignants à partir de sites de piratage notoires, notamment LibGen, Anna’s Archive, Sci-Hub, Sci-Mag et d’autres », ajoutent-ils. Chargeant le CEO du groupe, ils affirment que « Zuckerberg lui-même a personnellement autorisé et activement encouragé cette violation ».

Mais les éditeurs n’accusent pas seulement Meta de téléchargement. Comme dans d’autres cas concernant l’utilisation d’œuvres par des IA génératives, ils affirment que les modèles de Meta restituent aussi ces œuvres dans leurs réponses.

« Llama génère des reproductions verbatim ou quasi verbatim des œuvres protégées par le copyright » des plaignants, affirme la plainte. « Par exemple, lorsqu’on lui soumet deux courtes phrases tirées du manuel à succès de Cengage, Calculus: Early Transcendentals, 9e édition, de James Stewart, Llama se met à reproduire mot pour mot la suite de la section », ajoutent les avocats.

« L’IA est à l’origine d’innovations transformatrices, d’une productivité accrue et d’une plus grande créativité pour les particuliers et les entreprises, et les tribunaux ont à juste titre estimé que l’entraînement d’un modèle d’IA sur des contenus protégés par le copyright pouvait relever du fair use », a affirmé le porte-parole de Meta Dave Arnold, au New York Times, « nous nous défendrons avec vigueur dans cette affaire ».

• IA : le Bureau US du copyright se positionne sur le fair use, Trump vire sa responsable

La question du fair use n’est pas encore tranchée

Si l’année dernière, les entreprises d’IA avaient gagné plusieurs manches judiciaires, contrairement à ce qu’affirme Meta, le débat sur le fair use pour entrainer les IA n’avait pas été tranché et le sujet reste encore ouvert. À l’époque, le juge Vince Chhaabria avait expliqué qu’il doutait de l’utilisation du fair use concernant les manuels scolaires en expliquant qu’il fallait aussi prendre en compte des « préoccupations concernant le préjudice qu’elle [l’IA générative] peut infliger au marché des œuvres sur lesquelles elle est entraînée ».

Cette réflexion peut sans doute s’étendre aux nombreuses œuvres qui se trouvent dans les catalogues des cinq éditeurs plaignants. Hachette, McGraw Hill et Cengage font partie des plus gros éditeurs de manuels scolaires dans le monde, par exemple. Et, si Elsevier est devenue une filiale d’un des plus grands courtiers de données du monde et fait maintenant d’importants bénéfices en devenant un data broker de l’activité scientifique, elle reste un des plus importants éditeurs scientifiques mondiaux.

• Elsevier récupère le plus de données possible sur les étudiants et chercheurs américains

La plainte demande la destruction de toutes les copies d’œuvres copyrightées utilisées par Meta pour l’entrainement de ses modèles après que l’entreprise en ait fait la liste exhaustive, qu’elle « cesse toute activité illégale » et « toute autre mesure que la Cour jugera appropriée ».

Interrogée par le New York Times, la responsable de l’Association of American Publishers qui a rendu publique cette plainte, Maria A. Pallante, affirme : « Nous nous concentrons sur la création d’un paysage de l’IA bien plus viable — un environnement transparent, équitable et participatif, doté de garde-fous pour protéger les auteurs et les éditeurs contre tout préjudice. Les préjudices sont déjà évidents ».

C'est encore nous !

Plus d’un an après avoir essayé de l’introduire dans la proposition de loi Narcotrafic, la délégation parlementaire au renseignement relance le débat sur l’introduction de portes dérobées dans les messageries chiffrées. Les parlementaires évoquent « un accès ciblé à certains contenus chiffrés » en passant par l’échelle européenne mais sans exclure une initiative législative nationale.

La délégation parlementaire au renseignement insiste : « l’impossibilité d’accéder au contenu des communications chiffrées constitue un obstacle majeur pour l’activité de la justice et des services de renseignement ».

Pourtant, l’année dernière l’article 8 ter de la proposition de loi Narcotrafic, qui était critiquée pour l’introduction d’une porte dérobée obligatoire dans les messageries chiffrées, avait finalement été retiré. Mais les membres de la délégation parlementaire au renseignement n’ont pas renoncé.

D’ailleurs, interrogé par Public Sénat, Cédric Perrin, sénateur LR et membre de la délégation, défend toujours l’article en question : « L’article 8 ter que j’avais fait adopter ne visait pas du tout à obtenir des clés de chiffrement mais à introduire dans une conversation un tiers fantôme avant le chiffrement ».

La délégation parlementaire au renseignement (DPR) continue de plaider pour ce qu’elle appelle maintenant « un accès ciblé au contenu des messageries chiffrées » dans une communication [PDF] publiée ce lundi 4 mai en marge de la publication de son rapport annuel.

Pour rappel, la DPR regroupe 8 membres du parlement : les sénatrices et sénateurs Muriel Jourda (LR), Agnès Canayer (LR), Gisèle Jourda (PS) et Cédric Perrin (LR) ainsi que les députés et députées Florent Boudié (Ensemble), Jean-Michel Jacques (Ensemble), Caroline Colombier (RN) et Aurélien Rousseau (PS).

Le dispositif de recueil des données informatiques, trop coûteux et complexe

Elle y déplore que « l’impossibilité d’accéder au contenu des communications chiffrées » dans les messageries chiffrées comme Signal ou Whatsapp « constitue un obstacle majeur pour l’activité de la justice et des services de renseignement ».

Recherche précipitée

Une méta-analyse sur les effets de ChatGPT sur les élèves qui soutenait « un impact positif considérable » a été rétractée. Des chercheurs ont rapidement pointé des problèmes méthodologiques importants mais la revue n’a réagi qu’un an après.

En mai 2025, la revue Humanities and social sciences communications publiait une méta-analyse effectuée par les chercheurs chinois Jin Wang et Wenxiang Fan sur les effets de l’utilisation du chatbot d’OpenAI sur l’apprentissage à l’école qui affirmait que celui-ci avait « un impact positif considérable sur l’amélioration des résultats scolaires ». Près d’un an après avoir cautionné le sérieux de l’étude en l’ayant publiée, la revue, éditée par le géant Springer Nature, a décidé de la rétracter.

« L’éditeur [membre de l’équipe qui gère la revue] a décidé de rétracter cet article en raison de réserves concernant des incohérences dans la méta-analyse. Ces problèmes remettent en cause la confiance que l’éditeur peut accorder à la validité de l’analyse et aux conclusions qui en découlent », explique la note de rétractation publiée le 22 avril dernier. « Les auteurs n’ont pas répondu aux courriers concernant cette rétractation », ajoute la revue.

Un article cité déjà 500 fois

Entre-temps, selon Google Scholar, la méta-analyse a été citée plus de 500 fois dans des travaux scientifiques (relus par les pairs ou pas). Si ces travaux reposent de façon importante sur cette méta-analyse, les auteurs devront aussi se poser des questions sur la solidité de leurs travaux. Par exemple, elle était encore citée dans un article publié en février dernier dans la revue Scientific Reports, éditée aussi par Springer Nature.

• Recherche scientifique : un outil pour éviter les « colosses aux pieds d’argile »

Pourtant des critiques sont vite apparues. Ainsi, on pouvait trouver un commentaire sur la plateforme Pubpeer (qui permet de relever d’éventuels problèmes dans des articles déjà parus dans des revues scientifiques) dès juillet dernier.

Des chercheurs norvégiens ont sonné l’alarme

« Pour être tout à fait clair : Notepad++ n’a jamais sorti de version pour macOS », explique, sur son site, Don Ho, le mainteneur de Notepad++ qui a créé le projet en 2003.

Depuis le début, Notepad++ n’est officiellement distribué que sous forme d’une version pour Windows. Un fork existe pour Linux mais il est diffusé sous le nom de Notepadqq. L’information d’un fork pour Mac commençait à circuler depuis quelques jours, renvoyant vers l’url Notepad-plus-plus-mac.org.

Mais l’utilisation du même nom pour le désigner a fait réagir Don Ho. Si le code de l’éditeur de texte est libre (sous licence GPL), Don Ho affirme que le propriétaire du projet pour Mac utilise la marque Notepad++(le nom) sans autorisation.

Il s’en était déjà ému dans une discussion sur le GitHub du projet en publiant la réponse qu’il avait faite au créateur du nouveau projet pour Mac, Andrey Letov. « C’est une bonne chose que vous essayiez de porter Notepad++ sur macOS ; cela pourrait aider de nombreux utilisateurs de Mac. Cependant, non seulement moi, mais aussi beaucoup d’autres ( https://github.com/notepad-plus-plus/notepad-plus-plus/issues/17982#issuecomment - 4345058243) trouvons que votre site web et votre dépôt GitHub sont trompeurs, car ils utilisent tous deux la marque Notepad++(https://data.inpi.fr/marques/FR5133202 ) et le logo caméléon », lui expliquait-il en ajoutant que le problème n’était pas le portage en soi mais l’utilisation du nom officiel.

Depuis peu, le site Notepad-plus-plus-mac.org qui portait le projet renvoie vers un nouveau site web nommé NextPad.org, domaine créé ce lundi 4 mai. Et le projet a été entièrement renommé « Nextpad++ for Mac » sur le site.

• Notepad++ revient sur le piratage de son module de mise à jour, désormais sécurisé

« Pour être tout à fait clair : Notepad++ n’a jamais sorti de version pour macOS », explique, sur son site, Don Ho, le mainteneur de Notepad++ qui a créé le projet en 2003.

Depuis le début, Notepad++ n’est officiellement distribué que sous forme d’une version pour Windows. Un fork existe pour Linux mais il est diffusé sous le nom de Notepadqq. L’information d’un fork pour Mac commençait à circuler depuis quelques jours, renvoyant vers l’url Notepad-plus-plus-mac.org.

Mais l’utilisation du même nom pour le désigner a fait réagir Don Ho. Si le code de l’éditeur de texte est libre (sous licence GPL), Don Ho affirme que le propriétaire du projet pour Mac utilise la marque Notepad++(le nom) sans autorisation.

Il s’en était déjà ému dans une discussion sur le GitHub du projet en publiant la réponse qu’il avait faite au créateur du nouveau projet pour Mac, Andrey Letov. « C’est une bonne chose que vous essayiez de porter Notepad++ sur macOS ; cela pourrait aider de nombreux utilisateurs de Mac. Cependant, non seulement moi, mais aussi beaucoup d’autres ( https://github.com/notepad-plus-plus/notepad-plus-plus/issues/17982#issuecomment - 4345058243) trouvons que votre site web et votre dépôt GitHub sont trompeurs, car ils utilisent tous deux la marque Notepad++(https://data.inpi.fr/marques/FR5133202 ) et le logo caméléon », lui expliquait-il en ajoutant que le problème n’était pas le portage en soi mais l’utilisation du nom officiel.

Depuis peu, le site Notepad-plus-plus-mac.org qui portait le projet renvoie vers un nouveau site web nommé NextPad.org, domaine créé ce lundi 4 mai. Et le projet a été entièrement renommé « Nextpad++ for Mac » sur le site.

• Notepad++ revient sur le piratage de son module de mise à jour, désormais sécurisé

Moins de juniors = moins de futurs seniors

Aux États-Unis comme en France, les institutions comme l’Insee ou la Fed constatent une stagnation, voire une baisse, de l’emploi dans les secteurs liés à l’informatique, ceci corrélé à l’arrivée en masse des outils d’IA générative.

Après un peu plus de trois ans d’IA générative, les premières analyses chiffrées du marché du travail dans l’informatique sont arrivées. Une corrélation commence à se dessiner franchement entre la morosité de l’emploi dans le secteur et l’arrivée des outils comme Claude Code, Codex et autres Cursor.

Une baisse de l’emploi chez les devs aux États-Unis

Ainsi, dans une note de conjoncture, l’Insee explique que « l’emploi salarié dans le secteur des activités spécialisées, scientifiques et techniques, qui représente 8 % de l’emploi salarié aux États-Unis, décélère depuis 2023 et baisse en 2025 :- 0,2 % en 2025, après + 0,3 % en 2024 et + 2,5 % en 2023. Dans le secteur plus spécifique des services de conception de systèmes informatiques et services connexes, qui représente 2 % de l’emploi salarié, l’emploi recule même depuis deux ans (- 1,6 % en 2025, après - 1,2 % en 2024) ».

L’organisme français de la statistique ajoute que, dans le même temps, « la valeur ajoutée rapportée à l’emploi privé suggère une amélioration récente de la productivité apparente, notamment en 2025, dans les secteurs des activités spécialisées, scientifiques et techniques et des services de conception de systèmes informatiques et services connexes », ceci toujours aux États-Unis.

Moins d’emplois de développeurs, mais pas forcément moins d’emplois pour les développeurs

Un rapport de la Réserve fédérale américaine (Fed) publié aussi en mars dernier va dans le même sens. La Fed n’a pas étudié le problème de la même façon. Elle a simulé ce qu’aurait pu être l’évolution du marché de l’emploi des développeurs aux États-Unis si l’IA générative n’avait pas émergé, en analysant le marché de l’emploi dans les industries qui ont traditionnellement une demande intensive en développeurs et dans les autres. « Si l’on considère la période d’environ trois ans écoulée depuis novembre 2022 et en prenant comme référence les 5,735 millions d’emplois de développeurs existants, cela signifie qu’environ 500 000 emplois de développeurs supplémentaires auraient été créés si l’on n’avait pas eu recours à grande échelle aux modèles de langage de grande capacité (LLM) », expliquent les chercheurs de l’institution [PDF].

Plus en détail, on voit que « l’écart ne se creuse de manière significative qu’au milieu de l’année 2024 » en regardant le premier graphique ci-dessous.

Les deux graphiques suivants permettent de s’apercevoir que c’est dans les industries où la demande en développeurs est traditionnellement intensive que celle-ci stagne au lieu d’augmenter :

Ils ajoutent cependant une remarque : « pour plusieurs raisons, nous n’interprétons pas ces résultats comme une preuve que l’IA a supprimé 500 000 emplois dans l’économie ». Effectivement, les développeurs peuvent avoir pris des postes qui ne sont pas étiquetés comme tels. Et ils expliquent que « l’IA pourrait modifier la composition des tâches des professions, ainsi un potentiel développeur d’aujourd’hui pourrait se diriger vers un poste de management ou une autre profession qui utilise désormais davantage ses compétences de développeur ».

Pour les chercheurs de la Fed, l’industrie de l’IA générative n’est pas « encore » un possible facteur de retournement de la situation de l’emploi chez les développeurs aux États-Unis. « Au total, les effectifs d’OpenAI, d’Anthropic et de Google DeepMind sont probablement inférieurs à 15 000 personnes, et bon nombre de ces employés ne sont pas des développeurs. Même en multipliant ce chiffre par six pour tenir compte des start-ups et des équipes d’IA chez Meta, Microsoft et ailleurs, on atteindrait toujours moins de 2 % des développeurs américains », explique leur rapport.

Des observations similaires sur le marché français

Du côté français, l’Insee estime qu’une « lecture analogue peut être menée » : « depuis 2023, l’emploi baisse dans ce secteur, tandis que la valeur ajoutée conserve une trajectoire sans inflexion marquée ».

En allant un peu plus dans le détail, il explique que ce sont plutôt les profils juniors qui seraient touchés. « Les ajustements liés à l’IA pourraient, à court terme, se concentrer moins sur l’emploi total que sur la structure des embauches, en particulier sur les positions d’entrée dans certains métiers (fonctions support, administratif, conseil, certaines tâches de développement et d’analyse), et pénaliser fortement les jeunes », explique l’organisme.

Ainsi, on peut voir qu’en France, au quatrième trimestre 2025, l’emploi des jeunes salariés (15 - 29 ans, hors alternants) est en baisse de 7,4 % sur un an dans les activités informatiques :

Quand on regarde les chiffres sur 2 ans, entre 2023 et 2025, l’emploi s’est contracté de 3 % dans les activités informatiques et services d’information, mais ce sont les juniors qui en payent le prix. Ainsi, alors que les 30 - 54 ans et les 55 ans et plus voient les offres d’emplois toujours augmenter sensiblement, « l’emploi salarié des 15 - 29 ans (hors alternants) recule en glissement annuel de 7,4 % dans les activités informatiques », explique l’Insee :

De son côté, le chercheur de l’université de Boston, James Bessen, s’appuie sur l’augmentation globale de l’emploi dans le secteur aux États-Unis pour souligner que la « job-pocalypse » dont la peur s’était répandue suite à un billet de blog viral de Matt Schumer n’a pas eu lieu. « Étonnamment, cependant, après trois ans d’utilisation de l’IA, les emplois dans le secteur du développement logiciel ont continué à progresser de manière soutenue, atteignant des niveaux d’emploi records : 2,5 millions en février ».

Moins de juniors = moins de futurs seniors

Aux États-Unis comme en France, les institutions comme l’Insee ou la Fed constatent une stagnation, voire une baisse, de l’emploi dans les secteurs liés à l’informatique, ceci corrélé à l’arrivée en masse des outils d’IA générative.

Après un peu plus de trois ans d’IA générative, les premières analyses chiffrées du marché du travail dans l’informatique sont arrivées. Une corrélation commence à se dessiner franchement entre la morosité de l’emploi dans le secteur et l’arrivée des outils comme Claude Code, Codex et autres Cursor.

Une baisse de l’emploi chez les devs aux États-Unis

Ainsi, dans une note de conjoncture, l’Insee explique que « l’emploi salarié dans le secteur des activités spécialisées, scientifiques et techniques, qui représente 8 % de l’emploi salarié aux États-Unis, décélère depuis 2023 et baisse en 2025 :- 0,2 % en 2025, après + 0,3 % en 2024 et + 2,5 % en 2023. Dans le secteur plus spécifique des services de conception de systèmes informatiques et services connexes, qui représente 2 % de l’emploi salarié, l’emploi recule même depuis deux ans (- 1,6 % en 2025, après - 1,2 % en 2024) ».

L’organisme français de la statistique ajoute que, dans le même temps, « la valeur ajoutée rapportée à l’emploi privé suggère une amélioration récente de la productivité apparente, notamment en 2025, dans les secteurs des activités spécialisées, scientifiques et techniques et des services de conception de systèmes informatiques et services connexes », ceci toujours aux États-Unis.

Moins d’emplois de développeurs, mais pas forcément moins d’emplois pour les développeurs

Un rapport de la Réserve fédérale américaine (Fed) publié aussi en mars dernier va dans le même sens. La Fed n’a pas étudié le problème de la même façon. Elle a simulé ce qu’aurait pu être l’évolution du marché de l’emploi des développeurs aux États-Unis si l’IA générative n’avait pas émergé, en analysant le marché de l’emploi dans les industries qui ont traditionnellement une demande intensive en développeurs et dans les autres. « Si l’on considère la période d’environ trois ans écoulée depuis novembre 2022 et en prenant comme référence les 5,735 millions d’emplois de développeurs existants, cela signifie qu’environ 500 000 emplois de développeurs supplémentaires auraient été créés si l’on n’avait pas eu recours à grande échelle aux modèles de langage de grande capacité (LLM) », expliquent les chercheurs de l’institution [PDF].

Plus en détail, on voit que « l’écart ne se creuse de manière significative qu’au milieu de l’année 2024 » en regardant le premier graphique ci-dessous.

Les deux graphiques suivants permettent de s’apercevoir que c’est dans les industries où la demande en développeurs est traditionnellement intensive que celle-ci stagne au lieu d’augmenter :

Ils ajoutent cependant une remarque : « pour plusieurs raisons, nous n’interprétons pas ces résultats comme une preuve que l’IA a supprimé 500 000 emplois dans l’économie ». Effectivement, les développeurs peuvent avoir pris des postes qui ne sont pas étiquetés comme tels. Et ils expliquent que « l’IA pourrait modifier la composition des tâches des professions, ainsi un potentiel développeur d’aujourd’hui pourrait se diriger vers un poste de management ou une autre profession qui utilise désormais davantage ses compétences de développeur ».

Pour les chercheurs de la Fed, l’industrie de l’IA générative n’est pas « encore » un possible facteur de retournement de la situation de l’emploi chez les développeurs aux États-Unis. « Au total, les effectifs d’OpenAI, d’Anthropic et de Google DeepMind sont probablement inférieurs à 15 000 personnes, et bon nombre de ces employés ne sont pas des développeurs. Même en multipliant ce chiffre par six pour tenir compte des start-ups et des équipes d’IA chez Meta, Microsoft et ailleurs, on atteindrait toujours moins de 2 % des développeurs américains », explique leur rapport.

Des observations similaires sur le marché français

Du côté français, l’Insee estime qu’une « lecture analogue peut être menée » : « depuis 2023, l’emploi baisse dans ce secteur, tandis que la valeur ajoutée conserve une trajectoire sans inflexion marquée ».

En allant un peu plus dans le détail, il explique que ce sont plutôt les profils juniors qui seraient touchés. « Les ajustements liés à l’IA pourraient, à court terme, se concentrer moins sur l’emploi total que sur la structure des embauches, en particulier sur les positions d’entrée dans certains métiers (fonctions support, administratif, conseil, certaines tâches de développement et d’analyse), et pénaliser fortement les jeunes », explique l’organisme.

Ainsi, on peut voir qu’en France, au quatrième trimestre 2025, l’emploi des jeunes salariés (15 - 29 ans, hors alternants) est en baisse de 7,4 % sur un an dans les activités informatiques :

Quand on regarde les chiffres sur 2 ans, entre 2023 et 2025, l’emploi s’est contracté de 3 % dans les activités informatiques et services d’information, mais ce sont les juniors qui en payent le prix. Ainsi, alors que les 30 - 54 ans et les 55 ans et plus voient les offres d’emplois toujours augmenter sensiblement, « l’emploi salarié des 15 - 29 ans (hors alternants) recule en glissement annuel de 7,4 % dans les activités informatiques », explique l’Insee :

De son côté, le chercheur de l’université de Boston, James Bessen, s’appuie sur l’augmentation globale de l’emploi dans le secteur aux États-Unis pour souligner que la « job-pocalypse » dont la peur s’était répandue suite à un billet de blog viral de Matt Schumer n’a pas eu lieu. « Étonnamment, cependant, après trois ans d’utilisation de l’IA, les emplois dans le secteur du développement logiciel ont continué à progresser de manière soutenue, atteignant des niveaux d’emploi records : 2,5 millions en février ».

InterActive Corp (IAC) vient officiellement de fermer le site de son moteur de recherche Ask.com qui existait depuis 1997.

« Alors que IAC poursuit sa réorientation stratégique, nous avons pris la décision de mettre fin à nos activités dans le domaine de la recherche, dont fait partie Ask.com », affirme l’entreprise sur la page d’accueil du site.

Le site qui laissait les utilisateurs poser leurs questions dans un langage naturel s’est fait rattraper, depuis l’arrivée de ChatGPT, par les chatbots boostés à l’IA générative. Apparu sous le nom de Ask Jeeves, utilisant le prénom du majordome à qui l’internaute pouvait poser toutes sortes de questions, le moteur de recherche a été renommé ensuite Ask en 2006 après avoir été racheté par InterActive Corp.

« Nous sommes profondément reconnaissants envers les brillants ingénieurs, concepteurs et équipes qui ont développé et soutenu Ask au fil des décennies. Et à vous, les millions d’utilisateurs qui vous êtes tournés vers nous pour trouver des réponses dans un monde en constante évolution, merci pour votre curiosité sans limite, votre fidélité et votre confiance », affirme l’entreprise.

Les pages des réponses aux questions des utilisateurs (par exemple ici ou là) affichent maintenant une erreur 404.

Le groupe InterActive Corp, qui possède encore de nombreux sites à travers sa filiale People Inc ou encore le titre de presse The Daily Beast, avait arrêté le financement du site College Humour en 2020 et en 2021 avait lancé en bourse la plateforme de streaming Vimeo.

• Vimeo touchée à son tour par la vague d’attaques liée à Anodot

InterActive Corp (IAC) vient officiellement de fermer le site de son moteur de recherche Ask.com qui existait depuis 1997.

« Alors que IAC poursuit sa réorientation stratégique, nous avons pris la décision de mettre fin à nos activités dans le domaine de la recherche, dont fait partie Ask.com », affirme l’entreprise sur la page d’accueil du site.

Le site qui laissait les utilisateurs poser leurs questions dans un langage naturel s’est fait rattraper, depuis l’arrivée de ChatGPT, par les chatbots boostés à l’IA générative. Apparu sous le nom de Ask Jeeves, utilisant le prénom du majordome à qui l’internaute pouvait poser toutes sortes de questions, le moteur de recherche a été renommé ensuite Ask en 2006 après avoir été racheté par InterActive Corp.

« Nous sommes profondément reconnaissants envers les brillants ingénieurs, concepteurs et équipes qui ont développé et soutenu Ask au fil des décennies. Et à vous, les millions d’utilisateurs qui vous êtes tournés vers nous pour trouver des réponses dans un monde en constante évolution, merci pour votre curiosité sans limite, votre fidélité et votre confiance », affirme l’entreprise.

Les pages des réponses aux questions des utilisateurs (par exemple ici ou là) affichent maintenant une erreur 404.

Le groupe InterActive Corp, qui possède encore de nombreux sites à travers sa filiale People Inc ou encore le titre de presse The Daily Beast, avait arrêté le financement du site College Humour en 2020 et en 2021 avait lancé en bourse la plateforme de streaming Vimeo.

• Vimeo touchée à son tour par la vague d’attaques liée à Anodot

Tout ça pour ça ?

Dans une décision qui marque peut-être la fin d’un dossier de 17 ans, le Conseil d’État vient de planter des clous du cercueil de la « réponse graduée », dispositif mis en place par la fameuse Hadopi et opéré depuis 2021 par l’Arcom.

Le Conseil d’État vient de répondre à une question vieille de 17 ans : oui, dans sa version actuelle, la « réponse graduée » telle que mise en place à l’époque de la Hadopi et reprise par l’Arcom depuis 2021 est illégale. « Le Conseil d’État juge aujourd’hui que le dispositif de « réponse graduée » pour lutter contre le piratage en ligne d’œuvres protégées n’est pas conforme au droit européen », explique l’institution judiciaire dans un communiqué.

Il donne ainsi finalement (en partie) raison à la Quadrature du Net, FDN, Franciliens.net et la FFDN qui l’avaient saisi pour demander l’annulation du décret du 5 mars 2010 qui permettait à la Hadopi puis à l’Arcom de mettre le dispositif en place.

Celui-ci leur permettait de sanctionner la non-sécurisation d’une connexion. En 2009, lors de la fameuse bataille de la loi Hadopi, le gouvernement, mené par François Fillon à l’époque, a imposé à tout titulaire d’un accès à internet une obligation de veiller à ce que sa connexion ne soit pas utilisée à des fins de partage d’œuvres protégées. Cette obligation était accompagnée d’un mécanisme d’avertissements qui pouvait se solder théoriquement à la fin par une contravention de 1 500 euros.

Comme nous le précisons ci-dessus, le Conseil d’État ne donne pas totalement raison aux quatre associations qui auraient voulu que l’institution condamne ce dispositif « sur le principe ».

Elles avaient obtenu en 2020 de la part du Conseil constitutionnel la censure d’un bout de la loi Hadopi qui ne changeait pas grand-chose au processus. Une victoire à la Pyrrhus pour les requérants, expliquions-nous à l’époque.

Un dispositif non conforme au droit européen

Mais la procédure a continué et, en 2021, le Conseil d’État a décidé de saisir la Cour de justice de l’Union européenne, questionnant la conformité de la riposte graduée, non à la Constitution, mais au droit de l’Union.

• Riposte européenne contre la réponse graduée

Et c’est finalement sur l’avis de la CJUE que le Conseil d’État s’appuie maintenant pour considérer que le traitement de données à caractère personnel mis en place pour la troisième étape de la « réponse graduée » (la transmission au parquet) par le décret est problématique.

Selon le rapport du Conseil d’État, le dispositif pourrait permettre à l’autorité publique qui le gère (la Hadopi puis l’Arcom) d’être aussi « renseignée sur des aspects, y compris sensibles, de la vie privée des personnes en cause » en mettant en « relation [les] données d’identité, de manière itérative pour une même personne, avec des informations, même limitées, portant sur le contenu des œuvres illégalement mises à disposition sur Internet ». « Un tel accès doit être encadré par la réglementation nationale », estime l’institution.

Notamment, le Conseil d’État explique que « la Cour de justice de l’Union européenne dit pour droit que, lorsque cette autorité publique a déjà mis en relation à deux reprises les données d’identité d’une même personne avec des informations relatives au contenu d’œuvres illégalement mises à disposition sur Internet, elle ne peut procéder pour une troisième fois à cette mise en relation sans y avoir été autorisée par une juridiction ou une entité administrative indépendante ». Ce qui n’est pas prévu par le décret.

L’institution remarque aussi que le décret n’impose pas de « règles claires et précises qui garantissent une séparation effectivement étanche des données conservées par les fournisseurs de services de communications électroniques ».

Ainsi, « le décret du 5 mars 2010 fixant les règles de traitement des données ne respecte pas le droit de l’Union européenne », résume le Conseil d’État dans son communiqué. Et l’institution ordonne au gouvernement de revoir le décret pour le mettre en conformité avec ces exigences.

La mort du dispositif ?

Est-ce pour autant la mort complète du dispositif ? Pour la Quadrature du Net, « il revient désormais au gouvernement d’acter la mort de la Hadopi et, au lieu de tenter de la ressusciter, d’admettre enfin que le partage non-marchand de la culture en ligne ne doit pas être criminalisé ».

Mais l’Arcom pourrait remettre le couvert pour faire revivre le dispositif. « La Cour de justice de l’Union a validé le principe du dispositif de la réponse graduée, ce qui est objectivement une bonne nouvelle », affirme-t-elle à l’Informé, en ajoutant qu’« il y a désormais un débat de modalités, qui peut être complexe ». La nuance est importante : le principe est validé, pas sa mise en place. Elle doit concerter les sociétés d’ayants droit le 6 mai puis les fournisseurs d’accès.

Selon nos confrères, l’autorité envisagerait de mettre une première rustine, le temps que le gouvernement concocte un nouveau texte en réclamant aux FAI une déclaration sur l’honneur que les données qu’ils traitent sont bien étanches les unes par rapport aux autres. À voir si le Conseil d’État acceptera cette solution transitoire. Celui-ci explique dans son communiqué que, « dans l’attente d’un éventuel nouveau décret, le Conseil d’État précise que, dans le cas d’infractions pénales ne présentant pas une particulière gravité, l’Arcom ne peut demander aux opérateurs l’identification d’un abonné à partir de son adresse IP, que s’il est établi que ces données personnelles ont été conservées dans les conditions fixées par la CJUE ».

Ensuite, le texte pourrait être modifié par le législateur ou le ministre de la Culture pour que l’Arcom ne puisse plus avoir accès aux informations sur les œuvres téléchargées et ainsi plus déduire d’informations sensibles sur la personne mise en cause. L’autorité pourrait aussi décider de maintenir seulement les deux premières étapes de la « réponse graduée », considérée comme la « phase pédagogique ».

Interrogé par Next, l’avocat spécialisé dans le numérique Alexandre Archambault imagine aussi que l’identification des pirates puisse basculer au civil avec la qualification de « délinquance grave » comme pour le blocage des sites web de streaming contre les FAI, les moteurs de recherche et désormais les VPN.

• Formule 1, MotoGP : Canal+ fait feu de tout bois pour faire bloquer le streaming pirate

Tout ça pour ça ?

Dans une décision qui marque peut-être la fin d’un dossier de 17 ans, le Conseil d’État vient de planter des clous du cercueil de la « réponse graduée », dispositif mis en place par la fameuse Hadopi et opéré depuis 2021 par l’Arcom.

Le Conseil d’État vient de répondre à une question vieille de 17 ans : oui, dans sa version actuelle, la « réponse graduée » telle que mise en place à l’époque de la Hadopi et reprise par l’Arcom depuis 2021 est illégale. « Le Conseil d’État juge aujourd’hui que le dispositif de « réponse graduée » pour lutter contre le piratage en ligne d’œuvres protégées n’est pas conforme au droit européen », explique l’institution judiciaire dans un communiqué.

Il donne ainsi finalement (en partie) raison à la Quadrature du Net, FDN, Franciliens.net et la FFDN qui l’avaient saisi pour demander l’annulation du décret du 5 mars 2010 qui permettait à la Hadopi puis à l’Arcom de mettre le dispositif en place.

Celui-ci leur permettait de sanctionner la non-sécurisation d’une connexion. En 2009, lors de la fameuse bataille de la loi Hadopi, le gouvernement, mené par François Fillon à l’époque, a imposé à tout titulaire d’un accès à internet une obligation de veiller à ce que sa connexion ne soit pas utilisée à des fins de partage d’œuvres protégées. Cette obligation était accompagnée d’un mécanisme d’avertissements qui pouvait se solder théoriquement à la fin par une contravention de 1 500 euros.

Comme nous le précisons ci-dessus, le Conseil d’État ne donne pas totalement raison aux quatre associations qui auraient voulu que l’institution condamne ce dispositif « sur le principe ».

Elles avaient obtenu en 2020 de la part du Conseil constitutionnel la censure d’un bout de la loi Hadopi qui ne changeait pas grand-chose au processus. Une victoire à la Pyrrhus pour les requérants, expliquions-nous à l’époque.

Un dispositif non conforme au droit européen

Mais la procédure a continué et, en 2021, le Conseil d’État a décidé de saisir la Cour de justice de l’Union européenne, questionnant la conformité de la riposte graduée, non à la Constitution, mais au droit de l’Union.

• Riposte européenne contre la réponse graduée

Et c’est finalement sur l’avis de la CJUE que le Conseil d’État s’appuie maintenant pour considérer que le traitement de données à caractère personnel mis en place pour la troisième étape de la « réponse graduée » (la transmission au parquet) par le décret est problématique.

Selon le rapport du Conseil d’État, le dispositif pourrait permettre à l’autorité publique qui le gère (la Hadopi puis l’Arcom) d’être aussi « renseignée sur des aspects, y compris sensibles, de la vie privée des personnes en cause » en mettant en « relation [les] données d’identité, de manière itérative pour une même personne, avec des informations, même limitées, portant sur le contenu des œuvres illégalement mises à disposition sur Internet ». « Un tel accès doit être encadré par la réglementation nationale », estime l’institution.

Notamment, le Conseil d’État explique que « la Cour de justice de l’Union européenne dit pour droit que, lorsque cette autorité publique a déjà mis en relation à deux reprises les données d’identité d’une même personne avec des informations relatives au contenu d’œuvres illégalement mises à disposition sur Internet, elle ne peut procéder pour une troisième fois à cette mise en relation sans y avoir été autorisée par une juridiction ou une entité administrative indépendante ». Ce qui n’est pas prévu par le décret.

L’institution remarque aussi que le décret n’impose pas de « règles claires et précises qui garantissent une séparation effectivement étanche des données conservées par les fournisseurs de services de communications électroniques ».

Ainsi, « le décret du 5 mars 2010 fixant les règles de traitement des données ne respecte pas le droit de l’Union européenne », résume le Conseil d’État dans son communiqué. Et l’institution ordonne au gouvernement de revoir le décret pour le mettre en conformité avec ces exigences.

La mort du dispositif ?

Est-ce pour autant la mort complète du dispositif ? Pour la Quadrature du Net, « il revient désormais au gouvernement d’acter la mort de la Hadopi et, au lieu de tenter de la ressusciter, d’admettre enfin que le partage non-marchand de la culture en ligne ne doit pas être criminalisé ».

Mais l’Arcom pourrait remettre le couvert pour faire revivre le dispositif. « La Cour de justice de l’Union a validé le principe du dispositif de la réponse graduée, ce qui est objectivement une bonne nouvelle », affirme-t-elle à l’Informé, en ajoutant qu’« il y a désormais un débat de modalités, qui peut être complexe ». La nuance est importante : le principe est validé, pas sa mise en place. Elle doit concerter les sociétés d’ayants droit le 6 mai puis les fournisseurs d’accès.

Selon nos confrères, l’autorité envisagerait de mettre une première rustine, le temps que le gouvernement concocte un nouveau texte en réclamant aux FAI une déclaration sur l’honneur que les données qu’ils traitent sont bien étanches les unes par rapport aux autres. À voir si le Conseil d’État acceptera cette solution transitoire. Celui-ci explique dans son communiqué que, « dans l’attente d’un éventuel nouveau décret, le Conseil d’État précise que, dans le cas d’infractions pénales ne présentant pas une particulière gravité, l’Arcom ne peut demander aux opérateurs l’identification d’un abonné à partir de son adresse IP, que s’il est établi que ces données personnelles ont été conservées dans les conditions fixées par la CJUE ».

Ensuite, le texte pourrait être modifié par le législateur ou le ministre de la Culture pour que l’Arcom ne puisse plus avoir accès aux informations sur les œuvres téléchargées et ainsi plus déduire d’informations sensibles sur la personne mise en cause. L’autorité pourrait aussi décider de maintenir seulement les deux premières étapes de la « réponse graduée », considérée comme la « phase pédagogique ».

Interrogé par Next, l’avocat spécialisé dans le numérique Alexandre Archambault imagine aussi que l’identification des pirates puisse basculer au civil avec la qualification de « délinquance grave » comme pour le blocage des sites web de streaming contre les FAI, les moteurs de recherche et désormais les VPN.

• Formule 1, MotoGP : Canal+ fait feu de tout bois pour faire bloquer le streaming pirate

Une optimisation trop rapide

Depuis 2017, une vulnérabilité dans le module cryptographique authencesn du noyau Linux laissait à un compte d’un simple utilisateur la possibilité de passer en root. Elle concerne la plupart des grandes distributions jusqu’au déploiement du patch, qui est déjà en cours.

C’est l’entreprise de sécurité Xint.io qui a révélé, ce mercredi 29 avril, cette vulnérabilité (CVE-2026-31431, d’une sévérité élevée de 7,8/10) permettant une élévation des privilèges en local.

Le score n’est « que » de 7,8 car le vecteur d’attaque est local (AV:L) : il faut déjà avoir un accès local sur la machine, ici un compte utilisateur. La même avec une attaque depuis le réseau (AV:N) se serait approchée de 10.

N’importe qui peut devenir root

Appelée « Copy Fail », celle-ci permet (sans accès au réseau, sans utiliser de fonctionnalités de débogage du noyau et sans avoir installé quoi que ce soit avant) à toute personne possédant un simple compte utilisateur sur quasiment n’importe quelle distribution Linux d’obtenir les privilèges root et donc d’y faire tout ce qu’elle veut.

Comme l’explique l’entreprise sur le site dédié à la faille, « un utilisateur local sans privilèges peut écrire quatre octets contrôlés dans le page cache de n’importe quel fichier accessible en lecture sur un système Linux, et s’en servir pour obtenir les privilèges root ».

Les responsables des distributions ont commencé à mettre à jour le paquet de leur noyau Linux pour bloquer l’utilisation d’une faille de sécurité qui se situait directement dans le noyau. Le danger concerne les systèmes partagés entre plusieurs utilisateurs, les clusters de conteneurs (Kubernetes, Docker…), etc. Un utilisateur lambda pourrait ainsi accéder aux données des autres utilisateurs.

Une faille dans le module cryptographique authencesn du noyau

Xint.io explique que cette faille a été découverte par le chercheur de l’entreprise Theori, Taeyang Lee, en étant assisté par l’IA de son outil Xint Code alors qu’il étudiait la manière dont le sous-système de cryptographie de Linux interagit avec les données stockées dans le page cache. C’est un système de cache qui permet au noyau d’avoir un accès plus rapide à certaines informations.

• Comment survivre à la déferlante à venir des vulnérabilités identifiées par IA ? (3/3)

De fait, c’est un bug dans le module cryptographique authencesn du noyau Linux qui est en cause, accessible via l’interface de socket AF_ALG, en combinaison avec l’appel système splice(). « Un utilisateur peut ouvrir un socket, le lier à n’importe quel modèle AEAD (chiffrement authentifié avec données associées) et lancer le chiffrement ou le déchiffrement de données arbitraires. Aucun privilège n’est requis », explique Xint. De son côté, la fonction splice() transfère des données entre les descripteurs de fichiers et les pipes sans les copier, en renvoyant simplement les page caches par référence.

En utilisant un script Python très court (732 octets) qui ne fait appel qu’à des bibliothèques standard et ciblant le page cache du noyau, il est possible d’accéder au binaire qui permet d’être superutilisateur : /usr/bin/su. La modification se fait en mémoire, pas directement sur le périphérique de stockage.

Une ligne de commande suffit…

Nous l’avons testé sur un de nos VPS avec Ubuntu 24.04 LTS, nous sommes bien passés en root avec une seule ligne de commande en utilisant le script Python :

Les chercheurs ont constaté la faille sur les distributions Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 ou encore SUSE 16 et expliquent logiquement que « les autres distributions utilisant les noyaux concernés — Debian, Arch, Fedora, Rocky, Alma, Oracle, ainsi que les distributions embarquées — présentent le même comportement ».

Un patch pour le noyau a déjà été proposé et accepté. Celui-ci supprime une optimisation des opérations AEAD qui avait été ajoutée en 2017. « Mettez à jour le paquet du noyau de votre distribution avec une version incluant le commit a664bf3d603d de la branche principale », expliquent les chercheurs, « la plupart des principales distributions proposent désormais ce correctif », comme Debian (Forky et Sid), Ubuntu, par exemple mais la mise en place est encore en cours chez Red Hat et Suse.

Une optimisation trop rapide

Depuis 2017, une vulnérabilité dans le module cryptographique authencesn du noyau Linux laissait à un compte d’un simple utilisateur la possibilité de passer en root. Elle concerne la plupart des grandes distributions jusqu’au déploiement du patch, qui est déjà en cours.

C’est l’entreprise de sécurité Xint.io qui a révélé, ce mercredi 29 avril, cette vulnérabilité (CVE-2026-31431, d’une sévérité élevée de 7,8/10) permettant une élévation des privilèges en local.

Le score n’est « que » de 7,8 car le vecteur d’attaque est local (AV:L) : il faut déjà avoir un accès local sur la machine, ici un compte utilisateur. La même avec une attaque depuis le réseau (AV:N) se serait approchée de 10.

N’importe qui peut devenir root

Appelée « Copy Fail », celle-ci permet (sans accès au réseau, sans utiliser de fonctionnalités de débogage du noyau et sans avoir installé quoi que ce soit avant) à toute personne possédant un simple compte utilisateur sur quasiment n’importe quelle distribution Linux d’obtenir les privilèges root et donc d’y faire tout ce qu’elle veut.

Comme l’explique l’entreprise sur le site dédié à la faille, « un utilisateur local sans privilèges peut écrire quatre octets contrôlés dans le page cache de n’importe quel fichier accessible en lecture sur un système Linux, et s’en servir pour obtenir les privilèges root ».

Les responsables des distributions ont commencé à mettre à jour le paquet de leur noyau Linux pour bloquer l’utilisation d’une faille de sécurité qui se situait directement dans le noyau. Le danger concerne les systèmes partagés entre plusieurs utilisateurs, les clusters de conteneurs (Kubernetes, Docker…), etc. Un utilisateur lambda pourrait ainsi accéder aux données des autres utilisateurs.

Une faille dans le module cryptographique authencesn du noyau

Xint.io explique que cette faille a été découverte par le chercheur de l’entreprise Theori, Taeyang Lee, en étant assisté par l’IA de son outil Xint Code alors qu’il étudiait la manière dont le sous-système de cryptographie de Linux interagit avec les données stockées dans le page cache. C’est un système de cache qui permet au noyau d’avoir un accès plus rapide à certaines informations.

• Comment survivre à la déferlante à venir des vulnérabilités identifiées par IA ? (3/3)

De fait, c’est un bug dans le module cryptographique authencesn du noyau Linux qui est en cause, accessible via l’interface de socket AF_ALG, en combinaison avec l’appel système splice(). « Un utilisateur peut ouvrir un socket, le lier à n’importe quel modèle AEAD (chiffrement authentifié avec données associées) et lancer le chiffrement ou le déchiffrement de données arbitraires. Aucun privilège n’est requis », explique Xint. De son côté, la fonction splice() transfère des données entre les descripteurs de fichiers et les pipes sans les copier, en renvoyant simplement les page caches par référence.

En utilisant un script Python très court (732 octets) qui ne fait appel qu’à des bibliothèques standard et ciblant le page cache du noyau, il est possible d’accéder au binaire qui permet d’être superutilisateur : /usr/bin/su. La modification se fait en mémoire, pas directement sur le périphérique de stockage.

Une ligne de commande suffit…

Nous l’avons testé sur un de nos VPS avec Ubuntu 24.04 LTS, nous sommes bien passés en root avec une seule ligne de commande en utilisant le script Python :

Les chercheurs ont constaté la faille sur les distributions Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 ou encore SUSE 16 et expliquent logiquement que « les autres distributions utilisant les noyaux concernés — Debian, Arch, Fedora, Rocky, Alma, Oracle, ainsi que les distributions embarquées — présentent le même comportement ».

Un patch pour le noyau a déjà été proposé et accepté. Celui-ci supprime une optimisation des opérations AEAD qui avait été ajoutée en 2017. « Mettez à jour le paquet du noyau de votre distribution avec une version incluant le commit a664bf3d603d de la branche principale », expliquent les chercheurs, « la plupart des principales distributions proposent désormais ce correctif », comme Debian (Forky et Sid), Ubuntu, par exemple mais la mise en place est encore en cours chez Red Hat et Suse.

Plus de sites genAI, mais pas plus de conneries proportionnellement

Selon un rapport d’Internet Archive, le contenu de 35 % des sites internet nouvellement créés en mai 2025 était soit complètement généré par intelligence artificielle, soit son édition était grandement assistée par une IA. Cela contribuerait à une baisse de la diversité sémantique et à une augmentation de sentiments très positifs, mais pas forcément à une augmentation de fausses informations.

Le web serait-il devenu un lieu où des machines parlent à des machines ? C’est l’idée qu’ont défendue certains chercheurs dès le début de l’année dernière en relançant la « théorie de l’Internet mort », formulée en 2021.

Le responsable de la Wayback Machine chez Internet Archive, Mark Graham, signe avec un chercheur maison et deux doctorants un rapport (.pdf) qui essaye de quantifier le flux de contenus générés par IA et ses conséquences avec les données récoltées par son outil. « Nous constatons qu’à la mi-2025, environ 35 % des sites web nouvellement publiés étaient classés comme générés par IA ou créés avec l’aide de l’IA, contre zéro avant le lancement de ChatGPT fin 2022 », expliquent-ils.

Pour arriver à cette estimation, l’équipe a extrait le texte des sites nouvellement créés détectés et archivés au sein de la Wayback Machine. Puis, après avoir testé différents outils de détection (Binoculars, Desklib, DivEye et l’API commerciale de Pangram v3), ils ont choisi de s’appuyer sur cette dernière, expliquant que c’était la meilleure solution, notamment pour son taux de détection des textes anglophones comme ceux dans d’autres langues et sa capacité à traiter du HTML.

35 % des nouveaux sites sont remplis de contenus générés par IA

Leurs résultats restent donc très fortement liés à cet outil de détection qui annonce sur son site web une précision de détection de 99,98 % et a mis en ligne un rapport technique sur sa méthode sans que celle-ci ne soit évaluée par des chercheurs indépendants.

Mais selon ces tests sur les archives du web récoltées par Internet Archive, le contenu des nouveaux sites internet est de plus en plus généré par IA ou son édition est grandement assistée par une IA : 35 % l’étaient en mai 2025 :

Ils ont aussi voulu vérifier plusieurs hypothèses craintes suite à la prolifération de ce genre de contenus sur internet qui pourrait « contribuer à une dégradation de la diversité sémantique et stylistique, de l’exactitude des faits, ainsi qu’à d’autres évolutions négatives ».

En faisant un petit sondage, ils se sont aperçus que 75 % des gens avaient peur, par exemple, d’être « de plus en plus souvent confrontés à des informations factuellement erronées et à des hallucinations », et que 83 % d’entre eux pensaient que le style des textes allait s’homogénéiser.

Ils ont ensuite vérifié ces hypothèses sur les données d’Internet Archive. Ils ont, par exemple, payé des fact-checkers pour voir si les informations incorrectes dans les données d’Internet Archive augmentaient. Mais ils n’ont pas trouvé de corrélation statistiquement significative. Pour le dire autrement, cette augmentation du nombre de nouveaux sites avec des contenus genAI ne fait pas augmenter le nombre de fausses informations.

Une similarité sémantique et une augmentation de contenus positifs détectées

En faisant d’autres tests, ils se sont aussi aperçus que l’augmentation des contenus générés par IA dans les données d’Internet Archive n’augmentait pas non plus mécaniquement l’homogénéité stylistique.

« Plutôt qu’une explosion de fausses informations, l’empreinte de la prolifération de l’IA sur Internet se manifeste principalement par une contraction sémantique et un glissement artificiel vers la positivité  », expliquent-ils.

En effet, la similarité sémantique qu’ils ont mesurée avec Pangram v3 augmente de façon corrélée à la prolifération de contenus générés par IA :

Et on retrouve la même corrélation avec le style plus positif des contenus mesuré ici aussi avec Pangram v3 :

« Le résultat le plus surprenant a été que notre hypothèse de la « dégradation de la vérité » n’a pas été confirmée », estime Jonas Doležal, l’un des doctorants de l’Imperial College London qui a participé à l’étude, interrogé par nos confrères de 404 Media.

« Il convient de noter que nous recherchions spécifiquement une augmentation des déclarations vérifiables comme étant fausses, ce que nous n’avons pas trouvé. Mais il se pourrait tout de même que l’IA augmente discrètement le volume des affirmations invérifiables, celles qui ne peuvent être vérifiées à l’aide des outils et des infrastructures de vérification des faits existants. Ou peut-être simplement qu’Internet n’était pas, dès le départ, un espace particulièrement attaché à la vérité », ajoute-t-il quand même.

Plus de sites genAI, mais pas plus de conneries proportionnellement

Selon un rapport d’Internet Archive, le contenu de 35 % des sites internet nouvellement créés en mai 2025 était soit complètement généré par intelligence artificielle, soit son édition était grandement assistée par une IA. Cela contribuerait à une baisse de la diversité sémantique et à une augmentation de sentiments très positifs, mais pas forcément à une augmentation de fausses informations.

Le web serait-il devenu un lieu où des machines parlent à des machines ? C’est l’idée qu’ont défendue certains chercheurs dès le début de l’année dernière en relançant la « théorie de l’Internet mort », formulée en 2021.

Le responsable de la Wayback Machine chez Internet Archive, Mark Graham, signe avec un chercheur maison et deux doctorants un rapport (.pdf) qui essaye de quantifier le flux de contenus générés par IA et ses conséquences avec les données récoltées par son outil. « Nous constatons qu’à la mi-2025, environ 35 % des sites web nouvellement publiés étaient classés comme générés par IA ou créés avec l’aide de l’IA, contre zéro avant le lancement de ChatGPT fin 2022 », expliquent-ils.

Pour arriver à cette estimation, l’équipe a extrait le texte des sites nouvellement créés détectés et archivés au sein de la Wayback Machine. Puis, après avoir testé différents outils de détection (Binoculars, Desklib, DivEye et l’API commerciale de Pangram v3), ils ont choisi de s’appuyer sur cette dernière, expliquant que c’était la meilleure solution, notamment pour son taux de détection des textes anglophones comme ceux dans d’autres langues et sa capacité à traiter du HTML.

35 % des nouveaux sites sont remplis de contenus générés par IA

Leurs résultats restent donc très fortement liés à cet outil de détection qui annonce sur son site web une précision de détection de 99,98 % et a mis en ligne un rapport technique sur sa méthode sans que celle-ci ne soit évaluée par des chercheurs indépendants.

Mais selon ces tests sur les archives du web récoltées par Internet Archive, le contenu des nouveaux sites internet est de plus en plus généré par IA ou son édition est grandement assistée par une IA : 35 % l’étaient en mai 2025 :

Ils ont aussi voulu vérifier plusieurs hypothèses craintes suite à la prolifération de ce genre de contenus sur internet qui pourrait « contribuer à une dégradation de la diversité sémantique et stylistique, de l’exactitude des faits, ainsi qu’à d’autres évolutions négatives ».

En faisant un petit sondage, ils se sont aperçus que 75 % des gens avaient peur, par exemple, d’être « de plus en plus souvent confrontés à des informations factuellement erronées et à des hallucinations », et que 83 % d’entre eux pensaient que le style des textes allait s’homogénéiser.

Ils ont ensuite vérifié ces hypothèses sur les données d’Internet Archive. Ils ont, par exemple, payé des fact-checkers pour voir si les informations incorrectes dans les données d’Internet Archive augmentaient. Mais ils n’ont pas trouvé de corrélation statistiquement significative. Pour le dire autrement, cette augmentation du nombre de nouveaux sites avec des contenus genAI ne fait pas augmenter le nombre de fausses informations.

Une similarité sémantique et une augmentation de contenus positifs détectées

En faisant d’autres tests, ils se sont aussi aperçus que l’augmentation des contenus générés par IA dans les données d’Internet Archive n’augmentait pas non plus mécaniquement l’homogénéité stylistique.

« Plutôt qu’une explosion de fausses informations, l’empreinte de la prolifération de l’IA sur Internet se manifeste principalement par une contraction sémantique et un glissement artificiel vers la positivité  », expliquent-ils.

En effet, la similarité sémantique qu’ils ont mesurée avec Pangram v3 augmente de façon corrélée à la prolifération de contenus générés par IA :

Et on retrouve la même corrélation avec le style plus positif des contenus mesuré ici aussi avec Pangram v3 :

« Le résultat le plus surprenant a été que notre hypothèse de la « dégradation de la vérité » n’a pas été confirmée », estime Jonas Doležal, l’un des doctorants de l’Imperial College London qui a participé à l’étude, interrogé par nos confrères de 404 Media.

« Il convient de noter que nous recherchions spécifiquement une augmentation des déclarations vérifiables comme étant fausses, ce que nous n’avons pas trouvé. Mais il se pourrait tout de même que l’IA augmente discrètement le volume des affirmations invérifiables, celles qui ne peuvent être vérifiées à l’aide des outils et des infrastructures de vérification des faits existants. Ou peut-être simplement qu’Internet n’était pas, dès le départ, un espace particulièrement attaché à la vérité », ajoute-t-il quand même.

Après avoir mis la pression sur Anthropic pour pouvoir utiliser comme il veut ses modèles jusqu’à l’avoir désignée « fournisseur à risque pour la sécurité nationale », le Pentagone s’est tourné vers les concurrents de la startup. D’abord OpenAI en mars, le Pentagone est maintenant en discussion avec Google.

Cameron Stanley, le responsable numérique du Pentagone a confirmé être en discussion avec l’entreprise pour l’utilisation de Gemini au sein du département de la Défense états-unien. « Il n’est jamais bon de trop dépendre d’un seul fournisseur », a-t-il expliqué à CNBC, « on le constate particulièrement dans le domaine des logiciels ».

La justice a récemment refusé l’appel effectué par Anthropic concernant cette qualification qui l’empêche de travailler avec le département de la défense.

Cameron Stanley a affirmé à CNBC qu’utiliser Gemini permettait au Pentagone d’économiser « littéralement des milliers d’heures de travail chaque semaine ». Selon Google, l’entreprise fait partie d’un « vaste consortium » fournissant des services et des infrastructures « au service de la sécurité nationale ».

Chez OpenAI, l’accord avait provoqué des remous en interne jusqu’à la démission de la responsable de la branche robotique d’OpenAI, Caitlin Kalinowski. Selon le Washington Post, l’accord avec le Pentagone fait aussi réagir au sein de Google. Plus de 600 employés, dont une bonne partie sont au DeepMind AI lab qui développe Gemini, ont signé une lettre adressée à Sundar Pichai, le CEO de l’entreprise.

« Nous voulons que l’IA profite à l’humanité ; nous ne voulons pas qu’elle soit utilisée à des fins inhumaines ou extrêmement néfastes. Cela inclut les armes autonomes létales et la surveillance de masse, mais va bien au-delà », écrivent-ils. « La seule façon de garantir que Google ne soit pas associé à de tels préjudices est de refuser tout contrat classifié. Sinon, de telles utilisations pourraient avoir lieu à notre insu et sans que nous ayons les moyens de les empêcher ».

« Des vies humaines sont déjà perdues et les libertés civiles sont menacées, tant dans notre pays qu’à l’étranger, en raison d’une utilisation abusive de la technologie que nous contribuons pour l’essentiel à mettre au point », ajoutent-ils.

Après avoir mis la pression sur Anthropic pour pouvoir utiliser comme il veut ses modèles jusqu’à l’avoir désignée « fournisseur à risque pour la sécurité nationale », le Pentagone s’est tourné vers les concurrents de la startup. D’abord OpenAI en mars, le Pentagone est maintenant en discussion avec Google.

Cameron Stanley, le responsable numérique du Pentagone a confirmé être en discussion avec l’entreprise pour l’utilisation de Gemini au sein du département de la Défense états-unien. « Il n’est jamais bon de trop dépendre d’un seul fournisseur », a-t-il expliqué à CNBC, « on le constate particulièrement dans le domaine des logiciels ».

La justice a récemment refusé l’appel effectué par Anthropic concernant cette qualification qui l’empêche de travailler avec le département de la défense.

Cameron Stanley a affirmé à CNBC qu’utiliser Gemini permettait au Pentagone d’économiser « littéralement des milliers d’heures de travail chaque semaine ». Selon Google, l’entreprise fait partie d’un « vaste consortium » fournissant des services et des infrastructures « au service de la sécurité nationale ».

Chez OpenAI, l’accord avait provoqué des remous en interne jusqu’à la démission de la responsable de la branche robotique d’OpenAI, Caitlin Kalinowski. Selon le Washington Post, l’accord avec le Pentagone fait aussi réagir au sein de Google. Plus de 600 employés, dont une bonne partie sont au DeepMind AI lab qui développe Gemini, ont signé une lettre adressée à Sundar Pichai, le CEO de l’entreprise.

« Nous voulons que l’IA profite à l’humanité ; nous ne voulons pas qu’elle soit utilisée à des fins inhumaines ou extrêmement néfastes. Cela inclut les armes autonomes létales et la surveillance de masse, mais va bien au-delà », écrivent-ils. « La seule façon de garantir que Google ne soit pas associé à de tels préjudices est de refuser tout contrat classifié. Sinon, de telles utilisations pourraient avoir lieu à notre insu et sans que nous ayons les moyens de les empêcher ».

« Des vies humaines sont déjà perdues et les libertés civiles sont menacées, tant dans notre pays qu’à l’étranger, en raison d’une utilisation abusive de la technologie que nous contribuons pour l’essentiel à mettre au point », ajoutent-ils.

L’année dernière, la Commission européenne avait ouvert deux enquêtes sur la protection des mineurs sur Facebook et Instagram. Concernant l’accès à ses réseaux par les moins de 13 ans, elle vient de conclure « à titre préliminaire » que ces plateformes « enfreignaient la législation sur les services numériques (DSA) pour ne pas avoir identifié, évalué et atténué avec diligence les risques liés à l’accès des mineurs de moins de 13 ans à leurs services ».

La Commission européenne considère notamment que les mesures mises en place par Meta pour faire respecter ses propres conditions générales fixant l’âge minimum à 13 ans ne sont pas efficaces. « Par exemple, lors de la création d’un compte, les mineurs de moins de 13 ans peuvent saisir une fausse date de naissance qui leur permet de faire plus que leur âge, sans aucun contrôle efficace en place pour vérifier l’exactitude de la date de naissance autodéclarée », explique la Commission.

Elle explique aussi que l’outil fourni par Meta pour signaler les mineurs de moins de 13 ans sur la plate-forme est « difficile à utiliser et peu efficace, nécessitant jusqu’à sept clics pour accéder au formulaire de signalement, qui n’est pas automatiquement prérempli avec les informations de l’utilisateur ». Elle ajoute que même lorsqu’il y a un signalement, Meta ne met pas en place de suivi approprié « et le mineur signalé peut simplement continuer à utiliser le service sans aucun type de contrôle ».

Elle estime que l’évaluation effectuée par Meta des risques que des mineurs de moins de 13 ans accèdent à ses plateformes est « incomplète et arbitraire ». Selon la Commission, cette évaluation contredit « de nombreux éléments de preuve provenant de toute l’Union européenne indiquant qu’environ 10 à 12 % des enfants de moins de 13 ans accèdent à Instagram et/ou Facebook » et ignore les preuves scientifiques « facilement disponibles » qui montrent que les jeunes enfants sont plus vulnérables aux problèmes que causent des plateformes comme Instagram et Facebook.

« À ce stade », l’institution européenne considère que les deux plateformes de Meta doivent modifier cette méthode d’évaluation des risques et les évaluer concrètement, mais aussi renforcer les mesures de prévention, de détection et de retrait des mineurs de moins de 13 ans de leur service.

La Commission attend maintenant les réponses de Meta à ces conclusions pour clore définitivement son enquête. Elle ajoute que si ces conclusions sont confirmées, elle pourra infliger une amende de 6 % du chiffre d’affaires annuel mondial de Meta.

À Reuters, Meta a affirmé avoir mis en place des mesures pour détecter et supprimer les comptes d’enfants de moins de 13 ans et qu’elle en dévoilera d’autres la semaine prochaine. « La vérification de l’âge est un défi à l’échelle du secteur, qui nécessite une solution à l’échelle du secteur, et nous continuerons à collaborer de manière constructive avec la Commission européenne sur cette question importante », précise un porte-parole de l’entreprise à l’agence de presse.

L’année dernière, la Commission européenne avait ouvert deux enquêtes sur la protection des mineurs sur Facebook et Instagram. Concernant l’accès à ses réseaux par les moins de 13 ans, elle vient de conclure « à titre préliminaire » que ces plateformes « enfreignaient la législation sur les services numériques (DSA) pour ne pas avoir identifié, évalué et atténué avec diligence les risques liés à l’accès des mineurs de moins de 13 ans à leurs services ».

La Commission européenne considère notamment que les mesures mises en place par Meta pour faire respecter ses propres conditions générales fixant l’âge minimum à 13 ans ne sont pas efficaces. « Par exemple, lors de la création d’un compte, les mineurs de moins de 13 ans peuvent saisir une fausse date de naissance qui leur permet de faire plus que leur âge, sans aucun contrôle efficace en place pour vérifier l’exactitude de la date de naissance autodéclarée », explique la Commission.

Elle explique aussi que l’outil fourni par Meta pour signaler les mineurs de moins de 13 ans sur la plate-forme est « difficile à utiliser et peu efficace, nécessitant jusqu’à sept clics pour accéder au formulaire de signalement, qui n’est pas automatiquement prérempli avec les informations de l’utilisateur ». Elle ajoute que même lorsqu’il y a un signalement, Meta ne met pas en place de suivi approprié « et le mineur signalé peut simplement continuer à utiliser le service sans aucun type de contrôle ».

Elle estime que l’évaluation effectuée par Meta des risques que des mineurs de moins de 13 ans accèdent à ses plateformes est « incomplète et arbitraire ». Selon la Commission, cette évaluation contredit « de nombreux éléments de preuve provenant de toute l’Union européenne indiquant qu’environ 10 à 12 % des enfants de moins de 13 ans accèdent à Instagram et/ou Facebook » et ignore les preuves scientifiques « facilement disponibles » qui montrent que les jeunes enfants sont plus vulnérables aux problèmes que causent des plateformes comme Instagram et Facebook.

« À ce stade », l’institution européenne considère que les deux plateformes de Meta doivent modifier cette méthode d’évaluation des risques et les évaluer concrètement, mais aussi renforcer les mesures de prévention, de détection et de retrait des mineurs de moins de 13 ans de leur service.

La Commission attend maintenant les réponses de Meta à ces conclusions pour clore définitivement son enquête. Elle ajoute que si ces conclusions sont confirmées, elle pourra infliger une amende de 6 % du chiffre d’affaires annuel mondial de Meta.

À Reuters, Meta a affirmé avoir mis en place des mesures pour détecter et supprimer les comptes d’enfants de moins de 13 ans et qu’elle en dévoilera d’autres la semaine prochaine. « La vérification de l’âge est un défi à l’échelle du secteur, qui nécessite une solution à l’échelle du secteur, et nous continuerons à collaborer de manière constructive avec la Commission européenne sur cette question importante », précise un porte-parole de l’entreprise à l’agence de presse.